기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# Azure 연결
<a name="configuring-capabilities-for-aws-devops-agent-connecting-azure-index"></a>

Azure 통합을 통해 AWS DevOps Agent는 Azure 환경의 리소스를 조사하고 Azure DevOps 파이프라인 배포와 운영 인시던트의 상관관계를 파악할 수 있습니다. 에이전트는 Azure를 연결하여 Azure 인프라에 대한 가시성을 확보하고 AWS 및 Azure 리소스 모두에서 근본 원인 분석을 수행할 수 있습니다.

Azure 통합은 두 가지 독립적인 기능으로 구성됩니다.
+ **Azure 리소스** - 에이전트가 가상 머신, Azure Kubernetes Service(AKS) 클러스터, 데이터베이스 및 네트워킹 구성 요소와 같은 Azure 클라우드 리소스를 검색하고 조사할 수 있습니다. 에이전트는 Azure 리소스 그래프를 사용하여 인시던트 조사 중에 리소스를 쿼리합니다.
+ **Azure DevOps** - 에이전트가 Azure DevOps 리포지토리 및 파이프라인 실행 내역에 액세스할 수 있습니다. 에이전트는 코드 변경 및 배포를 인시던트와 연관시켜 잠재적 근본 원인을 식별할 수 있습니다.

각 기능은 AWS 계정 수준에서 등록된 다음 개별 에이전트 스페이스와 연결할 수 있습니다.

## 등록 방법
<a name="registration-methods"></a>

AWS DevOps Agent는 Azure에 연결하는 두 가지 방법을 지원합니다.
+ **관리자 동의** - Azure 테넌트에서 AWS DevOps 에이전트 Entra 애플리케이션을 승인하는 간소화된 동의 기반 흐름입니다. 콘솔에서 관리자 **동의** 옵션으로 표시됩니다. 이 방법을 사용하려면 Microsoft Entra ID에서 관리자 동의를 수행할 권한이 있는 계정으로 로그인해야 합니다.
+ **앱 등록** - 아웃바운드 자격 증명 연동을 사용하여 페더레이션 자격 증명으로 자체 Entra 애플리케이션을 생성하는 자체 관리형 접근 방식입니다. 콘솔에서 **앱 등록** 옵션으로 표시됩니다. 이 방법은 애플리케이션 구성을 더 잘 제어해야 하거나 관리자 동의 권한을 사용할 수 없는 경우에 적합합니다.

두 방법 모두 동일한 기능을 제공합니다. 동일한 AWS 계정 내에서 하나 또는 두 가지 방법을 모두 사용할 수 있습니다.

## 알려진 제한 사항
<a name="known-limitations"></a>
+ **관리자 동의: Azure 테넌트당 AWS 계정 1**개 - 각 Azure 테넌트는 한 번에 하나의 AWS 계정과 연결된 AWS DevOps 에이전트 Entra 앱만 가질 수 있습니다. 동일한 테넌트를 다른 AWS 계정과 연결하려면 먼저 기존 등록을 등록 취소해야 합니다.
+ **앱 등록: 등록당 고유한 애플리케이션** - 각 앱 등록은 다른 애플리케이션(클라이언트 ID)을 사용해야 합니다. 동일한 클라이언트 ID로 여러 구성을 등록할 수 없습니다.
+ **Azure DevOps: 소스 코드 액세스** - Azure DevOps 통합은 소스 코드가 호스팅되는 위치에 관계없이 파이프라인 실행 기록에 대한 액세스를 제공합니다. 그러나 실제 소스 코드에 액세스하려면 지원되는 소스 공급자(예: )를 통해 리포지토리를 별도로 연결해야 합니다[GitHub 연결](connecting-to-cicd-pipelines-connecting-github.md). Bitbucket에서 호스팅되는 소스 코드는 Azure DevOps 통합을 통해 직접 액세스할 수 없습니다.

## 주제
<a name="topics"></a>
+ [Azure 리소스 연결](connecting-azure-connecting-azure-resources.md)
+ [Azure DevOps 연결](connecting-azure-connecting-azure-devops.md)

# Azure 리소스 연결
<a name="connecting-azure-connecting-azure-resources"></a>

Azure 리소스 통합을 통해 AWS DevOps Agent는 인시던트 조사 중에 Azure 구독의 리소스를 검색하고 조사할 수 있습니다. 에이전트는 리소스 검색에 Azure 리소스 그래프를 사용하며 Azure 환경 전반의 지표, 로그 및 구성 데이터에 액세스할 수 있습니다.

이 통합은 AWS 계정 수준에서 Azure를 등록한 다음 특정 Azure 구독을 개별 에이전트 스페이스와 연결하는 2단계 프로세스를 따릅니다.

## 사전 조건
<a name="prerequisites"></a>

Azure 리소스를 연결하기 전에 다음이 있는지 확인합니다.
+  AWS DevOps 에이전트 콘솔에 대한 액세스
+ 대상 구독에 액세스할 수 있는 Azure 계정
+ 관리자 동의 방법의 경우: Microsoft Entra ID에서 관리자 동의를 수행할 권한이 있는 계정
+ 앱 등록 방법의 경우: 페더레이션 자격 증명을 구성할 수 있는 권한이 있는 Entra 애플리케이션 및 AWS 계정에서 활성화된 [아웃바운드 자격 증명 페더레이션](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_enable-federation.html) 

**참고:** 에이전트 스페이스 내에서 등록을 시작할 수도 있습니다. **보조 소스**로 이동하여 **추가**를 클릭하고 **Azure**를 선택합니다. Azure Cloud가 아직 등록되지 않은 경우 콘솔이 먼저 등록을 안내합니다.

## 관리자 동의를 통한 Azure 리소스 등록
<a name="registering-azure-resources-via-admin-consent"></a>

관리자 동의 메서드는 AWS DevOps 에이전트 관리형 애플리케이션과 함께 동의 기반 흐름을 사용합니다.

### 1단계: 등록 시작
<a name="step-1-start-the-registration"></a>

1.  AWS Management Console에 로그인하고 AWS DevOps 에이전트 콘솔로 이동합니다.

1. **기능 공급자** 페이지로 이동

1. **Azure 클라우드** 섹션을 찾아 **등록**을 클릭합니다.

1. **관리자 동의** 등록 방법 선택

### 2단계: 관리자 동의 완료
<a name="step-2-complete-admin-consent"></a>

1. 요청 중인 권한 검토

1. 계속하려면 클릭 - Microsoft Entra 관리자 동의 페이지로 리디렉션됩니다.

1. 관리자 동의를 수행할 권한이 있는 사용자 보안 주체 계정으로 로그인

1.  AWS DevOps 에이전트 애플리케이션 검토 및 동의 부여

### 3단계: 사용자 권한 부여 완료
<a name="step-3-complete-user-authorization"></a>

1. 관리자 동의 후 권한 있는 테넌트의 멤버 자격 증명을 확인하기 위한 사용자 권한 부여 메시지가 표시됩니다.

1. 동일한 Azure 테넌트에 속한 계정으로 로그인

1. 권한 부여 후 성공 상태의 AWS DevOps 에이전트 콘솔로 다시 리디렉션됩니다.

### 4단계: 역할 할당
<a name="step-4-assign-roles"></a>

아래 [Azure 역할 할당](#assigning-azure-roles)을 참조하세요. 멤버를 선택할 때 **AWS DevOps 에이전트**를 검색합니다.

## 앱 등록을 통해 Azure 리소스 등록
<a name="registering-azure-resources-via-app-registration"></a>

앱 등록 메서드는 페더레이션 자격 증명이 있는 자체 Entra 애플리케이션을 사용합니다.

### 1단계: 등록 시작
<a name="step-1-start-the-registration"></a>

1.  AWS DevOps 에이전트 콘솔에서 **기능 공급자** 페이지로 이동합니다.

1. **Azure 클라우드** 섹션을 찾아 **등록**을 클릭합니다.

1. **앱 등록** 방법 선택

### 2단계: Entra 애플리케이션 생성 및 구성
<a name="step-2-create-and-configure-your-entra-application"></a>

콘솔에 표시된 지침에 따라 다음을 수행합니다.

1.  AWS 계정에서 아웃바운드 자격 증명 연동 활성화(IAM 콘솔에서 **계정 설정** → **아웃바운드 자격 증명 연동**으로 이동)

1. Microsoft Entra ID에서 Entra 애플리케이션을 생성하거나 기존 애플리케이션을 사용합니다.

1. 애플리케이션에서 페더레이션 자격 증명 구성

### 3단계: 등록 세부 정보 제공
<a name="step-3-provide-registration-details"></a>

등록 양식에 다음을 입력합니다.
+ **테넌트 ID** - Azure 테넌트 식별자
+ **테넌트 이름** - 테넌트의 표시 이름입니다.
+ **클라이언트 ID** - 생성한 Entra 애플리케이션의 애플리케이션(클라이언트) ID입니다.
+ **대상** - 페더레이션 자격 증명의 대상 식별자입니다.

### 4단계: IAM 역할 생성
<a name="step-4-create-the-iam-role"></a>

콘솔을 통해 등록을 제출하면 IAM 역할이 자동으로 생성됩니다. 이를 통해 AWS DevOps 에이전트는 자격 증명을 수임하고를 호출할 수 있습니다`sts:GetWebIdentityToken`.

### 5단계: 역할 할당
<a name="step-5-assign-roles"></a>

아래 [Azure 역할 할당](#assigning-azure-roles)을 참조하세요. 멤버를 선택할 때 생성한 Entra 애플리케이션을 검색합니다.

### 6단계: 등록 완료
<a name="step-6-complete-the-registration"></a>

1.  AWS DevOps 에이전트 콘솔에서 구성 확인

1. **제출**을 클릭하여 등록을 완료합니다.

## Azure 역할 할당
<a name="assigning-azure-roles"></a>

등록 후 애플리케이션에 Azure 구독에 대한 읽기 액세스 권한을 부여합니다. 이 단계는 관리자 동의 및 앱 등록 방법 모두에서 동일합니다.

1. Azure 포털에서 대상 구독으로 이동합니다.

1. **액세스 제어(IAM)**로 이동

1. **추가** > **역할 할당 추가**를 클릭합니다.

1. **독자** 역할을 선택하고 **다음을** 클릭합니다.

1. **멤버 선택을** 클릭하고 애플리케이션(관리자 동의용 **AWS DevOps 에이전트** 또는 앱 등록용 자체 Entra 애플리케이션)을 검색합니다.

1. 애플리케이션을 선택하고 **검토 \$1 할당**을 클릭합니다.

1. (선택 사항) 에이전트가 Azure Kubernetes Service(AKS) 클러스터에 액세스할 수 있도록 하려면 다음 AKS 액세스 설정을 완료합니다.

**보안 요구 사항:** 서비스 보안 주체에는 **리더** 역할(및 선택적으로 아래 나열된 AKS 읽기 전용 역할)만 할당해야 합니다. 리더 역할은 에이전트를 읽기 전용 작업으로 제한하고 간접 프롬프트 주입 공격의 영향을 제한하는 보안 경계 역할을 합니다. 쓰기 또는 작업 권한이 있는 역할을 할당하면 프롬프트 주입의 폭발 반경이 크게 증가하여 Azure 리소스가 손상될 수 있습니다. AWS DevOps Agent는 읽기 작업만 수행합니다. 에이전트는 Azure 리소스를 수정, 생성 또는 삭제하지 않습니다.

### AKS 액세스 설정(선택 사항)
<a name="aks-access-setup-optional"></a>

#### 1단계: Azure Resource Manager(ARM) 수준 액세스
<a name="step-1-azure-resource-manager-arm-level-access"></a>

**Azure Kubernetes 서비스 클러스터 사용자 역할을** 애플리케이션에 할당합니다.

Azure 포털에서 **구독** → 구독 선택 → **액세스 제어(IAM)** → **역할 할당 추가** → **Azure Kubernetes 서비스 클러스터 사용자 역할** 선택 → 애플리케이션에 할당(관리자 동의용 **AWS DevOps 에이전트** 또는 앱 등록용 자체 Entra 애플리케이션)으로 이동합니다.

여기에는 구독의 모든 AKS 클러스터가 포함됩니다. 특정 클러스터로 범위를 지정하려면 대신 리소스 그룹 또는 개별 클러스터 수준에서를 할당합니다.

#### 2단계: Kubernetes API 액세스
<a name="step-2-kubernetes-api-access"></a>

클러스터의 인증 구성을 기반으로 한 가지 옵션을 선택합니다.

**옵션 A: Kubernetes용 Azure 역할 기반 액세스 제어(RBAC)(권장)**

1. 아직 활성화되지 않은 경우 클러스터에서 Azure RBAC 활성화: Azure 포털 → AKS 클러스터 → **설정** → **보안 구성** → **인증 및 권한** 부여 → **Azure RBAC** 선택

1. 읽기 전용 역할 할당: Azure 포털 → **구독** → 구독 선택 → **액세스 제어(IAM)** → **역할 할당 추가** → **Azure Kubernetes Service RBAC Reader** 선택 → 애플리케이션에 할당

여기에는 구독의 모든 AKS 클러스터가 포함됩니다.

**옵션 B: Azure Active Directory(Azure AD) \$1 Kubernetes RBAC**

클러스터가 이미 기본 Azure AD 인증 구성을 사용하고 Azure RBAC를 활성화하지 않으려는 경우이 옵션을 사용합니다. 이를 위해서는 클러스터당 `kubectl` 설정이 필요합니다.

1. 다음 매니페스트를 로 저장합니다`devops-agent-reader.yaml`.

```
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io
```

1. 를 서비스 보안 주체의 객체 ID`<SERVICE_PRINCIPAL_OBJECT_ID>`로 바꿉니다. 이를 찾으려면 Azure 포털 → Entra ID → 엔터프라이즈 애플리케이션 → 애플리케이션 이름(관리자 동의용 **AWS DevOps 에이전트** 또는 앱 등록용 자체 Entra 애플리케이션)을 검색합니다.

1. 각 클러스터에 적용:

```
az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml
```

**참고:** 로컬 계정만 사용하는 클러스터(Azure AD 제외)는 지원되지 않습니다. 이 기능을 사용하려면 클러스터에서 Azure AD 통합을 활성화하는 것이 좋습니다.

### 최소 권한 사용자 지정 역할(선택 사항)
<a name="least-privileged-custom-role-optional"></a>

더 엄격한 액세스 제어를 위해 광범위한 리더 역할 대신 AWS DevOps 에이전트가 사용하는 리소스 공급자로만 범위가 지정된 사용자 지정 Azure 역할을 생성할 수 있습니다.

```
{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}
```

## 에이전트 스페이스와 구독 연결
<a name="associating-a-subscription-with-an-agent-space"></a>

계정 수준에서 Azure를 등록한 후 특정 구독을 에이전트 스페이스와 연결합니다.

1.  AWS DevOps 에이전트 콘솔에서 에이전트 스페이스를 선택합니다.

1. **기능** 탭으로 이동

1. **보조 소스** 섹션에서 **추가**를 클릭합니다.

1. **Azure** 선택

1. 연결할 Azure **구독의 구독 ID**를 제공합니다.

1. **추가**를 클릭하여 연결을 완료합니다.

여러 구독을 동일한 에이전트 스페이스와 연결하여 Azure 환경 전체에서 에이전트에게 가시성을 제공할 수 있습니다.

## Azure 리소스 연결 관리
<a name="managing-azure-resources-connections"></a>
+ **연결된 구독 보기 **- **기능** 탭의 **보조 소스** 섹션에는 연결된 모든 Azure 구독이 나열됩니다.
+ **구독 제거** - 에이전트 스페이스에서 구독을 연결 해제하려면 **보조 소스** 목록에서 구독을 선택하고 **제거**를 클릭합니다. 이는 계정 수준 등록에는 영향을 주지 않습니다.
+ **등록 제거** - Azure 클라우드 등록을 완전히 제거하려면 **기능 공급자** 페이지로 이동하여 등록을 삭제합니다. 먼저 모든 에이전트 스페이스 연결을 제거해야 합니다.

# Azure DevOps 연결
<a name="connecting-azure-connecting-azure-devops"></a>

Azure DevOps 통합을 통해 AWS DevOps 에이전트는 Azure DevOps 조직의 리포지토리 및 파이프라인 실행 기록에 액세스할 수 있습니다. 에이전트는 코드 변경 및 배포를 운영 인시던트와 연관시켜 잠재적 근본 원인을 식별할 수 있습니다.

**참고:** Azure DevOps 파이프라인은 Azure Repos, GitHub 또는 Bitbucket의 소스 코드를 사용할 수 있습니다. Azure DevOps 통합은 소스 공급자에 관계없이 파이프라인 실행 기록에 대한 액세스를 제공합니다. 그러나 조사 중에 실제 소스 코드에 액세스하려면와 같이 지원되는 통합을 통해 리포지토리를 별도로 연결해야 합니다[GitHub 연결](connecting-to-cicd-pipelines-connecting-github.md). Bitbucket의 소스 코드는이 통합을 통해 직접 액세스할 수 없습니다.

이 통합은 AWS 계정 수준에서 Azure DevOps를 등록한 다음 특정 프로젝트를 개별 에이전트 스페이스와 연결하는 2단계 프로세스를 따릅니다.

## 사전 조건
<a name="prerequisites"></a>

Azure DevOps를 연결하기 전에 다음이 있는지 확인합니다.
+  AWS DevOps 에이전트 콘솔에 대한 액세스
+ 리포지토리 및 파이프라인 기록이 포함된 프로젝트가 하나 이상 있는 Azure DevOps 조직
+ Azure DevOps 조직에 사용자를 추가할 수 있는 권한
+ 관리자 동의 방법의 경우: Microsoft Entra ID에서 관리자 동의를 수행할 권한이 있는 계정
+ 앱 등록 방법의 경우: 페더레이션 ID 자격 증명을 구성할 수 있는 권한이 있는 Entra 애플리케이션 및 AWS 계정에서 활성화된 [아웃바운드 자격 증명 페더레이션](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_enable-federation.html) 

**참고:** 에이전트 스페이스 내에서 등록을 시작할 수도 있습니다. **파이프라인** 섹션으로 이동하여 **추가**를 클릭하고 **Azure DevOps**를 선택합니다. Azure DevOps가 아직 등록되지 않은 경우 콘솔이 먼저 등록을 안내합니다.

## 관리자 동의를 통한 Azure DevOps 등록
<a name="registering-azure-devops-via-admin-consent"></a>

관리자 동의 메서드는 AWS DevOps 에이전트 관리형 애플리케이션과 함께 동의 기반 흐름을 사용합니다.

### 1단계: 등록 시작
<a name="step-1-start-the-registration"></a>

1.  AWS Management Console에 로그인하고 AWS DevOps 에이전트 콘솔로 이동합니다.

1. **기능 공급자** 페이지로 이동

1. **Azure DevOps** 섹션을 찾아 **등록**을 클릭합니다.

1. 메시지가 표시되면 **Azure DevOps 조직 이름을** 입력합니다.

### 2단계: 관리자 동의 완료
<a name="step-2-complete-admin-consent"></a>

1. 계속하려면 클릭 - Microsoft Entra 관리자 동의 페이지로 리디렉션됩니다.

1. 관리자 동의를 수행할 권한이 있는 사용자 보안 주체 계정으로 로그인

1.  AWS DevOps 에이전트 애플리케이션 검토 및 동의 부여

### 3단계: 사용자 권한 부여 완료
<a name="step-3-complete-user-authorization"></a>

1. 관리자 동의 후 권한 있는 테넌트의 멤버 자격 증명을 확인하기 위한 사용자 권한 부여 메시지가 표시됩니다.

1. 동일한 Azure 테넌트에 속한 계정으로 로그인

1. 권한 부여 후 성공 상태의 AWS DevOps 에이전트 콘솔로 다시 리디렉션됩니다.

### 4단계: Azure DevOps에서 액세스 권한 부여
<a name="step-4-grant-access-in-azure-devops"></a>

아래 [Azure DevOps에서 액세스 권한 부여](#granting-access-in-azure-devops)를 참조하세요. 사용자를 추가할 때 **AWS DevOps 에이전트**를 검색합니다.

## 앱 등록을 통해 Azure DevOps 등록
<a name="registering-azure-devops-via-app-registration"></a>

앱 등록은 Azure 리소스와 Azure DevOps 간에 공유됩니다. Azure 리소스에 대한 앱 등록을 이미 완료한 경우 [Azure DevOps에서 액세스 권한 부여](#granting-access-in-azure-devops)로 건너뛸 수 있습니다.

### 1단계: ADO 앱 등록 시작
<a name="step-1-start-the-ado-app-registration"></a>

1.  AWS DevOps 에이전트 콘솔에서 **기능 공급자** 페이지로 이동합니다.

1. **Azure 클라우드** 섹션을 찾아 **등록**을 클릭합니다.

1. **앱 등록** 방법 선택

### 2단계: Entra 애플리케이션 생성 및 구성
<a name="step-2-create-and-configure-your-entra-application"></a>

콘솔에 표시된 지침에 따라 다음을 수행합니다.

1.  AWS 계정에서 아웃바운드 자격 증명 연동 활성화(IAM 콘솔에서 **계정 설정** → **아웃바운드 자격 증명 연동**으로 이동)

1. Microsoft Entra ID에서 Entra 애플리케이션을 생성하거나 기존 애플리케이션을 사용합니다.

1. 애플리케이션에서 페더레이션 ID 자격 증명 구성

### 3단계: 등록 세부 정보 제공
<a name="step-3-provide-registration-details"></a>

등록 양식에 다음을 입력합니다.
+ **테넌트 ID** - Azure 테넌트 식별자
+ **테넌트 이름** - 테넌트의 표시 이름입니다.
+ **클라이언트 ID** - Entra 애플리케이션의 애플리케이션(클라이언트) ID입니다.
+ **대상 **- 페더레이션 자격 증명의 대상 식별자입니다.

### 4단계: IAM 역할 생성
<a name="step-4-create-the-iam-role"></a>

콘솔을 통해 등록을 제출하면 IAM 역할이 자동으로 생성됩니다. 이를 통해 AWS DevOps 에이전트는 자격 증명을 수임하고를 호출할 수 있습니다`sts:GetWebIdentityToken`.

### 5단계: 등록 완료
<a name="step-5-complete-the-registration"></a>

1.  AWS DevOps 에이전트 콘솔에서 구성 확인

1. **제출**을 클릭하여 등록을 완료합니다.

### 6단계: Azure DevOps에서 액세스 권한 부여
<a name="step-6-grant-access-in-azure-devops"></a>

아래 [Azure DevOps에서 액세스 권한 부여](#granting-access-in-azure-devops)를 참조하세요. 사용자를 추가할 때 앱 등록 중에 생성한 Entra 애플리케이션을 검색합니다.

## Azure DevOps에서 액세스 권한 부여
<a name="granting-access-in-azure-devops"></a>

등록 후 Azure DevOps 조직에 애플리케이션 액세스 권한을 부여합니다. 이 단계는 관리자 동의 및 앱 등록 방법 모두에서 동일합니다.

1. Azure DevOps에서 **조직 설정** > **사용자** > **사용자 추가**로 이동합니다.

1. 애플리케이션 검색(관리자 동의용 **AWS DevOps 에이전트** 또는 앱 등록용 자체 Entra 애플리케이션)

1. 액세스 수준을 **기본**으로 설정

1. **프로젝트에 추가**에서 에이전트가 액세스할 프로젝트를 선택합니다.

1. **Azure DevOps 그룹에서** **프로젝트 리더를** 선택합니다.

1. **추가**를 클릭하여 완료

**보안 요구 사항:** **Project Readers 그룹만 할당합니다**. 읽기 전용 액세스는 에이전트를 읽기 전용 작업으로 제한하고 간접 프롬프트 주입 공격의 영향을 제한하는 보안 경계 역할을 합니다. 쓰기 또는 작업 권한이 있는 그룹을 할당하면 프롬프트 주입의 폭발 반경이 크게 증가하여 Azure DevOps 리소스가 손상될 수 있습니다.

## 프로젝트를 에이전트 스페이스와 연결
<a name="associating-a-project-with-an-agent-space"></a>

계정 수준에서 Azure DevOps를 등록한 후 특정 프로젝트를 에이전트 스페이스와 연결합니다.

1.  AWS DevOps 에이전트 콘솔에서 에이전트 스페이스를 선택합니다.

1. **기능** 탭으로 이동

1. **파이프라인** 섹션에서 **추가**를 클릭합니다.

1. 사용 가능한 공급자 목록에서 **Azure DevOps**를 선택합니다.

1. 사용 가능한 프로젝트 드롭다운에서 프로젝트를 선택합니다.

1. **추가**를 클릭하여 연결을 완료합니다.

## Azure DevOps 연결 관리
<a name="managing-azure-devops-connections"></a>
+ **연결된 프로젝트 보기** - **기능** 탭의 **파이프라인** 섹션에는 연결된 모든 Azure DevOps 프로젝트가 나열됩니다.
+ **프로젝트 제거** - 에이전트 공간에서 프로젝트를 연결 해제하려면 **파이프라인** 섹션에서 프로젝트를 선택하고 **제거**를 클릭합니다.
+ **등록 제거** - Azure DevOps 등록을 완전히 제거하려면 **기능 공급자** 페이지로 이동하여 등록을 삭제합니다. 먼저 모든 에이전트 스페이스 연결을 제거해야 합니다.