Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Nozioni di base su AWS DevOps Agente che utilizza Terraform

Panoramica di

Questa guida mostra come utilizzare Terraform per creare e distribuire AWS DevOps risorse Agent. La configurazione Terraform automatizza la creazione di uno spazio per agenti, ruoli IAM, un'app operatore e associazioni di account. AWS

L'approccio Terraform automatizza i passaggi manuali descritti nella guida all'onboarding della CLI definendo tutte le risorse richieste come infrastruttura come codice.

AWS DevOps L'agente è disponibile nelle seguenti 6 AWS regioni: Stati Uniti orientali (Virginia settentrionale), Stati Uniti occidentali (Oregon), Asia Pacifico (Sydney), Asia Pacifico (Tokyo), Europa (Francoforte) ed Europa (Irlanda). Per ulteriori informazioni sulle regioni supportate, consulta. Regioni supportate

Prerequisiti

Prima di iniziare, assicurati di disporre di:

Cosa tratta questa guida

Questa guida è divisa in tre parti:

Risorse create

Parte 1: Monitoraggio dell'account

Parte 2: Account di servizio (opzionale)

Configurazione

Fase 1: clonare il repository di esempio

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

Fase 2: Configurare le variabili

Copia il file delle variabili di esempio e personalizzalo per il tuo ambiente:

cp terraform.tfvars.example terraform.tfvars

Modifica terraform.tfvars con il nome e la descrizione dello spazio dell'agente:

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

Parte 1: Implementa lo spazio degli agenti

In questa sezione, crei lo spazio degli agenti, i ruoli IAM, l'app operatore e un' AWS associazione nel tuo account di monitoraggio.

Fase 1: Implementazione con automazione (consigliata)

Utilizza lo script di distribuzione fornito per una configurazione semplificata:

./deploy.sh

Questo script automaticamente:

In alternativa, se preferisci il controllo manuale:

terraform init
terraform plan
terraform apply

Digita yes quando richiesto per confermare la distribuzione.

Fase 2: Registrare le uscite

Al termine della distribuzione, Terraform stampa gli output. Registra questi valori per un uso successivo:

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

Se intendi completare la Parte 2, salva il agent_space_arn valore. Ti servirà per configurare le risorse dell'account di servizio.

Fase 3: Verificare la distribuzione

Esegui lo script di verifica post-implementazione:

./post-deploy.sh

Oppure usa la AWS CLI per verificare che lo spazio dell'agente sia stato creato correttamente:

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

A questo punto, lo spazio per gli agenti viene distribuito con l'app dell'operatore abilitata e l'account di monitoraggio associato. L'agente può monitorare i problemi relativi a questo account.

Parte 2 (facoltativa): aggiungi il monitoraggio tra account

In questa sezione, estendete la configurazione in modo che lo spazio dell'agente possa monitorare le risorse in un secondo AWS account (l'account di servizio). Ciò comporta due azioni:

Fase 1: Configurare l'ID dell'account di servizio

Interraform.tfvars, imposta l'ID del tuo account di servizio:

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

Fase 2: Impostare lo spazio dell'agente (ARN)

Copiate il agent_space_arn valore dall'output della Parte 1 (Fase 2) e impostatelo interraform.tfvars:

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

Le risorse dell'account di servizio utilizzano questo valore per definire la politica di fiducia relativa al ruolo secondario dell'account. Queste risorse vengono create solo quando questo valore è impostato.

Fase 3: Configurare il provider `aws.service`

Inmain.tf, configura l'alias del aws.service provider con le credenziali per l'account di servizio. Puoi utilizzare un profilo denominato o assumere un ruolo:

Utilizzando un profilo:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

O usando assume il ruolo:

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

Fase 4: Implementazione

Applica la configurazione aggiornata:

terraform apply

In questo modo vengono create le seguenti risorse nell'account del servizio:

Crea inoltre un' AWS associazione di origine nell'account di monitoraggio che collega l'account di servizio.

Fase 5: Verificare la distribuzione

Prova il servizio echo per confermare che la funzione Lambda è stata implementata correttamente:

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

Parte 3 (opzionale): registrazione delle integrazioni di terze parti

In questa sezione, registri i servizi esterni (Dynatrace,, Splunk ServiceNow, New Relic, GitLab, PagerDuty) con lo spazio degli agenti. Queste integrazioni consentono all' AWS DevOps Agent di accedere alla telemetria, ai dati sugli incidenti e alle informazioni sul controllo del codice sorgente durante le indagini.

A differenza dell'esempio AWS CDK, che richiede una IntegrationsStack fase separata e il cablaggio manuale dell'ID dello spazio agente, queste risorse fanno riferimento direttamente allo spazio degli agenti e possono essere implementate come nella Parte 1. terraform apply

Integrazioni supportate

Fase 1: Configurare le credenziali di integrazione

Aggiungi un integrations blocco aterraform.tfvars, compilando solo i servizi che desideri. L'esempio seguente mostra un'integrazione con Dynatrace:

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

Per la forma completa di ogni integrazione, vedi terraform.tfvars.example nel repository di esempio.

ServiceNow requisito: imposta sempre in instance_id modo esplicito il nome breve dell'istanza (ad esempio, "ven04972" non quello completoinstance_url). Se instance_id viene omessa, l'associazione ritorna ainstance_url, cosa che l'API dell' DevOps agente rifiuta con un. 400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance

Sicurezza: la integrations variabile è contrassegnatasensitive, quindi i suoi valori vengono eliminati dal piano e applicati all'output. Non inserire credenziali reali in. terraform.tfvars Per la produzione, i segreti dei sorgenti provengono da AWS Secrets Manager o AWS Systems Manager Parameter Store (ad esempio, utilizzando i data sorgenti) anziché il testo semplice.

Fase 2: Implementazione

Applica la configurazione:

terraform apply

Questo crea una registrazione e un'associazione del servizio per ogni integrazione abilitata.

Fase 3: Esamina gli output

Una volta completata la distribuzione, gli output di integrazione mappano ogni servizio abilitato ai relativi ID registrati:

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

Per ulteriori informazioni sulla configurazione delle credenziali per ogni servizio, consulta:

Utilizzo dei ruoli IAM esistenti (facoltativo)

Per impostazione predefinita, la configurazione Terraform crea nuovi ruoli IAM per lo spazio degli agenti e l'app dell'operatore. Se disponi già di ruoli IAM con le policy richieste, puoi saltare la creazione di ruoli e fornire invece gli ARN dei ruoli esistenti.

Requisiti

I ruoli esistenti devono soddisfare i seguenti requisiti:

Ruolo spaziale dell'agente

Ruolo dell'app Operator

Configurazione

Interraform.tfvars, imposta uno o entrambi gli ARN di ruolo:

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

Quando questi valori sono impostati, le risorse di ruolo corrispondenti in cui sono iam.tf inserite vengono ignorate. Questo approccio è completamente compatibile con le versioni precedenti: le configurazioni esistenti con valori vuoti (impostazione predefinita) mantengono l'attuale comportamento di creazione dei ruoli.

Risoluzione dei problemi

Ritardi di propagazione IAM

ServiceNow instanceId does not matcherrore

Associazione Dynatrace status: invalid

Errori di autorizzazione

Cross-account la distribuzione fallisce

Tipo di risorsa Terraform non trovato

Pulizia

Per rimuovere tutte le risorse, distruggile in ordine inverso se hai distribuito la Parte 2:

./cleanup.sh

O manualmente:

terraform destroy

Avviso: questa operazione elimina definitivamente lo spazio dell'agente e tutti i dati associati. Assicurati di aver eseguito il backup di tutte le informazioni importanti prima di procedere.

Considerazioni relative alla sicurezza

Fasi successive

Dopo aver distribuito il tuo AWS DevOps agente utilizzando Terraform:

Risorse aggiuntive