Générer une zone d'atterrissage iAc sans déploiement

Le IaC-only flux vous permet d'utiliser l'agent de zone d'atterrissage AWS Transform pour l'analyse, les recommandations et l'infrastructure en tant que génération de code sans déploiement direct. Ce mode est disponible dans deux scénarios :

• Connecteur d'administrateur délégué : lorsque vous vous connectez via un compte d'administrateur délégué, AWS Transform fonctionne exclusivement en IaC-only mode. Cela permet aux organisations ayant des politiques de gouvernance strictes d'utiliser AWS Transform sans accorder l'accès au compte de gestion.

• Compte de gestion avec IaC-only préférence : même avec un connecteur de compte de gestion, vous pouvez choisir le IaC-only mode au début de votre tâche si vous préférez effectuer le déploiement via votre propre pipeline (AWS Landing Zone Accelerator, Terraform CloudFormation, CDK ou personnalisé). CI/CD

IaC-only aperçu du flux de travail

En IaC-only mode, AWS Transform effectue la même analyse et génère les mêmes recommandations qu'en mode déploiement complet, mais produit des artefacts d'infrastructure sous forme de code au lieu de provisionner directement les ressources. Le flux de travail inclut :

• Analyse de l'organisation : AWS Transform découvre votre structure organisationnelle existante, identifie les lacunes par rapport aux AWS meilleures pratiques et recommande la configuration de la zone d'atterrissage.

• Conception de base : AWS Transform propose une hiérarchie des unités organisationnelles (UO), une structure de compte et des politiques de contrôle des services (SCP) en fonction de vos besoins.

• Conception des comptes de charge de travail : AWS Transformez les unités d'organisation et les comptes de charge de travail en fonction de vos vagues de migration et des exigences commerciales.

• Génération iAc : AWS Transform génère des artefacts d'infrastructure sous forme de code dans le format de votre choix. Vous téléchargez ces artefacts et vous les déployez via votre propre pipeline.

Autorisations en IaC-only mode

IaC-only le mode nécessite des autorisations minimales par rapport au mode de déploiement complet :

• Autorisations de lecture et de description : AWS Transform nécessite un accès en lecture seule à votre AWS organisation pour découvrir la structure, les comptes, les unités organisationnelles et les politiques existants.

• Aucune autorisation d'écriture requise : AWS Transform ne fournissant pas de ressources, aucune autorisation d'écriture ou de création n'est requise pour les services de zone d'atterrissage tels que AWS Control Tower CloudFormation, Organizations ou Service Catalog.

• Comptes d'administrateur délégué : lorsque vous utilisez un connecteur Delegated Administrator, ces autorisations en lecture seule sont suffisantes pour que l'agent effectue des analyses et génère des artefacts iAC, même si les administrateurs délégués ne peuvent pas déployer directement les zones d'atterrissage de la Control Tower.

Limitations liées au IaC-only mode

Tenez compte des limites suivantes lorsque vous utilisez IaC-only le mode :

• Pas de déploiement direct : AWS Transform ne fournit pas d'infrastructure de zone d'atterrissage. Vous devez déployer les artefacts iAc générés via votre propre pipeline.

• Delegated Administrator et Control Tower : lors de l'utilisation d'un connecteur Delegated Administrator dans un environnement industriel où AWS Control Tower est déjà déployée, AWS Transform ne peut ni afficher ni modifier les Control Tower-managed SCP existants. Les SCP existants restent inchangés. Vous pouvez toujours générer de l'iAc pour les nouveaux SCP hors du champ de compétence de Control Tower. Pour modifier les Tower-managed SCP de contrôle, reconfigurez votre connecteur afin de cibler le compte de gestion.

• Aucune vérification des étapes de déploiement : AWS Transform ne vérifie pas le déploiement réussi des artefacts générés. Après le déploiement via votre pipeline, vous êtes chargé de vérifier que l'infrastructure de zone d'atterrissage est correctement créée et que tous les garde-corps sont en place.

Formats iAC pris en charge

AWS Transform génère des artefacts IaC dans plusieurs formats :

• AWS CDK : TypeScript-based L'infrastructure en tant que code pour le déploiement d'infrastructures programmatiques.

• Terraform/HCL : modules Terraform et modèles de langage de HashiCorp configuration (HCL) pour gérer les ressources de la zone d'atterrissage.

• Landing Zone Accelerator (LZA) : fichiers de configuration YAML (accounts-config.yaml, organization-config.yaml, etc.) basés sur la version 1.1.0 de LZA Universal Configuration. Ces modèles adaptés aux entreprises s'intègrent à AWS Landing Zone Accelerator pour établir des AWS environnements multi-comptes dont la gouvernance, la structure organisationnelle et le réseau sont conformes aux AWS meilleures pratiques.

Vous pouvez spécifier votre format préféré dès le départ, et AWS Transform génère des artefacts dans ce format sans le demander à nouveau pendant le flux de travail.

Quand utiliser le IaC-only mode

Envisagez d'utiliser IaC-only le mode dans les scénarios suivants :

• Politiques de gouvernance strictes : votre organisation restreint l'accès programmatique au compte de gestion. L'utilisation d'un connecteur d'administrateur délégué avec IaC-only mode permet de contourner cette contrainte.

• Pipelines de déploiement existants : vous gérez déjà l'infrastructure via AWS Landing Zone Accelerator, Terraform ou des pipelines personnalisés CI/CD . AWS Transform peut générer des artefacts qui s'intègrent à votre flux de travail existant.

• Révision et personnalisation : vous souhaitez revoir et personnaliser la configuration de la zone d'atterrissage générée avant le déploiement.

• Environnements de friches industrielles : vous disposez d'une zone d'atterrissage existante et vous souhaitez générer un IaC pour les modifications recommandées sans déploiement immédiat.

• Processus de gestion du changement : votre organisation exige que toutes les modifications apportées à l'infrastructure soient soumises à des processus approuvés de gestion des modifications et de déploiement.