Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Implementa Account Factory for Terraform (AFT) utilizzando una pipeline bootstrap *Vinicius Elias e Edgar Costa Filho, Amazon Web Services* ## Riepilogo Questo modello fornisce un metodo semplice e sicuro per implementare AWS Control Tower Account Factory for Terraform (AFT) dall'account di gestione di. AWS Organizations Il cuore della soluzione è un CloudFormation modello che automatizza la configurazione AFT creando una pipeline Terraform, strutturata per essere facilmente adattabile per la distribuzione iniziale o gli aggiornamenti successivi. La sicurezza e l'integrità dei dati sono priorità assolute AWS, quindi il file di stato di Terraform, che è un componente fondamentale che tiene traccia dello stato dell'infrastruttura e delle configurazioni gestite, viene archiviato in modo sicuro in un bucket Amazon Simple Storage Service (Amazon S3). Questo bucket è configurato con diverse misure di sicurezza, tra cui la crittografia lato server e politiche per bloccare l'accesso pubblico, per garantire che lo stato di Terraform sia protetto da accessi non autorizzati e violazioni dei dati. L'account di gestione orchestra e supervisiona l'intero ambiente, quindi è una risorsa fondamentale in. AWS Control Tower Questo modello segue le AWS migliori pratiche e garantisce che il processo di implementazione non sia solo efficiente, ma anche in linea con gli standard di sicurezza e governance, per offrire un modo completo, sicuro ed efficiente per implementare AFT nell'ambiente. AWS [Per ulteriori informazioni su AFT, consultate la AWS Control Tower documentazione.](https://docs.aws.amazon.com/controltower/latest/userguide/aft-overview.html) ## Prerequisiti e limitazioni **Prerequisiti** + Un ambiente AWS multi-account di base con almeno i seguenti account: account di gestione, account Log Archive, account di audit e un account aggiuntivo per la gestione AFT. + Un AWS Control Tower ambiente consolidato. L'account di gestione deve essere configurato correttamente, poiché il CloudFormation modello verrà distribuito al suo interno. + Le autorizzazioni necessarie nell'account di AWS gestione. Avrai bisogno di autorizzazioni sufficienti per creare e gestire risorse come bucket S3, AWS Lambda funzioni, ruoli AWS Identity and Access Management (IAM) e progetti. AWS CodePipeline + Familiarità con Terraform. Comprendere i concetti fondamentali e il flusso di lavoro di Terraform è importante perché l'implementazione prevede la generazione e la gestione di configurazioni Terraform. **Limitazioni** + Sii consapevole delle [quote di AWS risorse](https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html) nel tuo account. La distribuzione potrebbe creare più risorse e il verificarsi di quote di servizio potrebbe impedire il processo di distribuzione. + Il modello è progettato per versioni specifiche di Terraform e. Servizi AWS L'aggiornamento o la modifica delle versioni potrebbero richiedere modifiche al modello. + Il modello non supporta servizi di sistema di controllo della versione (VCS) autogestiti come Enterprise. GitHub **Versioni del prodotto** + Terraform versione 1.6.6 o successiva + AFT versione 1.11 o successiva ## Architecture **Stack tecnologico Target** + CloudFormation + AWS CodeBuild + AWS CodeCommit + AWS CodePipeline + Amazon EventBridge + IAM + AWS Lambda + Simple Storage Service (Amazon S3) **Architettura Target** Il diagramma seguente illustra l'implementazione discussa in questo modello. ![\[Flusso di lavoro per l'implementazione di AFT utilizzando una pipeline bootstrap.\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/images/pattern-img/944f9912-87c7-4cc5-8478-7070cf67f7ee/images/4ee74757-940d-4d92-a7f0-fb0db1476247.png) Il flusso di lavoro consiste in tre attività principali: creazione delle risorse, generazione del contenuto ed esecuzione della pipeline. *Creazione delle risorse* Il [CloudFormation modello fornito con questo modello](https://github.com/aws-samples/aft-bootstrap-pipeline/blob/main/code/aft-deployment-pipeline.yaml) crea e imposta tutte le risorse necessarie, a seconda dei parametri selezionati al momento della distribuzione del modello. Come minimo, il modello crea le seguenti risorse: + Una CodePipeline pipeline per implementare l'AFT + Un bucket S3 per archiviare il file di stato Terraform associato all'implementazione AFT + Due CodeBuild progetti per implementare il piano Terraform e applicare i comandi in diverse fasi della pipeline + Ruoli e servizi IAM per CodeBuild CodePipeline + Un secondo bucket S3 per archiviare gli artefatti del runtime della pipeline A seconda del provider VCS selezionato (CodeCommit o VCS esterno), il modello crea le seguenti risorse. + Per **CodeCommit**: + Un CodeCommit repository per archiviare il codice bootstrap AFT Terraform + Una EventBridge regola per acquisire le modifiche al CodeCommit repository sul ramo `main` + Un altro ruolo IAM per la regola EventBridge + Per qualsiasi altro **provider VCS esterno**, ad esempio GitHub: + Una connessione AWS CodeConnections Inoltre, quando si seleziona CodeCommit come provider VCS, se si imposta il `Generate AFT Files` parametro su`true`, il modello crea le seguenti risorse aggiuntive per generare il contenuto: + Un bucket S3 per archiviare il contenuto generato e da utilizzare come origine del repository CodeCommit + Una funzione Lambda per elaborare i parametri specificati e generare il contenuto appropriato + Una funzione IAM per eseguire la funzione Lambda + Una risorsa CloudFormation personalizzata che esegue la funzione Lambda quando il modello viene distribuito *Generazione del contenuto* Per generare i file di bootstrap AFT e il relativo contenuto, la soluzione utilizza una funzione Lambda e un bucket S3. La funzione crea una cartella nel bucket, quindi crea due file all'interno della cartella: e. `main.tf` `backend.tf` La funzione elabora anche i CloudFormation parametri forniti e compila questi file con codice predefinito, sostituendo i rispettivi valori dei parametri. [Per visualizzare il codice utilizzato come modello per generare i file, consultate l'archivio della GitHub soluzione.](https://github.com/aws-samples/aft-bootstrap-pipeline) Fondamentalmente, i file vengono generati come segue. **principale.tf** ``` module "aft" { source = "github.com/aws-ia/terraform-aws-control_tower_account_factory?ref=" # Required variables ct_management_account_id = "" log_archive_account_id = "" audit_account_id = "" aft_management_account_id = "" ct_home_region = "" # Optional variables tf_backend_secondary_region = "" aft_metrics_reporting = "" # AFT Feature flags aft_feature_cloudtrail_data_events = "" aft_feature_enterprise_support = "" aft_feature_delete_default_vpcs_enabled = "" # Terraform variables terraform_version = "" terraform_distribution = "" # VCS variables (if you have chosen an external VCS) vcs_provider = "" account_request_repo_name = "/aft-account-request" account_customizations_repo_name = "/aft-account-customizations" account_provisioning_customizations_repo_name = "/aft-account-provisioning-customizations" global_customizations_repo_name = "/aft-global-customizations" } ``` **backend.ttf** ``` terraform { backend "s3" { region = "" bucket = "" key = "aft-setup.tfstate" } } ``` Durante la creazione del CodeCommit repository, se imposti il `Generate AFT Files` parametro su`true`, il modello utilizza il bucket S3 con il contenuto generato come origine del ramo per popolare automaticamente il repository. `main` *Esecuzione della pipeline* Dopo aver creato le risorse e configurato i file di bootstrap, viene eseguita la pipeline. La prima fase (*Source*) recupera il codice sorgente dal ramo principale del repository e la seconda fase (*Build*) esegue il comando Terraform plan e genera i risultati da esaminare. *Nella terza fase (*Approvazione*), la pipeline attende un'azione manuale per approvare o rifiutare l'ultima fase (Deploy).* Nell'ultima fase, la pipeline esegue il comando Terraform utilizzando il risultato del precedente `apply` comando Terraform come input. `plan` Infine, un ruolo tra account e le autorizzazioni nell'account di gestione vengono utilizzati per creare le risorse AFT nell'account di gestione AFT. **Nota** Se si seleziona un provider VCS esterno, sarà necessario autorizzare la connessione con le credenziali del provider VCS. Per completare la configurazione, segui i passaggi in [Aggiornare una connessione in sospeso](https://docs.aws.amazon.com/dtconsole/latest/userguide/connections-update.html) nella documentazione della AWS console Developer Tools. ## Tools (Strumenti) **Servizi AWS** + [CloudFormation](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/Welcome.html)ti aiuta a configurare le risorse AWS, a fornirle in modo rapido e coerente e a gestirle durante tutto il loro ciclo di vita in tutte Account AWS le regioni. + [AWS CodeBuild](https://docs.aws.amazon.com/codebuild/latest/userguide/welcome.html)è un servizio di compilazione completamente gestito che ti aiuta a compilare codice sorgente, eseguire test unitari e produrre artefatti pronti per la distribuzione.  + [AWS CodeCommit](https://docs.aws.amazon.com/codecommit/latest/userguide/welcome.html)è un servizio di controllo delle versioni che consente di archiviare e gestire in modo privato gli archivi Git senza dover gestire il proprio sistema di controllo del codice sorgente. + [AWS CodePipeline](https://docs.aws.amazon.com/codepipeline/latest/userguide/welcome.html)consente di modellare e configurare rapidamente le diverse fasi di un rilascio del software e di automatizzare i passaggi necessari per rilasciare continuamente le modifiche al software. + [AWS CodeConnections](https://docs.aws.amazon.com/dtconsole/latest/userguide/welcome-connections.html)consente a AWS risorse e servizi, ad esempio CodePipeline, di connettersi a repository di codice esterni, come. GitHub + [AWS Lambda](https://docs.aws.amazon.com/lambda/latest/dg/welcome.html)è un servizio di elaborazione che esegue il codice in risposta agli eventi e gestisce automaticamente le risorse di elaborazione, fornendo un modo rapido per creare un'applicazione di produzione moderna e senza server. + [AWS SDK per Python (Boto3)](https://boto3.amazonaws.com/v1/documentation/api/latest/guide/quickstart.html)è un kit di sviluppo software che ti aiuta a integrare la tua applicazione, libreria o script Python con. Servizi AWS **Altri strumenti** + [Terraform](https://developer.hashicorp.com/terraform?product_intent=terraform) è uno strumento di infrastruttura come codice (IaC) che consente di creare, modificare e modificare l'infrastruttura in modo sicuro ed efficiente. Ciò include componenti di basso livello come istanze di calcolo, storage e rete e componenti di alto livello come voci DNS e funzionalità SaaS. + [Python](https://docs.python.org/3.9/tutorial/index.html) è un linguaggio di programmazione potente e facile da imparare. Dispone di strutture dati efficienti di alto livello e fornisce un approccio semplice ma efficace alla programmazione orientata agli oggetti. **Archivio di codici** Il codice per questo pattern è disponibile nel repository della [pipeline di bootstrap GitHub AFT](https://github.com/aws-samples/aft-bootstrap-pipeline). Per il repository AFT ufficiale, vedi [AWS Control Tower Account Factory for Terraform in](https://github.com/aws-ia/terraform-aws-control_tower_account_factory/tree/main). GitHub ## Best practice Quando distribuisci AFT utilizzando il CloudFormation modello fornito, ti consigliamo di seguire le migliori pratiche per garantire un'implementazione sicura, efficiente e di successo. Le linee guida e le raccomandazioni chiave per l'implementazione e il funzionamento dell'AFT includono quanto segue. + **Revisione approfondita dei parametri**: esamina e comprendi attentamente ogni parametro del CloudFormation modello. Una configurazione accurata dei parametri è fondamentale per la corretta configurazione e funzionamento di AFT. + **Aggiornamenti regolari dei modelli**: mantieni il modello aggiornato con le ultime AWS funzionalità e le versioni di Terraform. Gli aggiornamenti regolari ti aiutano a sfruttare le nuove funzionalità e a mantenere la sicurezza. + Controllo **delle versioni**: aggiungi la versione del modulo AFT e, se possibile, utilizza una distribuzione AFT separata per i test. + **Ambito**: utilizzate AFT solo per implementare protezioni e personalizzazioni dell'infrastruttura. Non utilizzarlo per distribuire l'applicazione. + **Linting e convalida**: la pipeline AFT richiede una configurazione Terraform linkata e convalidata. Esegui lint, convalida e testa prima di inviare la configurazione ai repository AFT. + **Moduli Terraform**: crea codice Terraform riutilizzabile come moduli e specifica sempre le versioni di Terraform e del AWS provider in base ai requisiti della tua organizzazione. ## Epiche ### Configura e configura l'ambiente AWS | Operazione | Description | Competenze richieste | | --- | --- | --- | | Prepara l' AWS Control Tower ambiente. | Imposta e configura AWS Control Tower nel tuo AWS ambiente per garantire la gestione e la governance centralizzate per il tuo Account AWS. Per ulteriori informazioni, consulta la sezione [Guida introduttiva AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/getting-started-with-control-tower.html) nella AWS Control Tower documentazione. | Amministratore cloud | | Avvia l'account di gestione AFT. | Usa AWS Control Tower Account Factory per lanciarne uno nuovo Account AWS che funga da account di gestione AFT. Per ulteriori informazioni, consulta [Fornire account con AWS Service Catalog Account Factory](https://docs.aws.amazon.com/controltower/latest/userguide/provision-as-end-user.html) nella AWS Control Tower documentazione. | Amministratore cloud | ### Implementa il CloudFormation modello nell'account di gestione | Operazione | Description | Competenze richieste | | --- | --- | --- | | Avvia il CloudFormation modello. | In questa epopea, distribuisci il CloudFormation modello fornito con questa soluzione per configurare la pipeline di bootstrap AFT nel tuo account di gestione. AWS La pipeline implementa la soluzione AFT nell'account di gestione AFT che hai configurato nell'epic precedente.**Passaggio 1: apri la console CloudFormation **[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 2: Creare un nuovo stack**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 3: Configurazione dei parametri dello stack**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 4: Decidi in che modo generare il file**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 5: inserisci i dettagli dell' AWS Control Tower account AFT**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 6: Configurazione delle opzioni AFT**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 7: Specificare le versioni**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 8: Rivedi e crea lo stack**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 9: Monitora la creazione dello stack**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 10: verifica della distribuzione**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html) | Amministratore cloud | ### Compila e convalida il repository e la pipeline di bootstrap AFT | Operazione | Description | Competenze richieste | | --- | --- | --- | | Opzione 1: popolare il repository bootstrap AFT per un VCS esterno. | Se impostate il provider VCS su un VCS esterno (non su), seguite questi passaggi. CodeCommit(Facoltativo) Dopo aver distribuito il CloudFormation modello, potete compilare o convalidare il contenuto nel repository bootstrap AFT appena creato e verificare se la pipeline è stata eseguita correttamente.**Fase 1: Aggiornare la connessione**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 2: popolare il repository**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 2: Conferma e invia le modifiche**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html) | Amministratore cloud | | Opzione 2: popolare il repository bootstrap AFT per. CodeCommit | Se imposti il provider VCS su CodeCommit, segui questi passaggi.(Facoltativo) Dopo aver distribuito il CloudFormation modello, potete compilare o convalidare il contenuto nel repository bootstrap AFT appena creato e verificare se la pipeline è stata eseguita correttamente.Se impostate il `Generate AFT Files` parametro su`true`, passate alla storia successiva (convalida della pipeline).**Passaggio 1: popolare il repository**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 2: Conferma e invia le modifiche**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html) | Amministratore cloud | | Convalida la pipeline di bootstrap AFT. | **Fase 1: Visualizza la pipeline**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Passaggio 2: approvare i risultati del piano Terraform**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 3: Attendi la distribuzione**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html)**Fase 4: Controlla le risorse create**[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/it_it/prescriptive-guidance/latest/patterns/implement-account-factory-for-terraform-aft-by-using-a-bootstrap-pipeline.html) | Amministratore cloud | ## risoluzione dei problemi | Problema | Soluzione | | --- | --- | | La funzione Lambda personalizzata inclusa nel CloudFormation modello non funziona durante la distribuzione. | Controlla i CloudWatch log di Amazon per la funzione Lambda per identificare l'errore. I log forniscono informazioni dettagliate e possono aiutare a individuare il problema specifico. Verifica che la funzione Lambda disponga delle autorizzazioni necessarie e che le variabili di ambiente siano state impostate correttamente. | | Si verificano errori nella creazione o nella gestione delle risorse causati da autorizzazioni inadeguate. | Esamina i ruoli e le policy IAM collegati alla funzione Lambda e altri servizi coinvolti nella distribuzione. CodeBuild Verifica che dispongano delle autorizzazioni necessarie. In caso di problemi di autorizzazione, modifica le politiche IAM per concedere l'accesso richiesto. | | Stai utilizzando una versione obsoleta del CloudFormation modello con versioni più recenti Servizi AWS o Terraform. | Aggiorna regolarmente il CloudFormation modello per renderlo compatibile con le ultime versioni AWS e con le versioni di Terraform. Consulta le note di rilascio o la documentazione per eventuali modifiche o requisiti specifici della versione. | | Le Servizio AWS quote vengono raggiunte durante la distribuzione. | Prima di distribuire la pipeline, controlla le Servizio AWS quote per risorse come i bucket S3, i ruoli IAM e le funzioni Lambda. La richiesta aumenta se necessario. Per ulteriori informazioni, consulta le [Servizio AWS quote](https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html) sul AWS sito Web. | | Si verificano errori dovuti a parametri di input errati nel CloudFormation modello. | Ricontrolla tutti i parametri di input per errori di battitura o valori errati. Verifica che gli identificatori delle risorse, come i nomi degli account IDs e delle regioni, siano accurati. | ## Risorse correlate Per implementare correttamente questo modello, consulta le seguenti risorse. Queste risorse forniscono informazioni e indicazioni aggiuntive che possono essere preziose per la configurazione e la gestione di AFT utilizzando CloudFormation. **AWS****documentazione:** + [AWS Control Tower La Guida per l'utente](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html) offre informazioni dettagliate sulla configurazione e la gestione AWS Control Tower. + [CloudFormation la documentazione](https://docs.aws.amazon.com/cloudformation/index.html) fornisce approfondimenti su CloudFormation modelli, stack e gestione delle risorse. **Politiche e best practice IAM:** + [Le best practice di sicurezza in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) spiegano come contribuire a proteggere AWS le risorse utilizzando i ruoli e le policy IAM. **Terraform su AWS:** + La [documentazione di Terraform AWS Provider](https://registry.terraform.io/providers/hashicorp/aws/latest/docs) fornisce informazioni complete sull'utilizzo di Terraform con. AWS **Servizio AWS quote:** + Servizio AWS le [quote](https://docs.aws.amazon.com/general/latest/gr/aws_service_limits.html) forniscono informazioni su come visualizzare le Servizio AWS quote e su come richiedere aumenti.