Azure DevOps パイプラインからプライベート Amazon EKS クラスターにワークロードをデプロイする

Azure DevOps の組織 GUID を検索する。

Azure DevOps アカウントにサインインし、次の URL (https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0) を使用して組織の GUID を検索します。この URL で、{DevOps_org_ID} は Azure DevOps の組織 ID に置き換えてください。

AWS アカウントで IdP を設定する。

Azure サービス接続 AWS アカウント 用に で ID プロバイダー (IdP) を設定するには、次の手順を実行します。

詳細については、OpenID Connect を使用して Azure DevOps AWS から にフェデレーションする方法」を参照してください。

AWS アカウントで IAM ポリシーを作成する。

Azure DevOps パイプラインで使用される IAM ロールに必要なアクセス権限を付与する IAM ポリシーを作成するには、次の手順を実行します。

AWS アカウントで IAM ロールを作成する。

Azure サービス接続 AWS アカウント 用に で IAM ロールを設定するには、次の手順を実行します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

ポリシーで、次のプレースホルダーの情報を指定します。

Azure DevOps アカウントでサービス接続を作成する。

Azure サービス接続を設定するには、次の手順を実行します。

詳細は、Microsoft ドキュメントの「Create a service connection」を参照してください。

Amazon EKS 設定ファイルに IAM ロールを追加する。

IAM ロールには、Amazon EKS クラスターで必要なオペレーションを実行するためのアクセス権限が必要です。パイプラインロールであるため、IAM ロールでクラスター上のほぼすべてのタイプのリソースを管理できる必要があります。そのため、このロールには system:masters グループアクセス権限が適しています。

必要な設定を Kubernetes 内の aws-auth ConfigMap に追加するには、次のコードを使用します。

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

を AWS アカウント ID {account_id}に置き換えます。

詳細は、Amazon EKS ドキュメントの「Amazon EKS で IAM を使用する方法」を参照してください。

セルフホスト型エージェントプールを作成する。

Azure DevOps アカウントでセルフホスト型エージェントプールを設定するには、次の手順を実行します。

詳細については、Microsoft ドキュメントの「Create and manage agent pools」を参照してください。

Amazon ECR リポジトリを作成します。

Azure DevOps エージェントとサンプルアプリケーション (webapp) をプライベート Amazon EKS クラスターにデプロイするために使用される Docker イメージは、Amazon ECR リポジトリに保存する必要があります。Amazon ECR リポジトリを作成するには、次の手順に従います。

詳細は、Amazon ECR ドキュメントの「Creating an Amazon ECR private repository to store images」を参照してください。

Dockerfile を作成して Azure DevOps エージェントを構築する。

Dockerfile を作成して、Azure DevOps エージェントがインストールされている Docker イメージを構築します。次の内容を Dockerfile という名前のファイルに保存します。

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Azure DevOps エージェント用のスクリプトを作成する。

start.sh スクリプトを作成するには、次の手順を実行します。

Azure DevOps エージェントを使用して Docker イメージを構築する。

Azure DevOps エージェントをインストールするための Docker イメージを作成するには、前に作成した Dockerfile を使用してイメージを構築します。Dockerfile を保存したのと同じディレクトリで、以下のコマンドを実行します。

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

aws_account_id と を AWS アカウント ID と region に置き換えます AWS リージョン。

Azure 個人アクセストークンを生成する。

プライベート Amazon EKS クラスターで動作するエージェントには、Azure DevOps アカウントで認証できるように個人アクセストークン (PAT) が必要です。PAT を生成するには、次の手順を実行します。

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

詳細は、Microsoft ドキュメントの「Register an agent using a personal access token (PAT)」を参照してください。

エージェントのデプロイに Kubernetes マニフェストファイルを使用する。

Azure DevOps エージェントをプライベート Amazon EKS クラスターにデプロイするには、次のマニフェストファイルをコピーし、agent-deployment.yaml として保存します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

aws_account_id と を AWS アカウント ID と Azure DevOps アカウント URL <Azure account URL>に置き換えます。

エージェントをプライベート Amazon EKS クラスターにデプロイする。

Azure DevOps エージェントをプライベート Amazon EKS クラスターにデプロイするには、次のコマンドを実行します。

kubectl create -f agent-deployment.tf

エージェントが実行されていることを確認する

Azure DevOps エージェントが実行されていることを確認するには、次のコマンドを使用します。

kubectl get deploy azure-pipelines-agent-eks

次のような内容が出力されます。

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

READY 列に 1/1 が表示されていることを確認します。

エージェントが Azure DevOps エージェントプールに登録されていることを確認する。

エージェントがプライベート Amazon EKS クラスターにデプロイされ、エージェントプール eks-agent に登録されていることを確認するには、次の手順を実行します。

[Status] が [Online] のエージェントが 1 つ表示されます。エージェントの名前は、azure-pipelines-agent-eks-* で始まっているはずです。

サンプルアプリケーションリポジトリを GitHub アカウントにフォークする。

次の AWS サンプルリポジトリを GitHub アカウントにフォークします。

https://github.com/aws-samples/deploy-kubernetes-resources-to-amazon-eks-using-azure-devops

パイプラインを作成する

Azure DevOps アカウントでパイプラインを作成するには、次の手順を実行します。

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

サンプルアプリケーションがデプロイされていることを確認する。

パイプラインが完了したら、Amazon ECR リポジトリと Amazon EKS クラスターの両方をチェックして、サンプルアプリケーションのデプロイが成功したことを確認します。

Amazon ECR リポジトリのアーティファクトを検証するには、次の手順を実行します。

例えば、20250501.1-image と 20250501.1-helm です。

名前空間 webapp のプライベート Amazon EKS クラスターでのデプロイを確認するには、次のコマンドを実行します。

kubectl get deploy -n webapp 

予想される出力は次のようになります。

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

注: これが最初のパイプライン実行である場合は、サービス接続とエージェントプールの承認が必要となる場合があります。Azure DevOps パイプラインインターフェイスでアクセス許可リクエストを探し、承認して続行します。