Azure DevOps 파이프라인에서 프라이빗 Amazon EKS 클러스터로 워크로드 배포

Azure DevOps 조직 GUID를 찾습니다.

Azure DevOps 계정에 로그인한 다음 다음 URL을 사용하여 조직 GUID를 찾습니다. URLhttps://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0에서를 Azure DevOps 조직 ID{DevOps_org_ID}로 바꿉니다.

에서 IdP를 구성합니다 AWS 계정.

Azure 서비스 연결을 AWS 계정 위해에서 ID 제공업체(IdP)를 구성하려면 다음 단계를 사용합니다.

자세한 내용은 OpenID Connect를 사용하여 Azure DevOps AWS 에서 로 페더레이션하는 방법을 참조하세요.

에서 IAM 정책을 생성합니다 AWS 계정.

Azure DevOps 파이프라인에서 사용하는 IAM 역할에 필요한 권한을 제공하는 IAM 정책을 생성하려면 다음 단계를 사용합니다.

에서 IAM 역할을 생성합니다 AWS 계정.

Azure 서비스 연결을 AWS 계정 위해에서 IAM 역할을 구성하려면 다음 단계를 사용합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

정책에서 다음 자리 표시자에 대한 정보를 제공합니다.

Azure DevOps 계정에서 서비스 연결을 생성합니다.

Azure 서비스 연결을 구성하려면 다음 단계를 사용합니다.

자세한 내용은 Microsoft 설명서의 서비스 연결 생성을 참조하세요.

Amazon EKS 구성 파일에 IAM 역할을 추가합니다.

IAM 역할에는 Amazon EKS 클러스터에서 필요한 작업을 수행하는 데 필요한 권한이 있어야 합니다. 파이프라인 역할이므로 IAM 역할은 클러스터에서 거의 모든 유형의 리소스를 관리할 수 있어야 합니다. 따라서 system:masters 그룹 권한은이 역할에 적합합니다.

Kubernetes aws-auth ConfigMap 내의에 필요한 구성을 추가하려면 다음 코드를 사용합니다.

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

를 AWS 계정 ID{account_id}로 바꿉니다.

자세한 내용은 Amazon EKS 설명서의 Amazon EKS에서 IAM을 사용하는 방법을 참조하세요.

자체 호스팅 에이전트 풀을 생성합니다.

Azure DevOps 계정에서 자체 호스팅 에이전트 풀을 구성하려면 다음 단계를 사용합니다.

자세한 내용은 Microsoft 설명서의 에이전트 풀 생성 및 관리를 참조하세요.

Amazon ECR 리포지토리를 생성합니다.

프라이빗 Amazon EKS 클러스터에 Azure DevOps 에이전트 및 샘플 애플리케이션(webapp)을 배포하는 데 사용되는 Docker 이미지는 Amazon ECR 리포지토리에 저장되어야 합니다. Amazon ECR 리포지토리를 생성하려면 다음 단계를 사용합니다.

자세한 내용은 Amazon ECR 설명서의 이미지를 저장할 Amazon ECR 프라이빗 리포지토리 생성을 참조하세요.

Dockerfile을 생성하여 Azure DevOps 에이전트를 빌드합니다.

Dockerfile을 생성하여 Azure DevOps 에이전트가 설치된 Docker 이미지를 빌드합니다. 다음 콘텐츠를 라는 파일에 저장합니다Dockerfile.

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Azure DevOps 에이전트용 스크립트를 생성합니다.

start.sh 스크립트를 생성하려면 다음 단계를 사용합니다.

Azure DevOps 에이전트를 사용하여 Docker 이미지를 빌드합니다.

Azure DevOps 에이전트를 설치할 Docker 이미지를 생성하려면 이전에 생성한 Dockerfile을 사용하여 이미지를 빌드합니다. Dockerfile이 저장된 디렉터리와 동일한 디렉터리에서 다음 명령을 실행합니다.

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

aws_account_id 및를 AWS 계정 ID 및 region 로 바꿉니다 AWS 리전.

Azure 개인 액세스 토큰을 생성합니다.

프라이빗 Amazon EKS 클러스터에서 실행되는 에이전트는 Azure DevOps 계정으로 인증할 수 있도록 개인 액세스 토큰(PAT)이 필요합니다. PAT를 생성하려면 다음 단계를 사용합니다.

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

자세한 내용은 Microsoft 설명서의 개인 액세스 토큰(PAT)을 사용하여 에이전트 등록을 참조하세요.

에이전트 배포에 Kubernetes 매니페스트 파일을 사용합니다.

프라이빗 Amazon EKS 클러스터에 Azure DevOps 에이전트를 배포하려면 다음 매니페스트 파일을 복사하고 파일을 로 저장합니다. agent-deployment.yaml

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

aws_account_id 및를 AWS 계정 ID 및 Azure DevOps 계정 URL<Azure account URL>로 바꿉니다.

프라이빗 Amazon EKS 클러스터에 에이전트를 배포합니다.

프라이빗 Amazon EKS 클러스터에 Azure Devops 에이전트를 배포하려면 다음 명령을 사용합니다.

kubectl create -f agent-deployment.tf

에이전트가 실행 중인지 확인합니다.

Azure DevOps 에이전트가 실행 중인지 확인하려면 다음 명령을 사용합니다.

kubectl get deploy azure-pipelines-agent-eks

예상 출력은 다음과 유사해야 합니다.

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

READY 열에가 표시되는지 확인합니다1/1.

에이전트가 Azure DevOps 에이전트 풀에 등록되어 있는지 확인합니다.

에이전트가 프라이빗 Amazon EKS 클러스터에 배포되고 에이전트 풀에 등록되었는지 확인하려면 다음 단계를 eks-agent사용합니다.

하나의 에이전트가 온라인 상태로 나열되고 에이전트 이름이 azure-pipelines-agent-eks-*로 시작해야 합니다.

샘플 애플리케이션 리포지토리를 GitHub 계정으로 포크합니다.

GitHub 계정에 다음 AWS 샘플 리포지토리를 포크합니다.

https://github.com/aws-samples/deploy-kubernetes-resources-to-amazon-eks-using-azure-devops

파이프라인 생성.

Azure DevOps 계정에서 파이프라인을 생성하려면 다음 단계를 사용합니다.

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

샘플 애플리케이션이 배포되었는지 확인합니다.

파이프라인이 완료되면 Amazon ECR 리포지토리와 Amazon EKS 클러스터를 모두 확인하여 샘플 애플리케이션의 성공적인 배포를 확인합니다.

Amazon ECR 리포지토리에서 아티팩트를 확인하려면 다음 단계를 사용합니다.

예: 20250501.1-image 및 20250501.1-helm.

네임스페이스의 프라이빗 Amazon EKS 클러스터에서 배포를 확인하려면 다음 명령을 webapp사용합니다.

kubectl get deploy -n webapp 

예상 출력은 다음과 같습니다.

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

참고: 첫 번째 파이프라인 실행인 경우 서비스 연결 및 에이전트 풀을 승인해야 할 수 있습니다. Azure DevOps 파이프라인 인터페이스에서 권한 요청을 찾아 계속 진행하도록 승인합니다.