Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Migración de la versión preliminar pública a la disponibilidad general

Si utilizó AWS DevOps Agent durante la versión preliminar pública, debe actualizar sus funciones de IAM antes del lanzamiento de la versión general. Esta guía explica cómo actualizar las funciones de supervisión y las funciones de operador en sus cuentas.

¿Qué está cambiando

Historial de chats bajo demanda obtenido de una vista previa pública

La versión de GA introduce medidas de seguridad adicionales para reforzar los controles de acceso a los historiales de chat. Como resultado de estos cambios, ya no se puede acceder a los historiales de chat bajo demanda del período de versión preliminar pública (antes del 30 de marzo de 2026). Las revistas de investigación y los hallazgos creados durante la vista previa pública no se ven afectados. Este cambio solo se aplica a las conversaciones de chat a pedido.

Nuevas políticas gestionadas

Para GA, AWS proporciona nuevas políticas administradas que sustituyen a las políticas de la era de la versión preliminar:

Además, las funciones de operador requieren políticas de confianza actualizadas y las funciones de operador de IDC requieren una nueva política en línea.

Requisitos previos

Paso 1: Actualizar las funciones de supervisión

Actualiza la función de supervisión en tu cuenta principal y en cada cuenta secundaria. Estos son los roles de Primary/Secondary origen configurados en la pestaña Capacidades de su espacio de agente ( primary/secondary rol de ejemplo:DevOpsAgentRole-AgentSpace-3xj2396z).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateServiceLinkedRoles",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/aws-service-role/resource-explorer-2.amazonaws.com/AWSServiceRoleForResourceExplorer"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/*"
                }
            }
        }
    ]
}

Paso 2: Actualice el rol de operador (IAM)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        }
    ]
}

Paso 3: Actualizar las funciones de los operadores (IDC)

Si utiliza el Centro de identidad de IAM con DevOps un agente, actualice cada función de operador de IDC.

a. Elimine la política en línea existente.

b. Seleccione Añadir permisos, Adjuntar políticas y adjuntar la política AIDevOpsOperatorAppAccessPolicy gestionada.

c. Seleccione la pestaña Relaciones de confianza y elija Editar política de confianza. Sustituya la política de confianza por la siguiente, sustituyendo su ID de cuenta, región e ID de Agent Space:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        },
        {
            "Sid": "TrustedIdentityPropagation",
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:SetContext",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                },
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": [
                        "arn:aws:iam::aws:contextProvider/IdentityCenter"
                    ]
                },
                "Null": {
                    "sts:RequestContextProviders": "false"
                }
            }
        }
    ]
}

d. Crea una nueva política en línea con los siguientes permisos, sustituyéndola por tu ID de cuenta:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDevOpsAgentSSOAccess",
            "Effect": "Allow",
            "Action": [
                "sso:ListInstances",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowDevOpsAgentIDCUserAccess",
            "Effect": "Allow",
            "Action": "identitystore:DescribeUser",
            "Resource": [
                "arn:aws:identitystore::<account-id>:identitystore/*",
                "arn:aws:identitystore:::user/*"
            ]
        }
    ]
}

Vuelva a conectar el centro de identidad de IAM (si corresponde)

Los espacios de agente creados durante la versión preliminar pública pueden tener una aplicación del Centro de Identidad de IAM configurada con un alcance de acceso obsoleto. En el caso de GA, el ámbito correcto es aidevops:read_write. Si su aplicación del Centro de Identidad de IAM tiene el alcance anterior (awsaidevops:read_write), debe desconectar y volver a conectar el Centro de Identidad de IAM.

¿Cómo comprobar el alcance de su aplicación en el Centro de Identidad de IAM

Ejecute el siguiente comando AWS CLI para comprobar el alcance de la aplicación IAM Identity Center. Puede encontrar el ARN de la aplicación en la consola de IAM Identity Center, en Aplicaciones.

aws sso-admin list-application-access-scopes \
  --application-arn arn:aws:sso::<account-id>:application/<instance-id>/<application-id>

El resultado debe mostrar el alcance correcto: aidevops:read_write

{
    "Scopes": [
        {
            "Scope": "aidevops:read_write"
        }
    ]
}

Si se muestra el alcance awsaidevops:read_write, significa que está desactualizado. Siga los pasos que se indican a continuación para actualizarlo.

¿Cómo volver a conectar el Centro de Identidad de IAM

El alcance de acceso de una aplicación AWS gestionada del Centro de Identidad de IAM no se puede actualizar directamente. Debe desconectarse y volver a conectarse:

Verificación

Tras completar todos los pasos:

Resolución de problemas

Errores de permiso denegado tras la migración

Las cuentas secundarias no funcionan

Fallos de autenticación de IDC

Falta el historial de chats bajo demanda tras la migración