As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando recursos do Azure

A integração dos Recursos do Azure permite que o AWS DevOps Agente descubra e investigue recursos em suas assinaturas do Azure durante investigações de incidentes. O agente usa o Azure Resource Graph para descobrir recursos e pode acessar métricas, registros e dados de configuração em todo o seu ambiente Azure.

Essa integração segue um processo de duas etapas: registrar o Azure no nível da AWS conta e associar assinaturas específicas do Azure a espaços de agente individuais. Você pode criar mais de um registro de Recursos do Azure em uma conta e registrar o mesmo inquilino do Azure em mais de uma AWS conta. Se você usa o Registro de aplicativo, cada registro deve usar um aplicativo diferente (ID do cliente). Para obter mais informações, consulte Conectando o Azure.

Pré-requisitos

Antes de conectar os Recursos do Azure, verifique se você tem:

Registrando recursos do Azure por meio do consentimento do administrador

O método de consentimento do administrador usa um fluxo baseado em consentimento com o aplicativo gerenciado pelo AWS DevOps agente.

Etapa 1: iniciar o registro

Etapa 2: Concluir o consentimento do administrador

Etapa 3: Concluir a autorização do usuário

Etapa 4: atribuir funções

Consulte Atribuição de funções do Azure abaixo. Procure por AWS DevOps Agente ao selecionar membros.

Registrando recursos do Azure por meio do registro de aplicativos

O método de registro do aplicativo usa seu próprio aplicativo Entra com credenciais de identidade federadas.

Etapa 1: iniciar o registro

Etapa 2: Crie e configure seu aplicativo Entra

Siga as instruções exibidas no console para:

Etapa 3: fornecer detalhes do registro

Preencha o formulário de inscrição com:

Etapa 4: criar a função do IAM

Uma função do IAM será criada automaticamente quando você enviar o registro pelo console. Ele permite que o AWS DevOps Agente assuma as credenciais e invoque. sts:GetWebIdentityToken

Etapa 5: atribuir funções

Consulte Atribuição de funções do Azure abaixo. Procure o aplicativo Entra que você criou ao selecionar membros.

Etapa 6: Concluir o registro

Atribuição de funções do Azure

Após o registro, conceda ao aplicativo acesso de leitura à sua assinatura do Azure. Essa etapa é a mesma para os métodos de consentimento do administrador e registro do aplicativo.

Configuração de acesso ao AKS (opcional)

Etapa 1: acesso no nível do Azure Resource Manager (ARM)

Atribua a função de usuário do cluster de serviços do Azure Kubernetes ao aplicativo.

No Portal do Azure, vá para Assinaturas → selecione assinatura → Controle de acesso (IAM) → Adicionar atribuição de função → selecione a função de usuário do cluster de serviços do Azure Kubernetes → atribua ao aplicativo (AWS DevOps agente para consentimento administrativo ou seu próprio aplicativo Entra para registro de aplicativos).

Isso abrange todos os clusters AKS na assinatura. Para definir o escopo para clusters específicos, atribua no nível do grupo de recursos ou do cluster individual.

Etapa 2: acesso à API Kubernetes

Escolha uma opção com base na configuração de autenticação do seu cluster:

Opção A: Controle de Role-Based Acesso do Azure (RBAC) para Kubernetes (recomendado)

Isso abrange todos os clusters AKS na assinatura.

Opção B: Azure Active Directory (Azure AD) + Kubernetes RBAC

Use isso se seu cluster já usa a configuração de autenticação padrão do Azure AD e você prefere não habilitar o Azure RBAC. Isso requer uma kubectl configuração por cluster.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Least-privileged função personalizada (opcional)

Para um controle de acesso mais rígido, você pode criar uma função personalizada do Azure com escopo exclusivo para os provedores de recursos que o AWS DevOps Agente usa, em vez da função ampla de Leitor:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Associando uma assinatura a um Agent Space

Depois de registrar o Azure no nível da conta, associe assinaturas específicas aos seus Agent Spaces:

Você pode associar várias assinaturas ao mesmo Espaço do Agente, incluindo assinaturas de registros diferentes, para dar visibilidade ao agente em todo o seu ambiente do Azure. Para associar outra assinatura, repita essas etapas.

Gerenciando conexões do Azure Resources