CloudWatchアラームからLambdaなしでAWS DevOps Agentの調査を起動し、コードの改善案まで出せるか試してみた

// 重複した注文を取り除く
function dedupeOrders(orders) {
  const unique = [];
  for (const order of orders) {
    if (!unique.some((o) => o.orderId === order.orderId)) {
      unique.push(order);
    }
  }
  return unique;
}

// 注文 ID から種別を取り出す
function classifyOrders(orders) {
  return orders.map((order) => {
    const pattern = new RegExp('^(\\d{10})_(\\d+)_([A-Za-z]+)$');
    const match = pattern.exec(order.orderId);
    return { ...order, category: match ? match[3] : 'unknown' };
  });
}

log({
  msg: 'batch processed',
  batchSize,
  uniqueCount: classified.length,
  durationMs: t3 - started,
  stepMs: { generateOrders: t1 - started, dedupeOrders: t2 - t1, classifyOrders: t3 - t2 },
});

const agentSpaceArnPattern = `arn:aws:aidevops:${this.region}:${this.account}:agentspace/*`;

const agentRole = new iam.Role(this, 'AgentSpaceRole', {
  assumedBy: new iam.ServicePrincipal('aidevops.amazonaws.com', {
    conditions: {
      StringEquals: { 'aws:SourceAccount': this.account },
      ArnLike: { 'aws:SourceArn': agentSpaceArnPattern },
    },
  }),
  managedPolicies: [iam.ManagedPolicy.fromAwsManagedPolicyName('AIDevOpsAgentAccessPolicy')],
});

const operatorRole = new iam.Role(this, 'OperatorAppRole', {
  assumedBy: new iam.ServicePrincipal('aidevops.amazonaws.com', {
    conditions: {
      StringEquals: { 'aws:SourceAccount': this.account },
      ArnLike: { 'aws:SourceArn': agentSpaceArnPattern },
    },
  }).withSessionTags(),
  managedPolicies: [iam.ManagedPolicy.fromAwsManagedPolicyName('AIDevOpsOperatorAppAccessPolicy')],
});

const agentSpace = new devopsagent.CfnAgentSpace(this, 'AgentSpace', {
  name: 'cpu-demo-space',
  locale: 'ja',
  operatorApp: { iam: { operatorAppRoleArn: operatorRole.roleArn } },
});

new devopsagent.CfnAssociation(this, 'AwsMonitorAssociation', {
  agentSpaceId: agentSpace.attrAgentSpaceId,
  serviceId: 'aws',
  configuration: {
    aws: { accountId: this.account, accountType: 'monitor', assumableRoleArn: agentRole.roleArn },
  },
});

new devopsagent.CfnAssociation(this, 'GitHubAssociation', {
  agentSpaceId: agentSpace.attrAgentSpaceId,
  serviceId: '<GitHub 登録時に発行された ID>',
  configuration: {
    gitHub: {
      owner: '<GitHub のユーザー名>',
      ownerType: 'user',
      repoName: '<リポジトリ名>',
      repoId: '<リポジトリの数値 ID>',
    },
  },
});

gh api repos/<ユーザー名>/<リポジトリ名> --jq '{id, private}'

{"id":<リポジトリの数値 ID>,"private":true}

const cpuAlarm = new cloudwatch.Alarm(this, 'WorkerCpuHighAlarm', {
  alarmName: 'devops-agent-cpu-demo-worker-cpu-high',
  metric: service.metricCpuUtilization({ period: cdk.Duration.minutes(1) }),
  threshold: 70,
  evaluationPeriods: 3,
  datapointsToAlarm: 3,
  comparisonOperator: cloudwatch.ComparisonOperator.GREATER_THAN_THRESHOLD,
  treatMissingData: cloudwatch.TreatMissingData.NOT_BREACHING,
});

// 接続: Webhook を呼ぶときの認証情報を持つ
// Secrets Manager に保存した「Bearer <トークン>」を、Authorization ヘッダの値として付ける
const connection = new events.Connection(this, 'DevOpsAgentWebhookConnection', {
  authorization: events.Authorization.apiKey(
    'Authorization', // ヘッダ名
    cdk.SecretValue.secretsManager('devops-agent-cpu-demo/webhook-token'), // ヘッダの値
  ),
});

// API 送信先: 呼び出す先の URL と HTTP メソッド
const destination = new events.ApiDestination(this, 'DevOpsAgentWebhookDestination', {
  connection,
  endpoint: '<Webhook の URL>',
  httpMethod: events.HttpMethod.POST,
  rateLimitPerSecond: 1, // 1 秒あたりの呼び出し回数の上限
});

new events.Rule(this, 'CpuAlarmToDevOpsAgentRule', {
  // 拾うイベント: 対象のアラームが ALARM に変わったときだけ
  eventPattern: {
    source: ['aws.cloudwatch'],
    detailType: ['CloudWatch Alarm State Change'],
    detail: { alarmName: [cpuAlarm.alarmName], state: { value: ['ALARM'] } },
  },
  targets: [
    new targets.ApiDestination(destination, {
      // ここが入力トランスフォーマーになる
      // EventField の部分は、送るときにアラームのイベントの値に置き換わる
      event: events.RuleTargetInput.fromObject({
        eventType: 'incident', // Webhook の決まりで固定値
        incidentId: events.EventField.eventId, // イベントの id。アラームごとに一意になる
        action: 'created',
        priority: 'MEDIUM',
        title: `CPU 使用率の上昇: ${events.EventField.fromPath('$.detail.alarmName')}`, // アラーム名
        // エージェントへの指示はここに書く（届くのは title、description、priority とインシデントの参照だけ）
        description:
          `ECS サービス ${service.serviceName} の CPU 使用率がしきい値を超えました。` + // サービス名はデプロイ時に決まる
          `アラーム理由: ${events.EventField.fromPath('$.detail.state.reason')}。` + // ALARM になった理由の文
          'CloudWatch Logs のワーカーログと GitHub リポジトリのソースコードを突き合わせ、' +
          'CPU を消費している関数とコード箇所を特定してください。そのうえで、具体的なリファクタリング案（修正後のコード例を含む）を提示してください。',
        timestamp: events.EventField.time, // イベントの発生時刻
        service: 'devops-agent-cpu-demo',
      }),
    }),
  ],
});

# Secrets Manager から「Bearer <トークン>」を読む
AUTH=$(aws secretsmanager get-secret-value \
  --region ap-northeast-1 \
  --secret-id devops-agent-cpu-demo/webhook-token \
  --query SecretString --output text)

# incidentId は送るたびに変える（同じ値は重複として捨てられる）
curl -X POST "<Webhook の URL>" \
  -H "Content-Type: application/json" \
  -H "Authorization: $AUTH" \
  -w "\nHTTP %{http_code}\n" \
  -d '{
    "eventType": "incident",
    "incidentId": "curl-test-001",
    "action": "created",
    "priority": "LOW",
    "title": "Webhook 疎通テスト",
    "description": "Webhook の疎通確認です。",
    "service": "devops-agent-cpu-demo"
  }'

{"message": "Webhook received"}
HTTP 200

function dedupeOrders(orders) {
  const seen = new Set();
  const unique = [];
  for (const order of orders) {
    if (!seen.has(order.orderId)) {
      seen.add(order.orderId);
      unique.push(order);
    }
  }
  return unique;
}