Policy Controller の指標を使用する
このページでは、指標を使用して Policy Controller をモニタリングする方法について説明します。
Policy Controller には、ポリシーの使用状況に関連する複数の指標が用意されています。たとえば、制約と制約テンプレートの数、検出された監査違反の数を記録する指標があります。これらの指標を作成して記録するために、Policy Controller は OpenTelemetry を使用します。これらの指標を Prometheus または Cloud Monitoring にエクスポートするように Policy Controller を構成できます。指標のデフォルトのエクスポート設定では、Prometheus と Cloud Monitoring の両方に指標がエクスポートされます。
指標のエクスポートを構成する
Policy Controller の指標のエクスポート方法を構成できます。Policy Controller のインストール時に、Prometheus、Cloud Monitoring、両方、またはどちらも使わないことを選択できます。デフォルトでは、Policy Controller は Prometheus と Cloud Monitoring の両方に指標をエクスポートしようとします。
Cloud Monitoring に指標をエクスポートする
デフォルトのサービス アカウントがある Google Cloud 環境内で Policy Controller が実行されている場合、Policy Controller は、指標を Cloud Monitoring に自動的にエクスポートします。
GKE Workload Identity またはフリートの Workload Identity が有効になっている場合は、次のコマンドを実行して Policy Controller に指標の送信を許可します。
gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:PROJECT_ID.svc.id.goog[gatekeeper-system/gatekeeper-admin]" \
--role=roles/monitoring.metricWriter
PROJECT_ID をクラスタの Google Cloud プロジェクト ID に置き換えます。
これらの指標を表示する例については、Cloud Monitoring で OpenCensus の指標を読み取るをご覧ください。
Prometheus に指標をエクスポートする
Policy Controller は、gatekeeper-system Namespace にある gatekeeper-controller-manager-* Pod のポート 8888 で Prometheus の指標をエクスポートします。
Google Cloud Managed Service for Prometheus が構成されたクラスタ上で Policy Controller が実行されている場合、これらの指標は自動的に収集され、Cloud Monitoring に保存されます。これは、Policy Controller のインストール後に Google Cloud Managed Service for Prometheus を有効にするクラスタでも機能します。ポリシーによっては、Google Cloud Managed Service for Prometheus が使用するデフォルトの Compute Engine サービス アカウントに追加の権限を付与する必要がある場合もあります。Google Cloud Managed Service for Prometheus に対する権限の付与については、マネージド コレクションを有効にする: GKE をご覧ください。Google Cloud Managed Service for Prometheus の構成の詳細については、マネージド コレクションを使ってみるをご覧ください。
Policy Controller は GKE Enterprise で使用できるため、Google Cloud Observability に追加料金はかかりません（Google Cloud Managed Service for Prometheus を含む）。GKE Enterprise ライセンスが要求される前に Policy Controller がインストールされ、Google Cloud Managed Service for Prometheus を有効にしている場合は、収集した指標に対する課金が表示されることがあります。Cloud Monitoring の料金の詳細については、Google Cloud Managed Service for Prometheus の料金をご覧ください。
Google Cloud Managed Service for Prometheus ソリューションを使用して指標を表示する方法の例については、Cloud Monitoring を使用したクエリをご覧ください。
指標を表示する
Policy Controller の指標は、Cloud Monitoring プロジェクトに Prometheus 形式でエクスポートされます。その結果、Cloud Monitoring API と Google Cloud コンソールのダッシュボードを使用して指標をクエリできます。このダッシュボードを編集して、ビジネスと運用のニーズを満たすことができます。
Cloud Monitoring API にクエリを実行するには、Prometheus Query Language（PromQL）（Kubernetes 指標のクエリ言語）または Monitoring Query Language（MQL）（Google 独自の指標クエリ言語）を使用します。
Policy Controller ダッシュボードを作成するには:
Google Cloud コンソールで [ダッシュボード] ページに移動します。
[ダッシュボードの概要] ページで、[サンプル ライブラリ] タブをクリックします。このタブには、インポート可能なすべてのダッシュボードが表示されます。
[カテゴリ] 列で、[Anthos Config Management] を選択します。
[Anthos Config Management サンプル] テーブルで、[Policy Controller] チェックボックスをオンにします。
[download インポート] をクリックします。
ダッシュボードを作成するには、確認ウィンドウで [確認] をクリックします。
Policy Controller ダッシュボードを表示して編集するには:
- [ダッシュボードの概要] ページで、[ダッシュボード リスト] タブを選択します。
- Policy Controller ダッシュボードを選択します。
- ダッシュボードをカスタマイズするには、[ダッシュボードを編集] をクリックします。
- 必要な変更を行い、[保存] をクリックします。ダッシュボードのカスタマイズの詳細については、Cloud Monitoring ドキュメントのダッシュボードをフィルタするをご覧ください。
アラートを作成する
指標が特定のしきい値に達したときに通知を受け取るには、Cloud Monitoring でアラート ポリシーを作成します。
サードパーティとの統合
Cloud Monitoring API を使用すると、サードパーティのオブザーバビリティ ツールで Policy Controller の指標を取り込むことができます。
たとえば、Grafana ダッシュボードを使用している場合は、Cloud Monitoring API を Grafana のデータソースとして追加します。詳細については、Grafana ドキュメントの Google Cloud Monitoring をご覧ください。
利用可能な指標
クラスタで Policy Controller が有効になっており、Cloud Monitoring にエクスポートするように構成されている場合は、次の指標（すべて OpenCensus/ の接頭辞付き）をクエリできます。
| Name | タイプ | ラベル | 説明 |
|---|---|---|---|
OpenCensus/audit_duration_seconds |
累積 | 監査サイクル期間の分布 | |
OpenCensus/audit_last_run_time |
ゲージ | 最後の監査ランタイム以降のエポック タイムスタンプ（浮動小数点数で秒単位で指定） | |
OpenCensus/constraint_template_ingestion_count |
累積 | ステータス | 制約テンプレートの取り込みアクションの総数 |
OpenCensus/constraint_template_ingestion_duration_seconds |
累積 | ステータス | 制約テンプレートの取り込み時間の分布 |
OpenCensus/constraint_templates |
ゲージ | ステータス | 現在の制約テンプレート数 |
OpenCensus/validation_request_count |
カウンター | admission_status | API サーバーからのアドミッション リクエスト数 |
OpenCensus/validation_request_duration_seconds |
累積 | admission_status | アドミッション リクエスト期間の分布 |
OpenCensus/violations |
ゲージ | enforcement_action | 最後の監査サイクルで検出された監査違反の数 |
OpenCensus/watch_manager_intended_watch_gvk |
ゲージ | 監視対象の一意の GroupVersionKinds Policy Controller の数。この指標は、同期されたリソースと制約の組み合わせです。 | |
OpenCensus/watch_manager_watched_gvk |
ゲージ | 実際に監視している一意の GroupVersionKinds Policy Controller の数。この指標は、OpenCensus/watch_manager_intended_watch_gvk と等しくなるように収束することになっています。 |
Policy Controller が Prometheus にエクスポートするように構成されている場合は、次の指標（すべて Prometheus/ の接頭辞付き）をクエリできます。
| Name | タイプ | ラベル | 説明 |
|---|---|---|---|
Prometheus/gatekeeper_audit_duration_seconds/histogram |
累積 | 監査サイクル期間の分布 | |
Prometheus/gatekeeper_audit_last_run_end_time/gauge |
ゲージ | 最後の監査実行の終了時のエポック タイムスタンプ（浮動小数点数で秒単位で指定） | |
Prometheus/gatekeeper_audit_last_run_time/gauge |
ゲージ | 最後の監査実行が開始するエポック タイムスタンプ（浮動小数点数で秒単位で指定） | |
Prometheus/gatekeeper_constraint_template_ingestion_count/counter |
累積 | ステータス | 制約テンプレートの取り込みアクションの総数 |
Prometheus/gatekeeper_constraint_template_ingestion_duration_seconds/histogram |
累積 | ステータス | 制約テンプレートの取り込み時間の分布 |
Prometheus/gatekeeper_constraint_templates/gauge |
ゲージ | ステータス | 現在の制約テンプレート数 |
Prometheus/gatekeeper_validation_request_count/counter |
累積 | admission_status、admission_dryrun | API サーバーからのアドミッション リクエスト数 |
Prometheus/gatekeeper_validation_request_duration_seconds/histogram |
累積 | admission_status | アドミッション リクエスト期間の分布 |
Prometheus/gatekeeper_violations/gauge |
ゲージ | enforcement_action | 最後の監査サイクルで検出された監査違反の数 |
Prometheus/gatekeeper_watch_manager_intended_watch_gvk/gauge |
ゲージ | 監視対象の一意の GroupVersionKinds Policy Controller の数。この指標は、同期されたリソースと制約の組み合わせです。 | |
Prometheus/gatekeeper_watch_manager_watched_gvk/gauge |
ゲージ | 実際に監視している一意の GroupVersionKinds Policy Controller の数。この指標は、Prometheus/gatekeeper_watch_manager_intended_watch_gvk/gauge と等しくなるように収束することになっています。 |