Étape 2 : Lancez votre zone de landing zone

L'CreateLandingZoneAPI AWS Control Tower nécessite une version de zone d'atterrissage et un fichier manifeste comme paramètres d'entrée. Vous pouvez utiliser le fichier manifeste pour configurer les fonctionnalités suivantes :

• Configurez éventuellement la conservation des journaux

• Gestion automatique de l'accès en Compte AWS option

• Configurez éventuellement AWS CloudTrail des sentiers

• Configurez éventuellement AWS KMS keys

Après avoir compilé votre fichier manifeste, vous êtes prêt à créer une nouvelle zone de landing zone.

Note

AWS Control Tower ne prend pas en charge le refus de contrôle par région lors de l'utilisation d'API pour configurer et lancer une zone de landing zone. Après avoir lancé avec succès votre zone de landing zone à l'aide d'API, vous pouvez utiliser la console AWS Control Tower pour configurer le contrôle de refus de la région.

1. Appelez l'CreateLandingZoneAPI AWS Control Tower. Cette API nécessite une version de zone d'atterrissage et un fichier manifeste en entrée.

   aws controltower create-landing-zone --landing-zone-version 3.3 --manifest "file://LandingZoneManifest.json"

   Exemple de manifeste LandingZoneManifest.json :

   {
      "governedRegions": ["us-west-2","us-west-1"],
      "organizationStructure": {
          "security": {
              "name": "CORE"
          },
          "sandbox": {
              "name": "Sandbox"
          }
      },
      "centralizedLogging": {
           "accountId": "222222222222",
           "configurations": {
               "loggingBucket": {
                   "retentionDays": 60
               },
               "accessLoggingBucket": {
                   "retentionDays": 60
               },
               "kmsKeyArn": "arn:aws:kms:us-west-1:123456789123:key/e84XXXXX-6bXX-49XX-9eXX-ecfXXXXXXXXX"
           },
           "enabled": true
      },
      "securityRoles": {
           "accountId": "333333333333"
      },
      "accessManagement": {
           "enabled": true
      }
   }

   Note

   Comme indiqué dans l'exemple, les SecurityRoles comptes AccountIdfor CentralizedLogging et doivent être différents.

   Sortie :

   {
      "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
      "operationIdentifier": "55XXXXXX-e2XX-41XX-a7XX-446XXXXXXXXX"
   }

2. Appelez l'GetLandingZoneOperationAPI pour vérifier le statut de l'CreateLandingZoneopération. L'GetLandingZoneOperationAPI renvoie le statut SUCCEEDEDFAILED, ouIN_PROGRESS.

   aws controltower get-landing-zone-operation --operation-identifier "55XXXXXX-eXXX-4XXX-aXXX-44XXXXXXXXXX"

   Sortie :

   {
       "operationDetails": {
           "operationType": "CREATE",
           "startTime": "Thu Nov 09 20:39:19 UTC 2023",
           "endTime": "Thu Nov 09 21:02:01 UTC 2023",
           "status": "SUCCEEDED"
       }
   }

3. Lorsque le statut redevient « comme »SUCCEEDED, vous pouvez appeler l'GetLandingZoneAPI pour vérifier la configuration de la zone d'atterrissage.

   aws controltower get-landing-zone --landing-zone-identifier "arn:aws:controltower:us-west-2:123456789123:landingzone/1A2B3C4D5E6F7G8H"

   Sortie :

   {
       "landingZone": {
           "arn": "arn:aws:controltower:us-west-2:123456789012:landingzone/1A2B3C4D5E6F7G8H",
           "driftStatus": {
               "status": "IN_SYNC"
           },
           "latestAvailableVersion": "3.3",
           "manifest": {
               "accessManagement": {
                   "enabled": true
               },
               "securityRoles": {
                   "accountId": "333333333333"
               },
               "governedRegions": [
                   "us-west-1",
                   "eu-west-3",
                   "us-west-2"
               ],
               "organizationStructure": {
                   "sandbox": {
                       "name": "Sandbox"
                   },
                   "security": {
                       "name": "CORE"
                   }
               },
               "centralizedLogging": {
                   "accountId": "222222222222",
                   "configurations": {
                       "loggingBucket": {
                           "retentionDays": 60
                       },
                       "kmsKeyArn": "arn:aws:kms:us-west-1:123456789123:key/e84XXXXX-6bXX-49XX-9eXX-ecfXXXXXXXXX",
                       "accessLoggingBucket": {
                           "retentionDays": 60
                       }
                   },
                   "enabled": true
               }
           },
           "status": "PROCESSING",
           "version": "3.3"
       }
   }