Déployez des charges de travail à partir de DevOps pipelines Azure vers des clusters Amazon EKS privés

Trouvez le GUID de DevOps l'organisation Azure.

Connectez-vous à votre DevOps compte Azure, puis utilisez l'URL suivante pour trouver le GUID de l'organisation : https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0 dans l'URL, remplacez-le par votre identifiant {DevOps_org_ID} d' DevOps organisation Azure.

Configurez un IdP dans le. Compte AWS

Pour configurer un fournisseur d'identité (IdP) dans le cadre Compte AWS d'une connexion au service Azure, procédez comme suit :

Pour plus de détails, consultez Comment créer une fédération AWS depuis Azure à DevOps l'aide d'OpenID Connect.

Créez une politique IAM dans le Compte AWS.

Pour créer une politique IAM afin de fournir les autorisations requises au rôle IAM utilisé par le DevOps pipeline Azure, procédez comme suit :

Créez un rôle IAM dans le Compte AWS.

Pour configurer un rôle IAM dans Compte AWS la connexion au service Azure, procédez comme suit :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

Dans la politique, fournissez vos informations pour les espaces réservés suivants :

Créez une connexion de service dans le DevOps compte Azure.

Pour configurer une connexion au service Azure, procédez comme suit :

Pour plus de détails, consultez la section Créer une connexion de service dans la documentation Microsoft.

Ajoutez le rôle IAM au fichier de configuration Amazon EKS.

Le rôle IAM doit disposer des autorisations nécessaires pour effectuer les opérations requises sur le cluster Amazon EKS. Comme il s'agit d'un rôle de pipeline, le rôle IAM doit être capable de gérer presque tous les types de ressources du cluster. Par conséquent, l'autorisation de system:masters groupe est appropriée pour ce rôle.

Pour ajouter la configuration requise à Kubernetes, utilisez le code aws-auth ConfigMap suivant :

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

{account_id}Remplacez-le par votre Compte AWS identifiant.

Pour plus d'informations, consultez Comment Amazon EKS fonctionne avec IAM dans la documentation Amazon EKS.

Créez un pool d'agents auto-hébergé.

Pour configurer un pool d'agents auto-hébergé dans le DevOps compte Azure, procédez comme suit :

Pour plus de détails, consultez la section Création et gestion de pools d'agents dans la documentation Microsoft.

Créez un référentiel Amazon ECR.

Les images Docker utilisées pour déployer l' DevOps agent Azure et l'exemple d'application (webapp) sur le cluster Amazon EKS privé doivent être stockées dans un référentiel Amazon ECR. Pour créer un référentiel Amazon ECR, procédez comme suit :

Pour plus de détails, consultez la section Création d'un référentiel privé Amazon ECR pour stocker des images dans la documentation Amazon ECR.

Créez un Dockerfile pour créer l'agent Azure DevOps .

Créez un Dockerfile pour créer l'image Docker sur laquelle l'agent Azure DevOps est installé. Stockez le contenu suivant dans un fichier nommé Dockerfile :

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Créez un script pour l' DevOps agent Azure.

Pour créer le start.sh script, procédez comme suit :

Créez une image Docker avec l' DevOps agent Azure.

Pour créer une image Docker afin d'installer l' DevOps agent Azure, utilisez le Dockerfile que vous avez créé précédemment pour créer l'image. Dans le répertoire où le Dockerfile est stocké, exécutez les commandes suivantes :

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

Remplacez aws_account_id et region par votre Compte AWS identifiant et Région AWS.

Générez un jeton d'accès personnel Azure.

L'agent exécuté sur le cluster privé Amazon EKS a besoin d'un jeton d'accès personnel (PAT) afin de pouvoir s'authentifier auprès du DevOps compte Azure. Pour générer un PAT, procédez comme suit :

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

Pour plus de détails, voir Enregistrer un agent à l'aide d'un jeton d'accès personnel (PAT) dans la documentation Microsoft.

Utilisez le fichier manifeste Kubernetes pour le déploiement de l'agent.

Pour déployer l' DevOps agent Azure sur le cluster privé Amazon EKS, copiez le fichier manifeste suivant et stockez-le sous le nom agent-deployment.yaml :

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

Remplacez aws_account_id et <Azure account URL> par votre Compte AWS identifiant et l'URL de votre DevOps compte Azure.

Déployez l'agent sur le cluster Amazon EKS privé.

Pour déployer l'agent Azure Devops sur le cluster privé Amazon EKS, utilisez la commande suivante :

kubectl create -f agent-deployment.tf

Vérifiez que l'agent est en cours d'exécution.

Pour vérifier que l' DevOps agent Azure est en cours d'exécution, utilisez la commande suivante :

kubectl get deploy azure-pipelines-agent-eks

Le résultat attendu doit être similaire à ce qui suit :

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

Assurez-vous que la READY colonne s'affiche1/1.

Vérifiez que l'agent est enregistré dans le pool d' DevOps agents Azure.

Pour vérifier que l'agent est déployé sur le cluster privé Amazon EKS et qu'il est enregistré dans le pool d'agentseks-agent, procédez comme suit :

Vous devriez voir un agent répertorié avec un statut en ligne, et le nom de l'agent doit commencer par azure-pipelines-agent-eks-*.

Ajoutez le référentiel d'exemples d'applications à votre GitHub compte.

Ajoutez le référentiel AWS d'échantillons suivant à votre GitHub compte :

https://github.com/aws-samples/deploy-kubernetes-resources-to- amazon-eks-using-azure devops

Créez un pipeline.

Pour créer un pipeline dans votre DevOps compte Azure, procédez comme suit :

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

Vérifiez que l'exemple d'application a été déployé.

Une fois le pipeline terminé, vérifiez le déploiement réussi de l'exemple d'application en vérifiant à la fois le référentiel Amazon ECR et le cluster Amazon EKS.

Pour vérifier les artefacts dans le référentiel Amazon ECR, procédez comme suit :

Par exemple : 20250501.1-image et 20250501.1-helm.

Pour vérifier le déploiement sur le cluster privé Amazon EKS dans l'espace de nomswebapp, utilisez la commande suivante :

kubectl get deploy -n webapp 

La sortie attendue est la suivante :

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

Remarque : s'il s'agit de votre première exécution de pipeline, vous devrez peut-être autoriser la connexion au service et le pool d'agents. Recherchez les demandes d'autorisation dans l'interface du DevOps pipeline Azure et approuvez-les pour continuer.