Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erste Schritte mit AWS DevOps Agent, der Terraform verwendet

-Übersicht

In diesem Handbuch erfahren Sie, wie Sie mit Terraform Agentenressourcen erstellen und bereitstellen. AWS DevOps Die Terraform-Konfiguration automatisiert die Erstellung eines Agentenbereichs, von IAM-Rollen, einer Operator-App und Kontozuordnungen. AWS

Der Terraform-Ansatz automatisiert die im CLI-Onboarding-Leitfaden beschriebenen manuellen Schritte, indem alle erforderlichen Ressourcen als Infrastruktur als Code definiert werden.

AWS DevOps Der Agent ist in den folgenden 6 AWS Regionen verfügbar: USA Ost (Nord-Virginia), USA West (Oregon), Asien-Pazifik (Sydney), Asien-Pazifik (Tokio), Europa (Frankfurt) und Europa (Irland). Weitere Informationen zu den unterstützten Regionen finden Sie unterUnterstützte Regionen.

Voraussetzungen

Stellen Sie vor dem Beginn sicher, dass Sie über das Folgende verfügen:

Was dieser Leitfaden behandelt

Dieser Leitfaden ist in drei Teile gegliedert:

Ressourcen wurden erstellt

Teil 1: Überwachungskonto

Teil 2: Dienstkonto (optional)

Einrichtung

Schritt 1: Klonen Sie das Beispiel-Repository

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Schritt 2: Variablen konfigurieren

Kopieren Sie die Beispielvariablendatei und passen Sie sie an Ihre Umgebung an:

cp terraform.tfvars.example terraform.tfvars

Bearbeiten Sie terraform.tfvars mit dem Namen und der Beschreibung Ihres Agentenbereichs:

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Teil 1: Stellen Sie den Agentenbereich bereit

In diesem Abschnitt erstellen Sie den Agentenbereich, die IAM-Rollen, die Operator-App und eine AWS Zuordnung in Ihrem Monitoring-Konto.

Schritt 1: Automatisierte Bereitstellung (empfohlen)

Verwenden Sie das bereitgestellte Bereitstellungsskript für eine optimierte Einrichtung:

./deploy.sh

Dieses Skript führt automatisch Folgendes durch:

Alternativ, wenn Sie eine manuelle Steuerung bevorzugen:

terraform init
terraform plan
terraform apply

Geben Sie einyes, wenn Sie aufgefordert werden, die Bereitstellung zu bestätigen.

Schritt 2: Notieren Sie die Ausgaben

Nach Abschluss der Bereitstellung druckt Terraform die Ausgaben. Notieren Sie sich diese Werte für die spätere Verwendung:

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Wenn Sie Teil 2 abschließen möchten, speichern Sie den agent_space_arn Wert. Sie benötigen es, um die Ressourcen des Dienstkontos zu konfigurieren.

Schritt 3: Überprüfen Sie die Bereitstellung

Führen Sie das Überprüfungsskript nach der Bereitstellung aus:

./post-deploy.sh

Oder verwenden Sie die AWS CLI, um zu überprüfen, ob der Agentenbereich erfolgreich erstellt wurde:

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

Zu diesem Zeitpunkt wird Ihr Agentenbereich bereitgestellt, wobei die Operator-App aktiviert und Ihr Monitoring-Konto verknüpft ist. Der Agent kann Probleme in diesem Konto überwachen.

Teil 2 (optional): Kontenübergreifende Überwachung hinzufügen

In diesem Abschnitt erweitern Sie das Setup, sodass der Agentenbereich Ressourcen in einem zweiten AWS Konto (dem Dienstkonto) überwachen kann. Dies beinhaltet zwei Aktionen:

Schritt 1: Konfigurieren Sie die Dienstkonto-ID

Geben Sie terraform.tfvars unter Ihre Dienstkonto-ID ein:

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Schritt 2: Den ARN für den Agentenbereich einrichten

Kopieren Sie den agent_space_arn Wert aus der Ausgabe von Teil 1 (Schritt 2) und geben Sie ihn einterraform.tfvars:

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Die Ressourcen des Dienstkontos verwenden diesen Wert, um den Geltungsbereich der Vertrauensrichtlinie für die sekundäre Kontorolle festzulegen. Diese Ressourcen werden nur erstellt, wenn dieser Wert festgelegt ist.

Schritt 3: Konfigurieren Sie den Anbieter `aws.service`

Konfigurieren Sie unter den aws.service Anbieteralias mit den Anmeldeinformationen für das Dienstkonto. main.tf Sie können entweder ein benanntes Profil oder eine Rolle übernehmen verwenden:

Ein Profil verwenden:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

Oder mit „Rolle übernehmen“:

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Schritt 4: Bereitstellen

Wenden Sie die aktualisierte Konfiguration an:

terraform apply

Dadurch werden die folgenden Ressourcen im Dienstkonto erstellt:

Sie erstellt auch eine AWS Quellzuordnung im Überwachungskonto, die das Dienstkonto verknüpft.

Schritt 5: Überprüfen Sie die Bereitstellung

Testen Sie den Echo-Service, um sicherzustellen, dass die Lambda-Funktion erfolgreich bereitgestellt wurde:

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Teil 3 (optional): Integrationen von Drittanbietern registrieren

In diesem Abschnitt registrieren Sie externe Dienste (Dynatrace,, Splunk ServiceNow, New Relic,,) im Agentenbereich. GitLab PagerDuty Diese Integrationen ermöglichen es dem AWS DevOps Agenten, bei Untersuchungen auf Telemetrie, Vorfalldaten und Quellcodekontrollinformationen zuzugreifen.

Im Gegensatz zum AWS CDK-Beispiel, das eine separate IntegrationsStack Phase und eine manuelle Verkabelung der Agenten-Space-ID erfordert, verweisen diese Ressourcen direkt auf den Agent-Bereich und können in derselben Weise terraform apply wie Teil 1 bereitgestellt werden.

Unterstützte Integrationen

Schritt 1: Anmeldeinformationen für die Integration konfigurieren

Fügen Sie einen integrations Block terraform.tfvars hinzu und füllen Sie nur die gewünschten Dienste auf. Das folgende Beispiel zeigt eine Dynatrace-Integration:

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Die vollständige Form der einzelnen Integrationen finden Sie terraform.tfvars.example im Beispiel-Repository.

ServiceNow Anforderung: Immer instance_id explizit auf den kurzen Instanznamen setzen (z. B. "ven04972" — nicht den vollständigeninstance_url). Wenn dieser instance_id Wert weggelassen wird, wird auf die Assoziation instance_url zurückgegriffen, was die DevOps Agenten-API mit einem 400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance ablehnt.

Sicherheit: Die integrations Variable ist markiertsensitive, sodass ihre Werte aus der Plan- und Anwendungsausgabe entfernt werden. Übergeben Sie keine echten Anmeldeinformationen für. terraform.tfvars Quellgeheimnisse für die Produktion aus AWS Secrets Manager oder AWS Systems Manager Parameter Store (z. B. unter Verwendung von data Quellen) und nicht aus Klartext.

Schritt 2: Bereitstellen

Wenden Sie die Konfiguration an:

terraform apply

Dadurch wird für jede aktivierte Integration eine Dienstregistrierung und -zuordnung erstellt.

Schritt 3: Überprüfen Sie die Ergebnisse

Nach Abschluss der Bereitstellung ordnen die Integrationsausgaben jeden aktivierten Dienst seinen registrierten IDs zu:

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Weitere Informationen zur Konfiguration der Anmeldeinformationen für jeden Dienst finden Sie unter:

Verwenden vorhandener IAM-Rollen (optional)

Standardmäßig erstellt die Terraform-Konfiguration neue IAM-Rollen für den Agentenbereich und die Operator-App. Wenn Sie bereits über IAM-Rollen mit den erforderlichen Richtlinien verfügen, können Sie die Rollenerstellung überspringen und stattdessen die vorhandenen Rollen-ARNs angeben.

Voraussetzungen

Die vorhandenen Rollen müssen die folgenden Anforderungen erfüllen:

Rolle „Agent Space“

Rolle „Operator-App“

Konfiguration

Legen Sie in terraform.tfvars eine oder beide Rollen-ARNs fest:

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Wenn diese Werte festgelegt sind, werden die entsprechenden Rollenressourcen in iam.tf übersprungen. Dieser Ansatz ist vollständig abwärtskompatibel — bestehende Konfigurationen mit leeren Werten (Standard) behalten das aktuelle Verhalten bei der Rollenerstellung bei.

Fehlerbehebung

Verzögerungen bei der IAM-Übertragung

ServiceNow instanceId does not matchFehler

Dynatrace-Verband status: invalid

Berechtigungsfehler

Cross-account Die Bereitstellung schlägt fehl

Der Terraform-Ressourcentyp wurde nicht gefunden

Bereinigen

Um alle Ressourcen zu entfernen, löschen Sie sie in umgekehrter Reihenfolge, falls Sie Teil 2 bereitgestellt haben:

./cleanup.sh

Oder manuell:

terraform destroy

Warnung: Dadurch werden Ihr Agentenbereich und alle zugehörigen Daten dauerhaft gelöscht. Stellen Sie sicher, dass Sie alle wichtigen Informationen gesichert haben, bevor Sie fortfahren.

Sicherheitsüberlegungen

Nächste Schritte

Nachdem Sie Ihren AWS DevOps Agenten mit Terraform bereitgestellt haben:

Weitere Ressourcen