OS Config einrichten

In Compute Engine können Sie die Betriebssysteme verwalten, die auf Ihren VM-Instanzen ausgeführt werden, indem Sie die OS Config Service API aktivieren und den OS Config-Agent installieren.

Mit der OS Config Service API und dem OS Config-Agent können Sie auf eine Reihe von Features zugreifen, mit denen Sie die folgenden Aufgaben in einer Gruppe oder auf allen Ihren VM-Instanzen ausführen können:

  • On-Demand- und geplante Patches anwenden. Weitere Informationen finden Sie unter OS Patch Management.
  • Betriebssysteminformationen erfassen und prüfen. Weitere Informationen finden Sie unter OS Inventory Management.
  • Softwarepakete installieren, entfernen und automatisch aktualisieren Weitere Informationen finden Sie unter OS Configuration Management.

Bei einigen von Google bereitgestellten öffentlichen Images ist der OS Config-Agent bereits Teil des Images. Auf VMs, die mit diesen Images erstellt wurden, wird der OS Config-Agent ausgeführt. Diese Agents bleiben jedoch inaktiv, bis Sie Agent und Dienste aktivieren.

So aktivieren Sie den Agent und die Dienste:

  1. Aktivieren Sie in Ihrem Projekt die OS Config API.
  2. Prüfen Sie auf jeder VM, ob der OS Config-Agent installiert ist.
  3. Installieren Sie auf jeder VM den OS Config-Agent, falls dieser noch nicht installiert ist.
  4. Legen Sie in Ihrem Projekt oder auf den einzelnen VMs die Dienstmetadaten fest.
  5. (Optional) Deaktivieren Sie für Ihr Projekt oder auf den einzelnen VMs die nicht benötigten Features.

Informationen zum Anzeigen von Audit-Logs für API-Vorgänge, die mit der OS Config API durchgeführt werden, finden Sie unter OS Config-Audit-Logs ansehen.

Vorbereitung

OS Config Service API aktivieren

Aktivieren Sie in Ihrem Projekt die OS Config API. Führen Sie den folgenden Befehl aus, um die API zu aktivieren:

gcloud services enable osconfig.googleapis.com

Prüfen, ob der OS Config-Agent installiert ist

Der OS Config-Agent ist auf Red Hat Enterprise Linux- (RHEL), Debian-, CentOS- und Windows-Images mit dem Build-Datum v20200114 oder später standardmäßig installiert.

Linux

Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Agent auf Ihrer Linux-VM installiert ist:

systemctl status google-osconfig-agent

Wenn der Agent installiert ist und ausgeführt wird, sieht die Ausgabe in etwa so aus:

google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
 Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
        └─369 /usr/bin/google_osconfig_agent

Windows

Führen Sie den folgenden Befehl aus, um zu prüfen, ob der Agent auf Ihrer Windows-VM installiert ist:

PowerShell Get-Service google_osconfig_agent

Wenn der Agent installiert ist und ausgeführt wird, sieht die Ausgabe in etwa so aus:

Status   Name               DisplayName
------   ----               -----------
Running  google_osconfig... Google OSConfig Agent

OS Config-Agent installieren

Bevor Sie diese Schritte ausführen, um den Agent zu installieren, prüfen Sie, ob der Agent bereits auf Ihrer VM ausgeführt wird.

Installieren Sie auf jeder VM den OS Config-Agent. Sie haben folgende Möglichkeiten, den OS Config-Agent zu installieren:

Agent manuell installieren

Greifen Sie auf diese Option zurück, um den OS Config-Agent auf einer vorhandenen VM zu installieren.

Führen Sie die folgenden Schritte aus, um den Agent zu installieren:

  1. Stellen Sie eine Verbindung zur VM her, auf der Sie den OS Config-Agent installieren möchten.

  2. Installieren Sie den OS Config-Agent.

    Windows Server

    Führen Sie den folgenden Befehl aus, um den OS Config-Agent auf einem Windows-Server zu installieren:

    googet -noconfirm install google-osconfig-agent

    Ubuntu

    Führen Sie die folgenden Befehle aus, um den OS Config-Agent auf einer Ubuntu-VM zu installieren:

    1. Richten Sie das Ubuntu-Repository ein.

      • Führen Sie für Ubuntu 16.04 die folgenden Befehle aus:

        1. Fügen Sie das Ubuntu-Repository hinzu.

          sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-xenial-stable main'> \
          /etc/apt/sources.list.d/google-compute-engine.list"
        2. Importieren Sie den öffentlichen Google Cloud-Schlüssel.

          curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
          sudo apt-key add -
      • Führen Sie für Ubuntu 18.04 die folgenden Befehle aus:

        1. Fügen Sie das Ubuntu-Repository hinzu.

          sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-bionic-stable main' > \
          /etc/apt/sources.list.d/google-compute-engine.list"
          
        2. Importieren Sie den öffentlichen Google Cloud-Schlüssel.

          curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
          sudo apt-key add -
    2. Installieren Sie den OS Config-Agent.

      sudo apt update
      sudo apt install -y google-osconfig-agent
      

    Debian

    Führen Sie die folgenden Befehle aus, um den OS Config-Agent auf einer Debian-VM zu installieren:

    sudo apt update
    sudo apt install -y google-osconfig-agent

    Google Cloud-Repository und öffentlichen Schlüssel hinzufügen

    Wenn Sie eine VM-Instanz verwenden, die nicht aus einem von Google bereitgestellten Image erstellt wurde, oder wenn Sie die Fehlermeldung "unable to locate package…" (Paket nicht gefunden …) erhalten, führen Sie die folgenden Schritte aus, um das Google Cloud-Repository hinzuzufügen und den öffentlichen Schlüssel zu importieren.

    Nachdem Sie das Repository hinzugefügt und den Schlüssel importiert haben, können Sie die Befehle zum Installieren des OS Config-Agents ausführen.

    • Führen Sie für Debian 9 (Stretch) die folgenden Befehle aus:

      1. Fügen Sie das Debian-Repository hinzu.

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-stretch-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
      2. Importieren Sie den öffentlichen Google Cloud-Schlüssel.

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -
    • Führen Sie für Debian 10 (Buster) die folgenden Befehle aus:

      1. Fügen Sie das Debian-Repository hinzu.

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-buster-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
      2. Importieren Sie den öffentlichen Google Cloud-Schlüssel.

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -

    RHEL/CentOS

    Führen Sie den folgenden Befehl aus, um den OS Config-Agent auf einer RHEL- oder CentOS-VM zu installieren:

    sudo yum -y install google-osconfig-agent

    SLES/openSUSE

    Führen Sie die folgenden Befehle aus, um den OS Config-Agent auf einer SLES- oder openSUSE-VM zu installieren:

    1. Richten Sie das SLES-Repository ein.

      • Führen Sie für SLES 12 den folgenden Befehl aus:

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles12-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=1
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        sudo rpm --import https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        
      • Führen Sie für SLES 15 den folgenden Befehl aus:

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles15-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=1
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        
    2. Installieren Sie den OS Config-Agent.

      sudo zypper -n --gpg-auto-import-keys install google-osconfig-agent 

Agent mithilfe eines Startskripts installieren

Sie können auch die manuellen Installationsbefehle verwenden, um ein Startskript zu erstellen, mit dem beim Erstellen der VM der OS Config-Agent installiert wird.

  1. Kopieren Sie die manuellen Befehle für Ihr Betriebssystem.
  2. Stellen Sie das Startskript für die VM-Erstellungsmethode bereit.

    Wenn Sie beispielsweise den Befehl gcloud compute instances create verwenden, um eine neue Debian 9-VM-Instanz zu erstellen, würde Ihr Befehl so aussehen: Ersetzen Sie instance-name durch den Namen Ihrer VM.

    gcloud compute instances create instance-name \
       --image-family=debian-9 --image-project=debian-cloud \
       --metadata startup-script='#! /bin/bash
       sudo apt update
       sudo apt install -y google-osconfig-agent'
  3. Prüfen Sie, ob das Startskript ausgeführt wird. Ob das Startskript ausgeführt wird, können Sie in den Logs oder in der seriellen Konsole prüfen.

Metadatenwerte festlegen

Legen Sie in Ihrem Projekt oder Ihrer VM den Metadatenwert enable-osconfig auf TRUE fest. Wenn Sie den Metadatenwert enable-osconfig auf TRUE festlegen, werden die folgenden Features aktiviert:

  • OS Inventory Management
  • OS Patch Management
  • OS Configuration Management

Nachdem Sie den Metadatenwert enable-osconfig auf TRUE gesetzt haben, können Sie die nicht benötigten Features deaktivieren.

Console

Sie können die Metadatenwerte auf Ihre Projekte oder VMs anwenden. Verwenden Sie dazu eine der folgenden Optionen:

  • Option 1: Legen Sie in den projektweiten Metadaten enable-osconfig fest, damit der Eintrag für alle VMs im Projekt gilt:

    1. Rufen Sie in der Google Cloud Console die Seite Metadaten auf.

      Zur Seite "Metadaten"

    2. Klicken Sie auf Bearbeiten.
    3. Fügen Sie den folgenden Metadateneintrag hinzu.

      Schlüssel: enable-osconfig Wert: TRUE

      Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

      • Schlüssel: enable-osconfig Wert: TRUE
      • Schlüssel: enable-guest-attributes Wert: TRUE
    4. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

  • Option 2: Legen Sie beim Erstellen einer Instanz in den VM-Metadaten enable-osconfig fest.

    1. Öffnen Sie in der Google Cloud Console die Seite VM-Instanzen.

      Zur Seite "VM-Instanzen"

    2. Klicken Sie auf Erstellen.
    3. Geben Sie auf der Seite Instanz erstellen die gewünschten Attribute für Ihre VM an.
    4. Klicken Sie auf Verwaltung, Sicherheit, Laufwerke, Netzwerke, einzelne Mandanten.
    5. Fügen Sie im Abschnitt Metadaten die folgenden Metadateneinträge hinzu:

      Schlüssel: enable-osconfig, Wert: TRUE.

      Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

      • Schlüssel: enable-osconfig Wert: TRUE
      • Schlüssel: enable-guest-attributes Wert: TRUE
    6. Klicken Sie auf Erstellen, um die Instanz anzulegen.

  • Option 3: Legen Sie in den Metadaten einer vorhandenen VM enable-osconfig fest.

    1. Öffnen Sie in der Google Cloud Console die Seite VM-Instanzen.

      Zur Seite "VM-Instanzen"

    2. Klicken Sie auf den Namen der VM, für die Sie den Metadatenwert festlegen möchten.
    3. Klicken Sie oben auf der Seite Instanzdetails auf Bearbeiten, um die Einstellungen zu bearbeiten.
    4. Fügen Sie unter Benutzerdefinierte Metadaten die folgenden Metadateneinträge hinzu:

      Schlüssel: enable-osconfig, Wert: TRUE.

      Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

      • Schlüssel: enable-osconfig Wert: TRUE
      • Schlüssel: enable-guest-attributes Wert: TRUE
    5. Klicken Sie auf Speichern, um Ihre Änderungen für die VM zu übernehmen.

gcloud

Verwenden Sie den gcloud-Befehl project-info add-metadata oder instances add-metadata mit dem Flag --metadata=enable-osconfig=TRUE.

Sie können die Metadatenwerte auf Ihre Projekte oder VMs anwenden. Verwenden Sie dazu eine der folgenden Optionen:

  • Option 1: Legen Sie enable-osconfig in den projektübergreifenden Metadaten fest, damit der Eintrag für alle Instanzen im Projekt gilt. Ersetzen Sie project-id durch Ihre Projekt-ID.

    gcloud compute project-info add-metadata \
      --project project-id \
      --metadata=enable-osconfig=TRUE
    

    Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

    gcloud compute project-info add-metadata \
      --project project-id \
      --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
    
  • Option 2: Legen Sie in den Metadaten einer vorhandenen Instanz enable-osconfig fest. Ersetzen Sie instance-name durch den Namen Ihrer VM.

    gcloud compute instances add-metadata instance-name \
      --metadata=enable-osconfig=TRUE
    

    Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

    gcloud compute instances add-metadata instance-name \
      --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
    
  • Option 3: Legen Sie beim Erstellen einer Instanz in den Instanzmetadaten enable-osconfig fest. Ersetzen Sie instance-name durch den Namen Ihrer VM.

    gcloud compute instances create instance-name \
      --metadata=enable-osconfig=TRUE
    

    Damit OS Inventory Management funktioniert, müssen Sie sowohl enable-osconfig als auch enable-guest-attributes angeben.

    gcloud compute instances create instance-name \
      --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
    

API

Sie können den Metadatenwert auf Projekt- oder Instanzebene festlegen.

Das folgende Schlüssel/Wert-Paar ist als Teil des Metadatenattributs erforderlich:

  • Schlüssel: enable-osconfig Wert: TRUE

Fügen Sie für OS Inventory Management außerdem das folgende Schlüssel/Wert-Paar hinzu:

  • Schlüssel: enable-guest-attributes Wert: TRUE

Nicht benötigte Features deaktivieren

Features, die Sie möglicherweise nicht benötigen, können Sie durch Festlegen der folgenden Metadatenwerte deaktivieren: osconfig-disabled-features=feature1,feature2.

Ersetzen Sie feature1,feature2 durch einen der folgenden Werte:

  • OS Inventory Management: osinventory
  • OS Patch Management: tasks
  • OS Configuration Management: guestpolicies

Sie können diese Werte entweder über die Google Cloud Console, das gcloud-Befehlszeilentool oder die Compute Engine API festlegen.

Console

Sie haben folgende Möglichkeiten, die Metadatenwerte in Ihren Projekten oder VMs zu deaktivieren:

  • Option 1: Deaktivieren Sie das Feature in den projektweiten Metadaten, damit der Eintrag für alle Instanzen im Projekt gilt:

    1. Rufen Sie in der Google Cloud Console die Seite Metadaten auf.

      Zur Seite "Metadaten"

    2. Klicken Sie auf Bearbeiten.
    3. Fügen Sie den folgenden Metadateneintrag hinzu:

      Schlüssel: osconfig-disabled-features Wert: feature1,feature2

      Beispiel: Schlüssel: osconfig-disabled-features Wert: osinventory,guestpolicies

    4. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

  • Option 2: Deaktivieren Sie das Feature in den Metadaten einer vorhandenen VM.

    1. Öffnen Sie in der Google Cloud Console die Seite VM-Instanzen.

      Zur Seite "VM-Instanzen"

    2. Klicken Sie auf den Namen der VM, für die Sie den Metadatenwert festlegen möchten.
    3. Klicken Sie oben auf der Seite Instanzdetails auf Bearbeiten, um die VM-Einstellungen zu bearbeiten.
    4. Fügen Sie unter Benutzerdefinierte Metadaten die folgenden Metadateneinträge hinzu:

      Schlüssel: osconfig-disabled-features Wert: feature1,feature2

      Beispiel: Schlüssel: osconfig-disabled-features Wert: osinventory

    5. Klicken Sie auf Speichern, um Ihre Änderungen für die VM zu übernehmen.

gcloud

Verwenden Sie den gcloud-Befehl project-info add-metadata oder instances add-metadata mit dem Flag --metadata=osconfig-disabled-features.

Wenn Sie mehrere Features deaktivieren, muss das Flag das Format --metadata=^:^osconfig-disabled-features=feature1,feature2 haben. Sehen Sie sich hierzu Beispiel 2 an.

Beispiele

Beispiel 1 Führen Sie mit dem gcloud-Befehlszeilentool den folgenden Befehl aus, um OS Patch Management auf Projektebene zu deaktivieren. Ersetzen Sie project-id durch Ihre Projekt-ID.

gcloud compute project-info add-metadata \
    --project project-id \
    --metadata=osconfig-disabled-features=tasks

Beispiel 2 Führen Sie mit dem gcloud-Befehlszeilentool den folgenden Befehl aus, um OS Configuration Management und OS Inventory Management auf Projektebene zu deaktivieren. Ersetzen Sie project-id durch Ihre Projekt-ID.

gcloud compute project-info add-metadata \
    --project project-id \
    --metadata=^:^osconfig-disabled-features=osinventory,guestpolicies

API

Sie können den Metadatenwert auf Projekt- oder Instanzebene festlegen.

Das folgende Schlüssel/Wert-Paar ist als Teil des Metadatenattributs erforderlich:

  • Schlüssel: osconfig-disabled-features
  • Wert: Kann ein beliebiger Wert oder eine Kombination der folgenden Flags sein:
    • osinventory
    • tasks
    • guestpolicies

OS Config-Agent aktualisieren

Zum Aktualisieren des OS Config-Agents müssen Sie das Paket für Ihr Betriebssystem aktualisieren.

CentOS/RHEL

Führen Sie den folgenden Befehl aus, um den Agent unter den Betriebssystemen CentOS und RHEL zu aktualisieren:

sudo yum update google-osconfig-agent

Debian/Ubuntu

Führen Sie die folgenden Befehle aus, um den Agent unter den Betriebssystemen Debian und Ubuntu zu aktualisieren:

sudo apt update
sudo apt install google-osconfig-agent

SLES

Führen Sie den folgenden Befehl aus, um den Agent in SLES zu aktualisieren:

sudo zypper -n update google-osconfig-agent

Windows

Führen Sie den folgenden Befehl aus, um den Agent unter Windows-Betriebssystemen zu aktualisieren:

googet update google-osconfig-agent

Weitere Informationen