Monitoraggio delle risorse utilizzando Cloud Monitoring

Cloud Monitoring consente di monitorare le operazioni eseguite in Certificate Authority Service.

Prima di iniziare

Se non l'hai ancora fatto, configurare un progetto Google Cloud in cui è abilitata l'API Certificate Authority Service. Per informazioni, vedi Preparare l'ambiente.

Visualizza le metriche in Cloud Monitoring

Console

Per visualizzare le metriche per una risorsa monitorata con Esplora metriche, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina  Esplora metriche:

   Vai a Esplora metriche

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Nell'elemento Metrica, espandi il menu Seleziona una metrica, inserisci Certificate Authority nella barra dei filtri, poi utilizza i sottomenu per selezionare un tipo di risorsa e una metrica specifici:
   1. Nel menu Risorse attive, seleziona Autorità di certificazione.
   2. Per selezionare una metrica, utilizza i menu Categorie di metriche attive e Metriche attive. Per un elenco di metriche, consulta metriche privateca.
   3. Fai clic su Applica.

3. Per rimuovere le serie temporali dal display, utilizza il metodo Elemento Filtro:

4. Per combinare le serie temporali, utilizza i menu nella Elemento di aggregazione: Ad esempio, per visualizzare l'utilizzo della CPU per le VM, in base alla zona, imposta il valore il primo menu su Media e il secondo menu su zone.

   Tutte le serie temporali vengono visualizzate quando è impostato il primo menu dell'elemento Aggregation in Unaggregated (Non aggregato). Le impostazioni predefinite per l'elemento Aggregation sono determinati dal tipo di metrica selezionato.

5. Per la quota e altre metriche che registrano un campione al giorno:
   1. Nel riquadro Display, Imposta Tipo di widget su Grafico a barre in pila.
   2. Imposta il periodo di tempo su almeno una settimana.

Metriche di CA Service

L'elenco delle metriche può essere visualizzato in Cloud Monitoring documentazione.

La documentazione risorsa monitorata può essere visualizzata in Risorse monitorate.

Attivazione degli avvisi consigliati

Segui le istruzioni riportate di seguito per attivare gli avvisi consigliati.

Console

1. Vai alla pagina Panoramica del servizio CA nella console Google Cloud.

   Certificate Authority Service

2. In alto a destra nella pagina Panoramica, fai clic su + 5 avvisi consigliati.

3. Abilita o disabilita ogni avviso, leggendo la relativa descrizione.

   • Alcuni avvisi supportano soglie personalizzate. Ad esempio, puoi specificare quando vuoi ricevere un avviso per un certificato CA in scadenza o la percentuale di errore per un'elevata percentuale di errori di creazione dei certificati.
   • Tutti gli avvisi supportano i canali di notifica.

4. Fai clic su Invia dopo aver abilitato tutti gli avvisi selezionati.

Crea un criterio di avviso

Console

Puoi creare criteri di avviso per monitorare i valori delle metriche e ricevere notifiche quando queste metriche violano una condizione.

1. Nella console Google Cloud, vai alla Pagina Avvisi:

   Vai ad Avvisi

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Se non hai creato i canali di notifica e vuoi ricevere notifiche, fai clic su Modifica canali di notifica e aggiungi i canali di notifica. Torna a Avvisi dopo aver aggiunto i canali.
3. Nella pagina Avvisi, seleziona Crea criterio.
4. Per selezionare la metrica, espandi il menu Seleziona una metrica e poi segui questi passaggi:
   1. Per limitare il menu alle voci pertinenti, inserisci Certificate Authority nella barra dei filtri. Se non ci sono risultati dopo aver filtrato il menu, disattiva fai clic su Mostra solo risorse attive pulsante di attivazione/disattivazione delle metriche.
   2. In Tipo di risorsa, seleziona Autorità di certificazione.
   3. Per Categoria di metrica, seleziona Ca.
   4. Per Metrica, seleziona una metrica dall'elenco delle metriche privateca.
   5. Seleziona Applica.
5. Fai clic su Avanti.
6. Le impostazioni nella pagina Configura trigger di avviso determinano quando l'avviso viene attivato. Seleziona un tipo di condizione e, se necessario, specifica una soglia. Per ulteriori informazioni, consulta Creare criteri di avviso basati su soglie di metriche.
7. Fai clic su Avanti.
8. (Facoltativo) Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona uno o più canali di notifica dal menu e fai clic su OK.
9. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Il monitoraggio chiude gli incidenti in assenza di dati delle metriche.
10. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
11. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
12. Fai clic su Crea criterio.

Per ulteriori informazioni, consulta Criteri di avviso.

Creare un canale di notifica Pub/Sub

È possibile configurare un canale di notifica che pubblica eventi in Pub/Sub seguendo queste istruzioni.

Esempi di criteri di avviso

Puoi utilizzare i seguenti criteri di avviso di esempio per Casi d'uso di CA Service Monitoring.

Per scoprire di più sui criteri di avviso, consulta la documentazione.

CA in scadenza tra 30 giorni

Questo criterio di avviso ti invia una notifica 30 giorni prima della scadenza di una CA gestita. Questa norma crea notifiche di avviso per tutte le CA gestite in tutti i progetti le cui metriche sono visibili al progetto Google Cloud selezionato nel selettore di progetti della console Google Cloud. Per informazioni sulla visibilità delle metriche, consulta Informazioni sull'ambito delle metriche.

Console

Puoi creare criteri di avviso per monitorare i valori delle metriche e ricevere notifiche quando queste metriche violano una condizione.

1. Nella console Google Cloud, vai alla pagina  Avvisi:

   Vai ad Avvisi

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Se non hai creato i canali di notifica e vuoi ricevere notifiche, fai clic su Modifica canali di notifica e aggiungi i canali di notifica. Torna a Avvisi dopo aver aggiunto i canali.
3. Nella pagina Avvisi, seleziona Crea criterio.
4. Per selezionare la metrica, espandi il menu Seleziona una metrica e poi segui questi passaggi:
   1. Per limitare il menu alle voci pertinenti, inserisci Certificate Authority nella barra dei filtri. Se non ci sono risultati dopo aver filtrato il menu, disattiva fai clic su Mostra solo risorse attive pulsante di attivazione/disattivazione delle metriche.
   2. In Tipo di risorsa, seleziona Autorità di certificazione.
   3. Per Categoria di metrica, seleziona Ca.
   4. Per Metrica, seleziona ca/cert_expiration.
   5. Seleziona Applica.
5. Fai clic su Avanti.
6. Le impostazioni nella pagina Configura attivatore di avvisi determinano quando viene attivato l'avviso. Completa questa pagina con le impostazioni riportate nella seguente tabella.
   

   Configura trigger di avviso pagina Campo	Valore
   Condition type	Threshold
   Alert trigger	Any time series violates
   Threshold position	Below threshold
   Threshold value	2592000000 ms
   Advanced Options: Retest window	No retest

7. Fai clic su Avanti.
8. (Facoltativo) Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona uno o più canali di notifica dal menu e fai clic su OK.
9. (Facoltativo) Aggiorna la Durata chiusura automatica incidenti. Questo campo determina quando Il monitoraggio chiude gli incidenti in assenza di dati delle metriche.
10. (Facoltativo) Fai clic su Documentazione e aggiungi tutte le informazioni che vuoi includere in un messaggio di notifica.
11. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
12. Fai clic su Crea criterio.

Per saperne di più, consulta Criteri di avviso.

gcloud

Incolla il criterio seguente in un file denominato ca-expiration-policy.yaml:

combiner: OR
conditions:
- conditionThreshold:
    aggregations:
    - alignmentPeriod: 60s
      perSeriesAligner: ALIGN_MEAN
    comparison: COMPARISON_LT
    duration: 0s
    filter: metric.type="privateca.googleapis.com/ca/cert_expiration" resource.type="privateca.googleapis.com/CertificateAuthority"
    thresholdValue: 2592000.0
    trigger:
      count: 1
  displayName: CA certificate expiration
displayName: CA expiring in 30 days
enabled: true

Crea il criterio di avviso con il comando seguente:

gcloud alpha monitoring policies create --policy-from-file ca-expiration-policy.yaml

Dopo aver creato il criterio di avviso, consulta Gestire i canali di notifica. per creare o aggiornare canali di notifica esistenti, se necessario. Per aggiungere un canale di notifica a un criterio di avviso esistente, Aggiornare i canali di notifica in un criterio.

Percentuale elevata di errori di creazione dei certificati

Questo criterio di avviso ti informa quando il rapporto di creazione del certificato gli errori, dovuti a un criterio CA o a un errore di convalida, superano una soglia di 0.2. Questa norma crea notifiche di avviso per tutte le CA gestite in tutti i progetti le cui metriche sono visibili al progetto Google Cloud selezionato nel selettore di progetti della console Google Cloud. Per informazioni sulla visibilità delle metriche, consulta Informazioni sull'ambito delle metriche.

Nota: la modifica delle condizioni di un criterio relativo al rapporto delle metriche è supportata solo mediante gcloud CLI. Una volta creato il criterio, puoi modificare la descrizione delle norme e aggiungere canali di notifica tramite console Google Cloud.

gcloud

Incolla il criterio seguente in un file denominato cert-create-failure.yaml:

displayName: High rate of certificate creation failures
enabled: true
combiner: OR
conditions:
- conditionThreshold:
    filter: metric.type="privateca.googleapis.com/ca/cert/create_failure_count" resource.type="privateca.googleapis.com/CertificateAuthority"
    aggregations:
    - alignmentPeriod: 300s
      crossSeriesReducer: REDUCE_SUM
      groupByFields:
      - resource.label.resource_container
      - resource.label.location
      - resource.label.certificate_authority_id
      perSeriesAligner: ALIGN_DELTA
    denominatorFilter: metric.type="privateca.googleapis.com/ca/cert/create_request_count"
      resource.type="privateca.googleapis.com/CertificateAuthority"
    denominatorAggregations:
    - alignmentPeriod: 300s
      perSeriesAligner: ALIGN_DELTA
    comparison: COMPARISON_GT
    duration: 0s
    thresholdValue: 0.2
    trigger:
      count: 1
  displayName: 'Ratio: Certificate creation CA policy error count / Total certificate creation request count'

Crea il criterio di avviso con il comando seguente:

gcloud alpha monitoring policies create --policy-from-file cert-create-failure.yaml

Dopo aver creato il criterio di avviso, consulta Gestire i canali di notifica. per creare o aggiornare canali di notifica esistenti, se necessario. Per aggiungere un canale di notifica a un criterio di avviso esistente, Aggiornare i canali di notifica in un criterio.

Che cosa prevedono queste norme

Questo criterio calcola il rapporto tra i fallimenti e le richieste totali. Il criterio attiva una notifica di avviso se il rapporto supera il 20% (ovvero è maggiore di 0,2) durante il periodo di allineamento di 5 minuti.

Il filtro nella condizione seleziona il numero di errori di creazione del certificato, che è il numeratore del rapporto. Il numeratore aggrega per progetto, località e ID risorsa CA, poiché questa metrica ha etichette aggiuntive. La filtro denominatore nella condizione seleziona il numero di certificati richieste di creazione di contenuti.

Una volta raggiunta la soglia, il criterio attiva la notifica di avviso immediatamente, poiché la durata consentita per la condizione è di 0 secondi. Questo utilizza un conteggio dei trigger pari a 1, ovvero il numero di serie temporali che devono per violare la condizione e attivare la notifica di avviso.

Metriche dell'indicatore di monitoraggio

Le metriche di indicatore misurano un valore in un determinato momento nel tempo. Ad esempio: privateca.googleapis.com/ca/resource_state o privateca.googleapis.com/kms/key_issue sono metriche di misurazione. Queste metriche utilizzano un valore booleano, mentre le etichette forniscono informazioni aggiuntive. Per Ad esempio, privateca.googleapis.com/ca/resource_state utilizza un valore booleano per se lo stato CA è abilitato, ma utilizza un'etichetta, state, per lo stato effettivo della risorsa.

Durante il monitoraggio delle metriche di misuratore che utilizzano valori booleani, di utilizzare l'aggregatore COUNT per creare soglie di avviso. SUM l'aggregatore somma solo i valori booleani, mentre l'aggregatore COUNT somma i di serie temporali. Ad esempio, se vuoi determinare il numero di CA nello stato DISABLED, devi creare un filtro per state=DISABLED. Utilizza l'aggregatore COUNT per determinare il numero di CA che soddisfano questa condizione.

Costo di Cloud Monitoring

Il monitoraggio del servizio CA non prevede alcun costo.

Passaggi successivi

• Cloud Monitoring
• Metriche di CA Service
• Gestione dei canali di notifica