Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connessione delle risorse di Azure

L'integrazione con Azure Resources consente all' AWS DevOps agente di scoprire e analizzare le risorse nelle sottoscrizioni di Azure durante le indagini sugli incidenti. L'agente utilizza Azure Resource Graph per l'individuazione delle risorse e può accedere a metriche, log e dati di configurazione in tutto l'ambiente Azure.

Questa integrazione segue un processo in due fasi: registra Azure a livello di AWS account, quindi associa sottoscrizioni di Azure specifiche ai singoli Agent Spaces. Puoi creare più di una registrazione di Azure Resources in un account e registrare lo stesso tenant di Azure in più di un account. AWS Se usi App Registration, ogni registrazione deve utilizzare un'applicazione diversa (ID client). Per ulteriori informazioni, vedi Connecting Azure.

Prerequisiti

Prima di connettere Azure Resources, assicurati di avere:

Registrazione delle risorse di Azure tramite il consenso dell'amministratore

Il metodo Admin Consent utilizza un flusso basato sul consenso con l'applicazione gestita dall' AWS DevOps agente.

Fase 1: Avviare la registrazione

Fase 2: Completa il consenso dell'amministratore

Fase 3: Completare l'autorizzazione dell'utente

Fase 4: Assegnazione dei ruoli

Vedi Assegnazione dei ruoli di Azure di seguito. Cerca AWS DevOps Agent quando selezioni i membri.

Registrazione delle risorse di Azure tramite App Registration

Il metodo di registrazione delle app utilizza l'applicazione Entra dell'utente con credenziali di identità federate.

Fase 1: Avviare la registrazione

Fase 2: Creare e configurare l'applicazione Entra

Segui le istruzioni visualizzate nella console per:

Passaggio 3: fornire i dettagli di registrazione

Compila il modulo di registrazione con:

Fase 4: Creare il ruolo IAM

Un ruolo IAM verrà creato automaticamente quando invii la registrazione tramite la console. Consente all' AWS DevOps agente di assumere le credenziali e richiamarle. sts:GetWebIdentityToken

Fase 5: Assegnazione dei ruoli

Vedi Assegnazione dei ruoli di Azure di seguito. Cerca l'applicazione Entra creata durante la selezione dei membri.

Fase 6: Completa la registrazione

Assegnazione dei ruoli di Azure

Dopo la registrazione, concedi all'applicazione l'accesso in lettura alla tua sottoscrizione di Azure. Questo passaggio è lo stesso per i metodi Admin Consent e App Registration.

Configurazione dell'accesso AKS (opzionale)

Passaggio 1: accesso a livello di Azure Resource Manager (ARM)

Assegna il ruolo utente del cluster di servizi Azure Kubernetes all'applicazione.

Nel portale di Azure, vai su Sottoscrizioni → seleziona sottoscrizione → Access Control (IAM) → Aggiungi assegnazione di ruolo → seleziona Ruolo utente di Azure Kubernetes Service Cluster → assegna all'applicazione (AWS DevOps Agent for Admin Consent o la tua applicazione Entra per la registrazione delle app).

Questo copre tutti i cluster AKS della sottoscrizione. Per assegnare l'ambito a cluster specifici, assegnalo invece a livello di gruppo di risorse o di singolo cluster.

Fase 2: accesso all'API Kubernetes

Scegli un'opzione in base alla configurazione di autenticazione del tuo cluster:

Opzione A: Azure Role-Based Access Control (RBAC) per Kubernetes (consigliata)

Questo copre tutti i cluster AKS della sottoscrizione.

Opzione B: Azure Active Directory (Azure AD) + Kubernetes RBAC

Usa questa opzione se il tuo cluster utilizza già la configurazione di autenticazione predefinita di Azure AD e preferisci non abilitare Azure RBAC. Ciò richiede una configurazione per cluster. kubectl

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Least-privileged ruolo personalizzato (opzionale)

Per un controllo degli accessi più rigoroso, puoi creare un ruolo Azure personalizzato riservato solo ai provider di risorse utilizzati da AWS DevOps Agent, invece del ruolo generico di Reader:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Associazione di una sottoscrizione a un Agent Space

Dopo aver registrato Azure a livello di account, associa sottoscrizioni specifiche ai tuoi Agent Spaces:

Puoi associare più sottoscrizioni allo stesso Agent Space, incluse le sottoscrizioni di registrazioni diverse, per dare visibilità all'agente in tutto il tuo ambiente Azure. Per associare un'altra sottoscrizione, ripeti questi passaggi.

Gestione delle connessioni di Azure Resources