Generieren Sie Landezone-IaC ohne Bereitstellung

Der IaC-only Flow ermöglicht es Ihnen, den AWS Transform landing zone Agent für Analysen, Empfehlungen und die Generierung von Infrastructure as Code ohne direkte Bereitstellung zu verwenden. Dieser Modus ist in zwei Szenarien verfügbar:

• Delegierter Administrator-Connector: Wenn Sie eine Verbindung über ein delegiertes Administratorkonto herstellen, arbeitet AWS Transform ausschließlich im IaC-only Modus. Auf diese Weise können Unternehmen mit strengen Governance-Richtlinien AWS Transform verwenden, ohne Zugriff auf das Verwaltungskonto zu gewähren.

• IaC-only Bevorzugtes Verwaltungskonto: Selbst mit einem Verwaltungskonto-Connector können Sie zu Beginn Ihres Jobs den IaC-only Modus wählen, wenn Sie die Bereitstellung lieber über Ihre eigene Pipeline (AWS Landing Zone Accelerator, Terraform CloudFormation, CDK oder benutzerdefiniert) durchführen möchten. CI/CD

IaC-only Überblick über den Arbeitsablauf

Im IaC-only Modus führt AWS Transform dieselbe Analyse durch und generiert dieselben Empfehlungen wie im vollständigen Bereitstellungsmodus, gibt jedoch Infrastructure-as-Code-Artefakte aus, anstatt Ressourcen direkt bereitzustellen. Der Arbeitsablauf umfasst:

• Organisationsanalyse: AWS Transform ermittelt Ihre bestehende Organisationsstruktur, identifiziert Lücken im Vergleich zu AWS bewährten Verfahren und empfiehlt die Konfiguration der landing zone.

• Grundlagendesign: AWS Transform schlägt die Hierarchie der Organisationseinheiten (OU), die Kontostruktur und Service Control Policies (SCPs) auf der Grundlage Ihrer Anforderungen vor.

• Workload-Kontodesign: AWS Transform entwirft Workload-Organisationseinheiten und Konten auf der Grundlage Ihrer Migrationswellen und Geschäftsanforderungen.

• IaC-Generierung: AWS Transform generiert Infrastructure-as-Code-Artefakte in Ihrem bevorzugten Format. Sie laden diese Artefakte herunter und stellen sie über Ihre eigene Pipeline bereit.

Berechtigungen im IaC-only Modus

IaC-only Der Modus erfordert im Vergleich zum vollständigen Bereitstellungsmodus nur minimale Berechtigungen:

• Berechtigungen zum Lesen und Beschreiben: Für AWS Transform ist nur Lesezugriff auf Ihre AWS Organisation erforderlich, um bestehende Strukturen, Konten, Organisationseinheiten und Richtlinien zu ermitteln.

• Keine Schreibberechtigungen erforderlich: Da AWS Transform keine Ressourcen bereitstellt, sind für landing zone Zone-Dienste wie AWS Control Tower, Organizations oder Service Catalog keine Schreib- oder Erstellungsberechtigungen erforderlich. CloudFormation

• Delegierte Administratorkonten: Bei Verwendung eines Delegated Administrator-Connectors reichen diese schreibgeschützten Berechtigungen aus, damit der Agent Analysen durchführen und IaC-Artefakte generieren kann, auch wenn delegierte Administratoren Control Tower Tower-Landing Zones nicht direkt bereitstellen können.

Einschränkungen im Modus IaC-only

Beachten Sie bei der Verwendung des IaC-only Modus die folgenden Einschränkungen:

• Keine direkte Bereitstellung: AWS Transform stellt keine Landezoneninfrastruktur bereit. Sie müssen die generierten IaC-Artefakte über Ihre eigene Pipeline bereitstellen.

• Delegierter Administrator und Control Tower: Wenn Sie einen Delegated Administrator-Connector in einer Brownfield-Umgebung verwenden, in der AWS Control Tower bereits bereitgestellt ist, kann AWS Transform vorhandene Control SCPs nicht anzeigen oder ändern. Tower-managed Bestehende SCPs bleiben unverändert. Sie können weiterhin IaC für neue SCPs generieren, die nicht in den Zuständigkeitsbereich von Control Tower fallen. Um Tower-managed Kontroll-SCPs zu ändern, konfigurieren Sie Ihren Connector so neu, dass er auf das Verwaltungskonto abzielt.

• Keine Überprüfung im Bereitstellungsschritt: AWS Transform überprüft nicht, ob generierte Artefakte erfolgreich bereitgestellt wurden. Nach der Bereitstellung über Ihre Pipeline sind Sie dafür verantwortlich, zu überprüfen, ob die Landezoneninfrastruktur korrekt erstellt wurde und ob alle Leitplanken vorhanden sind.

Unterstützte IaC-Formate

AWS Transform generiert IaC-Artefakte in mehreren Formaten:

• AWS CDK: TypeScript-based Infrastruktur als Code für die programmatische Bereitstellung von Infrastrukturen.

• Terraform//HCL: Terraform-Module und HCL-Vorlagen ( HashiCorp Configuration Language) zur Verwaltung von Landingzonenressourcen.

• Landing Zone Accelerator (LZA): YAML-Konfigurationsdateien (accounts-config.yaml, organization-config.yaml usw.), die auf der LZA Universal Configuration Version 1.1.0 basieren. Diese unternehmenstauglichen Vorlagen lassen sich in AWS Landing Zone Accelerator integrieren, um Umgebungen mit mehreren Konten einzurichten, deren Verwaltung, Organisationsstruktur und Netzwerke auf bewährte Verfahren abgestimmt sind. AWS AWS

Sie können Ihr bevorzugtes Format im Voraus angeben, und AWS Transform generiert Artefakte in diesem Format, ohne dass Sie während des Workflows erneut danach fragen müssen.

Wann sollte der Modus verwendet werden IaC-only

Erwägen Sie die Verwendung des IaC-only Modus in diesen Szenarien:

• Strenge Verwaltungsrichtlinien: Ihre Organisation schränkt den programmatischen Zugriff auf das Verwaltungskonto ein. Durch die Verwendung eines Delegated Administrator-Connectors mit IaC-only Modus wird diese Einschränkung umgangen.

• Bestehende Bereitstellungspipelines: Sie verwalten die Infrastruktur bereits über AWS Landing Zone Accelerator, Terraform oder benutzerdefinierte Pipelines. CI/CD AWS Transform kann Artefakte erzeugen, die sich in Ihren bestehenden Workflow integrieren lassen.

• Überprüfung und Anpassung: Sie möchten die generierte Landezonenkonfiguration vor der Bereitstellung überprüfen und anpassen.

• Brownfield-Umgebungen: Sie haben bereits eine landing zone und möchten IaC für empfohlene Änderungen ohne sofortige Bereitstellung generieren.

• Change-Management-Prozesse: In Ihrem Unternehmen müssen alle Infrastrukturänderungen genehmigte Change-Management- und Implementierungsprozesse durchlaufen.