View a markdown version of this page

デプロイなしでランディングゾーン IaC を生成する - AWS 変換
IaC のみのワークフローの概要IaC 専用モードのアクセス許可IaC 専用モードの制限事項サポートされている IaC 形式IaC 専用モードを使用するタイミング

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

デプロイなしでランディングゾーン IaC を生成する

IaC のみのフローでは、直接デプロイすることなく、分析、レコメンデーション、Infrastructure as Code 生成に AWS Transform ランディングゾーンエージェントを使用できます。このモードは、次の 2 つのシナリオで使用できます。

  • 委任管理者コネクタ: 委任管理者アカウント経由で接続すると、 AWS Transform は IaC 専用モードでのみ動作します。これにより、厳格なガバナンスポリシーを持つ組織は、管理アカウントへのアクセスを許可せずに AWS Transform を使用できます。

  • IaC 専用設定の Management Account: Management Account コネクタを使用しても、独自のパイプライン (AWS Landing Zone Accelerator、Terraform、CloudFormation、CDK、またはカスタム CI/CD) を介してデプロイする場合は、ジョブの開始時に IaC 専用モードを選択できます。

IaC のみのワークフローの概要

IaC 専用モードでは、 AWS Transform はフルデプロイモードと同じ分析を実行し、同じレコメンデーションを生成しますが、リソースを直接プロビジョニングするのではなく、Infrastructure as Code アーティファクトを出力します。ワークフローには以下が含まれます。

  • 組織分析: AWS Transform は、既存の組織構造を検出し、 AWS ベストプラクティスとのギャップを特定し、ランディングゾーン設定を推奨します。

  • Foundation design: AWS Transform は、要件に基づいて組織単位 (OU) 階層、アカウント構造、サービスコントロールポリシー (SCPsを提案します。

  • ワークロードアカウント設計: AWS 移行の波とビジネス要件に基づいてワークロード OUs とアカウントを設計します。

  • IaC generation: AWS Transform は、任意の形式で Infrastructure as Code アーティファクトを生成します。これらのアーティファクトをダウンロードし、独自のパイプラインを通じてデプロイします。

IaC 専用モードのアクセス許可

IaC 専用モードでは、フルデプロイモードと比較して最小限のアクセス許可が必要です。

  • アクセス許可の読み取りと説明: AWS Transform では、既存の構造、アカウント、組織単位、ポリシーを検出 AWS するために Organization への読み取り専用アクセスが必要です。

  • 書き込みアクセス許可は不要: Transform はリソースをプロビジョニングしないため、 AWS Control Tower、Organizations、Service Catalog などのランディングゾーンサービスには書き込み CloudFormationまたは作成アクセス許可は必要ありません。 AWS

  • 委任管理者アカウント: 委任管理者コネクタを使用する場合、委任管理者が Control Tower ランディングゾーンを直接デプロイできない場合でも、エージェントが分析を実行して IaC アーティファクトを生成するには、これらの読み取り専用アクセス許可で十分です。

IaC 専用モードの制限事項

IaC 専用モードを使用する場合は、次の制限に注意してください。

  • 直接デプロイなし: AWS Transform はランディングゾーンインフラストラクチャをプロビジョニングしません。生成された IaC アーティファクトは、独自のパイプラインを通じてデプロイする必要があります。

  • 委任管理者と Control Tower: AWS Control Tower が既にデプロイされているブラウンフィールド環境で委任管理者コネクタを使用する場合、 AWS Transform は既存の Control Tower 管理 SCPsを表示または変更できません。既存の SCPs変更されません。Control Tower の範囲外の新しい SCPs に対して IaC を生成できます。Control Tower が管理する SCPs を変更するには、管理アカウントをターゲットにするようにコネクタを再設定します。

  • デプロイステップの検証なし: AWS Transform は、生成されたアーティファクトの正常なデプロイを検証しません。パイプラインを通じてデプロイした後は、ランディングゾーンインフラストラクチャが正しく作成され、すべてのガードレールが設定されていることを確認する責任があります。

サポートされている IaC 形式

AWS Transform は、複数の形式で IaC アーティファクトを生成します。

  • AWS CDK: プログラムによるインフラストラクチャデプロイ用の TypeScript ベースの Infrastructure as Code。

  • Terraform/HCL: ランディングゾーンリソースを管理するための Terraform モジュールと HashiCorp 設定言語 (HCL) テンプレート。

  • Landing Zone Accelerator (LZA): LZA ユニバーサル設定バージョン 1.1.0 に基づく設定 YAML ファイル (accounts-config.yaml、 organization-config.yaml など）。これらのエンタープライズ対応テンプレートは AWS Landing Zone Accelerator と統合され、 AWS ベストプラクティスに沿ったガバナンス、組織構造、ネットワークを備えたマルチアカウント AWS 環境を確立します。

任意の形式を事前に指定でき、 AWS 変換はワークフロー中に再度尋ねることなく、その形式でアーティファクトを生成します。

IaC 専用モードを使用するタイミング

これらのシナリオでは、IaC 専用モードの使用を検討してください。

  • 厳格なガバナンスポリシー: 組織は管理アカウントへのプログラムによるアクセスを制限します。IaC 専用モードで委任管理者コネクタを使用すると、この制約がバイパスされます。

  • 既存のデプロイパイプライン: AWS Landing Zone Accelerator、Terraform、またはカスタム CI/CD パイプラインを使用してインフラストラクチャをすでに管理しています。 AWS Transform は、既存のワークフローと統合するアーティファクトを生成できます。

  • レビューとカスタマイズ: デプロイ前に生成されたランディングゾーン設定を確認してカスタマイズします。

  • ブラウンフィールド環境: 既存のランディングゾーンがあり、推奨される変更の IaC をすぐにデプロイせずに生成したい。

  • 変更管理プロセス: 組織では、承認された変更管理およびデプロイプロセスを通じて、すべてのインフラストラクチャの変更を行う必要があります。