Agente AWS Well-ArchitectedLo strumento è disponibile nella versione di anteprima e soggetto a modifiche. # Nozioni di base su Agente AWS Well-Architected Per utilizzare Agente AWS Well-Architected, crea un profilo di agente che definisce l'ambito dell'analisi dell'infrastruttura. La creazione di un profilo di agente è la fase di onboarding. È necessario un profilo prima di poter visualizzare i suggerimenti, condurre revisioni dell'architettura o utilizzare qualsiasi altra funzionalità Agente AWS WA. **Suggerimento** I suggerimenti di base di AWS Trusted Advisor sono disponibili senza creare un profilo. Per ricevere suggerimenti personalizzati e allineati agli obiettivi con analisi di compromesso tra i diversi pilastri, completa le seguenti fasi di configurazione. Il processo di configurazione utilizza due servizi AWS: + **AWS Well-Architected** (console Well-Architected): crea il tuo profilo di agente, configura account, pilastri, obiettivi e contesto dell'applicazione. + **IAM**: crea ruoli di accesso nei tuoi account di carico di lavoro e aggiorna le policy di attendibilità per stabilire l'accesso multi-account. Questa pagina descrive la configurazione basata sulla console. Per configurare invece Agente AWS WA mediante l'AWS CLI, consulta [Guida introduttiva alle API](agent-api-quickstart.md). Una volta creato e configurato correttamente un profilo, Agente AWS WA inizia a generare suggerimenti pianificati entro 24 ore. Per ulteriori informazioni sui suggerimenti pianificati e sui tipi di suggerimento, consulta [Raccomandazioni](agent-rec-management.md). ## Prerequisiti + Hai un piano Supporto AWS attivo al livello Business\+ o superiore (Business\+, Enterprise On-Ramp, Enterprise Support o Unified Operations). I clienti di livello Developer o Business non hanno accesso a Agente AWS WA. Per i diritti specifici del livello, consulta [Quote e limiti di Agente AWS Well-Architected](agent-quotas.md). + **(Facoltativo)** Hai abilitato AWS Cost Explorer nel tuo account per dati accurati sui costi. Esistono due funzionalità separate da verificare per abilitare completamente Cost Explorer per Agente AWS WA: + Abilita il servizio AWS Cost Explorer principale. + In **Preferenze di gestione dei costi** nella barra laterale di Cost Explorer, in **Dati granulari**, seleziona la casella di controllo **Dati a livello di risorsa con granularità giornaliera**. **Nota** Senza Cost Explorer abilitato, Agente AWS WA stima i costi sulla base delle tariffe pubbliche di AWS. + Disponi delle autorizzazioni IAM necessarie per creare un profilo Agente AWS WA, incluse le autorizzazioni per creare ruoli IAM (`iam:CreateRole`, `iam:AttachRolePolicy`, `iam:PassRole`) e operazioni Agente AWS WA (`wellarchitected:CreateAgentProfile`). Per ulteriori informazioni sul modello di accesso Agente AWS WA, consulta [Modello di accesso Agente AWS Well-Architected](security-iam-agent.md). + Hai identificato gli ID Account AWS che desideri vengano analizzati da Agente AWS WA (massimo 100 account). + Hai definito i tuoi obiettivi aziendali e selezionato i pilastri di ottimizzazione su cui concentrarti. ## Fase 1: creazione di un profilo dell'agente Crea un profilo di agente dalla console Agente AWS WA. Quando si crea un profilo, è possibile creare un ruolo di esecuzione o selezionarne uno esistente. **Per creare un profilo dell'agente** 1. Apri la Console di gestione AWS e vai ad AWS Well-Architected. 1. Apri la Agente AWS WA console. 1. Nel pannello di navigazione a sinistra, scegli **Profili agente**. 1. Scegli **Aggiungi profilo** in alto a destra. 1. Immetti un nome di profilo da 3 a 128 caratteri. Utilizza solo lettere, numeri, trattini (-) e caratteri di sottolineatura (\_). Ad esempio, `product-backend-team`. 1. Inserisci una descrizione per il profilo. 1. In **Seleziona account e regioni**, seleziona Regioni AWS per monitorare e analizzare. 1. In **Account da monitorare**, inserisci gli ID degli account separati da virgole (fino a 100 account). 1. Quindi, in **Nome del ruolo di accesso comune**, inserisci il nome del ruolo di accesso da utilizzare in tutti gli account del profilo. Il nome consigliato è `AccessRoleForWellArchitectedAgent`. **Nota** Sia che si crei il proprio nome di ruolo di accesso o si utilizzi quello suggerito, è necessario utilizzare lo stesso nome di ruolo di accesso per tutti gli account del profilo. Tale approccio si applica solo all'esperienza di onboarding della console. ## Fase 2: aggiunta di obiettivi e pilastri di ottimizzazione Durante la creazione del profilo, configura quanto segue nei **pilastri di ottimizzazione**: + **Pilastro di ottimizzazione:** seleziona almeno un pilastro per l'analisi di Agente AWS WA: ottimizzazione dei costi, sicurezza, resilienza o prestazioni. + **Dichiarazione dell'obiettivo:** inserisci almeno una dichiarazione di obiettivo in testo semplice. Ogni profilo richiede almeno un obiettivo affinché Agente AWS WA possa generare suggerimenti prioritari. Gli obiettivi sono modificabili in qualsiasi momento dopo la creazione. Per indicazioni su come scrivere obiettivi efficaci, consulta [Obiettivi e personalizzazione in Agente AWS Well-Architected](agent-goals.md). ## Fase 3: configurazione delle autorizzazioni e delle integrazioni Dopo aver configurato i pilastri, in **Autorizzazioni e integrazioni** puoi selezionare un ruolo di esecuzione esistente o crearne uno nuovo. Il ruolo di esecuzione è un ruolo IAM nell'account del tuo profilo che Agente AWS WA assume per orchestrare l'individuazione delle risorse. Il ruolo di esecuzione si collega ai ruoli di accesso negli account del carico di lavoro. Quando scegli **Crea nuovo ruolo**, la console crea automaticamente il ruolo di esecuzione IAM per te, applicando la policy di attendibilità e la policy di autorizzazione richieste. Non è necessario accedere alla console IAM separatamente. **Creazione di un nuovo ruolo di esecuzione** 1. Scegli **Create new role** (Crea nuovo ruolo). 1. La console precompila il campo **Nome del ruolo** con `ExecutionRoleForWellArchitectedAgent`. Si consiglia di utilizzare questo nome predefinito. 1. (Facoltativo) Per esaminare la policy di attendibilità e la policy di autorizzazione che verranno applicate dalla console, scegli **Visualizza policy di attendibilità**. 1. Scegliere **Crea ruolo**. 1. Determina se abilitare o disabilitare la protezione dalla terminazione. Si consiglia di abilitare questa funzionalità per evitare l'eliminazione accidentale del profilo. Se non vuoi abilitare AWS Cost Explorer, scegli **Inizia** per completare la creazione del tuo profilo. Dopo aver creato il profilo, completa la configurazione rimanente. Per abilitare l'individuazione tra più account, è necessario creare ruoli di accesso negli account dei carichi di lavoro, come descritto in [Fase 6: crea ruoli di accesso nei tuoi account di carico di lavoro](#agent-access-roles). Se desideri abilitare Cost Explorer, vai a [(Facoltativo) Fase 4: Abilitare AWS Cost Explorer](#agent-cost-explorer) prima di terminare la creazione del profilo. ## (Facoltativo) Fase 4: Abilitare AWS Cost Explorer **Nota** L'abilitazione di AWS Cost Explorer è un'operazione facoltativa per migliorare la specificità dei dati sui costi. Cost Explorer è abilitato a livello Account AWS, non per profilo Agente AWS WA. Se abiliti Cost Explorer nell'account di gestione dell'organizzazione, viene concesso l'accesso anche a tutti gli account membri. Dopo aver abilitato Cost Explorer, non può essere disabilitato, sebbene le preferenze facoltative relative ai dati granulari (dati a livello di risorsa) possano essere modificate in qualsiasi momento. Per utilizzare dati e risorse sui costi accurati e in tempo reale provenienti dai tuoi account, puoi abilitare AWS Cost Explorer. Grazie a Cost Explorer e ai [dati orari e a livello di risorsa con granularità giornaliera](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-resource-daily.html), entrambi abilitati, Agente AWS WA può fornire suggerimenti e ottimizzazioni con i dati esatti sui costi. Senza Cost Explorer abilitato, Agente AWS WA stima i costi sulla base delle tariffe pubbliche di AWS. L'utilizzo della console Cost Explorer è gratuito. Si applicano costi per le richieste API Cost Explorer e per le preferenze relative ai dati granulari a livello di risorsa. L'attribuzione dei costi a livello di risorsa nei suggerimenti Agente AWS WA richiede le preferenze relative ai dati granulari. Per stimare questi costi, consulta la [pagina dei prezzi di AWS Cost Explorer](https://aws.amazon.com/aws-cost-management/aws-cost-explorer/pricing/). Per iniziare a utilizzare Cost Explorer nel tuo profilo Agente AWS WA, scegli **Apri Cost Explorer**, quindi configura Cost Explorer per il tuo Account AWS. Per ulteriori dettagli, consulta [Guida introduttiva a Cost Explorer](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-getting-started.html). Dopo aver abilitato Cost Explorer, possono essere necessarie fino a 24 ore prima che i dati siano disponibili e la propagazione Agente AWS WA dei dati a livello di risorsa con granularità giornaliera può richiedere fino a 48 ore. ## Fase 5: aggiunta di contesto dell'applicazione Dopo aver creato il profilo, aggiungi il contesto dell'applicazione per aiutare Agente AWS WA a generare suggerimenti più pertinenti. Il contesto dell'applicazione fornisce dettagli sui carichi di lavoro che Agente AWS WA non poò rilevare automaticamente. **Importante** È necessario disporre di almeno un contesto di applicazione definito per profilo affinché Agente AWS WA possa generare suggerimenti pianificati. Senza il contesto dell'applicazione, il profilo viene contrassegnato come non valido e la generazione pianificata dei suggerimenti non viene eseguita. **Aggiungere il contesto dell'applicazione a un profilo** 1. Nel pannello di navigazione a sinistra, scegli **Profili agente**. 1. Nel profilo che hai già creato, scegli **Dettagli del profilo**. 1. Seleziona la scheda **Contesto dell'applicazione**. 1. Scegli **Aggiungi contesto applicazione**. 1. Inserisci i dettagli sul contesto dell'applicazione, tra cui il nome dell'applicazione, la panoramica, gli account nell'applicazione, le Regioni AWS e i tag. Per una panoramica completa sull'aggiunta o l'aggiornamento del contesto dell'applicazione, consulta [Aggiornamento del contesto dell'applicazione](agent-update-app-context.md). 1. Dopo aver compilato il contesto dell'applicazione, scegli **Aggiungi applicazione**. ## Fase 6: crea ruoli di accesso nei tuoi account di carico di lavoro Dopo aver creato il tuo profilo, crea un ruolo di accesso IAM in ognuno degli Account AWS che hai selezionato per il monitoraggio. I ruoli di accesso consentono a Agente AWS WA di individuare e analizzare le risorse in tali account. Al termine della creazione del profilo, la pagina di creazione del profilo mostra un prompt **Azione richiesta** che indica che gli account selezionati necessitano ancora di un ruolo di accesso. La creazione di questi ruoli è un'attività separata che viene eseguita manualmente nella console IAM. La console non crea i ruoli per te e non apre automaticamente la console IAM. Agente AWS WA non monitora o analizza un account finché non esiste il ruolo di accesso di quell'account. Il nome del ruolo deve corrispondere al **nome del ruolo di accesso comune** immesso durante la creazione del profilo. Il nome consigliato è `AccessRoleForWellArchitectedAgent`. La policy di autorizzazione del ruolo di esecuzione concede a `sts:AssumeRole` i ruoli di accesso e la policy di attendibilità di ciascun ruolo di accesso consente al ruolo di esecuzione di assumerlo. Usa lo stesso nome di ruolo in ogni account di carico di lavoro. Utilizza il seguente modello di policy di attendibilità per i tuoi ruoli di accesso. {{ProfileOwningAccountID}} è l'account in cui hai creato il profilo dell'agente. {{ExecutionRolename}} è il nome del ruolo di esecuzione nel profilo dell'agente. Per impostazione predefinita, di solito è `ExecutionRoleForWellArchitectedAgent`. ``` { "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::{{ProfileOwningAccountId}}:role/service-role/{{ExecutionRoleName}}" }, "Action": "sts:AssumeRole" } ] } ``` **Importante** Il formato ARN del ruolo di esecuzione dipende da come è stato creato il ruolo: Se hai utilizzato il pulsante **Crea nuovo ruolo** in [Fase 3: configurazione delle autorizzazioni e delle integrazioni](#agent-permissions-integrations), la console inserisce il ruolo nel percorso `service-role/`: `arn:aws:iam::{{111122223333}}:role/service-role/ExecutionRoleForWellArchitectedAgent` Se in precedenza hai creato il ruolo di esecuzione manualmente in IAM e lo hai selezionato durante la creazione del profilo, usa l'ARN senza il prefisso `service-role/`: `arn:aws:iam::{{111122223333}}:role/ExecutionRoleForWellArchitectedAgent` **Creare un ruolo di accesso** 1. Apri la console IAM nell'account del carico di lavoro. 1. Nel pannello di navigazione a sinistra, scegli **Ruoli**, quindi **Crea ruolo**. 1. Per **Trusted entity type** (Tipo di entità attendibile), scegli **Custom trust policy** (Policy di attendibilità personalizzata). 1. Incolla la policy di attendibilità mostrata nel modello precedente e sostituisci le informazioni richieste. 1. Scegliere **Successivo**. Nella pagina **Aggiungi autorizzazioni**, cerca e collega la [policy gestita `WellArchitectedAgentResourceScanning`](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/WellArchitectedAgentResourceScanning.html). Tale approccio fornisce accesso in sola lettura ai metadati e alla configurazione delle risorse. 1. Scegliere **Successivo**. Inserisci il nome del ruolo (deve corrispondere al **nome del ruolo di accesso comune** utilizzato per la creazione del profilo, è consigliato `AccessRoleForWellArchitectedAgent`) e scegli **Crea ruolo**. Usa lo stesso nome di ruolo in ogni account di carico di lavoro. **Nota** Se hai già creato ruoli di accesso con una policy di attendibilità più ampia, modifica la scheda **Relazioni di attendibilità** di ciascun ruolo per utilizzare la policy di attendibilità mostrata nel modello precedente. Ripeti questa procedura in ogni account di carico di lavoro che desideri venga analizzato da Agente AWS WA. Per ulteriori informazioni sul modello di accesso Agente AWS WA, consulta [Modello di accesso Agente AWS Well-Architected](security-iam-agent.md). ## Fasi successive Dopo aver completato la configurazione del profilo, puoi: + Visualizzre i tuoi suggerimenti personalizzati nel pannello di controllo Agente AWS WA ([Raccomandazioni](agent-rec-management.md)). I suggerimenti pianificati in genere diventano disponibili entro 24 ore dal completamento della configurazione del profilo. + Effettua una revisione dell'architettura caricando i tuoi file IaC ([Esecuzione di revisioni dell'architettura](agent-architecture-reviews.md)). + Gestisci le impostazioni del tuo profilo in qualsiasi momento ([Profili degli agenti](agent-manage-profiles.md)).