AWS DevOps AgentでAzureも調査してみよう！マルチクラウド時代のAI運用について

JAWS-UG初心者支部 #93 Short Session大会で使用した登壇資料です
https://jawsug-bgnr.connpass.com/event/406294/

Transcript

1. AWS DevOps Agentで Azureも調査してみよう！ マルチクラウド時代のAI運用について 2026.10.29 JAWS-UG初心者支部 #93 Short Session大会
2. 自己紹介 名前: しろみ (@siromiascode08) ロール: Azureを扱うインフラエンジニア 今気になっているもの: JAWS FESTA 2026 AWS re:Invent 2026 Suicaペンギンの後任マスコット
3. 今日話すこと 今日のLTではこのようなことを話します • AWS DevOps Agentについて ◦ そもそもAWS DevOps Agentってどんなサービス？ ◦ Azure環境に対して何をどこまで調査できる？ ◦ できること・できないこと
4. なぜこのテーマを選んだか
5. なぜこのテーマを選んだか • 皆さんは次のような経験はありますか？ ◦ AWS等のアウトプットをしたい ◦ ただ、普段の業務ではアウトプットしたいことと別のことに携わっている ◦ そもそもアウトプットしたい内容を業務で触っていない
6. なぜこのテーマを選んだか • 私の場合、次の悩みを抱えていました ◦ Azureを扱う案件に参加が決まる ◦ ただ、AWSに関してのアウトプットをしたい • なので、両方を扱うテーマで登壇してみることに ◦ 新しく出たAWSのサービスのキャッチアップ ◦ Azureのキャッチアップも同時に学べる
7. AWS DevOps Agentとは
8. AWS DevOps Agentとは • 一言で言うとインシデントの「調査・再発防止」を自律的に行うAIエージェント • AWSが新たに定義したフロンティアエージェントの一つ • 下記のことが出来ます ◦ インシデント調査 ▪ ◦ 改善提案 ▪ ◦ アラート発生時に自動で調査 過去のインシデントを分析して提案 チャット ▪ このリソースの状態は？」と自然言語で聞ける
9. 一般提供されて何ができるようになった？
10. 一般提供されて何ができるようになった？ • 2026年 3月に一般提供され、色々な変更点が追加されました • 本LTではそのうちの一つ、Azure連携をご紹介します • 下記の二つと連携できるようになりました ◦ ◦ Azure リソース ▪ Azure環境のリソースを調査できる ▪ 裏ではAzure Resource Graph という機能を動かしてリソースを調査しています Azure DevOps ▪ パイプライン実行履歴を参照できる
11. Azure環境と繋いでみる
12. Azure環境と繋いでみる • DevOPS Agentの機能の一つにトポロジーというものがあります ◦ 調査した内容から、構成図を作成するみたいなものです ◦ エンジニアが調査をする際、構成図を見ながら調査する場面があるかと思います ◦ トポロジーはDevOPS Agentが参考にするための構成図のようなイメージです
13. Azure環境と繋いでみる • Azure環境の調査後に作成されたトポロジーは次のような形式です • オレンジ枠内 ◦ AWS環境のトポロジー • 水色の枠内 ◦ Azure環境のトポロジー
14. DevOps Agentで調査してみる
15. DevOps Agentで調査してみる • 今回の検証環境はこのような構成です • Virtual Net(VNet) 内のサブネットにAzure VMを作成しております • AWSで例えると ◦ Amazon VPC (Azureでは VNet) を作成し 仮想ネットワーク構築 ◦ その中にAmazon EC2(Azureでは Azure VM)を作成 ◦ ネットワークセキュリティグループは ネットワークACLと、セキュリティグループ の特徴を併せ持つサービスです
16. DevOps Agentで調査してみる • 意図的に仮想サーバー(Azure VM)を止めてみました • VMが停止したから調査して欲しいとチャットでお願いをしてみます • そこでどんな調査結果が返ってくるかを見てみます
17. DevOps Agentで調査してみる • 回答を確認すると意図的に止めたことを特定しています(時刻はUTC表記) ◦ 特定のユーザーで停止(割り当て解除)したこと ◦ ユーザーにはMFAが設定されている • タイムライン ◦ 調査した内容から起きた出来事の タイムラインを作成 ◦ 報告書のような形式で報告してくれます
18. DevOps Agentで調査してみる • 今度はどのサービスを参照したかを含め、詳細に調査をお願いしてみます • 参照したのは下記の2サービスとのこと • Azure Activity Log ◦ AWSでいうAWS CloudTrailに相当するもの ◦ Azureリソースに対しての操作が記録されている • Azure Resource Health ◦ AWSでいうHealth Dashboardに相当するもの
19. DevOps Agentで調査してみる • 実際にAzureポータル上でAzure Activity Logを見てみます • 下記はAzure VMの停止についての記録です • JSONタブをクリックすると、より詳細な記録を確認できます
20. DevOps Agentで調査してみる • 余談ですが赤枠内はVM作成する際にミスをしたという内容です • Azure VMにはリージョンごとに容量上限 上限に引っ掛かり、一度作成に失敗した ことも調査してくれたというものです
21. Azure連携の課題点(できないこと)
22. 特定のリソースグループのみを対象にできない
23. 特定のリソースグループのみを対象にできない • AzureはAWS でいうと、AWS Organizations みたいな階層構造になっています • 管理グループ ◦ AWS OrganizationsでいうOUに相当するもの • サブスクリプション ◦ AWS OrganizationsでいうAWSアカウント に相当するもの ◦ この中に複数のリソースグループを作成できる • リソースグループ ◦ この中にAzureのリソースを作成する
24. 特定のリソースグループのみを対象にできない • 各階層に権限を付与することができます • ただし、割り与えた権限は配下に引き継がれます ◦ AWS Organizationsで例えるとOUに割り当てるSCPみたいなイメージです • 下の図はサブスクリプションに権限を割り当てた場合です
25. 特定のリソースグループのみを対象にできない • 右の画像は実際にAzureリソース連携をする 時の設定画面です • 対象サブスクリプションの指定が必要です • また、対象サブスクリプションへ 読み取り権限(Reader)の付与も必要です
26. 特定のリソースグループのみを対象にできない • そうすると次のようなことが起こります • 指定したサブスクリプション配下の全てのリソースグループにある リソースが調査対象に含まれてしまう ◦ そのため、特定のリソースグループ のみを対象とすることができない
27. 特定のリソースグループのみを対象にできない • その場合、次のような問題が発生します • 一つのサブスクリプションに複数のリソースグループがある場合 ◦ 各部門ごとにリソースグループが分かれている ◦ 開発会社ごとに担当しているリソースグループがそれぞれある • 他の部門や開発会社のリソースをコンプライアンスの関係で知られたくない
28. 特定のリソースグループのみを対象にできない • Azureのリソースグループにはタグをつけることができます ◦ 名前: 項目の名前、値: タグの値 ◦ 例えば部門ごとにリソースグループがある場合、タグは下記のようになるかと思います ▪ 名前(何を識別するか ): Department ▪ 値(どの部門か ): Sales
29. なのでタグで特定のリソースグループのみ 対象にできるか試してみる
30. タグで特定のリソースグループのみ対象にできるか • Azureでは、Azure RBACという機能で権限を付与できます ◦ ユーザーやアプリに対して役割(ロール)という形で権限を付与、制御する イメージです ▪ ロールベースアクセス制御と手法で制御するのでAzure RBACという名称です
31. タグで特定のリソースグループのみ対象にできるか • また、Azure RBAC以外にもAzure ABACという機能もあります • RBACが操作をロールで制御していたのに対し、ABACは属性で制御します ◦ リソースについているタグが特定の値だったら ◦ 特定のリソース名のものだったらなど • Azure ABACはRBACを土台に、条件付き割り当てという機能を 使用して実装します
32. タグで特定のリソースグループのみ対象にできるか • ただし、対象にできるのはサービス内のデータに対しての操作のみ ◦ 例えばストレージ内のデータに対しての操作など • AWS DevOps Agentはリソースに対しての操作が必要 • そのため、タグを使用して対象を絞り込むことはできない ◦ リソースを操作するロールでは 条件付き書式タブもグレーアウトしています
33. 何か解決できそうなものはないのか
34. Azure SRE Agentを使用してみる
35. Azure SRE Agentを使用する • Microsoftが提供する運用支援に特化したAIエージェントサービスです • 次のことを可能とします ◦ インシデントの調査と解決策の提案 ◦ エラーパターンの分析 ◦ インシデント対応計画の作成 ◦ 外部サービスとの統合 ◦ 自動修復アクションの実行（設定により）
36. Azure SRE Agentを使用する • 特定のリソースグループに絞れるかという観点で見てみます • エージェントがどのリソースを分析対象とするかを選択する画面で リソースグループ単位で設定することができます
37. なので使い分けを考えてみる
38. 使い分けを考えてみる • 次の観点から考えてみることにします ◦ Azure環境の規模感 ◦ リソースグループを特定のものに絞り込む
39. 使い分けを考えてみる • 次のようなケースではAWS DevOps Agentで足りるかと思います • 連携しているAzure環境もそこまで大規模ではない • かつリソースグループの制約もない ◦ Azure環境も詳細に出してくれるため
40. 使い分けを考えてみる • 次のようなケースではAzure SRE Agentを活用できると思います • 連携しているAzure環境が大規模・複雑な構成になっている • 複数のリソースグループがあり、他のリソースグループを閲覧させたくない ◦ 検証はできていないですが、複雑な構成に対して正確に調査ができるかは未知数 ◦ SRE Agentならリソースグループの絞り込みもできる
41. 使い分けを考えてみる 今後検証したいこと • Azure SRE Agentの調査能力はどこまでか • Azure Well-Architected Frameworkに沿っているかDevOps Agentで聞いてみる • AWSとAzureをネットワークで繋いだらTopologyはどう見えるか 検証してブログに書けたらと思います
42. ご清聴ありがとうございました ※こちらのイラストと背景は GPT-6に描いていただきました