Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connecter les ressources Azure

L'intégration d'Azure Resources permet à AWS DevOps l'agent de découvrir et d'étudier les ressources de vos abonnements Azure lors d'enquêtes sur des incidents. L'agent utilise Azure Resource Graph pour la découverte des ressources et peut accéder aux métriques, aux journaux et aux données de configuration dans votre environnement Azure.

Cette intégration suit un processus en deux étapes : enregistrer Azure au niveau du AWS compte, puis associer des abonnements Azure spécifiques à des espaces d'agent individuels.

Conditions préalables

Avant de connecter Azure Resources, assurez-vous d'avoir :

Enregistrement des ressources Azure via le consentement de l'administrateur

La méthode Admin Consent utilise un flux basé sur le consentement avec l'application gérée par l' AWS DevOps agent.

Étape 1 : Commencez l'enregistrement

Étape 2 : Compléter le consentement de l'administrateur

Étape 3 : Autorisation complète de l'utilisateur

Étape 4 : Attribuer des rôles

Consultez la section Affectation de rôles Azure ci-dessous. Recherchez l'AWS DevOps agent lors de la sélection des membres.

Enregistrement des ressources Azure via l'enregistrement des applications

La méthode d'enregistrement des applications utilise votre propre application Entra avec des identifiants d'identité fédérés.

Étape 1 : Commencez l'enregistrement

Étape 2 : Créez et configurez votre application Entra

Suivez les instructions affichées dans la console pour :

Étape 3 : Fournissez les détails de l'enregistrement

Remplissez le formulaire d'inscription avec :

Étape 4 : Création du rôle IAM

Un rôle IAM est automatiquement créé lorsque vous soumettez l'enregistrement via la console. Cela permet à AWS DevOps l'agent d'assumer les informations d'identification et d'appelersts:GetWebIdentityToken.

Étape 5 : Attribuer des rôles

Consultez la section Affectation de rôles Azure ci-dessous. Recherchez l'application Entra que vous avez créée lors de la sélection des membres.

Étape 6 : Compléter l'enregistrement

Attribuer des rôles Azure

Après l'enregistrement, accordez à l'application un accès en lecture à votre abonnement Azure. Cette étape est la même pour les méthodes de consentement de l'administrateur et d'enregistrement de l'application.

Configuration de l'accès AKS (facultatif)

Étape 1 : accès au niveau Azure Resource Manager (ARM)

Attribuez le rôle d'utilisateur du cluster de services Azure Kubernetes à l'application.

Sur le portail Azure, accédez à Abonnements → sélectionnez abonnement → Contrôle d'accès (IAM) → Ajouter une attribution de rôle → sélectionnez Rôle utilisateur du cluster de services Azure Kubernetes → attribuer à l'application (soit AWS DevOps agent pour le consentement de l'administrateur, soit votre propre application Entra pour l'enregistrement des applications).

Cela couvre tous les clusters AKS inclus dans l'abonnement. Pour étendre la portée à des clusters spécifiques, attribuez-les plutôt au niveau du groupe de ressources ou du cluster individuel.

Étape 2 : Accès à l'API Kubernetes

Choisissez une option en fonction de la configuration d'authentification de votre cluster :

Option A : contrôle d'accès basé sur les rôles (RBAC) Azure pour Kubernetes (recommandé)

Cela couvre tous les clusters AKS inclus dans l'abonnement.

Option B : Azure Active Directory (Azure AD) + Kubernetes RBAC

Utilisez-le si votre cluster utilise déjà la configuration d'authentification Azure AD par défaut et que vous préférez ne pas activer Azure RBAC. Cela nécessite une kubectl configuration par cluster.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Rôle personnalisé le moins privilégié (facultatif)

Pour un contrôle d'accès plus strict, vous pouvez créer un rôle Azure personnalisé limité uniquement aux fournisseurs de ressources utilisés par l' AWS DevOps agent, au lieu du rôle général de lecteur :

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Associer un abonnement à un espace agent

Après avoir enregistré Azure au niveau du compte, associez des abonnements spécifiques à vos espaces d'agent :

Vous pouvez associer plusieurs abonnements au même espace agent pour donner à l'agent une visibilité sur l'ensemble de votre environnement Azure.

Gestion des connexions Azure Resources