Docs
Configuration
Tous vos réglages, et où ils se trouvent. Cette page décrit les variables d'entrée du module manager, dans votre Terraform. La découverte, les workloads et les horaires se règlent dans le tableau de bord : chacun a sa page.
6 min de lectureManager 0.21.0
Le module manager
Variables d'entrée de modules/manager, fourni dans l'archive de la release (voir Démarrer).
Seule env est obligatoire.
| Variable d'entrée | Description |
|---|---|
envstring · required | Nom de l'environnement : 1 à 10 lettres minuscules, chiffres ou tirets (ni au début ni à la fin). Les ressources sont nommées dmt-<env>-manager-* et les routeurs installés dmtr-<env>. |
organization_idstring · null | Identifiant de votre organisation AWS (o-…). Le manager n'assume de rôles et n'accepte d'événements de routeurs qu'au sein de cette organisation. Null : le manager est hors de toute organisation et ne lit que son propre compte. discovery_mode doit alors valoir account. |
discovery_modestring · "organization" | Le mode de la configuration par défaut du périmètre de découverte, celle qu'aucun administrateur n'a encore enregistrée. organization désigne les comptes de l'organisation. account désigne le compte du manager. Doit valoir account sans organization_id. |
admin_emailslist(string) · [] | Premiers administrateurs, invités par e-mail lors de l'apply. |
savings_baselinestring · always | Référence de calcul des économies estimées. Avec always, les workloads sont supposés actifs 24/7. Avec business-hours, seul compte le temps passé en veille en semaine, de 08:00 à 20:00. |
savings_timezonestring · UTC | Fuseau horaire de la référence en heures ouvrées, au format IANA, par exemple Europe/Paris. |
history_daysnumber · 400 | Durée de conservation de l'historique des états de chaque workload, de 7 jours à 10 ans. Il alimente la chronologie de la vue du workload et le calcul des économies. Une modification ne vaut que pour l'historique écrit ensuite. |
states_cache_minutesnumber · 60 | Durée de mise en cache des chiffres de chaque workload pour la barre de synthèse de la vue Workloads, de 1 minute à un jour. Ces chiffres sont le temps passé dans chaque état sur 7 jours et les économies sur 30 jours. Chaque rafraîchissement relit l'historique de tous les workloads. |
mfastring · operators | Vérification en deux étapes par application d'authentification, à configurer depuis la page Account du tableau de bord. optional : chaque utilisateur peut l'activer. operators : obligatoire pour les administrateurs et les opérateurs, qui n'ont que des droits de lecteur tant qu'ils ne l'ont pas configurée. required : obligatoire pour tous, dès la connexion. Prévoyez deux administrateurs équipés : si l'un perd son application, l'autre peut la réinitialiser. |
passkeysbool · true | Connexion par passkey (empreinte, visage, code PIN ou clé de sécurité), enregistrée depuis la page Account du tableau de bord. Elle fonctionne dans les modes MFA optional et operators. Avec false, ou avec mfa = required, le pool d'utilisateurs reste mot de passe plus application d'authentification. Changer plus tard le domaine personnalisé rend les passkeys enregistrées inutilisables : les utilisateurs les enregistrent de nouveau. |
alert_emailslist(string) · [] | Destinataires des alertes de santé : routeur qui ne remonte plus d'informations ou qui signale un problème, liste d'IP en échec, watchdog du manager lui-même. Chaque adresse doit d'abord valider l'e-mail de confirmation envoyé par AWS. Les autres canaux s'abonnent via la sortie alerts_topic_arn. |
ip_listslist(object) · [] | Listes de réputation d'IP, téléchargées une seule fois par le manager pour l'ensemble des routeurs. Champs : name, url (http(s) ou s3://), action et refresh_hours (24). Avec action à defer, la valeur par défaut, une source listée ne réveille le workload que via la sonde de la page d'attente. Avec ignore, jamais. Une version qui a perdu plus de la moitié de ses entrées est rejetée. Pour l'accepter, changez l'URL. Les URL sont lisibles dans toute l'organisation : n'y placez aucun secret. |
domainobject · null | Domaine personnalisé : hôte dashboard, hôte auth placé sous celui-ci, leur certificate_arn dans us-east-1 et, en option, le zone_id Route 53 où créer les enregistrements. Sans domaine personnalisé, les noms d'hôte fournis par CloudFront et Cognito sont utilisés. |
ses_identitystring · null | Identité SES vérifiée, dans ce compte et cette région, que Cognito utilise pour envoyer les invitations. Sans identité SES, Cognito les envoie lui-même (environ 50 par jour). |
email_fromstring · null | Expéditeur des invitations envoyées via ses_identity, par exemple Dormeto <no-reply@example.com>. Obligatoire si l'identité SES est un domaine. |
deletion_protectionbool · true | Protège les utilisateurs et la table du manager (routeurs installés, opérations, audit) contre un destroy accidentel. Passez-la à false et lancez un apply avant tout terraform destroy. |
log_retention_daysnumber · 30 | Durée de conservation des logs CloudWatch du manager. |
discovery_role_namestring · DmtDiscoveryRole | Rôle en lecture seule que le manager assume dans chaque compte. Le nom peut être précédé d'un chemin. |
command_role_namestring · DmtCommandRole | Rôle que le manager assume pour installer les routeurs et agir sur leurs règles. Le nom peut être précédé d'un chemin. |
create_organization_rolesbool · true | Crée les rôles dans le compte du manager lui-même. Indiquez false pour un second environnement dans un compte où un autre environnement crée déjà ces rôles. |
organization_role_envslist(string) · [] | Autres environnements du manager présents dans ce compte, auxquels les rôles créés ici font également confiance. |
installobject · null | Manager 0.12.0 et suivants : { bucket, project, log_group }, renseigné par dormeto aws install. Laissez-le vide. |
Sorties du module : dashboard_url, auth_domain (hôte de connexion), user_pool_id,
dashboard_client_id, api_endpoint. version donne les versions du manager et du routeur qu'il installe. alerts_topic_arn est le topic des alertes. ip_lists_catalog est le catalogue des listes d'IP, à transmettre à l'entrée ip_lists_catalog d'un routeur décrit en Terraform.
Les noms des rôles se règlent volontairement dans Terraform, et non dans le tableau de bord. Les permissions du manager ne l'autorisent à assumer que ces rôles précis. Aucun utilisateur du tableau de bord ne peut donc le faire pointer vers un autre rôle. Le module d'accès ou le script AWS CLI doit reprendre les mêmes noms (Accès à l’organisation).
Découverte
Le périmètre de découverte, ses filtres et exclusions, et son rafraîchissement se règlent dans le tableau de bord : Découverte.
Workloads
Ce que règle l'intégration, ce que vous pouvez faire ensuite et les valeurs non configurables : Workloads. Le module workload a une entrée pour l'hibernation EC2, hibernate (bool · null). null hérite de la valeur du routeur, puis de celle du manager (désactivée quand le workload a des types d'instance de repli). true ou false la définit sur le workload (Hibernation). Routeur 0.32.0 et suivants.
Il a aussi waiting_page (object · null), la page que voient les visiteurs pendant le réveil du workload :
mode:templateoucustom.- Pour un modèle,
icon:auto,noneou une adressedata:image/…;base64,…de 64 KiB au plus. Par exemple,"data:image/png;base64,${filebase64("logo.png")}". - Pour un modèle,
title(80 caractères, une ligne) etdescription(500 caractères). - Pour une page personnalisée,
html: 256 KiB au plus. Par exemple,file("waiting.html").
null n'écrit rien, et le retirer supprime la page qu'il a créée. Un workload avec waiting_page refuse les changements du manager. Routeur 0.35.0 et suivants (Page d'attente).
Horaires
Les plages hebdomadaires d'éveil et de veille, les dates d'exception et la veille maximale, avec le calendrier Schedules : Horaires.
À partir du routeur 0.36.0, joinMinutes est le plus grand intervalle qui réunit deux plages de même type, 15 par défaut. Il se règle dans un horaire, sur un routeur, ou avec workloads.joinMinutes dans le settings.json du manager : Plages réunies.
workloads.endedWindowDays dit combien de jours une plage reste dans son horaire après sa dernière occurrence. C'est 365 par défaut, 0 les garde : Plages terminées.