翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Azure リソースの接続

Azure リソースの統合により、 AWS DevOps Agent はインシデント調査中に Azure サブスクリプション内のリソースを検出して調査できます。エージェントは、リソース検出に Azure リソースグラフを使用し、Azure 環境全体のメトリクス、ログ、および設定データにアクセスできます。

この統合は、 AWS アカウントレベルで Azure を登録し、特定の Azure サブスクリプションを個々のエージェントスペースに関連付けるという 2 つのステップのプロセスに従います。

前提条件

Azure リソースを接続する前に、以下を確認してください。

管理者の同意による Azure リソースの登録

管理者同意メソッドは、 AWS DevOps Agent マネージドアプリケーションで同意ベースのフローを使用します。

ステップ 1: 登録を開始する

ステップ 2: 管理者の同意を完了する

ステップ 3: ユーザー認可を完了する

ステップ 4: ロールを割り当てる

以下の Azure ロールの割り当てを参照してください。メンバーを選択するときに AWS DevOps エージェントを検索します。

アプリ登録による Azure リソースの登録

アプリ登録メソッドは、フェデレーティッド ID 認証情報を使用して独自の Entra アプリケーションを使用します。

ステップ 1: 登録を開始する

ステップ 2: Entra アプリケーションを作成して設定する

コンソールに表示される手順に従って、次の操作を行います。

ステップ 3: 登録の詳細を入力する

登録フォームに以下を入力します。

ステップ 4: IAM ロールを作成する

コンソールから登録を送信すると、IAM ロールが自動的に作成されます。これにより、 AWS DevOps エージェントは認証情報を引き受けて を呼び出すことができますsts:GetWebIdentityToken。

ステップ 5: ロールを割り当てる

以下の「Azure ロールの割り当て」を参照してください。メンバーの選択時に作成した Entra アプリケーションを検索します。

ステップ 6: 登録を完了する

Azure ロールの割り当て

登録後、Azure サブスクリプションへの読み取りアクセスをアプリケーションに付与します。このステップは、管理者の同意方法とアプリ登録方法の両方で同じです。

AKS アクセス設定 (オプション)

ステップ 1: Azure Resource Manager (ARM) レベルのアクセス

Azure Kubernetes Service Cluster ユーザーロールをアプリケーションに割り当てます。

Azure ポータルで、サブスクリプション → サブスクリプションの選択 → アクセスコントロール (IAM) → ロールの割り当ての追加 → Azure Kubernetes サービスクラスターユーザーロールの選択 → アプリケーション (管理者同意用の AWS DevOps エージェント、またはアプリ登録用の独自の Entra アプリケーション) への割り当てに移動します。

これは、サブスクリプション内のすべての AKS クラスターを対象としています。特定のクラスターに限定するには、代わりにリソースグループまたは個々のクラスターレベルで を割り当てます。

ステップ 2: Kubernetes API アクセス

クラスターの認証設定に基づいて 1 つのオプションを選択します。

オプション A: Azure Role-Based Access Control (RBAC) for Kubernetes (推奨)

これは、サブスクリプション内のすべての AKS クラスターを対象としています。

オプション B: Azure Active Directory (Azure AD) + Kubernetes RBAC

クラスターが既にデフォルトの Azure AD 認証設定を使用していて、Azure RBAC を有効にしない場合は、これを使用します。これには、クラスターごとのkubectlセットアップが必要です。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

最小特権のカスタムロール (オプション)

アクセスコントロールを強化するには、広範なリーダーロールではなく、 AWS DevOps Agent が使用するリソースプロバイダーのみを対象とするカスタム Azure ロールを作成できます。

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

サブスクリプションとエージェントスペースの関連付け

アカウントレベルで Azure を登録したら、特定のサブスクリプションを エージェントスペースに関連付けます。

複数のサブスクリプションを同じエージェントスペースに関連付けることで、Azure 環境全体でエージェントを可視化できます。

Azure リソース接続の管理