本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

連接 Azure 資源

Azure 資源整合可讓 AWS DevOps 代理程式在事件調查期間探索和調查 Azure 訂閱中的資源。代理程式使用 Azure Resource Graph 進行資源探索，並可跨 Azure 環境存取指標、日誌和組態資料。

此整合遵循兩個步驟：在 AWS 帳戶層級註冊 Azure，然後將特定 Azure 訂閱與個別客服人員空間建立關聯。

先決條件

連接 Azure 資源之前，請確定您已：

透過管理員同意註冊 Azure 資源

管理員同意方法使用以同意為基礎的流程搭配 AWS DevOps 代理程式受管應用程式。

步驟 1：開始註冊

步驟 2：完成管理員同意

步驟 3：完成使用者授權

步驟 4：指派角色

請參閱以下指派 Azure 角色。選取成員時搜尋 AWS DevOps 代理程式。

透過應用程式註冊註冊 Azure 資源

應用程式註冊方法使用您自己的 Entra 應用程式搭配聯合身分憑證。

步驟 1：開始註冊

步驟 2：建立和設定您的 Entra 應用程式

遵循主控台中顯示的指示，以：

步驟 3：提供註冊詳細資訊

使用下列項目填寫註冊表單：

步驟 4：建立 IAM 角色

當您透過主控台提交註冊時，會自動建立 IAM 角色。它允許 AWS DevOps 代理程式擔任登入資料並叫用 sts:GetWebIdentityToken。

步驟 5：指派角色

請參閱以下指派 Azure 角色。搜尋您在選取成員時建立的 Entra 應用程式。

步驟 6：完成註冊

指派 Azure 角色

註冊後，授予應用程式對 Azure 訂閱的讀取存取權。管理員同意和應用程式註冊方法的此步驟相同。

AKS 存取設定 （選用）

步驟 1：Azure Resource Manager (ARM) 層級存取

將 Azure Kubernetes 服務叢集使用者角色指派給應用程式。

在 Azure 入口網站中，前往訂閱 → 選取訂閱 → 存取控制 (IAM) → 新增角色指派 → 選取 Azure Kubernetes 服務叢集使用者角色 → 指派給應用程式 (AWS DevOps Agent for Admin Consent 或您自己的 Entra 應用程式用於應用程式註冊）。

這涵蓋訂閱中的所有 AKS 叢集。若要限定特定叢集的範圍，請改為在資源群組或個別叢集層級指派 。

步驟 2：Kubernetes API 存取

根據叢集的身分驗證組態選擇一個選項：

選項 A：Kubernetes 的 Azure 角色型存取控制 (RBAC) （建議）

這涵蓋訂閱中的所有 AKS 叢集。

選項 B：Azure Active Directory (Azure AD) + Kubernetes RBAC

如果您的叢集已使用預設的 Azure AD 身分驗證組態，且您不想啟用 Azure RBAC，請使用此選項。這需要每個叢集kubectl的設定。

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: devops-agent-reader
rules:
  - apiGroups: [""]
    resources: ["namespaces", "pods", "pods/log", "services", "events", "nodes"]
    verbs: ["get", "list"]
  - apiGroups: ["apps"]
    resources: ["deployments", "replicasets", "statefulsets", "daemonsets"]
    verbs: ["get", "list"]
  - apiGroups: ["metrics.k8s.io"]
    resources: ["pods", "nodes"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: devops-agent-reader-binding
subjects:
  - kind: User
    name: "<SERVICE_PRINCIPAL_OBJECT_ID>"
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: devops-agent-reader
  apiGroup: rbac.authorization.k8s.io

az aks get-credentials --resource-group <rg> --name <cluster-name>
kubectl apply -f devops-agent-reader.yaml

最低權限自訂角色 （選用）

若要加強存取控制，您可以建立自訂 Azure 角色，範圍僅限於資源提供者 AWS DevOps 代理程式使用的 ，而非廣泛的讀取器角色：

{
  "Name": "AWS DevOps Agent - Azure Reader",
  "Description": "Least-privilege read-only access for AWS DevOps Agent incident investigations.",
  "Actions": [
    "Microsoft.AlertsManagement/*/read",
    "Microsoft.Compute/*/read",
    "Microsoft.ContainerRegistry/*/read",
    "Microsoft.ContainerService/*/read",
    "Microsoft.ContainerService/managedClusters/commandResults/read",
    "Microsoft.DocumentDB/*/read",
    "Microsoft.Insights/*/read",
    "Microsoft.KeyVault/vaults/read",
    "Microsoft.ManagedIdentity/*/read",
    "Microsoft.Monitor/*/read",
    "Microsoft.Network/*/read",
    "Microsoft.OperationalInsights/*/read",
    "Microsoft.ResourceGraph/resources/read",
    "Microsoft.ResourceHealth/*/read",
    "Microsoft.Resources/*/read",
    "Microsoft.Sql/*/read",
    "Microsoft.Storage/*/read",
    "Microsoft.Web/*/read"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": [
    "/subscriptions/{your-subscription-id}"
  ]
}

將訂閱與客服人員空間建立關聯

在帳戶層級註冊 Azure 之後，請將特定訂閱與您的 代理程式空間建立關聯：

您可以將多個訂閱與相同的代理程式空間建立關聯，讓代理程式在您的 Azure 環境中可見性。

管理 Azure 資源連線