Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Démarrage avec AWS DevOps Agent utilisant Terraform

Présentation de

Ce guide vous explique comment utiliser Terraform pour créer et déployer des ressources d' AWS DevOps agent. La configuration Terraform automatise la création d'un espace d'agent, de rôles IAM, d'une application d'opérateur et d'associations de comptes. AWS

L'approche Terraform automatise les étapes manuelles décrites dans le guide d'intégration de la CLI en définissant toutes les ressources requises sous forme d'infrastructure sous forme de code.

AWS DevOps L'agent est disponible dans les 6 AWS régions suivantes : USA Est (Virginie du Nord), USA Ouest (Oregon), Asie-Pacifique (Sydney), Asie-Pacifique (Tokyo), Europe (Francfort) et Europe (Irlande). Pour plus d'informations sur les régions prises en charge, consultezRégions prises en charge.

Conditions préalables

Avant de commencer, assurez-vous de disposer des éléments suivants :

Ce que couvre ce guide

Ce guide est divisé en trois parties :

Ressources créées

Partie 1 : Compte de surveillance

Partie 2 : Compte de service (facultatif)

Configuration

Étape 1 : Cloner le référentiel d'échantillons

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Étape 2 : Configuration des variables

Copiez le fichier de variables d'exemple et personnalisez-le en fonction de votre environnement :

cp terraform.tfvars.example terraform.tfvars

Modifiez terraform.tfvars avec le nom et la description de votre espace agent :

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Partie 1 : Déploiement de l'espace agent

Dans cette section, vous allez créer l'espace agent, les rôles IAM, l'application opérateur et une AWS association dans votre compte de surveillance.

Étape 1 : Déploiement automatique (recommandé)

Utilisez le script de déploiement fourni pour une configuration rationalisée :

./deploy.sh

Ce script :

Sinon, si vous préférez le contrôle manuel :

terraform init
terraform plan
terraform apply

Tapez yes lorsque vous êtes invité à confirmer le déploiement.

Étape 2 : Enregistrez les sorties

Une fois le déploiement terminé, Terraform imprime les sorties. Enregistrez ces valeurs pour une utilisation ultérieure :

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Si vous prévoyez de terminer la partie 2, enregistrez la agent_space_arn valeur. Vous en aurez besoin pour configurer les ressources du compte de service.

Étape 3 : vérifier le déploiement

Exécutez le script de vérification après le déploiement :

./post-deploy.sh

Vous pouvez également utiliser la AWS CLI pour vérifier que l'espace agent a été créé avec succès :

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

À ce stade, votre espace d'agent est déployé avec l'application opérateur activée et votre compte de surveillance associé. L'agent peut surveiller les problèmes liés à ce compte.

Partie 2 (facultatif) : Ajouter une surveillance entre comptes

Dans cette section, vous étendez la configuration afin que l'espace agent puisse surveiller les ressources d'un deuxième AWS compte (le compte de service). Cela implique deux actions :

Étape 1 : configurer l'ID du compte de service

Dansterraform.tfvars, définissez l'identifiant de votre compte de service :

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Étape 2 : définir l'ARN de l'espace agent

Copiez la agent_space_arn valeur de la sortie de la partie 1 (étape 2) et définissez-la dans terraform.tfvars :

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Les ressources du compte de service utilisent cette valeur pour définir la politique de confiance relative au rôle du compte secondaire. Ces ressources ne sont créées que lorsque cette valeur est définie.

Étape 3 : Configuration du fournisseur `aws.service`

Dansmain.tf, configurez l'alias du aws.service fournisseur avec les informations d'identification du compte de service. Vous pouvez utiliser un profil nommé ou un rôle d'emprunt :

À l'aide d'un profil :

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

Ou en utilisant assume le rôle :

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Étape 4 : Déploiement

Appliquez la configuration mise à jour :

terraform apply

Cela crée les ressources suivantes dans le compte de service :

Il crée également une AWS association de source dans le compte de surveillance qui lie le compte de service.

Étape 5 : vérifier le déploiement

Testez le service Echo pour vérifier que la fonction Lambda a été déployée avec succès :

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Partie 3 (facultatif) : Enregistrer les intégrations tierces

Dans cette section, vous enregistrez des services externes (Dynatrace, Splunk ServiceNow, New Relic, GitLab, PagerDuty) auprès de l'espace agent. Ces intégrations permettent à AWS DevOps l'agent d'accéder à la télémétrie, aux données sur les incidents et aux informations de contrôle des sources pendant les enquêtes.

Contrairement à l'exemple AWS CDK, qui nécessite une IntegrationsStack phase séparée et un câblage manuel de l'identifiant de l'espace agent, ces ressources font directement référence à l'espace agent et peuvent être déployées de la même manière terraform apply que dans la partie 1.

Intégrations prises en charge

Étape 1 : Configuration des informations d'identification d'intégration

Ajoutez un integrations bloc àterraform.tfvars, en renseignant uniquement les services souhaités. L'exemple suivant montre une intégration Dynatrace :

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Pour connaître la forme complète de chaque intégration, consultez terraform.tfvars.example le référentiel d'exemples.

ServiceNow exigence : définissez toujours instance_id explicitement le nom court de l'instance (par exemple, "ven04972" mais pas le nom completinstance_url). Si elle instance_id est omise, l'association revient àinstance_url, ce que l'API de l' DevOps agent rejette avec un400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance.

Sécurité : La integrations variable étant marquéesensitive, ses valeurs sont supprimées du plan et appliquées à la sortie. Ne confiez pas de véritables informations d'identification àterraform.tfvars. Pour la production, utilisez des AWS secrets de source provenant de Secrets Manager ou de AWS Systems Manager Parameter Store (par exemple, en utilisant data des sources) plutôt que du texte brut.

Étape 2 : Déploiement

Appliquez la configuration :

terraform apply

Cela crée un enregistrement de service et une association pour chaque intégration activée.

Étape 3 : Passez en revue les résultats

Une fois le déploiement terminé, les résultats de l'intégration associent chaque service activé à ses identifiants enregistrés :

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Pour plus d'informations sur la configuration des informations d'identification pour chaque service, voir :

Utilisation de rôles IAM existants (facultatif)

Par défaut, la configuration Terraform crée de nouveaux rôles IAM pour l'espace agent et l'application opérateur. Si vous possédez déjà des rôles IAM dotés des politiques requises, vous pouvez ignorer la création de rôles et fournir les ARN des rôles existants à la place.

Exigences

Les rôles existants doivent répondre aux exigences suivantes :

Rôle de l'agent dans l'espace

Rôle de l'opérateur dans l'application

Configuration

Dansterraform.tfvars, définissez un ou les deux ARN de rôle :

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Lorsque ces valeurs sont définies, les ressources de rôle correspondantes iam.tf sont ignorées. Cette approche est entièrement rétrocompatible : les configurations existantes avec des valeurs vides (valeur par défaut) préservent le comportement actuel de création de rôles.

Résolution des problèmes

Retards de propagation de l'IAM

ServiceNow instanceId does not matcherreur

Association Dynatrace status: invalid

Erreurs d'autorisation

Cross-account échec du déploiement

Type de ressource Terraform introuvable

Nettoyage

Pour supprimer toutes les ressources, détruisez-les dans l'ordre inverse si vous avez déployé la partie 2 :

./cleanup.sh

Ou manuellement :

terraform destroy

Avertissement : Cela supprime définitivement votre espace d'agent et toutes les données associées. Assurez-vous d'avoir sauvegardé toutes les informations importantes avant de continuer.

Considérations sur la sécurité

Étapes suivantes

Après avoir déployé votre AWS DevOps agent à l'aide de Terraform :

Ressources supplémentaires