使用引导管道实施 Account Factory for Terraform（AFT）

Vinicius Elias 和 Edgar Costa Filho，Amazon Web Services

Summary

此模式为从的管理 AWS Control Tower 账户部署 Account Factory for Terraform (AFT) 提供了一种简单而安全的方法。 AWS Organizations该解决方案的核心是一个 CloudFormation 模板，该模板通过创建Terraform管道来自动执行AFT配置，该管道的结构易于适应初始部署或后续更新。

安全和数据完整性是重中之重 AWS，因此，Terraform状态文件是跟踪托管基础设施和配置状态的关键组件，可以安全地存储在亚马逊简单存储服务 (Amazon S3) Simple Service 存储桶中。此存储桶配置了多种安全措施，包括服务器端加密和阻止公共访问的策略，可帮助确保您的 Terraform 状态免遭未经授权的访问和数据泄露。

管理账户负责协调和监督整个环境，因此它是环境中的关键资源。 AWS Control Tower这种模式遵循 AWS 最佳实践，确保部署过程不仅高效，而且符合安全和治理标准，从而为在您的 AWS 环境中部署 AFT 提供了一种全面、安全和高效的方式。

有关 AFT 的更多信息，请参阅 AWS Control Tower 文档。

先决条件和限制

先决条件

限制

产品版本

架构

目标技术堆栈

目标架构

下图阐明了此模式中讨论的实施。

该工作流包括三个主要任务：创建资源、生成内容和运行管道。

创建资源

此模式提供的CloudFormation 模板将创建和设置所有必需的资源，具体取决于您在部署模板时选择的参数。该模板至少会创建以下资源：

根据您选择的 VCS 提供商（CodeCommit 或外部 VCS），模板会创建以下资源。

此外，当您选择 CodeCommit 作为 VCS 提供者时，如果将Generate AFT Files参数设置为true，则模板会创建以下额外资源来生成内容：

生成内容

为生成 AFT 引导文件及其内容，该解决方案使用了 Lambda 函数和 S3 存储桶。该函数会在存储桶中创建一个文件夹，然后在该文件夹中创建两个文件：main.tf 和 backend.tf。该函数还处理提供的 CloudFormation 参数，并使用预定义的代码填充这些文件，替换相应的参数值。

要查看用作生成文件的模板的代码，请参阅解决方案的GitHub 存储库。基本上，文件会按如下方式生成。

main.tf

module "aft" {
  source = "github.com/aws-ia/terraform-aws-control_tower_account_factory?ref=<aft_version>"

  # Required variables
  ct_management_account_id  = "<ct_management_account_id>"
  log_archive_account_id    = "<log_archive_account_id>"
  audit_account_id          = "<audit_account_id>"
  aft_management_account_id = "<aft_management_account_id>"
  ct_home_region            = "<ct_home_region>"

  # Optional variables
  tf_backend_secondary_region = "<tf_backend_secondary_region>"
  aft_metrics_reporting       = "<false|true>"

  # AFT Feature flags
  aft_feature_cloudtrail_data_events      = "<false|true>"
  aft_feature_enterprise_support          = "<false|true>"
  aft_feature_delete_default_vpcs_enabled = "<false|true>"

  # Terraform variables
  terraform_version      = "<terraform_version>"
  terraform_distribution = "<terraform_distribution>"

  # VCS variables (if you have chosen an external VCS)
  vcs_provider                                  = "<github|githubenterprise|gitlab|gitlabselfmanaged|bitbucket>"
  account_request_repo_name                     = "<org-name>/aft-account-request"
  account_customizations_repo_name              = "<org-name>/aft-account-customizations"
  account_provisioning_customizations_repo_name = "<org-name>/aft-account-provisioning-customizations"
  global_customizations_repo_name               = "<org-name>/aft-global-customizations"

}

backend.tf

terraform {
  backend "s3" {
    region = "<aft-main-region>"
    bucket = "<s3-bucket-name>"
    key    = "aft-setup.tfstate"
  }
}

在创建 CodeCommit 存储库期间，如果您将Generate AFT Files参数设置为true，则模板将使用包含生成内容的 S3 存储桶作为main分支的来源，自动填充存储库。

运行管道

创建资源并配置引导文件后，即可运行管道。第一阶段（源）会从存储库的主分支获取源代码，第二阶段（构建）则会运行 Terraform 计划命令并生成要审查的结果。在第三阶段（审批）中，管道会等待批准或拒绝最后一个阶段（部署）的手动操作。在最后一个阶段，管道会使用前一个 Terraform plan 命令的结果作为输入来运行 Terraform apply 命令。最后，可利用跨账户角色和管理账户中的权限，在 AFT 管理账户中创建 AFT 资源。

工具

AWS 服务

其他工具

代码存储库

此模式的代码可在 GitHub AFT bootstrap 管道存储库中找到。

有关官方的 AFT 存储库，请参阅中的 T erraform 的 Ac AWS Control Tower count Factory。 GitHub

最佳实践

使用提供的 CloudFormation 模板部署 AFT 时，我们建议您遵循最佳实践，以帮助确保安全、高效和成功的实施。实施和操作 AFT 的主要指导原则和建议包括以下内容。

操作说明

故障排除

相关资源

要成功实施此模式，请查看以下资源。这些资源提供了额外的信息和指引，因此对于通过使用 CloudFormation来设置和管理 AFT 而言，这些信息和指引可能非常重要。

AWS文档：

IAM 策略和最佳实践：

Terraform 开启： AWS

AWS 服务 配额：