Implemente cargas de trabajo desde DevOps canalizaciones de Azure a clústeres privados de Amazon EKS

Busque el GUID de la DevOps organización de Azure.

Inicie sesión en su DevOps cuenta de Azure y, a continuación, utilice la siguiente URL para buscar el GUID de la organización: https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0 En la URL, {DevOps_org_ID} sustitúyalo por el ID de su DevOps organización de Azure.

Configure un IdP en la Cuenta de AWS.

Para configurar un proveedor de identidad (IdP) en una conexión Cuenta de AWS de servicio de Azure, siga estos pasos:

Para obtener más información, consulte Cómo federarse AWS desde Azure DevOps mediante OpenID Connect.

Cree una política de IAM en la Cuenta de AWS.

Para crear una política de IAM que proporcione los permisos necesarios para la función de IAM utilizada por la DevOps canalización de Azure, siga estos pasos:

Cree un rol de IAM role en la Cuenta de AWS.

Para configurar un rol de IAM en Cuenta de AWS la conexión del servicio de Azure, siga estos pasos:

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

En la política, proporcione su información para los siguientes marcadores de posición:

Cree una conexión de servicio en la DevOps cuenta de Azure.

Para configurar una conexión de servicio de Azure, siga estos pasos:

Para obtener más información, consulte Crear una conexión de servicio en la documentación de Microsoft.

Añada el rol de IAM al archivo de configuración de Amazon EKS.

El rol de IAM debe tener permisos para realizar las operaciones requeridas en el clúster de Amazon EKS. Como se trata de un rol de canalización, el rol de IAM debe poder administrar casi todos los tipos de recursos del clúster. Por lo tanto, el permiso de grupo system:masters es adecuado para este rol.

Para añadir la configuración necesaria al aws-auth ConfigMap en Kubernetes, use el siguiente código:

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

{account_id}Sustitúyalo por su Cuenta de AWS ID.

Para obtener más información, consulte la sección sobre cómo funciona Amazon EKS con IAM en la documentación de Amazon EKS.

Cree un grupo de agentes autoalojado.

Para configurar un grupo de agentes autohospedados en la DevOps cuenta de Azure, siga estos pasos:

Para obtener más información, consulte Crear y administrar grupos de agentes en la documentación de Microsoft.

Cree un repositorio de Amazon ECR.

Las imágenes de Docker que se utilizan para implementar el DevOps agente de Azure y la aplicación de muestra (webapp) en el clúster privado de Amazon EKS deben almacenarse en un repositorio de Amazon ECR. Para crear un repositorio de Amazon ECR, complete los pasos siguientes.

Para obtener más información, consulte Creación de un repositorio privado de Amazon ECR para almacenar imágenes en la documentación de Amazon ECR.

Cree un Dockerfile para crear el agente de Azure DevOps .

Cree un Dockerfile para crear la imagen de Docker que tiene instalado el agente de Azure. DevOps Almacene el siguiente contenido en un archivo denominado Dockerfile:

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Cree un script para el DevOps agente de Azure.

Para crear el script start.sh, siga estos pasos:

Cree una imagen de Docker con el DevOps agente de Azure.

Para crear una imagen de Docker para instalar el DevOps agente de Azure, utilice el Dockerfile que creó anteriormente para crear la imagen. En el mismo directorio en el que almacenó el Dockerfile, ejecute el comando siguiente.

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

Sustituya aws_account_id y por su region Cuenta de AWS ID y. Región de AWS

Genere un token de acceso personal de Azure.

El agente que se ejecuta en el clúster privado de Amazon EKS necesita un token de acceso personal (PAT) para poder autenticarse con la DevOps cuenta de Azure. Para generar un PAT, siga estos pasos:

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

Para obtener más información, consulte Registrar un agente mediante un token de acceso personal (PAT) en la documentación de Microsoft.

Use el archivo de manifiesto de Kubernetes para la implementación del agente.

Para implementar el DevOps agente de Azure en el clúster privado de Amazon EKS, copie el siguiente archivo de manifiesto y guárdelo comoagent-deployment.yaml:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

Sustituya aws_account_id y <Azure account URL> por su Cuenta de AWS ID y la URL de su DevOps cuenta de Azure.

Implemente el agente en el clúster privado de Amazon EKS.

Para implementar el agente de Azure DevOps en el clúster privado de Amazon EKS, use el siguiente comando:

kubectl create -f agent-deployment.tf

Compruebe que el agente se está ejecutando.

Para comprobar que el DevOps agente de Azure se está ejecutando, utilice el siguiente comando:

kubectl get deploy azure-pipelines-agent-eks

La salida debería tener un aspecto similar al siguiente:

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

Asegúrese de que la columna READY muestre 1/1.

Compruebe que el agente esté registrado en el grupo de DevOps agentes de Azure.

Para comprobar que el agente está implementado en el clúster privado de Amazon EKS y registrado en el grupo de agentes eks-agent, siga estos pasos:

Debería ver un agente en la lista con el estado en línea y el nombre del agente debería empezar por azure-pipelines-agent-eks-*.

Transfiera el repositorio de aplicaciones de muestra a su GitHub cuenta.

Transfiera el siguiente repositorio de AWS muestras a su GitHub cuenta:

https://github.com/aws-samples/deploy-kubernetes-resources-to- amazon-eks-using-azure -devops

Crear una canalización.

Para crear una canalización en su DevOps cuenta de Azure, siga estos pasos:

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

Verifique que la aplicación de muestra se ha implementado.

Una vez finalizada la canalización, compruebe que la implementación de la aplicación de muestra se ha realizado correctamente; para ello, consulte tanto el repositorio de Amazon ECR como el clúster de Amazon EKS.

Para verificar los artefactos en el repositorio de Amazon ECR, siga estos pasos:

Por ejemplo, 20250501.1-image y 20250501.1-helm.

Para verificar la implementación en el clúster privado de Amazon EKS del espacio de nombres webapp, use el siguiente comando:

kubectl get deploy -n webapp 

El resultado esperado es el siguiente:

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

Nota: Si esta es la primera vez que ejecuta una canalización, es posible que deba autorizar la conexión del servicio y el grupo de agentes. Busque las solicitudes de permiso en la interfaz de DevOps canalización de Azure y apruebelas para continuar.