AWS Well-Architected Agent está en versión de vista previa y sujeto a cambios.
# Introducción a con () AWS Well-Architected Agent
Para usar AWS Well-Architected Agent, debe crear un perfil de agente que defina el alcance del análisis de infraestructura. La creación de un perfil de agente es el paso de incorporación. Necesita un perfil antes de poder ver las recomendaciones, realizar revisiones de la arquitectura o utilizar cualquier otra característica de AWS WA Agent.
**sugerencia**
Las recomendaciones de referencia de AWS Trusted Advisor están disponibles sin necesidad de crear un perfil. Para recibir recomendaciones personalizadas y alineadas con los objetivos, con un análisis de las compensaciones entre pilares, complete los siguientes pasos de configuración.
El proceso de configuración utiliza dos servicios de AWS:
+ **AWS Well-Architected** (consola de Well-Architected): cree el perfil de agente, configure las cuentas, los pilares, los objetivos y el contexto de la aplicación.
+ **IAM**: cree roles de acceso en las cuentas de carga de trabajo y actualice las políticas de confianza para establecer el acceso entre cuentas.
En esta página, se describe la configuración basada en la consola. Para configurar AWS WA Agent mediante la AWS CLI en su lugar, consulte [Inicio rápido de la API](agent-api-quickstart.md).
Una vez creado y configurado correctamente un perfil, AWS WA Agent comienza a generar recomendaciones programadas en un plazo de 24 horas. Para obtener más información sobre las recomendaciones programadas y los tipos de recomendaciones, consulte [Recomendaciones](agent-rec-management.md).
## Requisitos previos
+ Tiene un plan de AWS Support activo en el nivel Business\+ o superior (Business\+, Enterprise On-Ramp, Enterprise Support o Unified Operations). Los clientes de los niveles Developer y Business no tienen acceso a AWS WA Agent. Para conocer los derechos específicos de cada nivel, consulte [Cuotas y límites de AWS Well-Architected Agent](agent-quotas.md).
+ **(Opcional)** Ha habilitado AWS Cost Explorer en la cuenta para los datos de costos precisos. Hay dos características independientes que debe comprobar para habilitar completamente Cost Explorer para AWS WA Agent:
+ Habilite el servicio de AWS Cost Explorer principal.
+ En **Preferencias de administración de costos**, en la barra lateral de Cost Explorer, en **Datos granulares**, seleccione la casilla de verificación **Datos por recurso con granularidad diaria**.
**nota**
Si Cost Explorer no está habilitado, AWS WA Agent calcula los costos a partir de los precios de AWS públicos.
+ Dispone de los permisos de IAM necesarios para crear un perfil de AWS WA Agent, incluidos los permisos para crear roles de IAM (`iam:CreateRole`, `iam:AttachRolePolicy`, `iam:PassRole`) y acciones de AWS WA Agent (`wellarchitected:CreateAgentProfile`). Para obtener más información acerca del modelo de acceso de AWS WA Agent, consulte [Modelo de acceso de AWS Well-Architected Agent](security-iam-agent.md).
+ Ha identificado los ID de Cuenta de AWS que quiere que AWS WA Agent analice (máximo 100 cuentas).
+ Ha definido los objetivos empresariales y ha seleccionado los pilares de optimización en los que quiere centrarse.
## Paso 1: creación de un perfil de agente
Cree un perfil de agente desde la consola de AWS WA Agent. Durante la creación de un perfil, puede crear un rol de ejecución o seleccionar uno existente.
**Creación de un perfil de agente**
1. Abra Consola de administración de AWS y navegue hasta AWS Well-Architected.
1. Abra la consola de AWS WA Agent.
1. Elija **Perfiles de agente** en el panel de navegación a la izquierda.
1. En la esquina superior derecha, elija **Agregar perfil**.
1. Ingrese un nombre de perfil entre 3 y 128 caracteres. Utilice solo letras, números, guiones (-) y guiones bajos (\_). Por ejemplo, `product-backend-team`.
1. Escriba una descripción para el perfil.
1. En **Seleccionar cuentas y regiones**, seleccione Regiones de AWS para supervisar y analizar.
1. En **Cuentas a supervisar**, ingrese los ID de las cuentas separados por comas (hasta 100 cuentas).
1. A continuación, en **Nombre del rol de acceso común**, escriba el nombre del rol de acceso que se va a usar en todas las cuentas del perfil. El nombre recomendado es `AccessRoleForWellArchitectedAgent`.
**nota**
Tanto si crea su propio nombre de rol de acceso como si utiliza el recomendado, debe utilizar exactamente el mismo nombre de rol de acceso en todas las cuentas del perfil. Esto solo se aplica a la experiencia de incorporación de la consola.
## Paso 2: adición de objetivos y pilares de optimización
Durante la creación del perfil, configure lo siguiente en **Pilares de optimización**:
+ **Pilar de optimización:** seleccione al menos un pilar para AWS WA Agent para analizar, optimización de costos, seguridad, resiliencia o rendimiento.
+ **Instrucción de objetivos:** ingrese al menos una instrucción de objetivos de texto plano. Cada perfil requiere un mínimo de un objetivo para AWS WA Agent para generar recomendaciones priorizadas. Los objetivos se pueden editar en cualquier momento tras su creación. Para obtener orientación sobre cómo redactar objetivos efectivos, consulte [Objetivos y personalización en AWS Well-Architected Agent](agent-goals.md).
## Paso 3: configuración de los permisos y las integraciones
Después de configurar los pilares, en **Permisos e integraciones**, puede seleccionar un rol de ejecución existente o crear uno nuevo.
El rol de ejecución es un rol de IAM en la cuenta de perfil que AWS WA Agent supone que se encarga de organizar la detección de recursos. El rol de ejecución depende de los roles de acceso de las cuentas de carga de trabajo. Al elegir **Crear un nuevo rol**, la consola crea automáticamente el rol de ejecución de IAM y aplica la política de confianza y la política de permisos requeridas. No necesita navegar a la consola de IAM de forma independiente.
**Creación de un nuevo rol de ejecución**
1. Elija **Crear nuevo rol**.
1. La consola rellena previamente el campo del **Nombre del rol** con `ExecutionRoleForWellArchitectedAgent`. Se recomienda usar este nombre predeterminado.
1. (Opcional) Para revisar la política de confianza y la política de permisos que aplicará la consola, elija **Ver política de confianza**.
1. Elija **Creación de rol**.
1. Determine si habilitar o desactivar la protección contra terminación. Se recomienda habilitar esta característica para evitar la eliminación accidental del perfil.
Si no quiere habilitar AWS Cost Explorer, elija **Comenzar** para terminar la creación del perfil. Una vez creado el perfil, complete el resto de la configuración. Para habilitar la detección entre cuentas, debe crear roles de acceso en las cuentas de carga de trabajo, tal y como se describe en [Paso 6: creación de roles de acceso en las cuentas de carga de trabajo](#agent-access-roles).
Si desea habilitar Cost Explorer, vaya a [(Opcional) Paso 4: habilitación de AWS Cost Explorer](#agent-cost-explorer) antes de finalizar la creación del perfil.
## (Opcional) Paso 4: habilitación de AWS Cost Explorer
**nota**
La habilitación de AWS Cost Explorer es un paso opcional para mejorar la especificidad de los datos de costos. Cost Explorer está habilitado por Cuenta de AWS, no por perfil de AWS WA Agent. Si habilita Cost Explorer en la cuenta de administración de la organización, también se concede acceso a todas las cuentas de miembros.
Después de habilitar Cost Explorer, no se puede desactivar, aunque las preferencias de datos granulares opcionales (datos por recurso) se pueden cambiar en cualquier momento.
Para usar datos de costos y recursos precisos y en tiempo real de las cuentas, puede habilitar AWS Cost Explorer.
Con Cost Explorer y los [datos por hora y recurso con granularidad diaria](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-resource-daily.html) habilitados, AWS WA Agent puede proporcionar recomendaciones y optimizaciones con los datos de costos exactos.
Si Cost Explorer no está habilitado, AWS WA Agent calcula los costos en función de los precios de AWS públicos.
El uso de la consola de Cost Explorer no implica cargos adicionales. Se aplican cargos a las solicitudes de la API de Cost Explorer y a las preferencias de datos granulares por recurso. La atribución de costos por recursos en las recomendaciones de AWS WA Agent requiere preferencias de datos granulares. Para estimar estos cargos, consulte los [Precios de AWS Cost Explorer](https://aws.amazon.com/aws-cost-management/aws-cost-explorer/pricing/).
Para empezar a usar Cost Explorer en el perfil de AWS WA Agent, elija **Abrir Cost Explorer** y, a continuación, configure Cost Explorer para la Cuenta de AWS. Para obtener más información, consulte [Introducción a Cost Explorer](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-getting-started.html).
Después de habilitar Cost Explorer, los datos pueden tardar hasta 24 horas en estar disponibles en AWS WA Agent y los datos por recursos con una granularidad diaria pueden tardar hasta 48 horas en propagarse.
## Paso 5: adición del contexto de la aplicación
Una vez creado el perfil, agregue el contexto de la aplicación para ayudar a AWS WA Agent a generar recomendaciones más relevantes. El contexto de la aplicación proporciona detalles sobre las cargas de trabajo que AWS WA Agent no puede detectar automáticamente.
**importante**
Debe tener al menos un contexto de aplicación definido por perfil para AWS WA Agent para generar recomendaciones programadas. Sin el contexto de la aplicación, el perfil se marca como no válido y la generación programada de recomendaciones no se ejecuta.
**Adición del contexto de la aplicación a un perfil**
1. En el panel de navegación a la izquierda, elija **Perfiles de agente**.
1. En el perfil que ya ha creado, elija **Detalles del perfil**.
1. Seleccione la pestaña de **Contexto de la aplicación**.
1. Elija **Agregar contexto de la aplicación**.
1. Ingrese los detalles del contexto de la aplicación, incluidos el nombre de la aplicación, la información general, las cuentas de la aplicación, Regiones de AWS y las etiquetas. Para obtener información general completa de cómo agregar o actualizar el contexto de la aplicación, consulte [Actualización del contexto de la aplicación](agent-update-app-context.md).
1. Tras rellenar el contexto de la aplicación, elija **Agregar aplicación**.
## Paso 6: creación de roles de acceso en las cuentas de carga de trabajo
Después de crear el perfil, cree un rol de acceso a IAM en cada Cuenta de AWS que haya seleccionado para supervisar. Los roles de acceso permiten a AWS WA Agent detectar y analizar los recursos de esas cuentas.
Cuando finaliza la creación del perfil, la página de creación del perfil muestra un mensaje de **acción requerida** que indica que las cuentas seleccionadas siguen necesitando un rol de acceso. La creación de estos roles es una tarea independiente que se realiza manualmente en la consola de IAM. La consola no crea los roles automáticamente y no abre la consola de IAM automáticamente. AWS WA Agent no supervisa ni analiza una cuenta hasta que exista el rol de acceso de esa cuenta.
El nombre del rol debe coincidir con el **Nombre del rol de acceso común** que ingresó durante la creación del perfil. El nombre recomendado es `AccessRoleForWellArchitectedAgent`.
La política de permisos del rol de ejecución otorga `sts:AssumeRole` en los roles de acceso y la política de confianza de cada rol de acceso permite que el rol de ejecución los asuma. Utilice el mismo nombre de rol en cada cuenta de carga de trabajo.
Utilice la siguiente plantilla de política de confianza para los roles de acceso. {{ProfileOwningAccountId}} es la cuenta en la que creó el perfil del agente. {{ExecutionRoleName}} es el nombre del rol de ejecución en el perfil del agente. De forma predeterminada, suele ser `ExecutionRoleForWellArchitectedAgent`.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::{{ProfileOwningAccountId}}:role/service-role/{{ExecutionRoleName}}"
},
"Action": "sts:AssumeRole"
}
]
}
```
**importante**
El formato de ARN del rol de ejecución depende de cómo se creó el rol:
Si ha utilizado el botón **Crear un nuevo rol** en [Paso 3: configuración de los permisos y las integraciones](#agent-permissions-integrations), la consola coloca el rol en la ruta de `service-role/`: `arn:aws:iam::{{111122223333}}:role/service-role/ExecutionRoleForWellArchitectedAgent`
Si previamente creó el rol de ejecución de forma manual en IAM y lo seleccionó durante la creación del perfil, utilice el ARN sin el prefijo `service-role/`: `arn:aws:iam::{{111122223333}}:role/ExecutionRoleForWellArchitectedAgent`
**Creación de un rol de acceso**
1. Abra la consola de IAM en la cuenta de carga de trabajo.
1. En el menú de navegación izquierdo, elija **Roles** y, a continuación, **Crear rol**.
1. En **Tipo de entidad de confianza**, elija **Política de confianza personalizada**.
1. Pegue la política de confianza que se muestra en la plantilla anterior y sustitúyala por la información requerida.
1. Elija **Siguiente**. En la página **Agregar permisos**, busque y adjunte la [política administrada `WellArchitectedAgentResourceScanning`](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/WellArchitectedAgentResourceScanning.html). Esto concede acceso de solo lectura a los metadatos y la configuración de los recursos.
1. Elija **Siguiente**. Ingrese el nombre del rol (debe coincidir con el **Nombre del rol de acceso común** de la creación del perfil; se recomienda `AccessRoleForWellArchitectedAgent`) y elija **Crear rol**. Utilice el mismo nombre en cada cuenta de carga de trabajo.
**nota**
Si ya ha creado roles de acceso con una política de confianza más amplia, edite la pestaña **Relaciones de confianza** de cada rol para usar la política de confianza que se muestra en la plantilla anterior.
Repita este procedimiento en cada cuenta de carga de trabajo que quiera que AWS WA Agent analice. Para obtener más información sobre el modelo de acceso de AWS WA Agent y la cadena de roles, consulte [Modelo de acceso de AWS Well-Architected Agent](security-iam-agent.md).
## Siguientes pasos
Una vez completada la configuración del perfil, puede:
+ Vea las recomendaciones personalizadas en el panel de AWS WA Agent ([Recomendaciones](agent-rec-management.md)). Las recomendaciones programadas suelen estar disponibles en un plazo de 24 horas tras completar la configuración del perfil.
+ Realice una revisión de la arquitectura cargando los archivos de IaC ([Realización de revisiones de la arquitectura](agent-architecture-reviews.md)).
+ Administre la configuración del perfil en cualquier momento ([Perfiles de agentes](agent-manage-profiles.md)).