As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Migração da versão prévia pública para a disponibilidade geral

Se você usou o AWS DevOps Agent durante a pré-visualização pública, você deve atualizar suas funções do IAM antes do lançamento do GA. Este guia explica como atualizar as funções de monitoramento e as funções do operador em suas contas.

O que está mudando

Histórico de bate-papo sob demanda a partir da pré-visualização pública

A versão GA introduz medidas de segurança adicionais para fortalecer os controles de acesso aos históricos de bate-papo. Como resultado dessas mudanças, os históricos de bate-papo sob demanda do período de pré-visualização pública (antes de 30 de março de 2026) não estão mais acessíveis. Os diários de investigação e as descobertas criadas durante a pré-visualização pública não são afetados. Essa alteração se aplica somente às conversas de bate-papo sob demanda.

Novas políticas gerenciadas

Para o GA, AWS fornece novas políticas gerenciadas que substituem as políticas da era de pré-visualização:

Além disso, as funções do operador exigem políticas de confiança atualizadas, e as funções do operador da IDC exigem uma nova política em linha.

Pré-requisitos

Etapa 1: atualizar as funções de monitoramento

Atualize a função de monitoramento em sua conta principal e em cada conta secundária. Essas são as funções de Primary/Secondary origem configuradas na guia Capacidades em seu espaço de agente (exemplo de primary/secondary função:DevOpsAgentRole-AgentSpace-3xj2396z).

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateServiceLinkedRoles",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::<account-id>:role/aws-service-role/resource-explorer-2.amazonaws.com/AWSServiceRoleForResourceExplorer"
            ]
        }
    ]
}

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/*"
                }
            }
        }
    ]
}

Etapa 2: atualizar a função do operador (IAM)

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        }
    ]
}

Etapa 3: Atualizar as funções do operador (IDC)

Se você usa o IAM Identity Center com o DevOps Agent, atualize cada função de operador da IDC.

a. Remova a política embutida existente.

b. Escolha Adicionar permissões, Anexar políticas e anexar a política AIDevOpsOperatorAppAccessPolicy gerenciada.

c. Escolha a guia Relações de confiança e escolha Editar política de confiança. Substitua a política de confiança pela seguinte, substituindo seu ID da conta, região e ID do espaço do agente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": ["sts:AssumeRole", "sts:TagSession"],
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                }
            }
        },
        {
            "Sid": "TrustedIdentityPropagation",
            "Effect": "Allow",
            "Principal": {
                "Service": "aidevops.amazonaws.com"
            },
            "Action": "sts:SetContext",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<account-id>"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:aidevops:<region>:<account-id>:agentspace/<agentspace-id>"
                },
                "ForAllValues:ArnEquals": {
                    "sts:RequestContextProviders": [
                        "arn:aws:iam::aws:contextProvider/IdentityCenter"
                    ]
                },
                "Null": {
                    "sts:RequestContextProviders": "false"
                }
            }
        }
    ]
}

d. Crie uma nova política em linha com as seguintes permissões, substituindo o ID da sua conta:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDevOpsAgentSSOAccess",
            "Effect": "Allow",
            "Action": [
                "sso:ListInstances",
                "sso:DescribeInstance"
            ],
            "Resource": "*"
        },
        {
            "Sid": "AllowDevOpsAgentIDCUserAccess",
            "Effect": "Allow",
            "Action": "identitystore:DescribeUser",
            "Resource": [
                "arn:aws:identitystore::<account-id>:identitystore/*",
                "arn:aws:identitystore:::user/*"
            ]
        }
    ]
}

Reconecte o IAM Identity Center (se aplicável)

Os Agent Spaces criados durante a pré-visualização pública podem ter um aplicativo IAM Identity Center configurado com um escopo de acesso desatualizado. Para GA, o escopo correto é aidevops:read_write. Se seu aplicativo do IAM Identity Center tiver o escopo anterior (awsaidevops:read_write), você deverá desconectar e reconectar o IAM Identity Center.

Como verificar o escopo do aplicativo do IAM Identity Center

Execute o seguinte comando da AWS CLI para verificar o escopo do seu aplicativo do IAM Identity Center. Você pode encontrar o ARN do aplicativo no console do IAM Identity Center em Aplicativos.

aws sso-admin list-application-access-scopes \
  --application-arn arn:aws:sso::<account-id>:application/<instance-id>/<application-id>

A saída deve mostrar o escopo correto aidevops:read_write:

{
    "Scopes": [
        {
            "Scope": "aidevops:read_write"
        }
    ]
}

Se o escopo aparecer awsaidevops:read_write, ele está desatualizado. Siga as etapas abaixo para atualizá-lo.

Como reconectar o IAM Identity Center

O escopo de acesso em um aplicativo AWS gerenciado do IAM Identity Center não pode ser atualizado diretamente. Você deve desconectar e reconectar:

Verificação

Depois de concluir todas as etapas:

Solução de problemas

Erros de permissão negada após a migração

Contas secundárias não funcionam

Falhas de autenticação do IDC

Histórico de bate-papo sob demanda ausente após a migração