Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Introducción al AWS DevOps Agente que usa Terraform

Descripción general de

Esta guía le muestra cómo usar Terraform para crear y desplegar recursos de AWS DevOps agentes. La configuración de Terraform automatiza la creación de un espacio de agentes, funciones de IAM, una aplicación de operador y asociaciones de cuentas. AWS

El enfoque de Terraform automatiza los pasos manuales descritos en la guía de incorporación de CLI al definir todos los recursos necesarios como infraestructura o código.

AWS DevOps El agente está disponible en las siguientes 6 AWS regiones: EE.UU. Este (Norte de Virginia), EE.UU. Oeste (Oregón), Asia Pacífico (Sídney), Asia Pacífico (Tokio), Europa (Fráncfort) y Europa (Irlanda). Para obtener más información sobre las regiones compatibles, consulteRegiones admitidas.

Requisitos previos

Antes de empezar, asegúrese de que tiene lo siguiente:

¿Qué cubre esta guía

Esta guía se divide en tres partes:

Recursos creados

Parte 1: Supervisión de la cuenta

Parte 2: Cuenta de servicio (opcional)

Configuración

Paso 1: clona el repositorio de muestras

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Paso 2: Configurar las variables

Copie el archivo de variables de ejemplo y personalícelo para su entorno:

cp terraform.tfvars.example terraform.tfvars

terraform.tfvarsEdítelo con el nombre y la descripción de su espacio de agente:

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Parte 1: Despliegue el espacio de agentes

En esta sección, creará el espacio de agentes, las funciones de IAM, la aplicación del operador y una AWS asociación en su cuenta de supervisión.

Paso 1: Implemente con automatización (recomendado)

Utilice el script de implementación proporcionado para una configuración simplificada:

./deploy.sh

Este script automáticamente:

Como alternativa, si prefiere el control manual:

terraform init
terraform plan
terraform apply

Escriba yes cuando se le pida que confirme el despliegue.

Paso 2: Registre los resultados

Una vez completada la implementación, Terraform imprime los resultados. Registre estos valores para usarlos más adelante:

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Si planea completar la parte 2, guarde el agent_space_arn valor. Lo necesitará para configurar los recursos de la cuenta de servicio.

Paso 3: Verificar la implementación

Ejecute el script de verificación posterior al despliegue:

./post-deploy.sh

O utilice la AWS CLI para comprobar que el espacio de agentes se creó correctamente:

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

En este punto, su espacio de agente se despliega con la aplicación del operador habilitada y su cuenta de supervisión asociada. El agente puede supervisar los problemas en esta cuenta.

Parte 2 (opcional): Añadir la supervisión entre cuentas

En esta sección, ampliará la configuración para que el espacio de agentes pueda supervisar los recursos de una segunda AWS cuenta (la cuenta de servicio). Esto implica dos acciones:

Paso 1: Configurar el ID de la cuenta de servicio

Enterraform.tfvars, configura el ID de tu cuenta de servicio:

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Paso 2: Configurar el ARN del espacio de agentes

Copie el agent_space_arn valor de la salida de la parte 1 (paso 2) y configúrelo enterraform.tfvars:

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Los recursos de la cuenta de servicio utilizan este valor para establecer el ámbito de la política de confianza en el rol de la cuenta secundaria. Estos recursos solo se crean cuando se establece este valor.

Paso 3: Configurar el proveedor `aws.service`

Enmain.tf, configure el alias del aws.service proveedor con las credenciales de la cuenta de servicio. Puede usar un perfil con nombre o un rol asumido:

Uso de un perfil:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

O usando assume rol:

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Paso 4: Implementar

Aplique la configuración actualizada:

terraform apply

Esto crea los siguientes recursos en la cuenta de servicio:

También crea una AWS asociación de origen en la cuenta de monitoreo que vincula la cuenta de servicio.

Paso 5: Verificar el despliegue

Pruebe el servicio de eco para confirmar que la función Lambda se implementó correctamente:

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Parte 3 (opcional): registrar integraciones de terceros

En esta sección, registras los servicios externos (Dynatrace, Splunk ServiceNow, New Relic, GitLab, PagerDuty) en el espacio de agentes. Estas integraciones permiten a AWS DevOps Agent acceder a la telemetría, a los datos de los incidentes y a la información de control de fuentes durante las investigaciones.

A diferencia del ejemplo de AWS CDK, que requiere una IntegrationsStack fase independiente y un cableado manual del identificador del espacio de agentes, estos recursos hacen referencia directamente al espacio de agentes y se pueden implementar de la misma terraform apply forma que en la primera parte.

Integraciones compatibles

Paso 1: Configurar las credenciales de integración

Agregue un integrations bloque aterraform.tfvars, rellenando solo los servicios que desee. El siguiente ejemplo muestra una integración con Dynatrace:

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Para ver la forma completa de cada integración, consulte terraform.tfvars.example en el repositorio de ejemplos.

ServiceNow requisito: establezca siempre de instance_id forma explícita el nombre corto de la instancia (por ejemplo"ven04972", no el nombre completoinstance_url). Si instance_id se omite, la asociación recurre a ellainstance_url, que la API del DevOps agente rechaza con un400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance.

Seguridad: la integrations variable está marcadasensitive, por lo que sus valores se eliminan del resultado del plan y la aplicación. No confirmes credenciales reales en. terraform.tfvars Para la producción, obtenga los AWS secretos de Secrets Manager o AWS Systems Manager Parameter Store (por ejemplo, utilizando data fuentes) en lugar de texto sin formato.

Paso 2: Implementar

Aplique la configuración:

terraform apply

Esto crea un registro y una asociación de servicios para cada integración habilitada.

Paso 3: Revise los resultados

Una vez completada la implementación, los resultados de la integración asignan cada servicio habilitado a sus ID registrados:

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Para obtener más información sobre la configuración de las credenciales de cada servicio, consulte:

Uso de las funciones de IAM existentes (opcional)

De forma predeterminada, la configuración de Terraform crea nuevas funciones de IAM para el espacio de agentes y la aplicación del operador. Si ya tiene funciones de IAM con las políticas requeridas, puede omitir la creación de funciones y, en su lugar, proporcionar los ARN de las funciones existentes.

Requisitos

Los roles existentes deben cumplir los siguientes requisitos:

Función de espacio de agente

Función de operador en la aplicación

Configuración

Enterraform.tfvars, defina uno o ambos ARN de rol:

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Cuando se establecen estos valores, se iam.tf omiten los recursos de rol correspondientes. Este enfoque es totalmente compatible con versiones anteriores: las configuraciones existentes con valores vacíos (el valor predeterminado) conservan el comportamiento actual de creación de roles.

Resolución de problemas

Retrasos de propagación de IAM

ServiceNow instanceId does not matcherror

Asociación Dynatrace status: invalid

Errores de permisos

Cross-account el despliegue falla

No se encontró el tipo de recurso de Terraform

Limpieza

Para eliminar todos los recursos, destrúyelos en orden inverso si has desplegado la segunda parte:

./cleanup.sh

O manualmente:

terraform destroy

Advertencia: esto elimina permanentemente tu espacio de agente y todos los datos asociados. Asegúrese de haber hecho una copia de seguridad de toda la información importante antes de continuar.

Consideraciones de seguridad

Siguientes pasos

Una vez que hayas desplegado tu AWS DevOps agente mediante Terraform:

Recursos adicionales