Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menghubungkan Sumber Daya Azure

Integrasi Azure Resources memungkinkan AWS DevOps Agen menemukan dan menyelidiki sumber daya di langganan Azure Anda selama penyelidikan insiden. Agen menggunakan Azure Resource Graph untuk penemuan sumber daya dan dapat mengakses metrik, log, dan data konfigurasi di seluruh lingkungan Azure Anda.

Integrasi ini mengikuti proses dua langkah: daftarkan Azure di tingkat AWS akun, lalu kaitkan langganan Azure tertentu dengan Spaces Agen individual. Anda dapat membuat lebih dari satu pendaftaran Sumber Daya Azure di akun, dan mendaftarkan penyewa Azure yang sama di lebih dari satu AWS akun. Jika Anda menggunakan Pendaftaran Aplikasi, setiap pendaftaran harus menggunakan aplikasi yang berbeda (ID klien). Untuk informasi selengkapnya, lihat Mengh ubungkan Azure.

Prasyarat

Sebelum menghubungkan Azure Resources, pastikan Anda memiliki:

Mendaftarkan Sumber Daya Azure melalui Persetujuan Admin

Metode Persetujuan Admin menggunakan alur berbasis persetujuan dengan aplikasi yang dikelola AWS DevOps Agen.

Langkah 1: Mulai pendaftaran

Langkah 2: Persetujuan Admin Lengkap

Langkah 3: Selesaikan otorisasi pengguna

Langkah 4: Tetapkan peran

Lihat Men etapkan peran Azure di bawah ini. Cari AWS DevOps Agen saat memilih anggota.

Mendaftarkan Sumber Daya Azure melalui Pendaftaran Aplikasi

Metode Pendaftaran Aplikasi menggunakan aplikasi Entra Anda sendiri dengan kredentif identitas federasi.

Langkah 1: Mulai pendaftaran

Langkah 2: Buat dan konfigurasikan aplikasi Entra Anda

Ikuti petunjuk yang ditampilkan di konsol untuk:

Langkah 3: Berikan rincian pendaftaran

Isi formulir pendaftaran dengan:

Langkah 4: Buat peran IAM

Peran IAM akan dibuat secara otomatis saat Anda mengirimkan pendaftaran melalui konsol. Ini memungkinkan A AWS DevOps gen untuk mengambil kredensi dan memanggil. sts:GetWebIdentityToken

Langkah 5: Tetapkan peran

Lihat Men etapkan peran Azure di bawah ini. Cari aplikasi Entra yang Anda buat saat memilih anggota.

Langkah 6: Selesaikan pendaftaran

Menetapkan peran Azure

Setelah pendaftaran, berikan akses baca aplikasi ke langganan Azure Anda. Langkah ini sama untuk metode Persetujuan Admin dan Pendaftaran Aplikasi.

Pengaturan akses AKS (opsional)

Langkah 1: Akses tingkat Azure Resource Manager (ARM)

Tetapkan Peran Pengguna Cluster Layanan Azure Kubernetes ke aplikasi.

Di Portal Azure, buka Langganan → pilih langganan → Kontrol Akses (IAM) → Tambahkan penetapan peran → pilih Peran Pengguna Cluster Layanan Azure Kubernetes → tetapkan ke aplikasi (baik AWS DevOps Agen untuk Persetujuan Admin, atau aplikasi Entra Anda sendiri untuk Pendaftaran Aplikasi).

Ini mencakup semua cluster AKS dalam langganan. Untuk menjangkau ke cluster tertentu, tetapkan pada kelompok sumber daya atau tingkat cluster individu sebagai gantinya.

Langkah 2: Akses API Kubernetes

Pilih satu opsi berdasarkan konfigurasi otentikasi cluster Anda:

Opsi A: Azure Role-Based Access Control (RBAC) untuk Kubernetes (disarankan)

Ini mencakup semua cluster AKS dalam langganan.

Opsi B: Direktori Aktif Azure (Azure AD) +Kubernetes RBAC

Gunakan ini jika cluster Anda sudah menggunakan konfigurasi otentikasi Azure AD default dan Anda memilih untuk tidak mengaktifkan Azure RBAC. Ini membutuhkan kubectl pengaturan per cluster.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Least-privileged peran khusus (opsional)

Untuk kontrol akses yang lebih ketat, Anda dapat membuat peran Azure kustom yang hanya dicakup oleh penyedia sumber daya yang digunakan AWS DevOps Agen, bukan peran Pembaca yang luas:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Mengaitkan langganan dengan Ruang Agen

Setelah mendaftarkan Azure di tingkat akun, kaitkan langganan tertentu dengan Ruang Agen Anda:

Anda dapat mengaitkan beberapa langganan dengan Ruang Agen yang sama, termasuk langganan dari pendaftaran yang berbeda, untuk memberikan visibilitas agen di seluruh lingkungan Azure Anda. Untuk mengaitkan langganan lain, ulangi langkah-langkah ini.

Mengelola koneksi Azure Resources