Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conexión de los recursos de Azure

La integración de Azure Resources permite al AWS DevOps agente descubrir e investigar los recursos de sus suscripciones de Azure durante la investigación de incidentes. El agente usa Azure Resource Graph para descubrir recursos y puede acceder a las métricas, los registros y los datos de configuración de todo el entorno de Azure.

Esta integración sigue un proceso de dos pasos: registre Azure a nivel de AWS cuenta y, a continuación, asocie suscripciones específicas de Azure a Agent Spaces individuales.

Requisitos previos

Antes de conectar Azure Resources, asegúrese de tener:

Cómo registrar los recursos de Azure mediante el consentimiento del administrador

El método de consentimiento del administrador utiliza un flujo basado en el consentimiento con la aplicación administrada por el AWS DevOps agente.

Paso 1: iniciar el registro

Paso 2: Completar el consentimiento del administrador

Paso 3: Completar la autorización del usuario

Paso 4: Asignar funciones

Consulte Asignación de roles de Azure a continuación. Busque un AWS DevOps agente al seleccionar los miembros.

Registro de recursos de Azure mediante el registro de aplicaciones

El método de registro de aplicaciones utiliza su propia aplicación Entra con credenciales de identidad federadas.

Paso 1: Iniciar el registro

Paso 2: Crea y configura tu aplicación Entra

Siga las instrucciones que aparecen en la consola para:

Paso 3: Proporcione los detalles de registro

Rellene el formulario de registro con:

Paso 4: Crear el rol de IAM

Al enviar el registro a través de la consola, se creará automáticamente un rol de IAM. Permite al AWS DevOps agente asumir las credenciales e sts:GetWebIdentityToken invocarlas.

Paso 5: Asignar funciones

Consulte Asignación de roles de Azure a continuación. Busque la aplicación Entra que creó al seleccionar los miembros.

Paso 6: Complete el registro

Asignación de roles de Azure

Tras el registro, conceda a la aplicación acceso de lectura a su suscripción de Azure. Este paso es el mismo para los métodos de consentimiento del administrador y registro de la aplicación.

Configuración de acceso a AKS (opcional)

Paso 1: acceso a nivel de Azure Resource Manager (ARM)

Asigne el rol de usuario del clúster de servicios de Azure Kubernetes a la aplicación.

En Azure Portal, vaya a Suscripciones → seleccione una suscripción → Control de acceso (IAM) → Agregar asignación de funciones → seleccione la función de usuario del clúster de servicios de Kubernetes de Azure → asígnela a la aplicación (ya sea AWS DevOps agente para obtener el consentimiento del administrador o su propia aplicación Entra para registrar la aplicación).

Esto cubre todos los clústeres de AKS de la suscripción. Para abarcar clústeres específicos, en su lugar, asígnelo a nivel de grupo de recursos o de clúster individual.

Paso 2: Acceso a la API de Kubernetes

Elige una opción en función de la configuración de autenticación de tu clúster:

Opción A: Control de acceso basado en roles (RBAC) de Azure para Kubernetes (recomendado)

Esto cubre todos los clústeres de AKS de la suscripción.

Opción B: Azure Active Directory (Azure AD) + Kubernetes RBAC

Úselo si su clúster ya usa la configuración de autenticación predeterminada de Azure AD y prefiere no habilitar el RBAC de Azure. Esto requiere una configuración por clúster. kubectl

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Función personalizada con menos privilegios (opcional)

Para un control de acceso más estricto, puede crear un rol de Azure personalizado que se limite únicamente a los proveedores de recursos que utiliza el AWS DevOps agente, en lugar del amplio rol de lector:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Asociar una suscripción a un espacio de agente

Tras registrar Azure a nivel de cuenta, asocie suscripciones específicas a sus Agent Spaces:

Puede asociar varias suscripciones al mismo espacio de agente para que el agente tenga visibilidad en todo el entorno de Azure.

Administrar las conexiones de Azure Resources