Modos de ejecución en el agente de SRE de Azure

Los modos de ejecución del Agente de SRE de Azure determinan si el agente solicita aprobación antes de realizar acciones o actúa por sí solo. Use modos de ejecución para aplicar flujos de aprobación a las operaciones de infraestructura de Azure, a la vez que permita que otras acciones se lleven a cabo según su plan de respuesta.

Nota:

Los modos de ejecución controlan el flujo de trabajo de aprobación y deciden si el agente debe preguntar antes de actuar. Los permisos controlan el acceso a los recursos y determinan si el agente puede llegar a un recurso. El agente necesita que se cumplan ambas condiciones para actuar.

Revisión y modos de ejecución autónomos

En la tabla siguiente se resumen los dos modos disponibles:

Modo	¿Qué ocurre?	Más adecuado para
Reseña	El agente propone una acción; usted aprueba o deniega	Sistemas de producción, infraestructura crítica
Autónomo	El agente se ejecuta inmediatamente e informa sobre lo que hizo	Entornos de no producción y tareas periódicas de confianza

Modo de revisión

Revisar es el modo predeterminado. El agente investiga, identifica una corrección y solicita su aprobación antes de ejecutar operaciones de infraestructura de Azure (comandos de la CLI de Azure, operaciones de Azure Resource Manager y acciones de escritura similares).

Nota:

El modo de revisión muestra los botones Aprobar y Denegar solo para las operaciones de infraestructura de Azure. Otras acciones, como enviar correos electrónicos, publicar en Teams o consultar orígenes de datos externos, se llevan a cabo en función del razonamiento del agente y de las instrucciones de tu plan de respuesta. Para añadir controles de gobernanza para estas acciones, use Hooks o políticas de acceso a herramientas para aplicar controles de seguridad antes o después de llamadas específicas a herramientas.

En el ejemplo siguiente se muestra lo que ve para las acciones de infraestructura de Azure:

I found that app-service-prod is running slowly due to high memory usage.

Proposed action: Restart App Service 'app-service-prod'
This may cause brief downtime (30-60 seconds).

[Approve] [Deny]

Seleccione Aprobar para ejecutar la acción propuesta o Denegar para detenerla. Solo los administradores del agente de SRE pueden aprobar acciones.

Modo autónomo

En modo autónomo, el agente investiga y ejecuta acciones sin esperar la aprobación. Use este modo cuando confíe en el agente para controlar la situación.

En el ejemplo siguiente se muestra lo que ve en modo autónomo:

I found app-service-staging was running slowly.

Done: I've restarted app-service-staging. Memory usage is now normal.

Configurar modos de ejecución por plan de respuesta o tarea

Establezca los modos de ejecución por plan de respuesta y por tarea programada. Usted no establece los modos de ejecución a nivel de agente.

Tipo de automatización	Modo predeterminado	Options
Plan de respuesta a incidentes	Autónomo	Revisión, Autónomo
Tarea programada	Autónomo	Revisión, Autónomo

Establezca el nivel de autonomía del agente al crear o editar un plan de respuesta o una tarea:

Valor por defecto a nivel de agente

Configuración>Conceptos básicos muestra el modo global del agente. Establezca este modo al crear el agente (el valor predeterminado es Revisar). Actúa como opción predeterminada cuando no se ha configurado un plan por respuesta o un modo por tarea.

Recomendaciones

En la tabla siguiente se proporcionan instrucciones para elegir el modo correcto en función de su escenario:

Escenario	Modo recomendado
Incidentes de producción	Reseña
Incidentes de ensayo/desarrollo	Autónomo
Comprobaciones de estado diarias	Autónomo
Informes de costo y uso	Autónomo
Alertas de seguridad	Reseña

Comience con el modo de revisión. Observe lo que recomienda el agente durante dos a cuatro semanas. Cuando encuentre patrones que apruebe de forma coherente, cambie esos desencadenadores específicos a Autónomo.

Interacción de permisos con los modos de ejecución

El agente se comporta de forma diferente en función de los permisos asignados, el modo de ejecución y el tipo de acción que intenta realizar. En todos los casos, si el agente no tiene los permisos necesarios, solicita acceso temporal a través del flujo OBO de Microsoft Entra.

Acciones de sólo lectura

En la tabla siguiente se detalla cómo se comporta el agente cuando intenta una operación de solo lectura que requiere permisos elevados.

¿El agente tiene permiso?	Modo de ejecución	Comportamiento del agente
Sí	Reseña	Usa sus permisos para realizar la acción.
No	Reseña	Solicita acceso temporal para realizar la acción en nombre del usuario.
Sí	Autónomo	Usa sus permisos para realizar la acción.
No	Autónomo	Solicita acceso temporal para realizar la acción en nombre del usuario.

Acciones de escritura

En la tabla siguiente se explica cómo se comporta el agente cuando intenta realizar una operación de escritura.

¿El agente tiene permiso?	Modo de ejecución	Comportamiento del agente
Sí	Reseña	Solicita el consentimiento para tomar medidas y, a continuación, usa sus permisos para realizar la acción una vez que se concede el consentimiento.
No	Autónomo	Solicita acceso temporal para realizar la acción en nombre del usuario.

Contenido relacionado

Resource	¿Por qué es importante?
Configuración de un plan de respuesta	Crear planes de respuesta y establecer el nivel de autonomía
Tareas programadas	Crea tareas automatizadas recurrentes con selección de modo
Enlaces de agentes	Adición de controles de gobernanza para acciones que no son de Azure
Permisos	Configuración del acceso a recursos Azure para el agente
Roles de usuario	Quién puede aprobar acciones y administrar el agente