Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Migration de la version préliminaire publique à la disponibilité générale

Si vous avez utilisé AWS DevOps l'Agent lors de la version préliminaire publique, vous devez mettre à jour vos rôles IAM avant la sortie de GA. Ce guide explique comment mettre à jour les rôles de surveillance et les rôles d'opérateur dans vos comptes.

Ce qui change

Historique des discussions à la demande depuis l'aperçu public

La version GA introduit des mesures de sécurité supplémentaires pour renforcer les contrôles d'accès aux historiques de discussion. En raison de ces modifications, les historiques des discussions à la demande datant de la période de prévisualisation publique (avant le 30 mars 2026) ne sont plus accessibles. Les journaux d'investigation et les résultats créés lors de l'avant-première publique ne sont pas affectés. Cette modification s'applique uniquement aux conversations par chat à la demande.

Nouvelles politiques gérées

Pour GA, AWS fournit de nouvelles politiques gérées qui remplacent les politiques de l'ère de prévisualisation :

En outre, les rôles d'opérateur nécessitent des politiques de confiance mises à jour, et les rôles d'opérateur IDC nécessitent une nouvelle politique intégrée.

Conditions préalables

Étape 1 : Mettre à jour les rôles de surveillance

Mettez à jour le rôle de surveillance dans votre compte principal et dans chaque compte secondaire. Il s'agit des rôles Primary/Secondary source configurés sous l'onglet Capabilities de votre espace agent (exemple de primary/secondary rôle :DevOpsAgentRole-AgentSpace-3xj2396z).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateServiceLinkedRoles",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/aws-service-role/resource-explorer-2.amazonaws.com/AWSServiceRoleForResourceExplorer"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/*"
                }
            }
        }
    ]
}

Étape 2 : Mettre à jour le rôle d'opérateur (IAM)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        }
    ]
}

Étape 3 : Mettre à jour les rôles des opérateurs (IDC)

Si vous utilisez IAM Identity Center avec un DevOps agent, mettez à jour chaque rôle d'opérateur IDC.

a. Supprimez la politique intégrée existante.

b. Choisissez Ajouter des autorisations, Joindre des politiques, puis attachez la politique AIDevOpsOperatorAppAccessPolicy gérée.

c. Choisissez l'onglet Relations de confiance, puis sélectionnez Modifier la politique de confiance. Remplacez la politique de confiance par la suivante, en remplaçant votre identifiant de compte, votre région et votre identifiant Agent Space :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        },
        {
            "Sid": "TrustedIdentityPropagation",
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:SetContext",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                },
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": [
                        "arn:aws:iam::aws:contextProvider/IdentityCenter"
                    ]
                },
                "Null": {
                    "sts:RequestContextProviders": "false"
                }
            }
        }
    ]
}

d. Créez une nouvelle politique en ligne avec les autorisations suivantes, en remplaçant votre identifiant de compte :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDevOpsAgentSSOAccess",
            "Effect": "Allow",
            "Action": [
                "sso:ListInstances",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowDevOpsAgentIDCUserAccess",
            "Effect": "Allow",
            "Action": "identitystore:DescribeUser",
            "Resource": [
                "arn:aws:identitystore::<account-id>:identitystore/*",
                "arn:aws:identitystore:::user/*"
            ]
        }
    ]
}

Reconnectez le centre d'identité IAM (le cas échéant)

Les espaces d'agent créés lors de la préversion publique peuvent comporter une application IAM Identity Center configurée avec une étendue d'accès obsolète. Pour GA, le champ d'application correct est aidevops:read_write. Si votre application IAM Identity Center possède l'étendue précédente (awsaidevops:read_write), vous devez déconnecter puis reconnecter IAM Identity Center.

Comment vérifier le périmètre de votre application IAM Identity Center

Exécutez la commande AWS CLI suivante pour vérifier le périmètre de votre application IAM Identity Center. Vous trouverez l'ARN de l'application dans la console IAM Identity Center sous Applications.

aws sso-admin list-application-access-scopes \
  --application-arn arn:aws:sso::<account-id>:application/<instance-id>/<application-id>

La sortie doit afficher la portée correcte aidevops:read_write:

{
    "Scopes": [
        {
            "Scope": "aidevops:read_write"
        }
    ]
}

Si le scope l'indique awsaidevops:read_write, il est obsolète. Suivez les étapes ci-dessous pour le mettre à jour.

Comment reconnecter IAM Identity Center

L'étendue d'accès d'une application IAM Identity Center AWS gérée ne peut pas être mise à jour directement. Vous devez vous déconnecter puis vous reconnecter :

Vérification

Après avoir effectué toutes les étapes :

Résolution des problèmes

Erreurs d'autorisation refusée après la migration

Les comptes secondaires ne fonctionnent pas

Défaillances d'authentification IDC

L'historique des discussions à la demande est manquant après la migration