Ressourcen mit Cloud Monitoring überwachen
Mit Cloud Monitoring können Sie Vorgänge beobachten, die im Certificate Authority Service für Ressourcen ausgeführt werden.
Hinweise
Richten Sie ein Google Cloud -Projekt ein, für das die Certificate Authority Service API aktiviert ist, falls noch nicht geschehen. Weitere Informationen finden Sie unter Umgebung vorbereiten.
Messwerte in Cloud Monitoring ansehen
Konsole
So rufen Sie mit dem Metrics Explorer die Messwerte für eine überwachte Ressource auf:
-
Rufen Sie in der Google Cloud Console die Seite leaderboard Metrics Explorer auf:
Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Monitoring ist.
- Wählen Sie in der Symbolleiste der Google Cloud Console Ihr Google Cloud -Projekt aus. Wählen Sie für App Hub-Konfigurationen das App Hub-Hostprojekt oder das Verwaltungsprojekt des für Apps aktivierten Ordners aus.
- Maximieren Sie im Element Messwert das Menü Messwert auswählen, geben Sie
Certificate Authority
in die Filterleiste ein und wählen Sie dann über die Untermenüs einen bestimmten Ressourcentyp und Messwert aus:- Wählen Sie im Menü Aktive Ressourcen die Option Zertifizierungsstelle aus.
- Einen Messwert wählen Sie in den Menüs Aktive Messwertkategorien und Aktive Messwerte aus. Eine Liste der Messwerte finden Sie unter PrivateCA-Messwerte.
- Klicken Sie auf Übernehmen.
Verwenden Sie das Element Filter, um Filter hinzuzufügen, mit denen Zeitreihen aus den Abfrageergebnissen entfernt werden.
Verwenden Sie zum Kombinieren von Zeitreihen die Menüs im Element Aggregation. Wenn Sie beispielsweise die CPU-Auslastung für Ihre VMs basierend auf ihrer Zone anzeigen möchten, legen Sie das erste Menü auf Mittelwert und das zweite Menü auf Zone fest.
Alle Zeitreihen werden angezeigt, wenn das erste Menü des Elements Aggregation auf Nicht aggregiert gesetzt ist. Die Standardeinstellungen für das Element Aggregation werden durch den ausgewählten Messwerttyp bestimmt.
- Gehen Sie für Kontingente und andere Messwerte, die eine Stichprobe pro Tag melden, so vor:
- Legen Sie im Bereich Anzeige den Widget-Typ auf Gestapeltes Balkendiagramm fest.
- Legen Sie als Zeitraum mindestens eine Woche fest.
CA Service-Messwerte
Die Liste der Messwerte finden Sie in der Cloud Monitoring-Dokumentation.
Die Dokumentation zu überwachten Ressourcen finden Sie unter Überwachte Ressourcen.
Kontingentbenachrichtigungen und ‑monitoring einrichten
Mit Cloud Monitoring können Sie Benachrichtigungen zur Kontingentnutzung und Monitoring einrichten.
Weitere Informationen zum Einrichten von Benachrichtigungen und zum Erstellen von Diagrammen finden Sie unter Kontingentbenachrichtigungen und ‑monitoring einrichten.
Empfohlene Benachrichtigungen aktivieren
Folgen Sie der Anleitung unten, um empfohlene Benachrichtigungen zu aktivieren.
Konsole
Rufen Sie in der Google Cloud Console die Seite „CA Service Overview“ (CA-Dienstübersicht) auf.
Klicken Sie rechts oben auf der Seite „Übersicht“ auf + 5 empfohlene Benachrichtigungen.
Aktivieren oder deaktivieren Sie die einzelnen Benachrichtigungen und lesen Sie die Beschreibung.
- Für einige Benachrichtigungen können benutzerdefinierte Grenzwerte festgelegt werden. Sie können beispielsweise angeben, wann Sie über ein ablaufendes CA-Zertifikat benachrichtigt werden möchten, oder die Fehlerrate für eine hohe Anzahl von Fehlern beim Erstellen von Zertifikaten.
- Alle Benachrichtigungen unterstützen Benachrichtigungskanäle.
Klicken Sie auf Senden, wenn Sie alle ausgewählten Benachrichtigungen aktiviert haben.
Benachrichtigungsrichtlinie erstellen
Konsole
Sie können Benachrichtigungsrichtlinien erstellen, um Messwerte zu beobachten und sich informieren zu lassen, wenn diese gegen eine Bedingung verstoßen.
-
Rufen Sie in der Google Cloud Console- die Seite Benachrichtigungen auf:notifications
Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Monitoring ist.
- Wenn Sie keine Benachrichtigungskanäle erstellt haben und Benachrichtigungen erhalten möchten, klicken Sie auf Benachrichtigungskanäle bearbeiten und fügen Sie Benachrichtigungskanäle hinzu. Kehren Sie nach dem Hinzufügen der Kanäle zur Seite Benachrichtigungen zurück.
- Klicken Sie auf der Seite Benachrichtigungen auf Richtlinie erstellen.
- Maximieren Sie zum Auswählen des Messwerts das Menü Messwert auswählen und gehen Sie dann so vor:
- Um das Menü auf relevante Einträge zu beschränken, geben Sie in die Filterleiste
Certificate Authority
ein. Wenn nach dem Filtern des Menüs keine Ergebnisse angezeigt werden, deaktivieren Sie die Option Nur aktive Ressourcen und Messwerte anzeigen. - Wählen Sie als Ressourcentyp die Option Zertifizierungsstelle aus.
- Wählen Sie als Messwertkategorie die Option Ca aus.
- Wählen Sie als Messwert einen Messwert aus der Liste der PrivateCA-Messwerte aus.
- Klicken Sie auf Anwenden.
- Um das Menü auf relevante Einträge zu beschränken, geben Sie in die Filterleiste
- Klicken Sie auf Weiter.
- Die Einstellungen auf der Seite Benachrichtigungstrigger konfigurieren bestimmen, wann die Benachrichtigung ausgelöst wird. Wählen Sie einen Bedingungstyp aus und geben Sie ggf. einen Schwellenwert an. Weitere Informationen finden Sie unter Benachrichtigungsrichtlinien mit Messwertschwellen erstellen.
- Klicken Sie auf Weiter.
- Optional: Klicken Sie auf Benachrichtigungskanäle, um Benachrichtigungen zu Ihrer Benachrichtigungsrichtlinie hinzuzufügen. Wählen Sie im Dialogfeld einen oder mehrere Benachrichtigungskanäle aus dem Menü aus und klicken Sie dann auf OK.
- Optional: Aktualisieren Sie die Dauer bis zur automatischen Schließung von Vorfällen. Dieses Feld bestimmt, wann Monitoring Vorfälle ohne Messwertdaten schließt.
- Optional: Klicken Sie auf Dokumentation und geben Sie alle Informationen ein, die in einer Benachrichtigung angezeigt werden sollen.
- Klicken Sie auf Name der Benachrichtigung und geben Sie einen Namen für die Benachrichtigungsrichtlinie ein.
- Klicken Sie auf Richtlinie erstellen.
Pub/Sub-Benachrichtigungskanal erstellen
Ein Benachrichtigungskanal, der Ereignisse in Pub/Sub veröffentlicht, kann anhand dieser Anleitung eingerichtet werden.
Beispiel für Benachrichtigungsrichtlinien
Sie können die folgenden Beispielbenachrichtigungsrichtlinien für häufige Anwendungsfälle für das Monitoring von CA-Diensten verwenden.
Weitere Informationen zu Benachrichtigungsrichtlinien finden Sie in der Dokumentation.
CA läuft in 30 Tagen ab
Mit dieser Benachrichtigungsrichtlinie werden Sie 30 Tage vor dem Ablauf einer verwalteten Zertifizierungsstelle benachrichtigt. Mit dieser Richtlinie werden Benachrichtigungen für alle verwalteten CAs in allen Projekten erstellt, deren Messwerte für das Projekt Google Cloud sichtbar sind, das in der Projektauswahl derGoogle Cloud -Konsole ausgewählt wurde. Informationen zur Messwertsichtbarkeit finden Sie unter Messwertbereich.
Konsole
Sie können Benachrichtigungsrichtlinien erstellen, um Messwerte zu beobachten und sich informieren zu lassen, wenn diese gegen eine Bedingung verstoßen.
-
Rufen Sie in der Google Cloud Console- die Seite Benachrichtigungen auf:notifications
Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Monitoring ist.
- Wenn Sie keine Benachrichtigungskanäle erstellt haben und Benachrichtigungen erhalten möchten, klicken Sie auf Benachrichtigungskanäle bearbeiten und fügen Sie Benachrichtigungskanäle hinzu. Kehren Sie nach dem Hinzufügen der Kanäle zur Seite Benachrichtigungen zurück.
- Klicken Sie auf der Seite Benachrichtigungen auf Richtlinie erstellen.
- Maximieren Sie zum Auswählen des Messwerts das Menü Messwert auswählen und gehen Sie dann so vor:
- Um das Menü auf relevante Einträge zu beschränken, geben Sie in die Filterleiste
Certificate Authority
ein. Wenn nach dem Filtern des Menüs keine Ergebnisse angezeigt werden, deaktivieren Sie die Option Nur aktive Ressourcen und Messwerte anzeigen. - Wählen Sie als Ressourcentyp die Option Zertifizierungsstelle aus.
- Wählen Sie als Messwertkategorie die Option Ca aus.
- Wählen Sie für Messwert die Option ca/cert_expiration aus.
- Klicken Sie auf Anwenden.
- Um das Menü auf relevante Einträge zu beschränken, geben Sie in die Filterleiste
- Klicken Sie auf Weiter.
- Die Einstellungen auf der Seite Benachrichtigungstrigger konfigurieren bestimmen, wann die Benachrichtigung ausgelöst wird.
Legen Sie auf dieser Seite die Einstellungen aus der folgenden Tabelle fest.
Seite Benachrichtigungstrigger konfigurieren
Feld
WertCondition type
Threshold
Alert trigger
Any time series violates
Threshold position
Below threshold
Threshold value
2592000000 ms
Advanced Options: Retest window
No retest
- Klicken Sie auf Weiter.
- Optional: Klicken Sie auf Benachrichtigungskanäle, um Benachrichtigungen zu Ihrer Benachrichtigungsrichtlinie hinzuzufügen. Wählen Sie im Dialogfeld einen oder mehrere Benachrichtigungskanäle aus dem Menü aus und klicken Sie dann auf OK.
- Optional: Aktualisieren Sie die Dauer bis zur automatischen Schließung von Vorfällen. Dieses Feld bestimmt, wann Monitoring Vorfälle ohne Messwertdaten schließt.
- Optional: Klicken Sie auf Dokumentation und geben Sie alle Informationen ein, die in einer Benachrichtigung angezeigt werden sollen.
- Klicken Sie auf Name der Benachrichtigung und geben Sie einen Namen für die Benachrichtigungsrichtlinie ein.
- Klicken Sie auf Richtlinie erstellen.
gcloud
Fügen Sie die folgende Richtlinie in eine Datei mit dem Namen ca-expiration-policy.yaml
ein:
combiner: OR
conditions:
- conditionThreshold:
aggregations:
- alignmentPeriod: 60s
perSeriesAligner: ALIGN_MEAN
comparison: COMPARISON_LT
duration: 0s
filter: metric.type="privateca.googleapis.com/ca/cert_expiration" resource.type="privateca.googleapis.com/CertificateAuthority"
thresholdValue: 2592000.0
trigger:
count: 1
displayName: CA certificate expiration
displayName: CA expiring in 30 days
enabled: true
Erstellen Sie die Benachrichtigungsrichtlinie mit dem folgenden Befehl:
gcloud alpha monitoring policies create --policy-from-file ca-expiration-policy.yaml
Nachdem Sie die Benachrichtigungsrichtlinie erstellt haben, folgen Sie der Anleitung unter Benachrichtigungskanäle verwalten, um bei Bedarf vorhandene Benachrichtigungskanäle zu erstellen oder zu aktualisieren. Wenn Sie einer vorhandenen Benachrichtigungsrichtlinie einen Benachrichtigungskanal hinzufügen möchten, folgen Sie der Anleitung unter Benachrichtigungskanäle in einer Richtlinie aktualisieren.
Hohe Fehlerrate bei der Zertifikatsausstellung
Diese Benachrichtigungsrichtlinie benachrichtigt Sie, wenn das Verhältnis von Fehlern bei der Zertifikatserstellung aufgrund von Richtlinien der Zertifizierungsstelle oder Validierungsfehlern einen Schwellenwert von 0.2
überschreitet. Mit dieser Richtlinie werden Benachrichtigungen für alle verwalteten CAs in allen Projekten erstellt, deren Messwerte für das Projekt Google Cloud sichtbar sind, das in der Projektauswahl derGoogle Cloud -Konsole ausgewählt wurde. Informationen zur Messwertsichtbarkeit finden Sie unter Messwertbereich.
gcloud
Fügen Sie die folgende Richtlinie in eine Datei mit dem Namen cert-create-failure.yaml
ein:
displayName: High rate of certificate creation failures
enabled: true
combiner: OR
conditions:
- conditionThreshold:
filter: metric.type="privateca.googleapis.com/ca/cert/create_failure_count" resource.type="privateca.googleapis.com/CertificateAuthority"
aggregations:
- alignmentPeriod: 300s
crossSeriesReducer: REDUCE_SUM
groupByFields:
- resource.label.resource_container
- resource.label.location
- resource.label.certificate_authority_id
perSeriesAligner: ALIGN_DELTA
denominatorFilter: metric.type="privateca.googleapis.com/ca/cert/create_request_count"
resource.type="privateca.googleapis.com/CertificateAuthority"
denominatorAggregations:
- alignmentPeriod: 300s
perSeriesAligner: ALIGN_DELTA
comparison: COMPARISON_GT
duration: 0s
thresholdValue: 0.2
trigger:
count: 1
displayName: 'Ratio: Certificate creation CA policy error count / Total certificate creation request count'
Erstellen Sie die Benachrichtigungsrichtlinie mit dem folgenden Befehl:
gcloud alpha monitoring policies create --policy-from-file cert-create-failure.yaml
Nachdem Sie die Benachrichtigungsrichtlinie erstellt haben, folgen Sie der Anleitung unter Benachrichtigungskanäle verwalten, um bei Bedarf vorhandene Benachrichtigungskanäle zu erstellen oder zu aktualisieren. Wenn Sie einer vorhandenen Benachrichtigungsrichtlinie einen Benachrichtigungskanal hinzufügen möchten, folgen Sie der Anleitung unter Benachrichtigungskanäle in einer Richtlinie aktualisieren.
Was bewirkt diese Richtlinie?
Diese Richtlinie berechnet das Verhältnis von Fehlern zu Gesamtanfragen. Die Richtlinie löst eine Benachrichtigung aus, wenn das Verhältnis im Ausrichtungszeitraum von 5 Minuten über 20 % liegt (d. h. das Verhältnis größer als 0,2 ist).
Mit dem Filter in der Bedingung wird die Anzahl der Fehler bei der Zertifikaterstellung ausgewählt, die der Zähler im Verhältnis ist. Der Zähler wird nach Projekt, Standort und CA-Ressourcen-ID aggregiert, da dieser Messwert zusätzliche Labels hat. Mit dem Nennerfilter in der Bedingung wird die Anzahl der Anfragen zum Erstellen von Zertifikaten ausgewählt.
Sobald der Grenzwert erreicht ist, wird die Benachrichtigung sofort durch die Richtlinie ausgelöst, da die zulässige Dauer für die Bedingung 0 Sekunden beträgt. Für diese Richtlinie wird ein Trigger-Zähler von 1 verwendet. Dabei handelt es sich um die Anzahl der Zeitachsen, die gegen die Bedingung zum Auslösen der Benachrichtigung verstoßen.
Messwerte vom Typ „Gauge“ überwachen
Messgerät-Messwerte messen einen Wert zu einem bestimmten Zeitpunkt. Beispiele für Messwerte vom Typ „Anzeige“ sind privateca.googleapis.com/ca/resource_state
und privateca.googleapis.com/kms/key_issue
. Für diese Messwerte wird ein boolescher Wert verwendet, während Labels zusätzliche Informationen liefern. Bei privateca.googleapis.com/ca/resource_state
wird beispielsweise ein boolescher Wert dafür verwendet, ob der CA-Status aktiviert ist, aber ein Label (state
) für den tatsächlichen Ressourcenstatus.
Wenn Sie Messwerte vom Typ „Gauge“ mit booleschen Werten überwachen, empfehlen wir, den Aggregator COUNT
zu verwenden, um Benachrichtigungsgrenzwerte zu erstellen. Der Aggregator SUM
summiert nur die booleschen Werte, während der Aggregator COUNT
die Anzahl der Zeitachsen summiert. Wenn Sie beispielsweise die Anzahl der CAs im Status DISABLED
ermitteln möchten, sollten Sie einen Filter für state=DISABLED
erstellen. Verwenden Sie den Aggregator COUNT
, um die Anzahl der CAs zu ermitteln, die dieser Bedingung entsprechen.
Cloud Monitoring-Kosten
Für das Monitoring von CA Service fallen keine Kosten an.