AWS LandingZone Professionalisierung

• Branche: Online-Handel

• Task: Ziel dieses Projektes war die bestehende LandingZone Lösung weiter auszubauen und durch Einführen von Best Practices, speziell im Bereich Security, diese auch zu professionalisieren.

• Team:

  • das Team bestand aus 6 Personen. Darunter der PO & Scrum Master, Database Expert und vier Infrastruktur- und Automatisierung Engineers. Das Team war Teil einer DevOps orientierten Unternehmensstruktur.

  • Mehrere Applikation Development Teams für die Umsetzung der Microservice Architektur

• Projektlaufzeit: +6 Monate

• Ausbau von Security Mechanismen mittels der Erweiterung von SecurityGuard Scans, der Einführung von Service Control Policies und der Implementierung von custom AWS Config Rules

• End-2-End Automatisierung der bestehenden Lösung um Fehler bei manuellen Schritten zu vermeiden und operative Aufwände zu reduzieren

• Verbesserung des Cost Controlling durch schließen von “Tagging Lücken” und erstellen von Cost Alerts für bestimmte Tags und Ressourcen

• Testing und Rollout von Terraform Änderungen auf allen Accounts

• AWS LandingZone nach dem AWS well-architected-framework

• Aktivieren der AWS ControlTower Guardrails

• Implementierung von AWS Custom Config Rules um die speziellen Anforderungen des Kunden an die Nutzung der AWS Accounts sicherzustellen

• Identifizieren von stabilen Kostenpunkten und Budget Rahmen für die Accounts und erstellen von Alerts für besseres Cost Controlling

• GitOps Automatisierung der gesamten LandingZone Solution mit Jenkins und GitHub

• Reduzierung der Ops Aufwände für Account Verwaltung

• Sicherstellen der Compliance aller AWS Accounts mit den Security Vorgaben des Kunden

• Aufdecken von potentiellen Kostenersparnissen

• Optimieren der Prozesse

Weitest mögliche Automatisierung des Multi Account Managements

Die bestehende LandingZone Lösung des Kunden war bereits nach den AWS Well-Architected Practices aufgebaut. Mit dem Release von AWS ControlTower ist diese Lösung jedoch nur noch empfohlen wenn ein sehr hoher Grad an Anpassung zur engen Integration in die eigenen Unternehmensprozesse und -struktur erforderlich ist. Aufgebaut wurde diese LandingZone Lösung mit Python und Terraform wobei die Prozesse als Jenkins Pipelines abgebildet sind. Ziel ist es die bestehende Lösung weiter zu automatisieren um manuelle Schritte zu reduzieren, falls nötig Refactorings durchzuführen um die Prozesse zu vereinfachen und schließlich die Lösung auch zu erweitern so das sie sämtliche Anforderungen des Kunden abdeckt.

Fokus auf Self Explaining Pipelines, Dokumentation und Simplizität

Da die LandingZone sehr langlebig sein muss sollen möglichst wenig Fragen bei Übergaben oder erster Nutzung auftreten um hier bessere Ausfallsicherheit von Personen zu garantieren. Besonderes Augenmerk lag hierbei auch darauf das die Pipelines leicht verständlich sind unter anderem darin was die Auswirkungen einer Pipeline sind, was für Parameter gebraucht werden und welche Parameter voneinander abhängig sind.

Durch das historische Wachstum sind auch Teile der LandingZone nicht optimal umgesetzt und können durch ein Refactoring wieder vereinfacht werden. Dazu zählten zum einen Code Refactorings aber auch kleinere Architekturanpassungen.

Als externer Consultant ist es hier auch gut möglich fehlende oder implizite Informationen in der Dokumentation zu finden und diese entsprechend zu verbessern.

Security Controls

Um sicherzustellen das Security Richtlinien des Unternehmens in jedem Account eingehalten werden sollten zum einen weitere AWS custom Config Rules erstellt werden welche spezifische Vorgaben für Services prüfen und zum anderen sollen Service Control Policies (SCP) eingeführt werden. Dafür wurden die Guardrails, die SCPs welche ControlTower automatisch setzt, und weitere best practice SCPs eingeführt, getestet und schließlich ausgerollt.

Cloud Infrastruktur:

• AWS DynamoDB

• AWS Lambda

Security:

• AWS SecurityGuard

• AWS Service Control Policies (SCP)

• AWS TrustedAdvisor

• AWS IAM

• AWS SSO

• AWS Config

CICD & IaC:

• Terraform & Terragrunt

• Jenkins

• Python

• GitHub