Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Introducción al AWS DevOps Agente que usa Terraform

Descripción general de

Esta guía muestra cómo usar Terraform para crear e implementar los recursos del AWS DevOps agente. La configuración de Terraform automatiza la creación de un espacio de agentes, funciones de IAM, una aplicación de operador y asociaciones de cuentas. AWS

El enfoque de Terraform automatiza los pasos manuales descritos en la guía de incorporación de la CLI al definir todos los recursos necesarios como infraestructura y código.

AWS DevOps El agente está disponible en las 6 AWS regiones siguientes: EE.UU. Este (Norte de Virginia), EE.UU. Oeste (Oregón), Asia Pacífico (Sídney), Asia Pacífico (Tokio), Europa (Fráncfort) y Europa (Irlanda). Para obtener más información sobre las regiones compatibles, consulteRegiones admitidas.

Requisitos previos

Antes de empezar, asegúrese de que tiene lo siguiente:

Qué cubre esta guía

Esta guía se divide en tres partes:

Recursos creados

Parte 1: Monitorear la cuenta

Parte 2: Cuenta de servicio (opcional)

Configuración

Paso 1: clona el repositorio de muestras

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Paso 2: Configurar las variables

Copie el archivo de variables de ejemplo y personalícelo para su entorno:

cp terraform.tfvars.example terraform.tfvars

terraform.tfvarsEdítelo con el nombre y la descripción de su espacio de agente:

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Parte 1: Despliegue el espacio de agentes

En esta sección, crea el espacio de agentes, las funciones de IAM, la aplicación de operador y una AWS asociación en su cuenta de monitoreo.

Paso 1: Implemente con automatización (recomendado)

Utilice el script de implementación proporcionado para una configuración simplificada:

./deploy.sh

Este script automáticamente:

Como alternativa, si prefieres el control manual:

terraform init
terraform plan
terraform apply

Escriba yes cuando se le pida que confirme la implementación.

Paso 2: Registre las salidas

Una vez completada la implementación, Terraform imprime las salidas. Registre estos valores para usarlos más adelante:

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Si planea completar la parte 2, guarde el agent_space_arn valor. Lo necesitará para configurar los recursos de la cuenta de servicio.

Paso 3: Verifique la implementación

Ejecute el script de verificación posterior al despliegue:

./post-deploy.sh

O utilice la AWS CLI para comprobar que el espacio de agente se creó correctamente:

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

En este punto, su espacio de agente está desplegado con la aplicación del operador habilitada y su cuenta de monitoreo asociada. El agente puede supervisar los problemas de esta cuenta.

Parte 2 (opcional): añadir la supervisión multicuenta

En esta sección, ampliará la configuración para que el espacio de agentes pueda supervisar los recursos de una segunda AWS cuenta (la cuenta de servicio). Esto implica dos acciones:

Paso 1: Configurar el ID de la cuenta de servicio

Enterraform.tfvars, configura el ID de tu cuenta de servicio:

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Paso 2: Configura el ARN del espacio de agente

Copie el agent_space_arn valor del resultado de la primera parte (paso 2) y configúrelo enterraform.tfvars:

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Los recursos de la cuenta de servicio utilizan este valor para definir el alcance de la política de confianza en el rol de la cuenta secundaria. Estos recursos solo se crean cuando se establece este valor.

Paso 3: Configurar el proveedor `aws.service`

Enmain.tf, configure el alias del aws.service proveedor con las credenciales de la cuenta de servicio. Puede usar un perfil con nombre o asumir un rol:

Uso de un perfil:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

O usando la función de asumir el rol:

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Paso 4: Despliegue

Aplique la configuración actualizada:

terraform apply

Esto crea los siguientes recursos en la cuenta de servicio:

También crea una AWS asociación de origen en la cuenta de monitoreo que vincula la cuenta de servicio.

Paso 5: Verificar la implementación

Pruebe el servicio echo para confirmar que la función Lambda se implementó correctamente:

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Parte 3 (opcional): registre las integraciones de terceros

En esta sección, registras los servicios externos (Dynatrace, Splunk ServiceNow, New Relic GitLab, PagerDuty) en el espacio de agentes. Estas integraciones permiten al AWS DevOps Agente acceder a la telemetría, a los datos de incidentes y a la información de control de fuentes durante las investigaciones.

A diferencia del ejemplo del AWS CDK, que requiere una IntegrationsStack fase separada y un cableado manual del identificador del espacio de agentes, estos recursos hacen referencia directa al espacio de agentes y se pueden implementar de la misma terraform apply manera que en la parte 1.

Integraciones compatibles

Paso 1: Configurar las credenciales de integración

Agregue un integrations bloque aterraform.tfvars, rellenando solo los servicios que desee. El siguiente ejemplo muestra una integración de Dynatrace:

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Para ver la forma completa de cada integración, consulte el terraform.tfvars.example repositorio de ejemplos.

ServiceNow requisito: defina siempre de instance_id forma explícita el nombre corto de la instancia (por ejemplo"ven04972", no el nombre completoinstance_url). Si instance_id se omite, se recurre a la asociacióninstance_url, que la API del DevOps agente rechaza con un400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance.

Seguridad: la integrations variable está marcadasensitive, por lo que sus valores se eliminan del resultado del plan y la aplicación. No asigne credenciales reales aterraform.tfvars. En el caso de la producción, obtenga AWS secretos de Secrets Manager o AWS Systems Manager Parameter Store (por ejemplo, utilizando data fuentes) en lugar de texto sin formato.

Paso 2: Despliegue

Aplique la configuración:

terraform apply

Esto crea un registro y una asociación de servicios para cada integración habilitada.

Paso 3: Revise los resultados

Una vez finalizada la implementación, los resultados de la integración asignan cada servicio habilitado a sus ID registrados:

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Para obtener más información sobre la configuración de las credenciales para cada servicio, consulta:

Uso de las funciones de IAM existentes (opcional)

De forma predeterminada, la configuración de Terraform crea nuevas funciones de IAM para el espacio de agentes y la aplicación de operador. Si ya tiene funciones de IAM con las políticas necesarias, puede omitir la creación de funciones y, en su lugar, proporcionar los ARN de las funciones existentes.

Requisitos

Los roles existentes deben cumplir los siguientes requisitos:

Función de espacio de agente

Función de aplicación de operador

Configuración

Enterraform.tfvars, defina uno o ambos ARN de rol:

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Cuando se establecen estos valores, se iam.tf omiten los recursos de rol correspondientes. Este enfoque es totalmente compatible con versiones anteriores: las configuraciones existentes con valores vacíos (los valores predeterminados) conservan el comportamiento actual de creación de roles.

Resolución de problemas

Retrasos en la propagación de IAM

ServiceNow instanceId does not matcherror

Asociación Dynatrace status: invalid

Errores de permisos

Cross-account la implementación falla

No se encontró el tipo de recurso de Terraform

Limpieza

Para eliminar todos los recursos, destrúyalos en orden inverso si implementó la parte 2:

./cleanup.sh

O manualmente:

terraform destroy

Advertencia: Esto elimina permanentemente tu espacio de agente y todos los datos asociados. Asegúrese de haber realizado una copia de seguridad de toda la información importante antes de continuar.

Consideraciones de seguridad

Siguientes pasos

Una vez que haya desplegado su AWS DevOps agente con Terraform:

Recursos adicionales