本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 AWS CDK 開始使用 AWS DevOps 代理程式

概觀

本指南說明如何使用 AWS 雲端開發套件 (AWS CDK) 來建立和部署 AWS DevOps 代理程式資源。 AWS CDK 應用程式會透過 AWS CloudFormation 自動建立代理程式空間、 AWS Identity and Access Management (IAM) 角色、運算子應用程式和 AWS 帳戶關聯。

AWS CDK 方法透過將所有必要資源定義為基礎設施作為程式碼，自動執行 CLI 入門指南中所述的手動步驟。

AWS DevOps 代理程式可在下列 6 AWS 區域使用：美國東部 （維吉尼亞北部）、美國西部 （奧勒岡）、亞太區域 （雪梨）、亞太區域 （東京）、歐洲 （法蘭克福） 和歐洲 （愛爾蘭）。如需支援區域的詳細資訊，請參閱 支援的區域。

先決條件

開始前，請確定您有下列項目：

npm install -g aws-cdk

本指南涵蓋的內容

本指南分為兩個部分：

已建立資源

第 1 部分：DevOpsAgentStack （監控帳戶）

第 2 部分：ServiceStack （服務帳戶，選用）

設定

步驟 1：複製範例儲存庫

執行下列命令來複製儲存庫並變更至專案目錄：

git clone https://github.com/aws-samples/sample-aws-devops-agent-cdk.git
cd sample-aws-devops-agent-cdk

步驟 2：安裝相依性

執行下列命令來安裝專案相依性：

npm install

第 1 部分：部署代理程式空間

在本節中，您會在監控帳戶中建立代理程式空間、IAM 角色、運算子應用程式和 AWS 關聯。

步驟 1：設定監控帳戶 ID

開啟lib/constants.ts並設定您的監控帳戶 ID：

下列範例顯示要更新的常數：

export const MONITORING_ACCOUNT_ID = "<YOUR_MONITORING_ACCOUNT_ID>";

步驟 2：引導 AWS CDK 環境

如果您尚未在監控帳戶中引導 AWS CDK，請執行下列命令：

cdk bootstrap aws://<MONITORING_ACCOUNT_ID>/<REGION> --profile monitoring

步驟 3：建置和部署

執行下列命令來建置 TypeScript 程式碼並部署堆疊：

npm run build
cdk deploy DevOpsAgentStack --profile monitoring

步驟 4：記錄堆疊輸出

部署完成後， AWS CDK 會列印堆疊輸出。記錄這些值以供日後使用。

下列範例顯示預期的輸出：

Outputs:
DevOpsAgentStack.AgentSpaceArn = arn:aws:aidevops:<REGION>:123456789012:agentspace/abc123
DevOpsAgentStack.AgentSpaceRoleArn = arn:aws:iam::123456789012:role/DevOpsAgentRole-AgentSpace
DevOpsAgentStack.OperatorRoleArn = arn:aws:iam::123456789012:role/DevOpsAgentRole-WebappAdmin
DevOpsAgentStack.AssociationId = assoc-xyz

如果您打算完成第 2 部分，請儲存該AgentSpaceArn值。您需要它來設定服務帳戶堆疊。

步驟 5：驗證部署

若要確認已成功建立代理程式空間，請執行下列 CLI AWS 命令：

aws devopsagent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

此時，您的代理程式空間會在啟用 運算子應用程式且您的監控帳戶相關聯的情況下部署。代理程式可以監控此帳戶中的問題。

第 2 部分 （選用）：新增跨帳戶監控

在本節中，您會擴展設定，以便您的代理程式空間可以監控第二個 AWS 帳戶 （服務帳戶） 中的資源。這涉及兩個動作：

步驟 1：設定服務帳戶 ID

開啟lib/constants.ts並設定您的服務帳戶 ID：

下列範例顯示要更新的常數：

export const SERVICE_ACCOUNT_ID = "<YOUR_SERVICE_ACCOUNT_ID>";

DevOpsAgentStack 使用此帳戶 ID 建立來源 AWS 關聯。如果您在設定此值之前已部署 DevOpsAgentStack，請重新部署 以建立關聯：

執行下列命令以重新部署：

npm run build
cdk deploy DevOpsAgentStack --profile monitoring

步驟 2：設定客服人員空間 ARN

從 DevOpsAgentStack 輸出複製 AgentSpaceArn值 （第 1 部分，步驟 4)，並在 中設定： lib/constants.ts

下列範例顯示要更新的常數：

export const AGENT_SPACE_ARN = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>";

ServiceStack 使用此值來限制次要帳戶角色的信任政策範圍。只有在設定此值時，才會合成 ServiceStack。

步驟 3：引導服務帳戶

如果您尚未在服務帳戶中啟動 AWS CDK，請執行下列命令：

cdk bootstrap aws://<SERVICE_ACCOUNT_ID>/<REGION> --profile service

步驟 4：部署 ServiceStack

執行下列命令，使用服務帳戶的登入資料來建置和部署 ServiceStack：

npm run build
cdk deploy ServiceStack --profile service

這會在服務帳戶中建立下列資源：

步驟 5：驗證部署

若要確認 Lambda 函數已成功部署，請執行下列命令來測試 echo 服務：

aws lambda invoke \
  --function-name echo-service \
  --payload '{"test": "hello world"}' \
  --profile service \
  response.json
cat response.json

疑難排解

本節說明常見問題以及如何解決這些問題。

找不到 CloudFormation 資源類型

IAM 角色建立失敗

跨帳戶部署失敗，並顯示「無法在目標帳戶中擔任角色」

IAM 傳播延遲

清除

若要移除所有資源，請以相反順序銷毀堆疊。

執行下列命令來銷毀堆疊：

# If you deployed the ServiceStack, destroy it first
cdk destroy ServiceStack --profile service
# Then destroy the DevOpsAgentStack
cdk destroy DevOpsAgentStack --profile monitoring

警告：此動作會永久刪除您的客服人員空間和所有相關資料。此動作無法復原。在繼續之前，請確定您已備份任何重要資訊。

安全考量

後續步驟

使用 AWS CDK 部署您的 AWS DevOps 代理程式之後：

其他資源