翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Terraform を使用した AWS DevOps エージェントの開始方法

概要

このガイドでは、Terraform を使用して AWS DevOps エージェントリソースを作成およびデプロイする方法を示します。Terraform 設定は、エージェントスペース、IAM ロール、オペレーターアプリ、および AWS アカウントの関連付けの作成を自動化します。

Terraform アプローチは、必要なすべてのリソースをコードとしてのインフラストラクチャとして定義することで、 CLI オンボーディングガイドで説明されている手動ステップを自動化します。

AWS DevOps エージェントは、米国東部 (バージニア北部）、米国西部 (オレゴン）、アジアパシフィック (シドニー）、アジアパシフィック (東京）、欧州 (フランクフルト）、欧州 (アイルランド) の 6 つの AWS リージョンで利用できます。サポートされているリージョンの詳細については、「」を参照してくださいサポートされるリージョン。

前提条件

作業を開始する前に、次の項目があることを確認します。

このガイドの内容

このガイドは 3 つのパートに分かれています。

作成されるリソース

パート 1: アカウントのモニタリング

パート 2: サービスアカウント (オプション)

セットアップ

ステップ 1: サンプルリポジトリのクローンを作成する

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

ステップ 2: 変数を設定する

サンプル変数ファイルをコピーし、環境に合わせてカスタマイズします。

cp terraform.tfvars.example terraform.tfvars

エージェントスペースの名前と説明terraform.tfvarsを使用して を編集します。

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

パート 1: エージェントスペースをデプロイする

このセクションでは、モニタリングアカウントにエージェントスペース、IAM ロール、オペレーターアプリ、および AWS 関連付けを作成します。

ステップ 1: 自動化を使用してデプロイする (推奨)

提供されているデプロイスクリプトを使用して、セットアップを合理化します。

./deploy.sh

このスクリプトは自動的に次のようになります。

または、手動制御を希望する場合:

terraform init
terraform plan
terraform apply

デプロイを確認するプロンプトが表示されyesたら、 と入力します。

ステップ 2: 出力を記録する

デプロイが完了すると、Terraform は出力を出力します。後で使用するために、これらの値を記録します。

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

パート 2 を完了する予定がある場合は、agent_space_arn値を保存します。サービスアカウントリソースを設定するには、これが必要です。

ステップ 3: デプロイを検証する

デプロイ後の検証スクリプトを実行します。

./post-deploy.sh

または、CLI AWS を使用して、エージェントスペースが正常に作成されたことを確認します。

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

この時点で、エージェントスペースはオペレーターアプリが有効で、モニタリングアカウントが関連付けられている状態でデプロイされます。エージェントはこのアカウントの問題をモニタリングできます。

パート 2 (オプション): クロスアカウントモニタリングを追加する

このセクションでは、エージェントスペースが 2 番目の AWS アカウント (サービスアカウント) のリソースをモニタリングできるようにセットアップを拡張します。これには、次の 2 つのアクションが含まれます。

ステップ 1: サービスアカウント ID を設定する

でterraform.tfvars、サービスアカウント ID を設定します。

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

ステップ 2: エージェントスペース ARN を設定する

パート 1 出力 (ステップ 2) からagent_space_arn値をコピーし、 で設定しますterraform.tfvars。

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

サービスアカウントリソースは、この値を使用してセカンダリアカウントロールの信頼ポリシーの範囲を設定します。これらのリソースは、この値が設定されている場合にのみ作成されます。

ステップ 3: 「aws.service」プロバイダーを設定する

でmain.tf、サービスアカウントの認証情報を使用してaws.serviceプロバイダーエイリアスを設定します。名前付きプロファイルまたは継承ロールを使用できます。

プロファイルの使用:

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

または、継承ロールを使用します。

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

ステップ 4: デプロイする

更新された設定を適用します。

terraform apply

これにより、サービスアカウントに次のリソースが作成されます。

また、サービスアカウントをリンクするソース AWS 関連付けをモニタリングアカウントに作成します。

ステップ 5: デプロイを検証する

エコーサービスをテストして、Lambda 関数が正常にデプロイされたことを確認します。

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

パート 3 (オプション): サードパーティー統合を登録する

このセクションでは、外部サービス (Dynatrace、ServiceNow、Splunk、New Relic、GitLab、PagerDuty) をエージェントスペースに登録します。これらの統合により、 AWS DevOps Agent は調査中にテレメトリ、インシデントデータ、ソースコントロール情報にアクセスできます。

別の IntegrationsStack フェーズとエージェントスペース ID の手動ワイヤリングを必要とする AWS CDK サンプルとは異なり、これらのリソースはエージェントスペースを直接参照し、パート 1 terraform applyと同じ にデプロイできます。

サポートされている統合

ステップ 1: 統合認証情報を設定する

integrations ブロックを に追加しterraform.tfvars、必要なサービスのみを入力します。次の例は、Dynatrace 統合を示しています。

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

各統合の完全な形状については、サンプルリポジトリterraform.tfvars.exampleの「」を参照してください。

ServiceNow 要件: 常に短いインスタンス名にinstance_id明示的に設定します (例: "ven04972" 完全な ではなくinstance_url)。instance_id を省略すると、関連付けは にフォールバックされinstance_url、DevOps エージェント API は で拒否します400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance。

セキュリティ: integrations変数は とマークされるためsensitive、その値は計画から編集され、出力が適用されます。実際の認証情報を にコミットしないでくださいterraform.tfvars。本番稼働用の場合、プレーンテキストではなく AWS Secrets Manager または AWS Systems Manager パラメータストアからのソースシークレット (dataソースの使用など）。

ステップ 2: デプロイする

以下のとおり設定を適用します。

terraform apply

これにより、有効な統合ごとにサービス登録と関連付けが作成されます。

ステップ 3: 出力を確認する

デプロイが完了すると、統合出力は有効な各サービスをその登録済み IDs。

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

各サービスの認証情報の設定の詳細については、以下を参照してください。

既存の IAM ロールの使用 (オプション)

デフォルトでは、Terraform 設定はエージェントスペースとオペレーターアプリの新しい IAM ロールを作成します。必要なポリシーを持つ IAM ロールがすでにある場合は、ロールの作成をスキップし、代わりに既存のロール ARNs を指定できます。

要件

既存のロールは、次の要件を満たしている必要があります。

エージェントスペースロール

オペレーターアプリロール

設定

でterraform.tfvars、1 つまたは両方のロール ARNs を設定します。

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

これらの値を設定すると、 の対応するロールリソースiam.tfはスキップされます。このアプローチは完全に下位互換性があります。空の値 (デフォルト) を持つ既存の設定は、現在のロール作成動作を保持します。

トラブルシューティング

IAM 伝達の遅延

ServiceNow instanceId does not match エラー

Dynatrace の関連付け status: invalid

アクセス許可エラー

クロスアカウントデプロイが失敗する

Terraform リソースタイプが見つかりません

クリーンアップ

すべてのリソースを削除するには、パート 2 をデプロイした場合は逆の順序で破棄します。

./cleanup.sh

または、手動で以下を実行します。

terraform destroy

警告: これにより、エージェントスペースと関連するすべてのデータが完全に削除されます。続行する前に、重要な情報をバックアップしていることを確認してください。

セキュリティに関する考慮事項

次の手順

Terraform を使用して AWS DevOps エージェントをデプロイした後:

その他のリソース