本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

连接 Azure 资源

Azure 资源集成使 AWS DevOps 代理能够在事件调查期间发现和调查 Azure 订阅中的资源。该代理使用 Azure 资源图进行资源发现，可以访问 Azure 环境中的指标、日志和配置数据。

这种集成遵循两个步骤：在 AWS 帐户级别注册 Azure，然后将特定的 Azure 订阅与单个代理空间相关联。你可以在一个帐户中创建多个 Azure 资源注册，并在多个帐户中注册同一 AWS Azure 租户。如果您使用应用程序注册，则每次注册都必须使用不同的应用程序（客户端 ID）。有关更多信息，请参阅连接 Azure 。

先决条件

在连接 Azure 资源之前，请确保你有：

通过管理员同意注册 Azure 资源

管理员同意方法在 AWS DevOps 代理托管应用程序中使用基于同意的流程。

第 1 步：开始注册

第 2 步：完成管理员同意

第 3 步：完成用户授权

第 4 步：分配角色

请参阅下面的分配 Azure 角色。选择成员时搜索AWS DevOps 代理。

通过应用程序注册注册 Azure 资源

应用程序注册方法使用您自己的 Entra 应用程序和联合身份凭证。

第 1 步：开始注册

第 2 步：创建和配置您的 Entra 应用程序

按照控制台中显示的说明执行以下操作：

第 3 步：提供注册详情

在注册表中填写：

第 4 步：创建 IAM 角色

当您通过控制台提交注册时，将自动创建 IAM 角色。它允许 AWS DevOps 代理使用凭据并调用sts:GetWebIdentityToken。

第 5 步：分配角色

请参阅下面的分配 Azure 角色。搜索您在选择成员时创建的 Entra 应用程序。

第 6 步：完成注册

分配 Azure 角色

注册后，授予应用程序对你的 Azure 订阅的读取权限。管理员同意和应用程序注册方法的此步骤相同。

AKS 访问设置（可选）

第 1 步：Azure 资源管理器 (ARM) 级别访问权限

为应用程序分配 Azure Kubernetes 服务集群用户角色。

在 Azure 门户中，转到订阅 → 选择订阅 → 访问控制 (IAM) → 添加角色分配 → 选择 Azure Kubernetes 服务集群用户角色 → 分配给应用程序（AWS DevOps 代理获取管理员同意，或你自己的 Entra 应用程序注册应用程序）。

这涵盖了订阅中的所有 AKS 集群。要将范围限定到特定群集，请改为在资源组或单个群集级别进行分配。

第 2 步：访问 Kubernetes API

根据您的集群的身份验证配置选择一个选项：

选项 A：适用于 Kubernetes 的 Azure Role-Based 访问控制 (RBAC)（推荐）

这涵盖了订阅中的所有 AKS 集群。

选项 B：Azure Active Directory (Azure AD) + Kubernetes RBAC

如果你的集群已经使用默认 Azure AD 身份验证配置，并且你不想启用 Azure RBAC，则使用此选项。这需要按集群进行kubectl设置。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Least-privileged 自定义角色（可选）

为了更严格的访问控制，你可以创建仅限 AWS DevOps 代理使用的资源提供者的自定义 Azure 角色，而不是广泛的读者角色：

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

将订阅与代理空间相关联

在帐户级别注册 Azure 后，将特定订阅与代理空间相关联：

你可以将多个订阅与同一个代理空间相关联，包括来自不同注册的订阅，以使代理在 Azure 环境中可见性。要关联其他订阅，请重复这些步骤。

管理 Azure 资源连接