AWS Well-Architected Agent はプレビューリリースにあり、変更される可能性があります。

# AWS Well-Architected Agent の開始方法
<a name="agent-getting-started"></a>

AWS Well-Architected Agent を使用するには、インフラストラクチャ分析の範囲を定義するエージェントプロファイルを作成します。エージェントプロファイルの作成はオンボーディングステップです。推奨事項を表示する、アーキテクチャレビューを実行する、またはその他の AWS WA Agent の機能を使用するには、プロファイルが必要です。

**ヒント**  
AWS Trusted Advisor からのベースラインの推奨事項は、プロファイルを作成しなくても利用できます。クロスピラートレードオフ分析を使用し、目標に合わせてパーソナライズされた推奨事項を受け取るには、以下のセットアップステップを完了します。

セットアッププロセスでは、次の 2 つの AWS のサービスを使用します。
+ **AWS Well-Architected** (Well-Architected コンソール): エージェントプロファイルを作成し、アカウント、柱、目標、およびアプリケーションコンテキストを設定します。
+ **IAM**: ワークロードアカウントでアクセスロールを作成し、信頼ポリシーを更新してクロスアカウントアクセスを確立します。

このページでは、コンソールベースのセットアップについて説明します。代わりに AWS CLI を使用して AWS WA Agent をセットアップする方法については、「[API クイックスタート](agent-api-quickstart.md)」を参照してください。

 プロファイルが作成され、適切に設定されると、AWS WA Agent はスケジュールされた推奨事項の生成を 24 時間以内に開始します。スケジュールされた推奨事項と推奨事項タイプの詳細については、「[推奨事項](agent-rec-management.md)」を参照してください。

## 前提条件
<a name="agent-prerequisites"></a>
+ Business\+ 階層以上 (Business\+、Enterprise On-Ramp、Enterprise Support、または Unified Operations) にアクティブな AWS サポート プランがある。Developer および Business 階層のお客様は、AWS WA Agent をご利用いただけません。階層固有の使用権限については、「[AWS Well-Architected Agent クォータと制限](agent-quotas.md)」を参照してください。
+ **(オプション)** 正確なコストデータのためにアカウントで AWS Cost Explorer を有効にしている。Cost Explorer を AWS WA Agent に対して完全に有効にするには、2 つの異なる機能をチェックする必要があります。
  +  主要な AWS Cost Explorer のサービスを有効にします。
  +  Cost Explorer サイドバーの **[コスト管理設定]** の **[詳細なデータ]** で、**[日単位の詳細度のリソースレベルのデータ]** チェックボックスをオンにします。
**注記**  
 Cost Explorer を有効にしない場合、AWS WA Agent は AWS の一般提供料金からコストを見積もります。
+ IAM ロール (`iam:CreateRole`、`iam:AttachRolePolicy`、`iam:PassRole`) や AWS WA Agent アクション (`wellarchitected:CreateAgentProfile`) を作成するアクセス許可など、AWS WA Agent プロファイルの作成に必要な IAM アクセス許可がある。AWS WA Agent アクセスモデルの詳細については、「[AWS Well-Architected Agent アクセスモデル](security-iam-agent.md)」を参照してください。
+ AWS WA Agent で分析する AWS アカウント ID (最大 100 アカウント) を特定した。
+ ビジネス目標を定義し、重視する最適化の柱を選択した。

## ステップ 1: エージェントプロファイルを作成する
<a name="agent-create-profile"></a>

AWS WA Agent コンソールからエージェントプロファイルを作成します。プロファイルの作成中に、実行ロールを作成するか、既存のロールを選択できます。

**エージェントプロファイルを作成するには**

1. AWS マネジメントコンソール を開き、AWS Well-Architected に移動します。

1. AWS WA Agent コンソールを開きます。

1. 左側のナビゲーションで **[エージェントプロファイル]** を選択します。

1. 右上隅にある **[プロファイルを追加]** を選択します。

1. プロファイル名を 3～128 文字で入力します。文字、数字、ハイフン (-)、およびアンダースコア (\_) のみを使用してください。例えば、`product-backend-team`。

1. プロファイルの説明を入力します。

1. **[アカウントとリージョンを選択]** で、モニタリングおよび分析する AWS リージョンを選択します。

1. **[モニタリングするアカウント]** で、アカウント ID をカンマで区切って入力します (最大 100 アカウント)。

1.  次に、**[共通アクセスロール名]** で、プロファイルのすべてのアカウントで使用するアクセスロール名を入力します。推奨される名前は `AccessRoleForWellArchitectedAgent` です。
**注記**  
 独自のアクセスロール名を作成するか、推奨されるアクセスロール名を使用するかにかかわらず、プロファイルのすべてのアカウントで正確に同じアクセスロール名を使用する必要があります。これは、コンソールのオンボーディングエクスペリエンスにのみ適用されます。

## ステップ 2: 目標と最適化の柱を追加する
<a name="agent-goals-pillars"></a>

プロファイルの作成時に、**[最適化の柱]** で以下を設定します。
+ **最適化の柱:** AWS WA Agent で分析する柱 (コストの最適化、セキュリティ、耐障害性、またはパフォーマンス) を少なくとも 1 つ選択します。
+ **目標ステートメント:** 少なくとも 1 つの目標ステートメントをプレーンテキストで入力します。各プロファイルでは、AWS WA Agent が優先推奨事項を生成するために、少なくとも 1 つの目標が必要です。目標は作成後いつでも編集できます。効果的な目標の作成に関するガイダンスについては、「[AWS Well-Architected Agent での目標とパーソナライゼーション](agent-goals.md)」を参照してください。

## ステップ 3: アクセス許可と統合を設定する
<a name="agent-permissions-integrations"></a>

柱を設定した後、**[アクセス許可と統合]** で、既存の実行ロールを選択するか、新しい実行ロールを作成できます。

実行ロールは、リソース検出をオーケストレーションするために AWS WA Agent が引き受けるプロファイルアカウントの IAM ロールです。実行ロールは、ワークロードアカウントのアクセスロールに連鎖します。**[新しいロールを作成]** を選択すると、コンソールによって自動的に IAM 実行ロールが作成され、必要な信頼ポリシーとアクセス許可ポリシーが適用されます。IAM コンソールに個別に移動する必要はありません。

**新しい実行ロールを作成するには**

1. [**Create new role (新しいロールの選択)**] を選択します。

1. コンソールでは、**[ロール名]** フィールドに `ExecutionRoleForWellArchitectedAgent` が事前入力されます。このデフォルト名を使用することをお勧めします。

1. (オプション) コンソールで適用される信頼ポリシーとアクセス許可ポリシーを確認するには、**[信頼ポリシーを表示]** を選択します。

1. [**ロールの作成**] を選択してください。

1. 削除保護を有効にするか、無効にするかを決定します。誤ってプロファイルを削除しないように、この機能を有効にすることをお勧めします。

AWS Cost Explorer を有効にしない場合は、**[開始方法]** を選択してプロファイルの作成を完了します。プロファイルを作成したら、残りのセットアップを完了します。クロスアカウント検出を有効にするには、「[ステップ 6: ワークロードアカウントでアクセスロールを作成する](#agent-access-roles)」で説明されているように、ワークロードアカウントでアクセスロールを作成する必要があります。

Cost Explorer を有効にする場合は、プロファイルの作成を完了する前に「[(オプション) ステップ 4: AWS Cost Explorer を有効にする](#agent-cost-explorer)」を参照してください。

## (オプション) ステップ 4: AWS Cost Explorer を有効にする
<a name="agent-cost-explorer"></a>

**注記**  
AWS Cost Explorer の有効化は、コストデータの特異性を強化するためのオプションのステップです。Cost Explorer は AWS WA Agent プロファイルごとではなく、AWS アカウント レベルで有効になります。組織の管理アカウントで Cost Explorer を有効にすると、すべてのメンバーアカウントにもアクセス許可が付与されます。  
 Cost Explorer を有効にした後で無効にすることはできませんが、オプションの詳細なデータ設定 (リソースレベルのデータ) はいつでも変更できます。

アカウントからリアルタイムで正確なコストデータとリソースを使用するには、AWS Cost Explorer を有効にします。

 Cost Explorer と時間単位および[リソースレベルのデータを日単位の詳細度](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-resource-daily.html)で有効にすると、AWS WA Agent は正確なコストデータを使用して推奨事項と最適化を提供できます。

Cost Explorer を有効にしない場合、AWS WA Agent は AWS の一般提供料金を基にコストを見積もります。

Cost Explorer コンソールの使用には料金はかかりません。Cost Explorer API リクエストとリソースレベルの詳細なデータ設定には料金がかかります。AWS WA Agent 推奨事項のリソースレベルのコスト属性には、詳細なデータ設定が必要です。これらの料金を見積もる方法については、「[AWS Cost Explorer の料金](https://aws.amazon.com/aws-cost-management/aws-cost-explorer/pricing/)」を参照してください。

AWS WA Agent プロファイルで Cost Explorer の使用を開始するには、**[Cost Explorer を開く]** を選択し、AWS アカウント に対して Cost Explorer を設定します。詳細については、「[Getting started with Cost Explorer](https://docs.aws.amazon.com/cost-management/latest/userguide/ce-getting-started.html)」を参照してください。

 Cost Explorer を有効にすると、データが AWS WA Agent で使用可能になるまでに最大 24 時間かかり、リソースレベルのデータが日単位の詳細度で反映されるまでに最大 48 時間かかる場合があります。

## ステップ 5: アプリケーションコンテキストを追加する
<a name="agent-app-context"></a>

プロファイルを作成したら、アプリケーションコンテキストを追加して、AWS WA Agent がより関連性の高い推奨事項を生成できるようにします。アプリケーションコンテキストは、AWS WA Agent が自動的に検出できないワークロードに関する詳細を提供します。

**重要**  
スケジュールされた推奨事項を生成するには、AWS WA Agent プロファイルごとに少なくとも 1 つのアプリケーションコンテキストが必要です。アプリケーションコンテキストがないと、プロファイルに無効なフラグが付けられ、スケジュールされた推奨事項の生成は実行されません。

**プロファイルにアプリケーションコンテキストを追加するには**

1.  左側のナビゲーションで **[エージェントプロファイル]** を選択します。

1.  既に作成したプロファイルで **[プロファイルの詳細]** を選択します。

1.  **[アプリケーションコンテキスト]** タブを選択します。

1.  **[アプリケーションコンテキストを追加]** を選択します。

1.  アプリケーション名、概要、アプリケーションのアカウント、AWS リージョン、タグなど、アプリケーションコンテキストの詳細を入力します。アプリケーションコンテキストの追加または更新の詳細な概要については、「[アプリケーションコンテキストの更新](agent-update-app-context.md)」を参照してください。

1. アプリケーションコンテキストを入力したら、**[アプリケーションを追加]** を選択します。

## ステップ 6: ワークロードアカウントでアクセスロールを作成する
<a name="agent-access-roles"></a>

プロファイルを作成したら、モニタリング対象として選択した各 AWS アカウントで IAM アクセスロールを作成します。アクセスロールを使用すると、AWS WA Agent はそれらのアカウントのリソースを検出して分析できます。

プロファイルの作成が完了すると、プロファイルの作成ページに、選択したアカウントでまだアクセスロールを必要とすることを示す、**[アクションが必要です]** というプロンプトが表示されます。これらのロールの作成は、IAM コンソールで手動で実行する別のタスクです。コンソールでロールは自動的に作成されず、IAM コンソールは自動的に開かれません。また、アカウントのアクセスロールが作成されるまで、AWS WA Agent はそのアカウントをモニタリングまたは分析しません。

ロール名は、プロファイルの作成時に入力した **[共通アクセスロール名]** と一致する必要があります。推奨される名前は `AccessRoleForWellArchitectedAgent` です。

実行ロールのアクセス許可ポリシーは、アクセスロールで `sts:AssumeRole` を付与し、各アクセスロールの信頼ポリシーは、実行ロールによるその引き受けを許可します。すべてのワークロードアカウントで同じロール名を使用します。

アクセスロールには、次の信頼ポリシーテンプレートを使用します。{{ProfileOwningAccountId}} は、エージェントプロファイルを作成したアカウントです。{{ExecutionRoleName}} は、エージェントプロファイルの実行ロールの名前です。デフォルトでは、これは通常 `ExecutionRoleForWellArchitectedAgent` です。

```
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::{{ProfileOwningAccountId}}:role/service-role/{{ExecutionRoleName}}"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
```

**重要**  
実行ロールの ARN 形式は、ロールの作成方法によって異なります。  
[ステップ 3: アクセス許可と統合を設定する](#agent-permissions-integrations) で **[新しいロールを作成]** ボタンを使用した場合、コンソールは次のように `service-role/` パスの下にロールを配置します: `arn:aws:iam::{{111122223333}}:role/service-role/ExecutionRoleForWellArchitectedAgent`
事前に IAM で実行ロールを手動で作成し、プロファイルの作成時に選択した場合は、次のように `service-role/` プレフィックスなしで ARN を使用します: `arn:aws:iam::{{111122223333}}:role/ExecutionRoleForWellArchitectedAgent`

**アクセスロールを作成するには**

1. ワークロードアカウントで、IAM コンソールを開きます。

1. 左側のナビゲーションペインで **[ロール]** を選択し、**[ロールを作成]** を選択します。

1. **[信頼されたエンティティのタイプ]** で、**[カスタム信頼ポリシー]** を選択します。

1. 前述のテンプレートに示されている信頼ポリシーを貼り付け、必要な情報を置き換えます。

1. [**次へ**] を選択します。**[アクセス許可を追加]** ページで、[`WellArchitectedAgentResourceScanning` マネージドポリシー](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/WellArchitectedAgentResourceScanning.html)を検索してアタッチします。これにより、リソースメタデータと設定への読み取り専用アクセスが許可されます。

1. [**次へ**] を選択します。ロール名を入力し (プロファイル作成時の **[共通アクセスロール名]** と一致する必要があるため、`AccessRoleForWellArchitectedAgent` をお勧めします)、**[ロールを作成]** を選択します。すべてのワークロードアカウントで同じ名前を使用します。

**注記**  
より広範な信頼ポリシーを使用してアクセスロールを作成済みの場合は、各ロールの **[信頼関係]** タブを編集して、前のテンプレートに示した信頼ポリシーを使用します。

AWS WA Agent で分析するワークロードアカウントごとに、この手順を繰り返します。AWS WA Agent アクセスモデルとロールチェーンの詳細については、「[AWS Well-Architected Agent アクセスモデル](security-iam-agent.md)」を参照してください。

## 次のステップ
<a name="agent-next-steps"></a>

プロファイルの設定が完了すると、次の操作を実行できるようになります。
+ パーソナライズされた推奨事項を AWS WA Agent ダッシュボード ([推奨事項](agent-rec-management.md)) で表示する。スケジュールされた推奨事項は、通常、プロファイル設定の完了から 24 時間以内に利用可能になります。
+ IaC ファイル ([アーキテクチャレビューの実施](agent-architecture-reviews.md)) をアップロードしてアーキテクチャレビューを実施する。
+ プロファイル設定をいつでも管理する ([エージェントプロファイル](agent-manage-profiles.md))。