Pré-requisitos do Azure

Para configurar o lado do Azure da federação

1. Criar uma aplicação do Azure Entra ID

   Crie um registro de aplicação no Microsoft Entra ID (antigo Azure Active Directory). Anote o ID da aplicação (cliente) na saída.

   az ad app create --display-name "AWSSSMAzureIntegration" --query appId

2. Criar uma entidade principal de serviço para a aplicação

   Crie uma entidade principal de serviço associada à aplicação. Anote o ID da entidade principal do serviço na saída.

   az ad sp create --id APPLICATION_ID

3. Adicionar uma credencial de identidade federada

   Adicione uma credencial de identidade federada à aplicação que confia no emissor do AWS OIDC. Isso permite que o Azure aceite tokens emitidos pela AWS em nome do perfil de federação do Systems Manager Azure (consulte Perfil de federação do Azure).

   az ad app federated-credential create \
       --id APPLICATION_ID \
       --parameters "{
           \"name\": \"aws-ssm-federation\",
           \"issuer\": \"AWS_OIDC_ISSUER_URL\",
           \"subject\": \"arn:aws:iam::ACCOUNT_ID:role/service-role/SSM-AzureRole-CONNECTOR_NAME-ID8\",
           \"audiences\": [\"api://AzureADTokenExchange\"]
       }"

   Substitua:

   • APPLICATION_ID: o ID da aplicação (cliente) da Etapa 1.

   • AWS_OIDC_ISSUER_URL: o URL do emissor do AWS OIDC (por exemplo, https://a1667813-695b-5415-b0f7-d473d62bb123.tokens.sts.global.api.aws).

   • ACCOUNT_ID: seu ID da Conta da AWS.

   • CONNECTOR_NAME: o nome de exibição limpo do seu Cloud Connector.

   • ID8: os primeiros oito caracteres do UUID atribuídos ao perfil de federação do Azure. Você pode encontrar isso no nome do perfil após criar o Cloud Connector no Console de gerenciamento da AWS ou especificá-lo ao criar o perfil manualmente (consulte Perfil de federação do Azure).

4. Criar o perfil personalizado de Run Command para VMs

   Crie um perfil personalizado que conceda as permissões mínimas necessárias para que o Systems Manager execute comandos nas VMs do Azure. Substitua SUBSCRIPTION_ID pelo ID de assinatura do Azure que você deseja gerenciar.

   az role definition create --role-definition '{
       "Name": "AWSSSMVMExtensionRole-SUBSCRIPTION_ID",
       "Description": "Allows AWS Systems Manager to run commands on Azure VMs",
       "Actions": [
           "Microsoft.Compute/virtualMachines/read",
           "Microsoft.Compute/virtualMachines/runCommand/action",
           "Microsoft.Compute/virtualMachines/runCommands/*"
       ],
       "AssignableScopes": [
           "/subscriptions/SUBSCRIPTION_ID"
       ]
   }'

   Para o escopo no nível de locatário (todas as assinaturas no locatário), use um escopo de grupo de gerenciamento:

   az role definition create --role-definition '{
       "Name": "AWSSSMVMExtensionRole-TENANT_ID",
       "Description": "Allows AWS Systems Manager to run commands on Azure VMs",
       "Actions": [
           "Microsoft.Compute/virtualMachines/read",
           "Microsoft.Compute/virtualMachines/runCommand/action",
           "Microsoft.Compute/virtualMachines/runCommands/*"
       ],
       "AssignableScopes": [
           "/providers/Microsoft.Management/managementGroups/TENANT_ID"
       ]
   }'

   Para verificar se o perfil foi criado:

   az role definition list --name "AWSSSMVMExtensionRole-SUBSCRIPTION_ID" --output table

5. Atribua o perfil de Run Command para VMs à entidade principal do serviço

   Atribua o perfil personalizado à entidade principal do serviço que você criou na Etapa 2. O escopo determina quais recursos do Azure o Systems Manager pode gerenciar.

   Para o escopo no nível de assinatura (repita para cada assinatura):

   az role assignment create \
       --assignee SERVICE_PRINCIPAL_ID \
       --role "AWSSSMVMExtensionRole-SUBSCRIPTION_ID" \
       --scope "/subscriptions/SUBSCRIPTION_ID"

   Para o escopo no nível de grupo de gerenciamento:

   az role assignment create \
       --assignee SERVICE_PRINCIPAL_ID \
       --role "AWSSSMVMExtensionRole-TENANT_ID" \
       --scope "/providers/Microsoft.Management/managementGroups/TENANT_ID"

6. Criar uma aplicação do Azure Entra ID para AWS Config

   Crie outro registro de aplicação para o AWS Config usar ao registrar o estado dos recursos do Azure. Anote o ID da aplicação (cliente) na saída.

   az ad app create \
       --display-name "AWSConfigAzureIntegration-ACCOUNT_ID-TENANT_ID_PREFIX" \
       --query appId

   Crie uma entidade principal de serviço para a aplicação AWS Config:

   az ad sp create --id CONFIG_APPLICATION_ID

7. Adicionar uma credencial de identidade federada para AWS Config

   Adicione uma credencial de identidade federada à aplicação AWS Config. O assunto é o ARN do perfil vinculado ao serviço AWS Config (criado automaticamente quando você cria o conector do Config em uma etapa posterior).

   az ad app federated-credential create \
       --id CONFIG_APPLICATION_ID \
       --parameters "{
           \"name\": \"aws-config-federation\",
           \"issuer\": \"AWS_OIDC_ISSUER_URL\",
           \"subject\": \"arn:aws:iam::ACCOUNT_ID:role/aws-service-role/thirdparty.config.amazonaws.com/AWSServiceRoleForConfigThirdParty\",
           \"audiences\": [\"api://AzureADTokenExchange\"]
       }"

8. Atribuir o perfil de leitor à entidade principal do serviço AWS Config

   Atribua o perfil de leitor integrado do Azure à entidade principal do serviço AWS Config no nível de locatário (grupo de gerenciamento). Isso permite que o AWS Config descubra os recursos do Azure.

   az role assignment create \
       --assignee CONFIG_SERVICE_PRINCIPAL_ID \
       --role "acdd72a7-3385-48ef-bd42-f606fba81ae7" \
       --scope "/providers/Microsoft.Management/managementGroups/TENANT_ID"

9. Crie um Hub de Eventos para streaming do log de atividades do Azure

   O AWS Config usa um Hub de Eventos do Azure para receber eventos do log de atividades que indicam alterações nos recursos. Crie um namespace, hub e grupo de consumidores do Hub de Eventos em uma de suas assinaturas do Azure.

   # Create a resource group for the Event Hub
   az group create \
       --subscription "HOSTING_SUBSCRIPTION_ID" \
       --name "AWSConfigAzureResources" \
       --location eastus
   
   # Create an Event Hub namespace with a discovery tag
   az eventhubs namespace create \
       --subscription "HOSTING_SUBSCRIPTION_ID" \
       --resource-group "AWSConfigAzureResources" \
       --name "EVENT_HUB_NAMESPACE" \
       --location eastus \
       --sku Standard \
       --tags "AWSConfig-ACCOUNT_ID-AWS_REGION=activitylog"
   
   # Create the Event Hub
   az eventhubs eventhub create \
       --subscription "HOSTING_SUBSCRIPTION_ID" \
       --resource-group "AWSConfigAzureResources" \
       --namespace-name "EVENT_HUB_NAMESPACE" \
       --name "activitylog" \
       --partition-count 4
   
   # Create the consumer group for AWS Config
   az eventhubs eventhub consumer-group create \
       --subscription "HOSTING_SUBSCRIPTION_ID" \
       --resource-group "AWSConfigAzureResources" \
       --namespace-name "EVENT_HUB_NAMESPACE" \
       --eventhub-name "activitylog" \
       --name "AWSConfig"

   Substitua EVENT_HUB_NAMESPACE por um nome globalmente exclusivo (por exemplo, awsconfig-ACCOUNT_ID-REGION) e HOSTING_SUBSCRIPTION_ID pela assinatura do Azure que hospedará os recursos do Hub de Eventos.

10. Atribua o perfil de receptor de dados dos Hubs de Eventos à entidade principal do serviço AWS Config

    Permita que a entidade principal do serviço AWS Config leia do Hub de Eventos:

    EVENT_HUB_ID=$(az eventhubs eventhub show \
        --subscription "HOSTING_SUBSCRIPTION_ID" \
        --resource-group "AWSConfigAzureResources" \
        --namespace-name "EVENT_HUB_NAMESPACE" \
        --name "activitylog" \
        --query id \
        -o tsv)
    
    az role assignment create \
        --assignee CONFIG_SERVICE_PRINCIPAL_ID \
        --role "a638d3c7-ab3a-418d-83e6-5f17a39d4fde" \
        --scope "$EVENT_HUB_ID"

11. Configurar a exportação do log de atividades para o Hub de Eventos

    Para cada assinatura do Azure que você deseja que o AWS Config monitore, crie uma configuração de diagnóstico que exporte eventos do log de atividades para o Hub de Eventos:

    az provider register \
        --namespace Microsoft.Insights \
        --subscription "SUBSCRIPTION_ID"
    
    az rest --method PUT \
        --url "https://management.azure.com/subscriptions/SUBSCRIPTION_ID/providers/Microsoft.Insights/diagnosticSettings/EVENT_HUB_NAMESPACE?api-version=2021-05-01-preview" \
        --body "{
            \"properties\": {
                \"eventHubAuthorizationRuleId\": \"/subscriptions/HOSTING_SUBSCRIPTION_ID/resourceGroups/AWSConfigAzureResources/providers/Microsoft.EventHub/namespaces/EVENT_HUB_NAMESPACE/authorizationRules/RootManageSharedAccessKey\",
                \"eventHubName\": \"activitylog\",
                \"logs\": [{\"category\": \"Administrative\", \"enabled\": true}]
            }
        }"

    Repita essa etapa para cada assinatura que deseja monitorar.