Azure DevOps パイプラインからプライベート Amazon EKS クラスターにワークロードをデプロイする

Azure DevOps 組織 GUID を検索します。

Azure DevOps アカウントにサインインし、次の URL を使用して組織 GUID を検索します。URL https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0 で、 を Azure DevOps 組織 ID {DevOps_org_ID}に置き換えます。

で IdP を設定します AWS アカウント。

Azure サービス接続 AWS アカウント の で ID プロバイダー (IdP) を設定するには、次の手順を実行します。

詳細については、OpenID Connect を使用して Azure DevOps AWS から にフェデレーションする方法」を参照してください。

で IAM ポリシーを作成します AWS アカウント。

Azure DevOps パイプラインで使用される IAM ロールに必要なアクセス許可を付与する IAM ポリシーを作成するには、次の手順を実行します。

で IAM ロールを作成します AWS アカウント。

Azure サービス接続 AWS アカウント の で IAM ロールを設定するには、次の手順を実行します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

ポリシーで、次のプレースホルダーの情報を指定します。

Azure DevOps アカウントにサービス接続を作成します。

Azure サービス接続を設定するには、次の手順を実行します。

詳細については、Microsoft ドキュメントの「サービス接続の作成」を参照してください。

Amazon EKS 設定ファイルに IAM ロールを追加します。

IAM ロールには、Amazon EKS クラスターで必要なオペレーションを実行するために必要なアクセス許可が必要です。パイプラインロールであるため、IAM ロールはクラスター上のほぼすべてのタイプのリソースを管理できる必要があります。したがって、system:mastersグループアクセス許可はこのロールに適しています。

Kubernetes aws-auth ConfigMap内の に必要な設定を追加するには、次のコードを使用します。

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

を AWS アカウント ID {account_id}に置き換えます。

詳細については、Amazon EKS ドキュメントの「Amazon EKS と IAM の連携方法」を参照してください。

セルフホスト型エージェントプールを作成します。

Azure DevOps アカウントでセルフホスト型エージェントプールを設定するには、次の手順を実行します。

詳細については、Microsoft ドキュメントの「エージェントプールの作成と管理」を参照してください。

Amazon ECR リポジトリを作成します。

Azure DevOps エージェントとサンプルアプリケーション (webapp) をプライベート Amazon EKS クラスターにデプロイするために使用される Docker イメージは、Amazon ECR リポジトリに保存する必要があります。Amazon ECR リポジトリを作成するには、次の手順を実行します。

詳細については、「Amazon ECR ドキュメント」の「Creating an Amazon ECR private repository to store images」を参照してください。

Dockerfile を作成して Azure DevOps エージェントを構築します。

Dockerfile を作成して、Azure DevOps エージェントがインストールされている Docker イメージを構築します。次のコンテンツを という名前のファイルに保存しますDockerfile。

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Azure DevOps エージェント用のスクリプトを作成します。

start.sh スクリプトを作成するには、次の手順を実行します。

Azure DevOps エージェントを使用して Docker イメージを構築します。

Azure DevOps エージェントをインストールする Docker イメージを作成するには、前に作成した Dockerfile を使用してイメージを構築します。Dockerfile が保存されているのと同じディレクトリで、次のコマンドを実行します。

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

aws_account_id と を AWS アカウント ID と region に置き換えます AWS リージョン。

Azure 個人用アクセストークンを生成します。

プライベート Amazon EKS クラスターで実行されているエージェントには、Azure DevOps アカウントで認証できるように個人用アクセストークン (PAT) が必要です。PAT を生成するには、次の手順を実行します。

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

詳細については、Microsoft ドキュメントの「個人用アクセストークン (PAT) を使用してエージェントを登録する」を参照してください。

エージェントデプロイには Kubernetes マニフェストファイルを使用します。

Azure DevOps エージェントをプライベート Amazon EKS クラスターにデプロイするには、次のマニフェストファイルをコピーし、ファイルを として保存しますagent-deployment.yaml。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

aws_account_id と を AWS アカウント ID と Azure DevOps アカウント URL <Azure account URL>に置き換えます。

プライベート Amazon EKS クラスターにエージェントをデプロイします。

Azure Devops エージェントをプライベート Amazon EKS クラスターにデプロイするには、次のコマンドを使用します。

kubectl create -f agent-deployment.tf

エージェントが実行されていることを確認します。

Azure DevOps エージェントが実行されていることを確認するには、次のコマンドを使用します。

kubectl get deploy azure-pipelines-agent-eks

予想される出力は次のようになります。

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

READY 列に が表示されていることを確認します1/1。

エージェントが Azure DevOps エージェントプールに登録されていることを確認します。

エージェントがプライベート Amazon EKS クラスターにデプロイされ、エージェントプール に登録されていることを確認するにはeks-agent、次の手順を実行します。

ステータスがオンラインのエージェントが 1 つ表示され、エージェントの名前が azure-pipelines-agent-eks-* で始まるはずです。

サンプルアプリケーションリポジトリを GitHub アカウントにフォークします。

次の AWS サンプルリポジトリを GitHub アカウントにフォークします。

https://github.com/aws-samples/deploy-kubernetes-resources-to-amazon-eks-using-azure-devops

パイプラインを作成する

Azure DevOps アカウントにパイプラインを作成するには、次の手順を実行します。

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

サンプルアプリケーションがデプロイされていることを確認します。

パイプラインが完了したら、Amazon ECR リポジトリと Amazon EKS クラスターの両方をチェックして、サンプルアプリケーションのデプロイが成功したことを確認します。

Amazon ECR リポジトリのアーティファクトを検証するには、次の手順を実行します。

例えば、20250501.1-image と 20250501.1-helm です。

名前空間 のプライベート Amazon EKS クラスターでのデプロイを確認するにはwebapp、次のコマンドを使用します。

kubectl get deploy -n webapp 

予想される出力は次のようになります。

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

注: これが最初のパイプライン実行である場合は、サービス接続とエージェントプールを承認する必要がある場合があります。Azure DevOps パイプラインインターフェイスでアクセス許可リクエストを探し、それらを承認して続行します。