本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Terraform 開始使用 AWS DevOps 代理程式

概觀

本指南說明如何使用 Terraform 來建立和部署 AWS DevOps 代理程式資源。Terraform 組態可自動建立代理程式空間、IAM 角色、運算子應用程式和 AWS 帳戶關聯。

Terraform 方法透過將所有必要資源定義為基礎設施作為程式碼，自動執行 CLI 入門指南中所述的手動步驟。

AWS DevOps 代理程式可在下列 6 AWS 區域使用：美國東部 （維吉尼亞北部）、美國西部 （奧勒岡）、亞太區域 （雪梨）、亞太區域 （東京）、歐洲 （法蘭克福） 和歐洲 （愛爾蘭）。如需支援區域的詳細資訊，請參閱 支援的區域。

先決條件

開始前，請確定您具有下列項目：

本指南涵蓋的內容

本指南分為三個部分：

已建立資源

第 1 部分：監控帳戶

第 2 部分：服務帳戶 （選用）

設定

步驟 1：複製範例儲存庫

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

步驟 2：設定變數

複製範例變數檔案，並針對您的環境進行自訂：

cp terraform.tfvars.example terraform.tfvars

terraform.tfvars 使用您的客服人員空間名稱和描述進行編輯：

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

第 1 部分：部署代理程式空間

在本節中，您會在監控帳戶中建立代理程式空間、IAM 角色、運算子應用程式和 AWS 關聯。

步驟 1：使用自動化部署 （建議）

使用提供的部署指令碼進行簡化設定：

./deploy.sh

此指令碼會自動：

或者，如果您偏好手動控制：

terraform init
terraform plan
terraform apply

出現提示yes時輸入 以確認部署。

步驟 2：記錄輸出

部署完成後，Terraform 會列印輸出。記錄這些值以供日後使用：

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

如果您打算完成第 2 部分，請儲存該agent_space_arn值。您需要它來設定服務帳戶資源。

步驟 3：驗證部署

執行部署後驗證指令碼：

./post-deploy.sh

或使用 AWS CLI 來驗證已成功建立代理程式空間：

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

此時，您的代理程式空間會部署並啟用 運算子應用程式，並與您的監控帳戶相關聯。代理程式可以監控此帳戶中的問題。

第 2 部分 （選用）：新增跨帳戶監控

在本節中，您會擴展設定，讓客服人員空間可以監控第二個 AWS 帳戶 （服務帳戶） 中的資源。這涉及兩個動作：

步驟 1：設定服務帳戶 ID

在 中terraform.tfvars，設定您的服務帳戶 ID：

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

步驟 2：設定客服人員空間 ARN

從第 1 部分輸出複製 agent_space_arn值 （步驟 2)，然後在 中設定terraform.tfvars：

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

服務帳戶資源使用此值來限制次要帳戶角色的信任政策範圍。只有在設定此值時，才會建立這些資源。

步驟 3：設定 `aws.service` 供應商

在 中main.tf，使用服務帳戶的登入資料設定aws.service提供者別名。您可以使用具名設定檔或擔任角色：

使用設定檔：

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

或使用擔任角色：

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

步驟 4：部署

套用更新的組態：

terraform apply

這會在服務帳戶中建立下列資源：

它也會在監控帳戶中建立來源 AWS 關聯，以連結服務帳戶。

步驟 5：驗證部署

測試 echo 服務以確認 Lambda 函數已成功部署：

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

第 3 部分 （選用）：註冊第三方整合

在本節中，您會向代理程式空間註冊外部服務 (Dynatrace、ServiceNow、Splunk、New Relic、GitLab、PagerDuty)。這些整合可讓 AWS DevOps 代理程式在調查期間存取遙測、事件資料和來源控制資訊。

與需要單獨的 IntegrationsStack 階段和代理程式空間 ID 手動配線的 AWS CDK 範例不同，這些資源會直接參考代理程式空間，並可部署在第 1 部分terraform apply相同的 中。

支援的整合

步驟 1：設定整合憑證

將 integrations區塊新增至 terraform.tfvars，僅填入您想要的服務。下列範例顯示 Dynatrace 整合：

integrations = {
  dynatrace = {
    account_urn   = "<DYNATRACE_ACCOUNT_URN>"
    client_id     = "<DYNATRACE_CLIENT_ID>"
    client_name   = "<DYNATRACE_CLIENT_NAME>"
    client_secret = "<DYNATRACE_CLIENT_SECRET>"
    env_id        = "<DYNATRACE_ENVIRONMENT_ID>"
    resources     = ["<DYNATRACE_RESOURCE_1>"]
  }
}

如需每個整合的完整形狀，請參閱範例儲存庫terraform.tfvars.example中的 。

ServiceNow 需求：一律instance_id明確設定為短執行個體名稱 （例如，"ven04972"— 而非完整 instance_url)。如果省略 instance_id ，則關聯會回復為 instance_url，DevOps Agent API 會使用 拒絕該關聯400 GeneralServiceException: instanceId '<url>' does not match the registered ServiceNow instance。

安全性：integrations變數會標記為 sensitive，因此其值會從計劃中修訂並套用輸出。請勿將實際登入資料遞交至 terraform.tfvars。對於生產，來自 AWS Secrets Manager 或 AWS Systems Manager 參數存放區的來源秘密 （例如，使用data來源），而不是純文字。

步驟 2：部署

套用組態：

terraform apply

這會為每個啟用的整合建立服務註冊和關聯。

步驟 3：檢閱輸出

部署完成後，整合輸出會將每個啟用的服務映射至其註冊IDs：

integration_service_ids = {
  "dynatrace" = "service-abc123"
}
integration_association_ids = {
  "dynatrace" = "assoc-xyz789"
}

如需為每個服務設定登入資料的詳細資訊，請參閱：

使用現有的 IAM 角色 （選用）

根據預設，Terraform 組態會為代理程式空間和運算子應用程式建立新的 IAM 角色。如果您已有具有必要政策的 IAM 角色，您可以略過角色建立，並改為提供現有的角色 ARNs。

要求

現有角色必須符合下列要求：

客服人員空間角色

Operator 應用程式角色

組態

在 中terraform.tfvars，設定一個或兩個角色 ARNs：

existing_agentspace_role_arn = "arn:aws:iam::ACCOUNT_ID:role/YourAgentSpaceRole"
existing_operator_role_arn   = "arn:aws:iam::ACCOUNT_ID:role/YourOperatorRole"

設定這些值時，iam.tf會略過 中對應的角色資源。此方法完全回溯相容 — 具有空值 （預設值） 的現有組態會保留目前的角色建立行為。

疑難排解

IAM 傳播延遲

ServiceNow instanceId does not match錯誤

Dynatrace 關聯 status: invalid

許可錯誤

跨帳戶部署失敗

找不到 Terraform 資源類型

清除

若要移除所有資源，如果您已部署第 2 部分，請以相反順序銷毀：

./cleanup.sh

或手動：

terraform destroy

警告：這會永久刪除您的客服人員空間和所有相關資料。在繼續之前，請確定您已備份任何重要資訊。

安全考量

後續步驟

使用 Terraform 部署您的 AWS DevOps 代理程式之後：

其他資源