Implante cargas de trabalho dos DevOps pipelines do Azure em clusters privados do Amazon EKS

Encontre o GUID da DevOps organização do Azure.

Entre na sua DevOps conta do Azure e use a seguinte URL para encontrar o GUID da organização: https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0 Na URL, {DevOps_org_ID} substitua pela ID da DevOps organização do Azure.

Configure um IdP no. Conta da AWS

Para configurar um provedor de identidade (IdP) no Conta da AWS para uma conexão de serviço do Azure, use as seguintes etapas:

Para obter mais detalhes, consulte Como federar a AWS partir do Azure DevOps usando o OpenID Connect.

Crie uma política do IAM no Conta da AWS.

Para criar uma política do IAM para fornecer as permissões necessárias para a função do IAM usada pelo DevOps pipeline do Azure, use as seguintes etapas:

Crie uma função do IAM no Conta da AWS.

Para configurar uma função do IAM na conexão Conta da AWS de serviço do Azure, use as seguintes etapas:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

Na política, forneça suas informações para os seguintes espaços reservados:

Crie uma conexão de serviço na DevOps conta do Azure.

Para configurar uma conexão de serviço do Azure, use as seguintes etapas:

Para obter mais detalhes, consulte Criar uma conexão de serviço na documentação da Microsoft.

Adicione a função IAM ao arquivo de configuração do Amazon EKS.

A função do IAM deve ter as permissões necessárias para realizar as operações necessárias no cluster Amazon EKS. Por ser uma função de pipeline, a função do IAM deve ser capaz de gerenciar quase todos os tipos de recursos no cluster. Portanto, a permissão do system:masters grupo é apropriada para essa função.

Para adicionar a configuração necessária ao aws-auth ConfigMap Kubernetes, use o código a seguir:

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

{account_id}Substitua pelo seu Conta da AWS ID.

Para obter mais informações, consulte Como o Amazon EKS funciona com o IAM na documentação do Amazon EKS.

Crie um pool de agentes auto-hospedado.

Para configurar um pool de agentes auto-hospedado na DevOps conta do Azure, use as seguintes etapas:

Para obter mais detalhes, consulte Criar e gerenciar grupos de agentes na documentação da Microsoft.

Crie um repositório do Amazon ECR.

As imagens do Docker usadas para implantar o DevOps agente do Azure e o aplicativo de amostra (webapp) no cluster privado do Amazon EKS devem ser armazenadas em um repositório Amazon ECR. Para criar um repositório Amazon ECR, use as seguintes etapas:

Para obter mais detalhes, consulte Criação de um repositório privado do Amazon ECR para armazenar imagens na documentação do Amazon ECR.

Crie um Dockerfile para criar o agente do Azure DevOps .

Crie um Dockerfile para criar a imagem do Docker que tem o agente do Azure DevOps instalado. Armazene o conteúdo a seguir em um arquivo chamadoDockerfile:

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

Crie um script para o DevOps agente do Azure.

Para criar o start.sh script, use as seguintes etapas:

Crie uma imagem do Docker com o DevOps agente do Azure.

Para criar uma imagem do Docker para instalar o DevOps agente do Azure, use o Dockerfile que você criou anteriormente para criar a imagem. No mesmo diretório em que o Dockerfile está armazenado, execute os seguintes comandos:

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

regionSubstitua aws_account_id e por seu Conta da AWS ID Região da AWS e.

Gere um token de acesso pessoal do Azure.

O agente em execução no cluster privado do Amazon EKS requer um token de acesso pessoal (PAT) para que possa se autenticar com a conta do Azure DevOps . Para gerar um PAT, use as seguintes etapas:

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

Para obter mais detalhes, consulte Registrar um agente usando um token de acesso pessoal (PAT) na documentação da Microsoft.

Use o arquivo de manifesto do Kubernetes para a implantação do agente.

Para implantar o DevOps agente do Azure no cluster privado do Amazon EKS, copie o seguinte arquivo de manifesto e armazene o arquivo comoagent-deployment.yaml:

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

Substitua aws_account_id e <Azure account URL> por sua Conta da AWS ID e URL DevOps da conta do Azure.

Implante o agente no cluster privado do Amazon EKS.

Para implantar o agente Azure Devops no cluster privado Amazon EKS, use o seguinte comando:

kubectl create -f agent-deployment.tf

Verifique se o agente está em execução.

Para verificar se o DevOps agente do Azure está em execução, use o seguinte comando:

kubectl get deploy azure-pipelines-agent-eks

A saída esperada deve ser semelhante à seguinte:

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

Certifique-se de que a READY coluna seja exibida1/1.

Verifique se o agente está registrado no pool de DevOps agentes do Azure.

Para verificar se o agente está implantado no cluster privado do Amazon EKS e está registrado no pool de agenteseks-agent, use as seguintes etapas:

Você deve ver um agente listado com o status Online e o nome do agente deve começar com azure-pipelines-agent-eks-*.

Bifurque o repositório de aplicativos de amostra para sua GitHub conta.

Bifurque o seguinte repositório de AWS amostras para sua GitHub conta:

https://github.com/aws-samples/deploy-kubernetes-resources-to- amazon-eks-using-azure -DevOps

Crie um pipeline.

Para criar um pipeline na sua DevOps conta do Azure, use as seguintes etapas:

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

Verifique se o aplicativo de amostra foi implantado.

Após a conclusão do pipeline, verifique a implantação bem-sucedida do aplicativo de amostra verificando o repositório Amazon ECR e o cluster Amazon EKS.

Para verificar artefatos no repositório Amazon ECR, use as seguintes etapas:

Por exemplo, 20250501.1-image e 20250501.1-helm.

Para verificar a implantação no cluster privado do Amazon EKS no namespacewebapp, use o seguinte comando:

kubectl get deploy -n webapp 

A saída esperada é a seguinte:

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

Observação: se essa for sua primeira execução de pipeline, talvez seja necessário autorizar a conexão de serviço e o pool de agentes. Procure solicitações de permissão na interface do DevOps pipeline do Azure e aprove-as para continuar.