Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Démarrage avec AWS DevOps Agent utilisant Terraform

Présentation de

Ce guide explique comment utiliser Terraform pour créer et déployer des ressources d' AWS DevOps agent. La configuration Terraform automatise la création d'un espace d'agent, de rôles IAM, d'une application opérateur et d'associations de comptes. AWS

L'approche Terraform automatise les étapes manuelles décrites dans le guide d'intégration de la CLI en définissant toutes les ressources requises sous forme d'infrastructure en tant que code.

AWS DevOps L'agent est disponible dans les 6 AWS régions suivantes : USA Est (Virginie du Nord), USA Ouest (Oregon), Asie-Pacifique (Sydney), Asie-Pacifique (Tokyo), Europe (Francfort) et Europe (Irlande). Pour plus d'informations sur les régions prises en charge, consultezRégions prises en charge.

Conditions préalables

Avant de commencer, assurez-vous de disposer des éléments suivants :

Ce que couvre ce guide

Ce guide est divisé en trois parties :

Ressources créées

Partie 1 : Compte de suivi

Partie 2 : Compte de service (facultatif)

Configuration

Étape 1 : cloner le référentiel d'échantillons

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Étape 2 : Configuration des variables

Copiez le fichier de variables d'exemple et personnalisez-le en fonction de votre environnement :

cp terraform.tfvars.example terraform.tfvars

Modifiez terraform.tfvars avec le nom et la description de votre espace agent :

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Partie 1 : Déploiement de l'espace agent

Dans cette section, vous créez l'espace agent, les rôles IAM, l'application opérateur et une AWS association dans votre compte de surveillance.

Étape 1 : Déploiement automatisé (recommandé)

Utilisez le script de déploiement fourni pour une configuration simplifiée :

./deploy.sh

Ce script permet automatiquement :

Sinon, si vous préférez le contrôle manuel :

terraform init
terraform plan
terraform apply

Tapez yes lorsque vous êtes invité à confirmer le déploiement.

Étape 2 : Enregistrez les sorties

Une fois le déploiement terminé, Terraform imprime les sorties. Enregistrez ces valeurs pour une utilisation ultérieure :

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Si vous prévoyez de terminer la partie 2, enregistrez la agent_space_arn valeur. Vous en aurez besoin pour configurer les ressources du compte de service.

Étape 3 : vérifier le déploiement

Exécutez le script de vérification après déploiement :

./post-deploy.sh

Vous pouvez également utiliser l' AWS interface de ligne de commande pour vérifier que l'espace agent a été créé correctement :

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

À ce stade, votre espace agent est déployé avec l'application opérateur activée et votre compte de surveillance associé. L'agent peut surveiller les problèmes liés à ce compte.

Partie 2 (Facultatif) : Ajouter une surveillance multi-comptes

Dans cette section, vous allez étendre la configuration afin que l'espace agent puisse surveiller les ressources d'un second AWS compte (le compte de service). Cela implique deux actions :

Étape 1 : configurer l'ID du compte de service

Dansterraform.tfvars, définissez l'identifiant de votre compte de service :

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Étape 2 : définir l'ARN de l'espace agent

Copiez la agent_space_arn valeur de la sortie de la partie 1 (étape 2) et définissez-la dans terraform.tfvars :

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Les ressources du compte de service utilisent cette valeur pour définir la politique de confiance sur le rôle du compte secondaire. Ces ressources ne sont créées que lorsque cette valeur est définie.

Étape 3 : configurer le fournisseur `aws.service`

Dansmain.tf, configurez l'alias du aws.service fournisseur avec les informations d'identification du compte de service. Vous pouvez utiliser un profil nommé ou un rôle d'acteur :

À l'aide d'un profil :

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

Ou en utilisant Assume Role :

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Étape 4 : Déploiement

Appliquez la configuration mise à jour :

terraform apply

Cela crée les ressources suivantes dans le compte de service :

Il crée également une AWS association de source dans le compte de surveillance qui relie le compte de service.

Étape 5 : vérifier le déploiement

Testez le service Echo pour confirmer que la fonction Lambda a été correctement déployée :

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Partie 3 (Facultative) : Enregistrer les intégrations tierces

Dans cette section, vous enregistrez des services externes (Dynatrace, Splunk ServiceNow, New Relic GitLab, PagerDuty) auprès de l'espace agent. Ces intégrations permettent à AWS DevOps l'Agent d'accéder à la télémétrie, aux données d'incidents et aux informations de contrôle des sources pendant les enquêtes.

Contrairement à l'exemple AWS CDK, qui nécessite une IntegrationsStack phase distincte et un câblage manuel de l'identifiant de l'espace agent, ces ressources font directement référence à l'espace agent et peuvent être déployées de la même manière terraform apply que dans la partie 1.

Intégrations prises en charge

Étape 1 : configurer les informations d'identification d'intégration

Ajoutez un integrations bloc àterraform.tfvars, en renseignant uniquement les services que vous souhaitez. L'exemple suivant illustre une intégration Dynatrace :

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Pour la forme complète de chaque intégration, consultez terraform.tfvars.example le référentiel d'exemples.

ServiceNow exigence : définissez toujours instance_id explicitement le nom court de l'instance (par exemple, "ven04972" — pas le nom completinstance_url). Si elle instance_id est omise, l'association revient àinstance_url, ce que l'API de l' DevOps agent rejette avec un400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance.

Sécurité : la integrations variable est marquéesensitive, de sorte que ses valeurs sont supprimées du plan et appliquées à la sortie. Ne confiez pas de véritables informations d'identification àterraform.tfvars. Pour la production, utilisez les AWS secrets de source à partir de Secrets Manager ou de AWS Systems Manager Parameter Store (par exemple, à l'aide de data sources) plutôt que du texte en clair.

Étape 2 : Déploiement

Appliquez la configuration :

terraform apply

Cela crée un enregistrement et une association de services pour chaque intégration activée.

Étape 3 : Passez en revue les résultats

Une fois le déploiement terminé, les sorties d'intégration mappent chaque service activé à ses identifiants enregistrés :

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Pour plus d'informations sur la configuration des informations d'identification pour chaque service, consultez :

Utilisation des rôles IAM existants (facultatif)

Par défaut, la configuration Terraform crée de nouveaux rôles IAM pour l'espace agent et l'application opérateur. Si vous possédez déjà des rôles IAM dotés des politiques requises, vous pouvez ignorer la création de rôles et fournir les ARN des rôles existants à la place.

Exigences

Les rôles existants doivent répondre aux exigences suivantes :

Rôle de l'espace agent

Rôle de l'opérateur dans l'application

Configuration

Dansterraform.tfvars, définissez un ou les deux ARN de rôle :

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Lorsque ces valeurs sont définies, les ressources de rôle correspondantes iam.tf sont ignorées. Cette approche est totalement rétrocompatible : les configurations existantes avec des valeurs vides (par défaut) préservent le comportement actuel de création de rôle.

Résolution des problèmes

Délais de propagation IAM

ServiceNow instanceId does not matcherreur

Association Dynatrace status: invalid

Erreurs d'autorisation

Cross-account le déploiement échoue

Type de ressource Terraform introuvable

Nettoyage

Pour supprimer toutes les ressources, détruisez-les dans l'ordre inverse si vous avez déployé la partie 2 :

./cleanup.sh

Ou manuellement :

terraform destroy

Avertissement : Cela supprime définitivement votre espace agent et toutes les données associées. Assurez-vous d'avoir sauvegardé toutes les informations importantes avant de continuer.

Considérations sur la sécurité

Étapes suivantes

Après avoir déployé votre AWS DevOps agent à l'aide de Terraform :

Ressources supplémentaires