AWS Control Tower Account Factory for Terraform (AFT) のデプロイ - AWS Control Tower
AWS Control Tower Account Factory for Terraform を設定して起動する

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

AWS Control Tower Account Factory for Terraform (AFT) のデプロイ

このセクションは、既存の環境で Account Factory for Terraform (AFT) を設定する AWS Control Tower 環境の管理者を対象としています。ここでは、新しい専用の AFT 管理アカウントを使用して、Account Factory for Terraform (AFT) 環境を設定する方法について説明します。

注記

Terraform モジュールは AFT をデプロイします。このモジュールは GitHub の AFT リポジトリで入手可能で、AFT リポジトリ全体がモジュールと見なされます。

AFT リポジトリのクローンを作成する代わりに、GitHub の AFT モジュールを参照することをお勧めします。これにより、モジュールが利用可能になったときにその更新を管理して使用することができます。

AWS Control Tower Account Factory for Terraform (AFT) 機能の最新リリースの詳細については、この GitHub リポジトリのリリースファイルを参照してください。

デプロイの前提条件

AFT 環境を設定して起動する前に、次のリソースを使用できる必要があります。

  • AWS Control Tower ランディングゾーンのホームリージョン。詳細については、「AWS Control Tower で AWS リージョン を使用する方法」を参照してください。

  • AWS Control Tower ランディングゾーン。詳細については、「AWS Control Tower のランディングゾーンを計画する」を参照してください。

  • AFT 管理アカウント。AWS Control Tower でプロビジョニングすることも、他の方法でプロビジョニングして AWS Control Tower に登録することもできます。

  • Terraform のバージョンとディストリビューション。詳細については、「Terraform と AFT のバージョン」を参照してください。

  • コードやその他のファイルへの変更を追跡および管理するための VCS プロバイダー。デフォルトでは、AFT は を使用します AWS CodeCommit。詳細については、「 AWS CodeCommit ユーザーガイド」の「 とは AWS CodeCommit」を参照してください。

    AFT を初めてデプロイする場合に、既存の CodeCommit リポジトリがないときは、GitHub や BitBucket などの外部 VCS プロバイダーを選択する必要があります。詳細については、「Alternatives for version control of source code in AFT」を参照してください。

  • AFT をインストールする Terraform モジュールを実行できるランタイム環境。

  • AFT 機能のオプション。詳細については、「機能オプションを有効にする」を参照してください。

AWS Control Tower Account Factory for Terraform を設定して起動する

以下の手順は、Terraform のワークフローに精通していることを前提としています。また、AFT のデプロイの詳細については、 AWS Workshop Studio ウェブサイトの「AFT の概要」ラボを参照してください。

ステップ 1: AWS Control Tower ランディングゾーンを起動する

「AWS Control Tower の開始方法」のステップを完了します。ここで、AWS Control Tower 管理アカウントを作成し、AWS Control Tower ランディングゾーンを設定します。

注記

AdministratorAccess 認証情報を持つ AWS Control Tower 管理アカウントのロールを必ず作成してください。詳細については次を参照してください:

ステップ 2: AFT 用の新しい組織単位を作成する (強く推奨）

AWS Control Tower ランディングゾーン に別の OU を作成することをお勧めします。この OU は、AFT 管理アカウントをプロビジョニングする場所です。AWS Control Tower 管理アカウントから新しい OU と AFT 管理アカウントを作成します。詳細については、「新しい OU を作成する」を参照してください。

ステップ 3: AFT 管理アカウントをプロビジョニングする

AFT では、AFT 管理オペレーション専用の AWS アカウントをプロビジョニングする必要があります。AWS Control Tower ランディングゾーンに関連付けられている AWS Control Tower 管理アカウントにサインインしたら、AFT 管理アカウントを作成します。AWS Control Tower コンソールから AFT 管理アカウントをプロビジョニングするには、組織ページでアカウントの作成を選択するか、その他の方法を選択します。詳細については、AWS Service Catalog 「Account Factory でアカウントをプロビジョニングする」を参照してください。

注記

AFT 用に別の OU を作成した場合は、AFT 管理アカウントを作成するときに必ずこの OU を選択してください。

AFT 管理アカウントを完全にプロビジョニングするには、最大 30 分かかる場合があります。

ステップ 4: Terraform 環境がデプロイに使用可能であることを検証する

このステップは、Terraform の使用経験があり、Terraform を実行するための手順を適切に行っていることを前提としています。詳細については、HashiCorp Developer ウェブサイトの「Command: init」を参照してください。

注記

AFT は Terraform バージョン 1.6.0 以降をサポートしています。

ステップ 5: Account Factory for Terraform モジュールを呼び出して AFT をデプロイする

AdministratorAccess 認証情報を持つ AWS Control Tower 管理アカウント用に作成したロールで、AFT モジュールを呼び出します。AWS Control Tower は、AWS Control Tower 管理アカウントを通じて、AWS Control Tower Account Factory リクエストをオーケストレーションするために必要なすべてのインフラストラクチャを確立する Terraform モジュールをプロビジョニングします。

GitHub の AFT リポジトリで AFT モジュールを表示できます。GitHub リポジトリ全体が AFT モジュールと見なされます。AFT モジュールの実行と AFT のデプロイに必要な入力については、README ファイルを参照してください。または、Terraform レジストリで AFT モジュールを表示することもできます。

AFT モジュールには、AWS Control Tower が中央 AFT 管理アカウントの仮想プライベートクラウド (VPC) 内にアカウントリソースをプロビジョニングするかどうかを指定する aft_enable_vpcパラメータが含まれています。デフォルトでは、パラメータは true に設定されています。このパラメータを false に設定すると、AWS Control Tower は VPC やプライベートネットワークリソース (NAT ゲートウェイや VPC エンドポイントなど) を使用せずに AFT をデプロイします。aft_enable_vpc を無効にすると、一部の使用パターンで AFT の運用コストを削減できる場合があります。

注記

aft_enable_vpc パラメータを再度有効にする (値を false から true に切り替える) には、terraform apply コマンドを 2 回連続して実行する必要があります。

環境で Terraform を管理するために確立されたパイプラインを持っている場合は、この AFT モジュールを既存のワークフローに統合できます。それ以外の場合は、必要な認証情報で認証された環境から AFT モジュールを実行します。

タイムアウトするとデプロイが失敗します。（ AWS Security Token Service STS) 認証情報を使用して、完全なデプロイに十分なタイムアウトを確保することをお勧めします。 AWS STS 認証情報の最小タイムアウトは 60 分です。詳細については、「AWS Identity and Access Management ユーザーガイド」の「IAM の一時的な認証情報」を参照してください。

注記

AFT が Terraform モジュールを使用してデプロイを完了するまで最大 30 分かかる場合があります。

ステップ 6: Terraform 状態ファイルを管理する

AFT をデプロイすると、Terraform 状態ファイルが生成されます。このアーティファクトは、Terraform が作成したリソースの状態を記述します。AFT バージョンを更新する予定がある場合は、必ず Terraform 状態ファイルを保存するか、Amazon S3 と DynamoDB を使用して Terraform バックエンドをセットアップします。AFT モジュールはバックエンドの Terraform 状態を管理しません。

注記

Terraform 状態ファイルを保護するのはユーザーの責任です。一部の入力変数には、プライベートの ssh キーまたは Terraform トークンなどの機密値が含まれる場合があります。デプロイ方法によって、これらの値は Terraform 状態ファイルにプレーンテキストとして表示されることがあります。詳細については、HashiCorp ウェブサイトの「Sensitive data in State」を参照してください。