將工作負載從 Azure DevOps 管道部署到私有 Amazon EKS 叢集

尋找 Azure DevOps 組織 GUID。

登入您的 Azure DevOps 帳戶，然後使用下列 URL 來尋找組織 GUID：在 URL https://dev.azure.com/{DevOps_Org_ID}/_apis/projectCollections?api-version=6.0 中，將 取代{DevOps_org_ID}為您的 Azure DevOps 組織 ID。

在 中設定 IdP AWS 帳戶。

若要在 中設定 Azure 服務連線 AWS 帳戶 的身分提供者 (IdP)，請使用下列步驟：

如需詳細資訊，請參閱如何使用 OpenID Connect AWS 從 Azure DevOps 聯合到 。

在 中建立 IAM 政策 AWS 帳戶。

若要建立 IAM 政策，為 Azure DevOps 管道使用的 IAM 角色提供必要的許可，請使用下列步驟：

在 中建立 IAM 角色 AWS 帳戶。

若要在 中 AWS 帳戶 為 Azure 服務連線設定 IAM 角色，請使用下列步驟：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::{account_id}:oidc-provider/vstoken.dev.azure.com/{OrganizationGUID}"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "vstoken.dev.azure.com/{OrganizationGUID}:aud": "api://AzureADTokenExchange",
          "vstoken.dev.azure.com/{OrganizationGUID}:sub": "sc://{OrganizationName}/{ProjectName}/{ServiceConnectionName}"
        }
      }
    }
  ]
}

在政策中，提供下列預留位置的資訊：

在 Azure DevOps 帳戶中建立服務連線。

若要設定 Azure 服務連線，請使用下列步驟：

如需詳細資訊，請參閱 Microsoft 文件中的建立服務連線。

將 IAM 角色新增至 Amazon EKS 組態檔案。

IAM 角色必須具有必要的許可，才能在 Amazon EKS 叢集上執行必要的操作。由於它是管道角色，IAM 角色必須能夠管理叢集上幾乎所有類型的資源。因此，system:masters群組許可適用於此角色。

若要將必要的組態新增至 Kubernetes aws-auth ConfigMap中的 ，請使用下列程式碼：

- groups:
  - system:masters
  rolearn: arn:aws:iam::{account_id}:role/ADO-role
  username: ADO-role

{account_id} 以您的 AWS 帳戶 ID 取代 。

如需詳細資訊，請參閱 Amazon EKS 文件中的 Amazon EKS 如何與 IAM 搭配使用。

建立自我託管代理程式集區。

若要在 Azure DevOps 帳戶中設定自我託管代理程式集區，請使用下列步驟：

如需詳細資訊，請參閱 Microsoft 文件中的建立和管理代理程式集區。

建立 Amazon ECR 儲存庫。

用於在私有 Amazon EKS 叢集上部署 Azure DevOps 代理程式和範例應用程式 (webapp) 的 Docker 映像必須存放在 Amazon ECR 儲存庫中。若要建立 Amazon ECR 儲存庫，請使用下列步驟：

如需詳細資訊，請參閱 Amazon ECR 文件中的建立 Amazon ECR 私有儲存庫以存放映像。

建立 Dockerfile 以建置 Azure DevOps 代理程式。

建立 Dockerfile 以建置已安裝 Azure DevOps 代理程式的 Docker 映像。將下列內容存放在名為 的檔案中Dockerfile：

FROM ubuntu:22.04 
ENV TARGETARCH="linux-x64"
RUN apt update && apt upgrade -y && apt install -y curl git jq libicu70 unzip wget

RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install
RUN rm -rf aws awscliv2.zip

RUN curl -sSL https://get.docker.com/ | sh

RUN curl -sL https://aka.ms/InstallAzureCLIDeb | bash
RUN mkdir -p azp 
WORKDIR /azp/

COPY ./start.sh ./ 
RUN chmod +x ./start.sh

RUN useradd -m -d /home/agent agent 
RUN chown -R agent:agent /azp /home/agent
RUN groupadd -f docker 
RUN usermod -aG docker agent
USER agent

ENTRYPOINT [ "./start.sh" ]

建立 Azure DevOps 代理程式的指令碼。

若要建立start.sh指令碼，請使用下列步驟：

使用 Azure DevOps 代理程式建置 Docker 映像。

若要建立 Docker 映像以安裝 Azure DevOps 代理程式，請使用您先前建立的 Dockerfile 來建置映像。在存放 Dockerfile 的相同目錄中，執行下列命令：

aws ecr get-login-password --region region | docker login --username AWS --password-stdin aws_account_id.dkr.ecr.region.amazonaws.com

docker build --platform linux/amd64 -t ado-agent:latest .

docker tag ado-agent:latest aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

docker push aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest

將 aws_account_id和 取代region為您的 AWS 帳戶 ID 和 AWS 區域。

產生 Azure 個人存取字符。

在私有 Amazon EKS 叢集上執行的代理程式需要個人存取字符 (PAT)，以便可以向 Azure DevOps 帳戶進行身分驗證。若要產生 PAT，請使用下列步驟：

apiVersion: v1
kind: Secret
metadata:
  name: azdevops-pat
  namespace: default
type: Opaque
stringData:
  AZP_TOKEN: <PAT Token>

kubectl create -f ado-secret.yaml

如需詳細資訊，請參閱 Microsoft 文件中的使用個人存取字符 (PAT) 註冊代理程式。

使用 Kubernetes 資訊清單檔案進行代理程式部署。

若要在私有 Amazon EKS 叢集上部署 Azure DevOps 代理程式，請複製下列資訊清單檔案，並將檔案儲存為 agent-deployment.yaml：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: azure-pipelines-agent-eks
  labels:
    app: azure-pipelines-agent
spec:
  replicas: 1
  selector:
    matchLabels:
      app: azure-pipelines-agent
  template:
    metadata:
      labels:
        app: azure-pipelines-agent
    spec:
      containers:
      - name: docker
        image: docker:dind
        securityContext: 
          privileged: true
        volumeMounts:
        - name: shared-workspace
          mountPath: /workspace
        - name: dind-storage
          mountPath: /var/lib/docker
        env:
        - name: DOCKER_TLS_CERTDIR
          value: ""
      - name: azure-pipelines-agent
        image: aws_account_id.dkr.ecr.region.amazonaws.com/webapp:latest
        env:
        - name: AZP_URL
          value: "<Azure account URL>"
        - name: AZP_POOL
          value: "eks-agent"
        - name: AZP_TOKEN
          valueFrom:
            secretKeyRef:
              name: azdevops-pat
              key: AZP_TOKEN
        - name: AZP_AGENT_NAME
          valueFrom:
            fieldRef:
              fieldPath: metadata.name
        - name: DOCKER_HOST
          value: tcp://localhost:2375
        volumeMounts:
        - mountPath: /workspace
          name: shared-workspace
      volumes:
      - name: dind-storage
        emptyDir: {}
      - name: shared-workspace
        emptyDir: {}

將 aws_account_id 和 取代<Azure account URL>為您的 AWS 帳戶 ID 和 Azure DevOps 帳戶 URL。

在私有 Amazon EKS 叢集上部署代理程式。

若要在私有 Amazon EKS 叢集上部署 Azure Devops 代理程式，請使用下列命令：

kubectl create -f agent-deployment.tf

驗證代理程式是否正在執行。

若要驗證 Azure DevOps 代理程式是否正在執行，請使用下列命令：

kubectl get deploy azure-pipelines-agent-eks

預期的輸出應類似於以下內容：

NAME                        READY   UP-TO-DATE   AVAILABLE   AGE
azure-pipelines-agent-eks   1/1     1            1           58s

請確定資料READY 欄顯示 1/1。

確認代理程式已向 Azure DevOps 代理程式集區註冊。

若要確認代理程式已部署在私有 Amazon EKS 叢集上，並已向代理程式集區 註冊eks-agent，請使用下列步驟：

您應該會看到一個以線上狀態列出的代理程式，而代理程式的名稱應以 azure-pipelines-agent-eks-* 開頭。

將範例應用程式儲存庫授與您的 GitHub 帳戶。

將下列 AWS 範例儲存庫授與您的 GitHub 帳戶：

https://github.com/aws-samples/deploy-kubernetes-resources-to-amazon-eks-using-azure-devops

建立管道。

若要在您的 Azure DevOps 帳戶中建立管道，請使用下列步驟：

pool:
  name: eks-agent
#pool: self-hosted # If you are running self-hosted Azure DevOps Agents

stages:
# Refering the pipeline template, input parameter that are not specified will be added with defaults
- template: ./pipeline_templates/main_template.yaml
  parameters:
    serviceConnectionName: aws-sc
    awsRegion: <your region>
    awsEKSClusterName: <name of your EKS cluster>
    projectName: webapp

確認範例應用程式已部署。

管道完成後，請檢查 Amazon ECR 儲存庫和 Amazon EKS 叢集，以驗證範例應用程式是否成功部署。

若要驗證 Amazon ECR 儲存庫中的成品，請使用下列步驟：

例如，20250501.1-image 和 20250501.1-helm。

若要驗證命名空間 中私有 Amazon EKS 叢集上的部署webapp，請使用下列命令：

kubectl get deploy -n webapp 

預期的輸出如下：

NAME     READY   UP-TO-DATE   AVAILABLE
webapp   1/1     1            1           

注意：如果這是您的第一個管道執行，您可能需要授權服務連線和代理程式集區。在 Azure DevOps 管道界面中尋找許可請求，並核准它們以繼續。