Premier pas avec Agent AWS Well-Architected

Pour utiliser Agent AWS Well-Architected, vous créez un profil d’agent qui définit la portée de votre analyse d’infrastructure. La création d’un profil d’agent constitue l’étape d’intégration. Vous avez besoin d’un profil pour pouvoir consulter les recommandations, effectuer des examens d’architecture ou utiliser toute autre fonctionnalité Agent AWS WA.

Astuce

Les recommandations AWS Trusted Advisor de référence sont disponibles sans créer de profil. Pour recevoir des recommandations personnalisées et alignées sur vos objectifs, intégrant une analyse des compromis entre les différents piliers, suivez les étapes de configuration suivantes.

Le processus de configuration utilise deux services AWS :

• AWS Well-Architected (console Well-Architected) : créez votre profil d’agent, configurez les comptes, les piliers, les objectifs et le contexte d’application.

• IAM : créez des rôles d’accès dans vos comptes de charge de travail et mettez à jour les politiques de confiance pour établir un accès intercompte.

Cette page décrit la configuration basée sur la console. Pour configurer Agent AWS WA l’aide de l’interface de ligne de commande (CLI) AWS, consultez Démarrage rapide avec une API.

Une fois le profil créé et correctement configuré, Agent AWS WA commence à générer des recommandations planifiées dans les 24 heures. Pour plus d’informations sur les recommandations planifiées et les types de recommandations, consultez Recommandations.

Conditions préalables

• Vous disposez d’un plan AWS Support actif de niveau Entreprise+ ou supérieur (Entreprise+, Enterprise On-Ramp, Enterprise Support ou Unified Operations). Les clients de niveau Developer et Entreprise n’ont pas accès à Agent AWS WA. Pour les droits spécifiques au niveau, consultez Quotas Agent AWS Well-Architected et limites.

• (Facultatif) Vous avez activé AWS Cost Explorer dans votre compte afin de disposer de données de coûts précises. Il existe deux fonctionnalités distinctes à vérifier pour activer intégralement l’explorateur de coûts pour Agent AWS WA :

  • Activez le service principal AWS Cost Explorer.

  • Dans Préférences de gestion des coûts dans la barre latérale de l’explorateur de coûts, sous Données granulaires, cochez la case Données au niveau des ressources à granularité quotidienne.

  Note

  Si l’explorateur de coûts n’est pas activé, Agent AWS WA estime les coûts à partir de la tarification AWS publique.

• Vous disposez des autorisations IAM requises pour créer un profil Agent AWS WA, y compris des autorisations pour créer des rôles IAM (iam:CreateRole, iam:AttachRolePolicy, iam:PassRole) et des actions Agent AWS WA (wellarchitected:CreateAgentProfile). Pour en savoir plus sur le modèle d’accès Agent AWS WA, consultez Modèle d’accès Agent AWS Well-Architected.

• Vous avez identifié les ID Compte AWS que vous souhaitez faire analyser par Agent AWS WA (100 comptes au maximum).

• Vous avez défini vos objectifs commerciaux et sélectionné les piliers d’optimisation sur lesquels vous souhaitez vous concentrer.

Étape 1 : Création d’un profil d’agent

Créez un profil d’agent depuis la console Agent AWS WA. Pendant cette opération, vous pouvez créer un rôle d’exécution ou en sélectionner un existant.

Pour créer un profil d’agent

1. Ouvrez la Console de gestion AWS et accédez à AWS Well-Architected.

2. Ouvrez la console Agent AWS WA.

3. Choisissez Profils d’agent dans le volet de navigation de gauche.

4. Choisissez Ajouter un profil en haut à droite.

5. Saisissez un nom de profil comportant entre 3 et 128 caractères. Utilisez des lettres, des chiffres, des traits d’union (_) et des traits de soulignement (_). Par exemple : ., product-backend-team.

6. Entrez une description du profil.

7. Sous Sélectionner des comptes et des régions, sélectionnez Régions AWS pour la surveillance et l’analyse.

8. Sous Comptes à surveiller, entrez les ID de compte séparés par des virgules (jusqu’à 100 comptes).

9. Ensuite, sous Nom du rôle d’accès commun, entrez le nom du rôle d’accès à utiliser sur tous les comptes du profil. Le nom recommandé est AccessRoleForWellArchitectedAgent.

   Note

   Que vous créiez votre propre nom de rôle d’accès ou que vous utilisiez le nom recommandé, vous devez utiliser exactement le même nom de rôle d’accès sur tous les comptes du profil. Ceci s’applique uniquement à l’expérience d’intégration dans la console.

Étape 2 : Ajouter des objectifs et des piliers d’optimisation

Lors de la création du profil, configurez les éléments suivants dans Piliers d’optimisation :

• Pilier d’optimisation : sélectionnez au moins un pilier Agent AWS WA à analyser (Optimisation des coûts, Sécurité, Résilience ou Performance).

• Énoncé d’objectif : entrez au moins un énoncé d’objectif en texte brut. Chaque profil requiert au moins un objectif pour que Agent AWS WA puisse générer des recommandations hiérarchisées. Les objectifs sont modifiables à tout moment après leur création. Pour obtenir des conseils sur la rédaction d’objectifs efficaces, consultez Objectifs et personnalisation dans Agent AWS Well-Architected.

Étape 3 : Configurer des autorisations et des intégrations

Après avoir configuré des piliers, vous pouvez sélectionner un rôle d’exécution existant ou en créer un sous Autorisations et intégrations.

Un rôle d’exécution est un rôle IAM dans votre compte de profil que Agent AWS WA assume pour orchestrer la découverte des ressources. Le rôle d’exécution est lié aux rôles d’accès de vos comptes de charge de travail. Quand vous choisissez de créer un rôle, la console crée automatiquement le rôle d’exécution IAM pour vous, en appliquant les politiques d’approbation et d’autorisation requises. Vous n’avez pas besoin d’accéder à la console IAM séparément.

Pour créer un rôle d’exécution

1. Choisissez Créer un nouveau rôle.

2. La console renseigne le champ Nom du rôle avec ExecutionRoleForWellArchitectedAgent. Nous vous recommandons d’utiliser ce nom par défaut.

3. (Facultatif) Pour consulter les politiques d’approbation et d’autorisation que la console appliquera, choisissez Consulter la politique de confiance.

4. Choisissez Créer un rôle.

5. Déterminez s’il faut activer ou désactiver la protection contre la résiliation. Il est recommandé d’activer cette fonctionnalité pour éviter la suppression accidentelle du profil.

Si vous ne souhaitez pas activer AWS Cost Explorer, choisissez Démarrer pour finir de créer votre profil. Une fois le profil créé, terminez le reste de la configuration. Pour activer la découverte intercompte, vous devez créer des rôles d’accès dans vos comptes de charge de travail, comme décrit dans Étape 6 : Créer des rôles d’accès dans vos comptes de charge de travail.

Si vous souhaitez activer l’explorateur de coûts, accédez à (Facultatif) Étape 4 : Activer AWS Cost Explorer avant de finir de créer le profil.

(Facultatif) Étape 4 : Activer AWS Cost Explorer

Note

L’activation de AWS Cost Explorer est une étape facultative pour améliorer la spécificité des données de coûts. L’explorateur de coûts est activé au niveau du Compte AWS, et non par profil Agent AWS WA. Si vous activez l’explorateur de coûts dans le compte de gestion de votre organisation, tous les comptes membres y ont également accès.

Une fois que vous avez activé l’explorateur de coûts, il ne peut pas être désactivé, bien que les préférences de données granulaires facultatives (données de niveau ressources) puissent être modifiées à tout moment.

Pour utiliser des données de coûts et des ressources précises et en temps réel provenant de vos comptes, vous pouvez activer AWS Cost Explorer.

Avec l’explorateur de coûts et les données au niveau des ressources à granularité quotidienne et horaires activés, Agent AWS WA peut fournir des recommandations et des optimisations avec vos données de coûts exactes.

Si l’explorateur de coûts n’est pas activé, Agent AWS WA estime les coûts en fonction de la tarification AWS publique.

L’utilisation de la console de l’explorateur de coûts est gratuite. Des frais s’appliquent aux demandes d’API de l’explorateur de coûts et aux préférences relatives aux données granulaires de niveau ressources. L’attribution des coûts de niveau ressources dans les recommandations Agent AWS WA nécessite des préférences de données granulaires. Pour estimer ces frais, consultez la tarification de l’explorateur de coûts AWS.

Pour commencer à utiliser l’explorateur de coûts dans votre profil Agent AWS WA, choisissez Ouvrir l’Explorateur de coûts, puis configurez l’explorateur de coûts pour votre Compte AWS. Pour plus de détails, consultez Premiers pas avec l’explorateur de coûts.

Après avoir activé l’explorateur de coûts, la mise à disposition des données peut prendre jusqu’à 24 heuresAgent AWS WA, et la propagation des données au niveau des ressources avec une granularité quotidienne peut prendre jusqu’à 48 heures.

Étape 5 : Ajout d’un contexte d’application

Une fois votre profil créé, ajoutez du contexte d’application pour aider Agent AWS WA à générer des recommandations plus pertinentes. Le contexte d’application fournit des détails sur les charges de travail que Agent AWS WA ne peut pas découvrir automatiquement.

Important

Au moins un contexte d’application est requis par profil Agent AWS WA pour générer des recommandations planifiées. Sans contexte d’application, votre profil est marqué comme non valide et la génération de recommandations planifiée ne s’exécute pas.

Pour ajouter un contexte d’application à un profil

1. Dans le menu de navigation de gauche, choisissez Profils d’agent.

2. Dans le profil que vous avez déjà créé, choisissez Détails du profil.

3. Sélectionnez l’onglet Contexte d’application.

4. Choisissez Ajouter un contexte d’application.

5. Entrez les détails du contexte de votre application, comme le nom de l’application, sa présentation, les comptes et Régions AWS de l’application ainsi que les balises. Pour une vue d’ensemble complète de l’ajout ou de la mise à jour du contexte d’application, consultez Mise à jour du contexte d’application.

6. Après avoir renseigné le contexte de votre application, choisissez Ajouter une application.

Étape 6 : Créer des rôles d’accès dans vos comptes de charge de travail

Après avoir créé votre profil, créez un rôle d’accès IAM dans chaque Compte AWS à surveiller sélectionné. Les rôles d’accès permettent à Agent AWS WA de découvrir et d’analyser les ressources de ces comptes.

Une fois la création du profil est terminée, la page de création affiche une invite Action requise indiquant que les comptes sélectionnés ont encore besoin d’un rôle d’accès. La création de ces rôles est une tâche distincte que vous effectuez manuellement dans la console IAM. La console ne crée pas les rôles pour vous et n’ouvre pas automatiquement la console IAM. Agent AWS WA ne surveille ni n’analyse pas un compte tant que le rôle d’accès à ce compte n’existe pas.

Le nom du rôle doit correspondre au nom du rôle d’accès commun que vous avez saisi lors de la création du profil. Le nom recommandé est AccessRoleForWellArchitectedAgent.

La politique d’autorisations du rôle d’exécution octroie sts:AssumeRole aux rôles d’accès, et la politique de confiance de chaque rôle d’accès permet au rôle d’exécution de l’assumer. Utilisez le même nom de rôle dans chaque compte de charge de travail.

Utilisez le modèle de politique de confiance suivant pour vos rôles d’accès. ProfileOwningAccountId est le compte sur lequel vous avez créé le profil d’agent. ExecutionRoleName est le nom du rôle d’exécution dans le profil d’agent. Par défaut, il s’agit généralement de ExecutionRoleForWellArchitectedAgent.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::ProfileOwningAccountId:role/service-role/ExecutionRoleName"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

Important

Le format de l’ARN du rôle d’exécution dépend de la façon dont le rôle a été créé :

• Si vous avez utilisé le bouton Créer un nouveau rôle dans Étape 3 : Configurer des autorisations et des intégrations, la console place le rôle sous le chemin service-role/ : arn:aws:iam::111122223333:role/service-role/ExecutionRoleForWellArchitectedAgent

• Si vous avez créé le rôle d’exécution manuellement dans IAM au préalable et que vous l’avez sélectionné lors de la création du profil, utilisez l’ARN sans le préfixe service-role/ : arn:aws:iam::111122223333:role/ExecutionRoleForWellArchitectedAgent

Pour créer un rôle d’accès

1. Ouvrez la console IAM dans le compte de charge de travail.

2. Dans le volet de navigation de gauche, choisissez Rôles, puis Créer un rôle.

3. Pour Type d’entité de confiance, choisissez Politique d’approbation personnalisée.

4. Collez la politique de confiance indiquée dans le modèle précédent et remplacez les informations requises.

5. Choisissez Suivant. Sur la page Ajouter des autorisations, recherchez et attachez la politique WellArchitectedAgentResourceScanning gérée. Cela accorde un accès en lecture seule aux métadonnées et à la configuration des ressources.

6. Choisissez Suivant. Entrez le nom du rôle (qui doit correspondre au nom du rôle d’accès commun indiqué lors de la création du profil – nous vous recommandons AccessRoleForWellArchitectedAgent), puis choisissez Créer un rôle. Utilisez le même nom dans chaque compte de charge de travail.

Note

Si vous avez déjà créé des rôles d’accès disposant d’une politique de confiance plus large, modifiez l’onglet Relations d’approbation de chaque rôle pour utiliser la politique de confiance indiquée dans le modèle précédent.

Répétez cette procédure pour chaque compte de charge de travail que Agent AWS WA doit analyser. Pour plus d’informations sur la chaîne de rôles et le modèle d’accès Agent AWS WA, consultez Modèle d’accès Agent AWS Well-Architected.

Étapes suivantes

Après avoir terminé la configuration de votre profil, vous pouvez effectuer les opérations suivantes :

• Consulter vos recommandations personnalisées dans le tableau de bord Agent AWS WA (Recommandations). Les recommandations planifiées sont généralement disponibles dans les 24 heures suivant la fin de la configuration du profil.

• Réaliser un examen de l’architecture en chargeant vos fichiers IaC (Réalisation d’examens d’architecture)

• Gérer les paramètres de votre profil à tout moment (Profils d’agents)