将工作负载从 Azure DevOps 管道部署到私有的 Amazon EKS

查找 Azure DevOps 组织指南。

登录你的 Azure DevOps 帐户，然后使用以下 URL 查找组织 GUID：https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0在网址中，{DevOps_org_ID}替换为你的 Azure DevOps 组织 ID。

在 AWS 账户中配置 IdP。

要在中为 Azure 服务连接配置身份提供者 (IdP)，请使用以下步骤： AWS 账户

有关更多详细信息，请参阅如何 DevOps 使用 OpenID Connect AWS 从 Azure 联合到。

在 AWS 账户中创建 IAM 策略。

要创建 IAM 策略以向 Azure DevOps 管道使用的 IAM 角色提供所需权限，请使用以下步骤：

在 AWS 账户中创建 IAM 角色。

要在中为 Azure 服务连接配置 IAM 角色，请使用以下步骤： AWS 账户

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

在策略中，针对以下占位符提供您的信息：

在 Azure DevOps 帐户中创建服务连接。

要配置 Azure 服务连接，请使用以下步骤：

有关更多详细信息，请参阅 Microsoft 文档中的创建服务连接。

将 IAM 角色添加到 Amazon EKS 配置文件。

IAM 角色必须具有在 Amazon EKS 集群上执行所需操作的必要权限。由于 IAM 角色是一个管道角色，因此该角色必须能够管理集群上几乎所有类型的资源。因此，system:masters 组权限适用于此角色。

要将所需的配置添加到 Kubernetes 内的 aws-auth ConfigMap 中，请使用以下代码：

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

{account_id}用您的 AWS 账户 身份证替换。

有关更多详细，请参阅 Amazon EKS 文档中的Amazon EKS 如何与 IAM 配合使用。

创建自托管代理池。

要在 Azure DevOps 帐户中配置自托管代理池，请使用以下步骤：

有关更多详细信息，请参阅 Microsoft 文档中的创建和管理代理池。

创建 Amazon ECR 存储库。

用于在私有 Amazon EKS 集群上部署 Azure DevOps 代理和示例应用程序 (webapp) 的 Docker 映像必须存储在 Amazon ECR 存储库中。要创建 Amazon ECR 存储库，请使用以下步骤：

有关更多详细信息，请参阅 Amazon ECR 文档中的创建 Amazon ECR 私有存储库来存储映像。

创建一个 Dockerfile 来构建 Azure 代理 DevOps 。

创建一个 Dockerfile 来生成安装了 Azure DevOps 代理的 Docker 镜像。将以下内容存储在名为 Dockerfile 的文件中：

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

为 Azure DevOps 代理创建脚本。

要创建 start.sh 脚本，请使用以下步骤：

使用 Azure DevOps 代理构建 Docker 镜像。

要创建 Docker 镜像来安装 Azure DevOps 代理，请使用你之前创建的 Dockerfile 来构建镜像。在存储 Dockerfile 的同一个目录中，运行以下命令：

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

用您的 AWS 账户 ID 替换aws_account_id和region，然后 AWS 区域。

生成 Azure 个人访问令牌。

在私有 Amazon EKS 集群上运行的代理需要个人访问令牌 (PAT)，这样它才能使用 Azure DevOps 账户进行身份验证。要生成 PAT，请使用以下步骤：

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

有关更多详细信息，请参阅 Microsoft 文档中的使用个人访问令牌（PAT）注册代理。

使用 Kubernetes 清单文件以进行代理部署。

要在私有 Amazon EKS 集群上部署 Azure DevOps 代理，请复制以下清单文件并将该文件存储为agent-deployment.yaml：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

将aws_account_id和<Azure account URL>替换为你的 AWS 账户 ID 和 Azure DevOps 帐户网址。

在私有 Amazon EKS 集群上部署代理。

要在私有 Amazon EKS 集群上部署 Azure DevOps 代理，请使用以下命令：

kubectl create -f agent-deployment.tf

验证代理是否正在运行。

要验证 Azure DevOps 代理是否正在运行，请使用以下命令：

kubectl get deploy azure-pipelines-agent-eks

该预期输出应该类似于以下所示：

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

确认 READY 列已显示 1/1。

验证代理是否已在 Azure DevOps 代理池中注册。

要验证代理是否已部署在私有 Amazon EKS 集群上并已向代理池 eks-agent 中注册，请使用以下步骤：

您应该看到列出的代理的状态为 “在线”，并且该代理的名称应以 azure-pipelines-agent-eks-* 开头。

将示例应用程序存储库分支到您的 GitHub 账户。

将以下 AWS 示例存储库分支到您的 GitHub 账户：

https://github.com/aws-samples/deploy-kubernetes-resources-to-amazon-eks-using-azure-devops

创建管道。

要在你的 Azure DevOps 帐户中创建管道，请使用以下步骤：

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

验证示例应用程序是否已部署。

管道完成后，检查 Amazon ECR 存储库和 Amazon EKS 集群，进而验证示例应用程序是否已成功部署。

要验证 Amazon ECR 存储库中的构件，请使用以下步骤：

例如，20250501.1-image 和 20250501.1-helm。

要在命名空间 webapp 中验证私有 Amazon EKS 集群上的部署，请使用以下命令：

kubectl get deploy -n webapp 

预期的输出如下所示：

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

注意：如果这是您首次运行管道，则可能需要对服务连接和代理池执行授权。在 Azure DevOps 管道界面中查找权限请求，然后批准它们以继续。