Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Migration von der öffentlichen Vorversion zur allgemeinen Verfügbarkeit

Wenn Sie AWS DevOps Agent während der öffentlichen Vorschauversion verwendet haben, müssen Sie Ihre IAM-Rollen vor der GA-Version aktualisieren. In dieser Anleitung erfahren Sie, wie Sie die Überwachungs- und Operatorrollen in Ihren Konten aktualisieren.

Was ändert sich

On-Demand-Chatverlauf aus der öffentlichen Vorschau

Die GA-Version führt zusätzliche Sicherheitsmaßnahmen ein, um die Zugriffskontrollen für Chat-Verläufe zu verschärfen. Aufgrund dieser Änderungen sind On-Demand-Chatverläufe aus der öffentlichen Vorschauphase (vor dem 30. März 2026) nicht mehr zugänglich. Untersuchungszeitschriften und Ergebnisse, die während der öffentlichen Vorschauphase erstellt wurden, sind davon nicht betroffen. Diese Änderung gilt nur für On-Demand-Chat-Konversationen.

Neue verwaltete Richtlinien

AWS Stellt für GA neue verwaltete Richtlinien bereit, die die Richtlinien aus der Vorschauzeit ersetzen:

Darüber hinaus erfordern Operatorrollen aktualisierte Vertrauensrichtlinien, und IDC-Operatorrollen erfordern eine neue Inline-Richtlinie.

Voraussetzungen

Schritt 1: Monitoring-Rollen aktualisieren

Aktualisieren Sie die Überwachungsrolle in Ihrem primären Konto und in jedem sekundären Konto. Dies sind die Primary/Secondary Quellrollen, die auf der Registerkarte Funktionen in Ihrem Agentenbereich konfiguriert sind ( primary/secondary Beispielrolle:DevOpsAgentRole-AgentSpace-3xj2396z).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateServiceLinkedRoles",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/aws-service-role/resource-explorer-2.amazonaws.com/AWSServiceRoleForResourceExplorer"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/*"
                }
            }
        }
    ]
}

Schritt 2: Aktualisieren Sie die Operatorrolle (IAM)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        }
    ]
}

Schritt 3: Aktualisieren Sie die Operatorrollen (IDC)

Wenn Sie IAM Identity Center mit DevOps Agent verwenden, aktualisieren Sie jede IDC-Operatorrolle.

a. Entfernen Sie die bestehende Inline-Richtlinie.

b. Wählen Sie „Berechtigungen hinzufügen“, „Richtlinien anhängen“ und fügen Sie die AIDevOpsOperatorAppAccessPolicy verwaltete Richtlinie an.

c. Wählen Sie die Registerkarte Vertrauensbeziehungen und dann Vertrauensrichtlinie bearbeiten aus. Ersetzen Sie die Vertrauensrichtlinie durch Folgendes und ersetzen Sie dabei Ihre Konto-ID, Region und Agent Space-ID:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        },
        {
            "Sid": "TrustedIdentityPropagation",
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:SetContext",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                },
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": [
                        "arn:aws:iam::aws:contextProvider/IdentityCenter"
                    ]
                },
                "Null": {
                    "sts:RequestContextProviders": "false"
                }
            }
        }
    ]
}

d. Erstellen Sie eine neue Inline-Richtlinie mit den folgenden Berechtigungen und ersetzen Sie dabei Ihre Konto-ID:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDevOpsAgentSSOAccess",
            "Effect": "Allow",
            "Action": [
                "sso:ListInstances",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowDevOpsAgentIDCUserAccess",
            "Effect": "Allow",
            "Action": "identitystore:DescribeUser",
            "Resource": [
                "arn:aws:identitystore::<account-id>:identitystore/*",
                "arn:aws:identitystore:::user/*"
            ]
        }
    ]
}

Stellen Sie die Verbindung zu IAM Identity Center erneut her (falls zutreffend)

In Agent Spaces, die während der öffentlichen Vorschau erstellt wurden, ist möglicherweise eine IAM Identity Center-Anwendung mit einem veralteten Zugriffsbereich konfiguriert. Für GA ist aidevops:read_writeder richtige Bereich. Wenn Ihre IAM Identity Center-Anwendung den vorherigen Geltungsbereich (awsaidevops:read_write) hat, müssen Sie die Verbindung zu IAM Identity Center trennen und erneut verbinden.

So überprüfen Sie den Geltungsbereich Ihrer IAM Identity Center-Anwendung

Führen Sie den folgenden AWS CLI-Befehl aus, um den Bereich in Ihrer IAM Identity Center-Anwendung zu überprüfen. Sie finden den Anwendungs-ARN in der IAM Identity Center-Konsole unter Anwendungen.

aws sso-admin list-application-access-scopes \
  --application-arn arn:aws:sso::<account-id>:application/<instance-id>/<application-id>

Die Ausgabe sollte den richtigen Bereich aidevops:read_writeanzeigen:

{
    "Scopes": [
        {
            "Scope": "aidevops:read_write"
        }
    ]
}

Wenn der Bereich angezeigt wird awsaidevops:read_write, ist er veraltet. Gehen Sie wie folgt vor, um ihn zu aktualisieren.

Wie stelle ich die Verbindung zu IAM Identity Center wieder her

Der Zugriffsbereich einer AWS verwalteten IAM Identity Center-Anwendung kann nicht direkt aktualisiert werden. Sie müssen die Verbindung trennen und erneut verbinden:

Verifizierung

Nach Abschluss aller Schritte:

Fehlerbehebung

Fehler nach der Migration „Zugriff verweigert“

Sekundäre Konten funktionieren nicht

Fehler bei der IDC-Authentifizierung

Der On-Demand-Chat-Verlauf fehlt nach der Migration