Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione delle risorse di Azure

L'integrazione con Azure Resources consente all' AWS DevOps agente di scoprire e analizzare le risorse nelle sottoscrizioni di Azure durante le indagini sugli incidenti. L'agente usa Azure Resource Graph per l'individuazione delle risorse e può accedere a metriche, log e dati di configurazione nell'ambiente Azure.

Questa integrazione segue un processo in due fasi: registrare Azure a livello di AWS account, quindi associare sottoscrizioni Azure specifiche a singoli Agent Spaces.

Prerequisiti

Prima di connettere Azure Resources, assicurati di avere:

Registrazione delle risorse di Azure tramite il consenso dell'amministratore

Il metodo Admin Consent utilizza un flusso basato sul consenso con l'applicazione gestita dall' AWS DevOps agente.

Fase 1: Avviare la registrazione

Fase 2: Completa il consenso dell'amministratore

Fase 3: Autorizzazione utente completa

Fase 4: Assegnazione dei ruoli

Vedi Assegnazione dei ruoli di Azure di seguito. Cerca AWS DevOps Agent quando selezioni i membri.

Registrazione delle risorse di Azure tramite la registrazione dell'app

Il metodo di registrazione dell'app utilizza la tua applicazione Entra con credenziali di identità federate.

Fase 1: Avviare la registrazione

Fase 2: Creare e configurare l'applicazione Entra

Segui le istruzioni visualizzate nella console per:

Fase 3: Fornire i dettagli di registrazione

Compila il modulo di registrazione con:

Fase 4: Creare il ruolo IAM

Un ruolo IAM verrà creato automaticamente quando invii la registrazione tramite la console. Consente all' AWS DevOps agente di assumere le credenziali e di richiamare. sts:GetWebIdentityToken

Fase 5: Assegnazione dei ruoli

Vedi Assegnazione dei ruoli di Azure di seguito. Cerca l'applicazione Entra che hai creato durante la selezione dei membri.

Fase 6: Completare la registrazione

Assegnazione dei ruoli di Azure

Dopo la registrazione, concedi all'applicazione l'accesso in lettura alla tua sottoscrizione di Azure. Questo passaggio è lo stesso per i metodi di consenso dell'amministratore e di registrazione dell'app.

Configurazione dell'accesso AKS (opzionale)

Passaggio 1: accesso a livello di Azure Resource Manager (ARM)

Assegna il ruolo utente del cluster di servizio Azure Kubernetes all'applicazione.

Nel portale di Azure, vai a Sottoscrizioni → seleziona abbonamento → Controllo di accesso (IAM) → Aggiungi assegnazione di ruolo → seleziona Ruolo utente del cluster di servizio Azure Kubernetes → assegna all'applicazione (AWS DevOps Agent for Admin Consent o la tua applicazione Entra per la registrazione delle app).

Questo copre tutti i cluster AKS inclusi nell'abbonamento. Per limitarti a cluster specifici, assegnali invece a livello di gruppo di risorse o di singolo cluster.

Fase 2: accesso all'API Kubernetes

Scegli un'opzione in base alla configurazione di autenticazione del cluster:

Opzione A: Azure Role-Based Access Control (RBAC) per Kubernetes (consigliato)

Questo copre tutti i cluster AKS nell'abbonamento.

Opzione B: Azure Active Directory (Azure AD) +Kubernetes RBAC

Usala se il tuo cluster usa già la configurazione di autenticazione predefinita di Azure AD e preferisci non abilitare Azure RBAC. Ciò richiede una configurazione per cluster. kubectl

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Least-privileged ruolo personalizzato (opzionale)

Per un controllo più rigoroso degli accessi, puoi creare un ruolo di Azure personalizzato riservato solo ai provider di risorse utilizzati da AWS DevOps Agent, anziché l'ampio ruolo Reader:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Associazione di una sottoscrizione a un Agent Space

Dopo aver registrato Azure a livello di account, associa sottoscrizioni specifiche ai tuoi Agent Spaces:

Puoi associare più sottoscrizioni allo stesso Agent Space per offrire all'agente visibilità nel tuo ambiente Azure.

Gestione delle connessioni di Azure Resources