As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando recursos do Azure

A integração com os Recursos do Azure permite que o AWS DevOps Agente descubra e investigue recursos em suas assinaturas do Azure durante investigações de incidentes. O agente usa o Azure Resource Graph para descobrir recursos e pode acessar métricas, registros e dados de configuração em seu ambiente do Azure.

Essa integração segue um processo de duas etapas: registrar o Azure no nível da AWS conta e associar assinaturas específicas do Azure a Agent Spaces individuais.

Pré-requisitos

Antes de conectar os Recursos do Azure, verifique se você tem:

Registrando recursos do Azure por meio do consentimento do administrador

O método Admin Consent usa um fluxo baseado em consentimento com o aplicativo gerenciado pelo AWS DevOps agente.

Etapa 1: iniciar o registro

Etapa 2: Consentimento completo do administrador

Etapa 3: Concluir a autorização do usuário

Etapa 4: atribuir funções

Consulte Atribuição de funções do Azure abaixo. Procure um AWS DevOps agente ao selecionar membros.

Registrando recursos do Azure por meio do registro de aplicativos

O método de registro do aplicativo usa seu próprio aplicativo Entra com credenciais de identidade federadas.

Etapa 1: iniciar o registro

Etapa 2: Crie e configure seu aplicativo Entra

Siga as instruções exibidas no console para:

Etapa 3: fornecer detalhes do registro

Preencha o formulário de inscrição com:

Etapa 4: criar a função do IAM

Uma função do IAM será criada automaticamente quando você enviar o registro pelo console. Ele permite que o AWS DevOps Agente assuma as credenciais e invoque. sts:GetWebIdentityToken

Etapa 5: atribuir funções

Consulte Atribuição de funções do Azure abaixo. Pesquise o aplicativo Entra que você criou ao selecionar membros.

Etapa 6: Concluir o registro

Atribuição de funções do Azure

Após o registro, conceda ao aplicativo acesso de leitura à sua assinatura do Azure. Essa etapa é a mesma para os métodos de consentimento do administrador e registro do aplicativo.

Configuração de acesso AKS (opcional)

Etapa 1: acesso no nível do Azure Resource Manager (ARM)

Atribua a função de usuário do Azure Kubernetes Service Cluster ao aplicativo.

No Portal do Azure, acesse Assinaturas → selecione assinatura → Controle de Acesso (IAM) → Adicionar atribuição de função → selecione Função de Usuário do Azure Kubernetes Service Cluster → atribuir ao aplicativo (AWS DevOps Agente para Consentimento do Administrador ou seu próprio aplicativo Entra para Registro do Aplicativo).

Isso abrange todos os clusters do AKS na assinatura. Para definir o escopo para clusters específicos, atribua no nível do grupo de recursos ou do cluster individual.

Etapa 2: acesso à API Kubernetes

Escolha uma opção com base na configuração de autenticação do seu cluster:

Opção A: Controle de Acesso Baseado em Função (RBAC) do Azure para Kubernetes (recomendado)

Isso abrange todos os clusters do AKS na assinatura.

Opção B: Azure Active Directory (Azure AD) + Kubernetes RBAC

Use isso se seu cluster já usa a configuração padrão de autenticação do Azure AD e você prefere não habilitar o RBAC do Azure. Isso requer kubectl configuração por cluster.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

Função personalizada com menos privilégios (opcional)

Para um controle de acesso mais rígido, você pode criar uma função personalizada do Azure com escopo exclusivo para os provedores de recursos que o AWS DevOps Agente usa, em vez da função ampla do Reader:

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

Associando uma assinatura a um Agent Space

Depois de registrar o Azure no nível da conta, associe assinaturas específicas aos seus Agent Spaces:

Você pode associar várias assinaturas ao mesmo Espaço do Agente para dar visibilidade ao agente em todo o seu ambiente do Azure.

Gerenciando conexões do Azure Resources