AWS Devops Agent ~ 自動調査とSlack統合をやってみた！ ~

Transcript

1. AWS Devops Agent ~ 自動調査とSlack統合をやってみた！ ~
2. テーマ • AWS DevOps Agent （以降、Agent と記載）はインシデントライフサイクルをエンド ツーエンドにカバーするフロンティアエージェント ◦ インシデント調査 ◦ 根本原因分析 ◦ 緩和計画策定 ◦ 予防策提案 • SaaS 製品との統合、Webhook をサポート ◦ インシデント発生後、自動で調査を開始させる ◦ 調査結果を Slack に通知させる • Agent にクロスアカウントアクセスさせる
3. アーキテクチャ
4. • Agent のリソース検出方法は2つ ◦ CloudFormation スタック ◦ リソースタグ → 今回はこっち ▪ cfn スタック管理以外のリソース検出用 ▪ セカンダリアカウントで AWS Resource Explorer が有効になっている必要がある 備考 Agent Spaces を作成する時に指定 Lambda にタグを設定
5. 備考 • セカンダリアカウントのリソース のうち、タグ付けしたリソース のみが検出される
6. 流れ 1. セカンダリアカウントで監視対象リソース（Lambda 関数）を作成 2. プライマリアカウントで Agent Spaces を作成 3. Agent Spaces にセカンダリアカウントを紐づけ 4. Webhook URL を発行 5. Slack 統合を設定 6. CW メトリクスフィルタ、アラーム、Webhook 用 Lambdaの作成 7. 動作確認
7. 3. Agent Spaces に開発アカウントを紐づけ • プライマリアカウントにて、Agent Spaces > Capabilities タブから Secondary sources としてアカウントを紐づける
8. 3. Agent Spaces に開発アカウントを紐づけ • 手順に沿ってセカンダリアカウントに IAM ロールを作成する
9. 3. Agent Spaces に開発アカウントを紐づけ • セカンダリのアカウント ID を入力, Agent 実行ロールの更新（自動）する
10. 3. Agent Spaces に開発アカウントを紐づけ プライマリアカウント ID プライマリアカウント ID セカンダリアカウント ID
11. 4. Webhook URL の発行 • Agent Spaces > Capabilities タブから Webhook URL, Webhook Secret を発行 する • Webhook 用 Lambda の環境変数に URL, Secret を設定する
12. 5. Slack 統合を設定 • Setting > Communication > Slack にて、チャネル ID を入力する • Slack の対象チャネルにて、 Agent を追加する
13. 5. Slack 統合を設定
14. 7. 動作確認 • Lambda コンソールからテストを実行し、「ERROR」を発生させる
15. • アラームが作動すると共に、Agent が調査を開始する 7. 動作確認
16. • 一次調査完了 7. 動作確認
17. まとめ • Agent の周辺機能を実装し、導入の低さを体感した ◦ 自動調査を仕組みを実装した ◦ SaaS 統合の一例として、Slack への通知を実装した • いずれの機能においても、コンソール内に手順が表示され、容易に実装できた • Agent のクロスアカウントアクセスにより、ワークロードアカウントとモニタリングアカ ウントが分離している構成にも、役割を維持したまま導入できる • また、タグでリソース検出を制限することでトポロジーの見通しが良く、単一アカウン トで多種のワークロードが稼働している場合は、Agent Spaces をそれごとに作成 することで、最低限の情報のみ表示できる
18. おまけ：ランディングゾーンの更新（3.3 → 4.0） January 2025 - December 2025 - AWS Control Tower
19. 参考 • About AWS DevOps Agent • AWS DevOps Agent (Preview)のマルチアカウントアクセスをやってみた #AWSreInvent | DevelopersIO • AWS DevOps Agent で CloudWatch アラームをトリガーに自動インシデント調査 を行えるか試してみた #AWSreInvent | DevelopersIO • AWS DevOps Agent (Preview)のSlack連携をやってみた #AWSreInvent | DevelopersIO • CloudWatch Logsでの特定文字列の検知時の通知をメトリクスフィルターで実装し てみた | DevelopersIO
20. fin.