翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Terraform を使用した AWS DevOps エージェントの開始方法

概要:

このガイドでは、Terraform を使用して AWS DevOps エージェントリソースを作成およびデプロイする方法を示します。Terraform 設定は、エージェントスペース、IAM ロール、オペレーターアプリ、および AWS アカウントの関連付けの作成を自動化します。

Terraform アプローチは、必要なすべてのリソースをコードとしてのインフラストラクチャとして定義することで、 CLI オンボーディングガイドで説明されている手動ステップを自動化します。

AWS DevOps エージェントは、米国東部 (バージニア北部）、米国西部 (オレゴン）、アジアパシフィック (シドニー）、アジアパシフィック (東京）、欧州 (フランクフルト）、欧州 (アイルランド) の 6 つの AWS リージョンで利用できます。サポートされているリージョンの詳細については、「」を参照してくださいサポートされるリージョン。

前提条件

作業を開始する前に、次の項目があることを確認します。

このガイドで取り上げる内容

このガイドは 2 つのパートに分かれています。

作成されるリソース

パート 1: アカウントのモニタリング

パート 2: サービスアカウント (オプション)

セットアップ

ステップ 1: サンプルリポジトリのクローンを作成する

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

ステップ 2: 変数を設定する

サンプル変数ファイルをコピーし、環境に合わせてカスタマイズします。

cp terraform.tfvars.example terraform.tfvars

エージェントスペースの名前と説明terraform.tfvarsを使用して を編集します。

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

パート 1: エージェントスペースをデプロイする

このセクションでは、モニタリングアカウントにエージェントスペース、IAM ロール、オペレーターアプリ、および AWS 関連付けを作成します。

ステップ 1: 自動化を使用してデプロイする (推奨)

提供されているデプロイスクリプトを使用して、セットアップを合理化します。

./deploy.sh

このスクリプトは自動的に次のようになります。

または、手動制御が必要な場合は、次の操作を行います。

terraform init
terraform plan
terraform apply

デプロイを確認するプロンプトが表示されyesたら、 と入力します。

ステップ 2: 出力を記録する

デプロイが完了すると、Terraform は出力を出力します。後で使用するために、これらの値を記録します。

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

パート 2 を完了する予定がある場合は、agent_space_arn値を保存します。サービスアカウントリソースを設定するには、これが必要です。

ステップ 3: デプロイを検証する

デプロイ後の検証スクリプトを実行します。

./post-deploy.sh

または、CLI AWS を使用して、エージェントスペースが正常に作成されたことを確認します。

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

この時点で、エージェントスペースはオペレーターアプリが有効で、モニタリングアカウントが関連付けられている状態でデプロイされます。エージェントはこのアカウントの問題をモニタリングできます。

パート 2 (オプション): クロスアカウントモニタリングを追加する

このセクションでは、エージェントスペースが 2 番目の AWS アカウント (サービスアカウント) のリソースをモニタリングできるようにセットアップを拡張します。これには、次の 2 つのアクションが含まれます。

ステップ 1: サービスアカウント ID を設定する

でterraform.tfvars、サービスアカウント ID を設定します。

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

ステップ 2: エージェントスペース ARN を設定する

パート 1 出力 (ステップ 2) からagent_space_arn値をコピーし、 で設定しますterraform.tfvars。

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

サービスアカウントリソースは、この値を使用して、セカンダリアカウントロールの信頼ポリシーの範囲を設定します。これらのリソースは、この値が設定されている場合にのみ作成されます。

ステップ 3: 「aws.service」プロバイダーを設定する

でmain.tf、サービスアカウントの認証情報を使用してaws.serviceプロバイダーエイリアスを設定します。名前付きプロファイルまたは継承ロールを使用できます。

プロファイルの使用:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

または、継承ロールを使用します。

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

ステップ 4: デプロイする

更新された設定を適用します。

terraform apply

これにより、サービスアカウントに次のリソースが作成されます。

また、サービスアカウントをリンクするソース AWS 関連付けをモニタリングアカウントに作成します。

ステップ 5: デプロイを検証する

エコーサービスをテストして、Lambda 関数が正常にデプロイされたことを確認します。

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

トラブルシューティング

IAM 伝達の遅延

アクセス許可エラー

クロスアカウントデプロイが失敗する

Terraform リソースタイプが見つかりません

クリーンアップ

すべてのリソースを削除するには、パート 2 をデプロイした場合は逆の順序で破棄します。

./cleanup.sh

または、手動で以下を実行します。

terraform destroy

警告: これにより、エージェントスペースと関連するすべてのデータが完全に削除されます。続行する前に、重要な情報をバックアップしていることを確認してください。

セキュリティに関する考慮事項

次の手順

Terraform を使用して AWS DevOps エージェントをデプロイした後:

その他のリソース