Azure
Gérer les ressources Azure avec la CLI Azure (az), gouvernée au niveau du réseau
Vendor ID: azure · Catégories : outils
Les agents pilotent directement la CLI Azure (az). L'extension n'a aucun outil écrit à la main : la surface, c'est az lui-même. Le harnais gouverne chaque requête au niveau du réseau : lecture par défaut, écriture sur un niveau accordé par un administrateur, suppression uniquement avec l'approbation d'une personne.
Temporairement indisponible. L'image az n'est pas livrée dans les versions actuelles. Toutes les images publiées de la CLI Azure embarquent des dépendances présentant des vulnérabilités de gravité élevée connues, sans correctif compatible pour l'instant, et une version ne livre aucune image qui échoue à son contrôle de vulnérabilités. Tant que Microsoft ne publie pas de version corrigée, un appel à az échoue. Les connexions et les réglages sont conservés.
Disponibilité. az a besoin d'un jeton distinct pour chaque API Azure qu'il appelle (Resource Manager et Microsoft Graph). La plateforme émet chacun d'eux pour le principal de service connecté et ne l'ajoute qu'aux requêtes destinées à cette API. Le secret n'entre jamais dans le bac à sable. L'extension fournit une seule boîte à outils, Azure, qui porte az. Activez-la et connectez un principal de service : az apparaît alors comme un outil à ajouter à un bloc Agent. Ce n'est pas un bloc autonome du canevas.
Configuration
L'extension se connecte en tant que principal de service Entra, jamais en tant que personne.
- Allez dans Azure Portal → Microsoft Entra ID → App registrations → New registration.
- Sous Certificates & secrets, créez un secret client.
- Sur l'abonnement (ou le groupe de ressources) que les agents doivent gérer, ouvrez Access control (IAM) et attribuez à l'application le rôle le plus restreint qui fonctionne. Commencez par Reader.
- Copiez le Directory (tenant) ID, l'Application (client) ID et la valeur du secret dans le formulaire de connexion.
Le rôle attribué est la vraie limite de ce que les agents peuvent toucher. Les niveaux de la plateforme le restreignent davantage, sans jamais l'élargir.
Authentification
| Identifiant | Remarques |
|---|---|
oauth (principal de service Azure) | Connecté avec le flux OAuth client-credentials. Une connexion ne compte comme principal de service que si elle a été établie ainsi. |
Ce que les agents peuvent faire
- Lire tout ce que le principal de service peut lire. C'est le comportement par défaut de chaque appel.
- Écrire (créer, modifier, démarrer, arrêter) uniquement quand un administrateur accorde le niveau
writeà l'identifiant de l'espace de travail et que le bloc agent autorise l'écriture. - Supprimer uniquement après qu'une personne a approuvé la requête exacte depuis une étape Agent. Une exécution sans surveillance ne peut pas supprimer.
Voir Ce que contrôlent les administrateurs.
Hors périmètre en v1.0.0
- Services du plan de données : Storage, Key Vault et Container Registry. Leurs hôtes (
*.core.windows.net,*.vault.azure.net,*.azurecr.io) sont partagés par tous les clients Azure, et l'accès au stockage peut voyager dans l'URL sous forme de jeton SAS, que le harnais ne peut pas gouverner.azn'atteint quemanagement.azure.cometgraph.microsoft.com, plus l'hôte de connexion, auquel le harnais répond lui-même, etazcliprod.blob.core.windows.net, oùazvérifie s'il existe une version plus récente. Aucun identifiant n'est jamais envoyé à ce dernier hôte. - Extensions
az: leur installation à l'exécution est désactivée.
Dépannage
| Code | Signification | Que faire |
|---|---|---|
IDENTITY_NOT_CONFIGURED | La connexion n'est pas un principal de service client-credentials, ou sa configuration ne nomme aucun tenant (ou seulement common). | Reconnectez avec le flux client-credentials et votre ID de tenant. |
CLI_REQUEST_TIER_DENIED | az a fait une requête d'écriture ou de suppression et le niveau de cet appel est read. | Accordez write sur l'identifiant de l'espace de travail et autorisez l'écriture dans le bloc agent. |
CLI_CONFIRMATION_REQUIRED | az a fait une requête de suppression. | Exécutez-la depuis une étape Agent, où une personne approuve cette requête exacte. |
CLI_TIMEOUT_OUTCOME_UNKNOWN | az a atteint son délai. Azure a peut-être déjà accepté la requête. | Vérifiez la ressource avec une commande en lecture seule avant de réessayer. Lancez les opérations longues avec --no-wait. |
CLI_BOOTSTRAP_FAILED | az login a échoué, la commande de l'agent n'a donc jamais été exécutée. | Vérifiez le tenant ID et le client ID de la connexion. |
Voir Extensions CLI pour le fonctionnement du harnais.