本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用 Terraform 開始使用 AWS DevOps 代理程式

概觀

本指南說明如何使用 Terraform 來建立和部署 AWS DevOps 代理程式資源。Terraform 組態會自動建立代理程式空間、IAM 角色、運算子應用程式和 AWS 帳戶關聯。

Terraform 方法透過將所有必要資源定義為基礎設施作為程式碼，自動執行 CLI 入門指南中所述的手動步驟。

AWS DevOps 代理程式可在下列 6 AWS 區域使用：美國東部 （維吉尼亞北部）、美國西部 （奧勒岡）、亞太區域 （雪梨）、亞太區域 （東京）、歐洲 （法蘭克福） 和歐洲 （愛爾蘭）。如需支援區域的詳細資訊，請參閱 支援的區域。

先決條件

開始前，請確定您具有下列項目：

本指南涵蓋的內容

本指南分為兩個部分：

已建立資源

第 1 部分：監控帳戶

第 2 部分：服務帳戶 （選用）

設定

步驟 1：複製範例儲存庫

git clone https://github.com/aws-samples/sample-aws-devops-agent-terraform.git
cd sample-aws-devops-agent-terraform

步驟 2：設定變數

複製範例變數檔案，並針對您的環境進行自訂：

cp terraform.tfvars.example terraform.tfvars

terraform.tfvars 使用您的客服人員空間名稱和描述進行編輯：

agent_space_name        = "MyCompanyAgentSpace"
agent_space_description = "DevOps Agent Space for monitoring production workloads"

第 1 部分：部署代理程式空間

在本節中，您會在監控帳戶中建立代理程式空間、IAM 角色、運算子應用程式和 AWS 關聯。

步驟 1：使用自動化部署 （建議）

使用提供的部署指令碼進行簡化設定：

./deploy.sh

此指令碼會自動：

或者，如果您偏好手動控制：

terraform init
terraform plan
terraform apply

出現提示yes時輸入 以確認部署。

步驟 2：記錄輸出

部署完成後，Terraform 會列印輸出。記錄這些值以供日後使用：

Outputs:
agent_space_id              = "abc123"
agent_space_arn             = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/abc123"
agent_space_name            = "MyCompanyAgentSpace"
devops_agentspace_role_arn  = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-AgentSpace-a1b2c3d4"
devops_operator_role_arn    = "arn:aws:iam::<MONITORING_ACCOUNT_ID>:role/DevOpsAgentRole-WebappAdmin-a1b2c3d4"
primary_account_id          = "<MONITORING_ACCOUNT_ID>"
primary_account_association_id = "assoc-xyz"

如果您打算完成第 2 部分，請儲存該agent_space_arn值。您將需要它來設定服務帳戶資源。

步驟 3：驗證部署

執行部署後驗證指令碼：

./post-deploy.sh

或使用 AWS CLI 來驗證已成功建立代理程式空間：

aws devops-agent get-agent-space \
  --agent-space-id <AGENT_SPACE_ID> \
  --region <REGION>

此時，您的代理程式空間會在啟用 運算子應用程式且您的監控帳戶相關聯的情況下部署。代理程式可以監控此帳戶中的問題。

第 2 部分 （選用）：新增跨帳戶監控

在本節中，您會擴展設定，讓客服人員空間可以監控第二個 AWS 帳戶 （服務帳戶） 中的資源。這涉及兩個動作：

步驟 1：設定服務帳戶 ID

在 中terraform.tfvars，設定您的服務帳戶 ID：

service_account_id = "<YOUR_SERVICE_ACCOUNT_ID>"

步驟 2：設定客服人員空間 ARN

從第 1 部分輸出複製 agent_space_arn值 （步驟 2)，並在 中設定terraform.tfvars：

agent_space_arn = "arn:aws:aidevops:<REGION>:<MONITORING_ACCOUNT_ID>:agentspace/<SPACE_ID>"

服務帳戶資源使用此值來限制次要帳戶角色的信任政策範圍。只有在設定此值時，才會建立這些資源。

步驟 3：設定 `aws.service` 供應商

在 中main.tf，使用服務帳戶的登入資料設定aws.service提供者別名。您可以使用具名設定檔或擔任角色：

使用設定檔：

provider "aws" {
  alias   = "service"
  region  = var.aws_region
  profile = "your-service-account-profile"
}

或使用擔任角色：

provider "aws" {
  alias  = "service"
  region = var.aws_region
  assume_role {
    role_arn = "arn:aws:iam::<SERVICE_ACCOUNT_ID>:role/OrganizationAccountAccessRole"
  }
}

步驟 4：部署

套用更新的組態：

terraform apply

這會在服務帳戶中建立下列資源：

它也會在監控帳戶中建立來源 AWS 關聯，以連結服務帳戶。

步驟 5：驗證部署

測試 echo 服務以確認 Lambda 函數已成功部署：

aws lambda invoke \
  --function-name echo-service-tf \
  --payload '{"test": "hello world"}' \
  --profile <your-service-account-profile> \
  --region <REGION> \
  response.json
cat response.json

疑難排解

IAM 傳播延遲

許可錯誤

跨帳戶部署失敗

找不到 Terraform 資源類型

清除

若要移除所有資源，如果您已部署第 2 部分，請以相反順序銷毀：

./cleanup.sh

或手動：

terraform destroy

警告：這會永久刪除您的客服人員空間和所有相關聯的資料。在繼續之前，請確定您已備份任何重要資訊。

安全考量

後續步驟

使用 Terraform 部署您的 AWS DevOps 代理程式之後：

其他資源