Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Nozioni di base su AWS DevOps Agente che utilizza Terraform

Panoramica di

Questa guida mostra come utilizzare Terraform per creare e distribuire AWS DevOps risorse per gli agenti. La configurazione Terraform automatizza la creazione di uno spazio agente, dei ruoli IAM, di un'app per operatori e delle associazioni di account. AWS

L'approccio Terraform automatizza i passaggi manuali descritti nella guida all'onboarding della CLI definendo tutte le risorse richieste come infrastruttura come codice.

AWS DevOps Agent è disponibile nelle seguenti 6 AWS regioni: Stati Uniti orientali (Virginia settentrionale), Stati Uniti occidentali (Oregon), Asia Pacifico (Sydney), Asia Pacifico (Tokyo), Europa (Francoforte) ed Europa (Irlanda). Per ulteriori informazioni sulle regioni supportate, consulta. Regioni supportate

Prerequisiti

Prima di iniziare, assicurati di disporre di:

Cosa copre questa guida

Questa guida è divisa in tre parti:

Risorse create

Parte 1: Account di monitoraggio

Parte 2: Account di servizio (opzionale)

Configurazione

Fase 1: clonare il repository di esempio

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Fase 2: Configurazione delle variabili

Copia il file delle variabili di esempio e personalizzalo per il tuo ambiente:

cp terraform.tfvars.example terraform.tfvars

Modifica terraform.tfvars con il nome e la descrizione dello spazio agente:

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Parte 1: Distribuisci lo spazio per gli agenti

In questa sezione, crei lo spazio dell'agente, i ruoli IAM, l'app per gli operatori e un' AWS associazione nel tuo account di monitoraggio.

Fase 1: Implementazione con automazione (consigliata)

Utilizza lo script di distribuzione fornito per una configurazione semplificata:

./deploy.sh

Questo script automaticamente:

In alternativa, se preferisci il controllo manuale:

terraform init
terraform plan
terraform apply

Digita yes quando richiesto per confermare la distribuzione.

Fase 2: Registrare gli output

Al termine della distribuzione, Terraform stampa gli output. Registra questi valori per un uso successivo:

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Se prevedi di completare la parte 2, salva il agent_space_arn valore. Ti servirà per configurare le risorse dell'account di servizio.

Passaggio 3: verifica la distribuzione

Esegui lo script di verifica post-distribuzione:

./post-deploy.sh

Oppure utilizza la AWS CLI per verificare che lo spazio dell'agente sia stato creato correttamente:

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

A questo punto, lo spazio dell'agente viene distribuito con l'app operatore abilitata e il tuo account di monitoraggio associato. L'agente può monitorare i problemi relativi a questo account.

Parte 2 (opzionale): aggiungere il monitoraggio su più account

In questa sezione, estendi la configurazione in modo che lo spazio dell'agente possa monitorare le risorse in un secondo AWS account (l'account di servizio). Ciò comporta due azioni:

Fase 1: Configurare l'ID dell'account di servizio

Interraform.tfvars, imposta l'ID del tuo account di servizio:

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Passaggio 2: imposta l'ARN dello spazio agente

Copia il agent_space_arn valore dall'output della Parte 1 (Fase 2) e impostalo interraform.tfvars:

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Le risorse dell'account di servizio utilizzano questo valore per definire la politica di fiducia sul ruolo secondario dell'account. Queste risorse vengono create solo quando questo valore è impostato.

Fase 3: Configurare il provider `aws.service`

Inmain.tf, configura l'alias del aws.service provider con le credenziali per l'account di servizio. È possibile utilizzare un profilo denominato o assumere un ruolo:

Usare un profilo:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

Oppure usando assumi ruolo:

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Fase 4: distribuzione

Applica la configurazione aggiornata:

terraform apply

Questo crea le seguenti risorse nell'account del servizio:

Crea inoltre un' AWS associazione di origine nell'account di monitoraggio che collega l'account del servizio.

Fase 5: Verifica la distribuzione

Prova il servizio echo per confermare che la funzione Lambda è stata implementata correttamente:

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Parte 3 (opzionale): registrazione delle integrazioni di terze parti

In questa sezione, registri i servizi esterni (Dynatrace, Splunk ServiceNow, New Relic, GitLab, PagerDuty) con lo spazio agente. Queste integrazioni consentono all' AWS DevOps agente di accedere alla telemetria, ai dati sugli incidenti e alle informazioni sul controllo del codice sorgente durante le indagini.

A differenza dell'esempio AWS CDK, che richiede una IntegrationsStack fase separata e il cablaggio manuale dell'ID dello spazio dell'agente, queste risorse fanno riferimento direttamente allo spazio dell'agente e possono essere implementate come nella Parte 1. terraform apply

Integrazioni supportate

Passaggio 1: configurare le credenziali di integrazione

Aggiungi un integrations blocco aterraform.tfvars, compilando solo i servizi che desideri. L'esempio seguente mostra un'integrazione con Dynatrace:

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Per la forma completa di ogni integrazione, vedi terraform.tfvars.example nel repository di esempio.

ServiceNow requisito: impostato sempre in instance_id modo esplicito sul nome breve dell'istanza (ad esempio, "ven04972" non il nome completoinstance_url). Se instance_id viene omesso, l'associazione ritorna ainstance_url, che l'API dell' DevOps agente rifiuta con un. 400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance

Sicurezza: la integrations variabile è contrassegnatasensitive, quindi i suoi valori vengono cancellati dal piano e applicati all'output. Non inviare credenziali reali a. terraform.tfvars Per la produzione, crea i AWS segreti da Secrets Manager o AWS Systems Manager Parameter Store (ad esempio, utilizzando data sorgenti) anziché testo normale.

Fase 2: distribuzione

Applica la configurazione:

terraform apply

Questo crea una registrazione e un'associazione del servizio per ogni integrazione abilitata.

Fase 3: Rivedi i risultati

Al termine della distribuzione, gli output di integrazione associano ciascun servizio abilitato ai relativi ID registrati:

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Per ulteriori informazioni sulla configurazione delle credenziali per ciascun servizio, consulta:

Utilizzo dei ruoli IAM esistenti (opzionale)

Per impostazione predefinita, la configurazione Terraform crea nuovi ruoli IAM per lo spazio dell'agente e l'app operatore. Se disponi già di ruoli IAM con le policy richieste, puoi saltare la creazione dei ruoli e fornire invece gli ARN dei ruoli esistenti.

Requisiti

I ruoli esistenti devono soddisfare i seguenti requisiti:

Ruolo nello spazio dell'agente

Ruolo dell'operatore nell'app

Configurazione

Interraform.tfvars, imposta uno o entrambi gli ARN dei ruoli:

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Quando questi valori sono impostati, le risorse di ruolo corrispondenti iam.tf vengono ignorate. Questo approccio è completamente compatibile con le versioni precedenti: le configurazioni esistenti con valori vuoti (impostazione predefinita) mantengono il comportamento corrente di creazione dei ruoli.

Risoluzione dei problemi

Ritardi di propagazione IAM

ServiceNow instanceId does not matcherrore

Associazione Dynatrace status: invalid

Errori di autorizzazione

Cross-account la distribuzione non riesce

Tipo di risorsa Terraform non trovato

Pulizia

Per rimuovere tutte le risorse, distruggile in ordine inverso se hai implementato la Parte 2:

./cleanup.sh

O manualmente:

terraform destroy

Avviso: questa operazione elimina definitivamente lo spazio dell'agente e tutti i dati associati. Assicurati di aver eseguito il backup di tutte le informazioni importanti prima di procedere.

Considerazioni relative alla sicurezza

Fasi successive

Dopo aver distribuito il tuo AWS DevOps agente utilizzando Terraform:

Risorse aggiuntive