Vous pouvez créer et gérer des règles d'agent à l'aide du
Commande gcloud compute instances ops-agents policies
dans la Google Cloud CLI ou le
ops-agent-policy
module Terraform.
Les règles d'agent utilisent la suite d'outils VM Manager de Compute Engine pour gérer les règles d'OS, ce qui peut automatiser le déploiement et la maintenance de configurations logicielles comme l'agent Ops. Ces règles ne peuvent pas être appliquées à l'ancien agent Monitoring ni à l'ancien agent Logging.
gcloud compute os-config os-policy-assignments
, le
Le groupe de commandes gcloud compute instances ops-agents policies
est conçu spécifiquement pour l'agent.
décrites dans ce document.
Avant de commencer
Le module Terraform ops-agent-policy
est basé sur les commandes gcloud compute instances ops-agents policies
du SDK Google Cloud. Pour en savoir plus sur le fonctionnement de Terraform, consultez
Utiliser Terraform
Avant d'utiliser la Google Cloud CLI ou le module Terraform pour créer un agent , procédez comme suit:
Si vous prévoyez d'utiliser les commandes
gcloud compute instances ops-agents policies
et si vous ne l'avez pas déjà fait, installez la Google Cloud CLI.Si vous souhaitez utiliser le module Terraform, procédez comme suit:
Pour en savoir plus sur l'installation de Terraform, consultez la section Installer et configurer Terraform. Terraform est déjà installé sur Cloud Shell.
Clonez le dépôt
terraform-google-cloud-operations
, qui contient le moduleops-agent-policy
:git clone https://github.com/terraform-google-modules/terraform-google-cloud-operations
Téléchargez et exécutez le script
prepare-for-ops-agents-policies.sh
pour activer les API requises et définir les autorisations nécessaires à l'aide de la Google Cloud CLI ou de Terraform.Pour plus d'informations sur le script, consultez la section
prepare-for-ops-agents-policies.sh
à l'aide du script.
Désinstaller l'ancien agent Monitoring et l'ancien agent Logging
Si vous créez une règle pour l'agent Ops, assurez-vous que l'ancien agent Logging ou Monitoring n'est pas installé sur vos VM. L'exécution de l'agent Ops et des anciens agents sur la même VM peut entraîner l'ingestion de journaux en double ou créer un conflit dans l'ingestion des métriques. Si nécessaire, désinstallez l'agent Monitoring et désinstallez l'agent Logging avant de créer une règle pour installer l'agent Ops.Vérifier que l'agent OS Config est installé
Vous devrez peut-être installer et configurer manuellement l'agent OS Config sur VM antérieures à OS Config. Pour savoir comment installer et valider manuellement l'agent OS Config, consultez la checklist de validation de VM Manager.
Rechercher des valeurs pour les informations sur le système d'exploitation
Si vous souhaitez appliquer des règles d'agent à des systèmes d'exploitation spécifiques ou versions, vous devez connaître les valeurs utilisées par OS Config pour se référer pour eux.
Pour rechercher les valeurs des champs osShortName
et osVersion
d'une VM, utilisez
les commandes suivantes:
gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^ShortName: "
gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^Version: "
Ces commandes nécessitent que l'agent OS Config soit installé sur la VM.
Créer une règle d'agent pour gérer l'agent Ops
Ligne de commande
Pour créer une règle d'agent, utilisez la commandegcloud compute instances ops-agents policies
create
.
Cette commande a la structure suivante :
gcloud compute instances ops-agents policies
create
POLICY_ID \
--zone ZONE \
--file path/to/policy-description-file.yaml \
--project PROJECT_ID
Lorsque vous utilisez cette commande, remplacez les variables comme suit:
- POLICY_ID est le nom de votre règle.
- ZONE est une zone Compute Engine. Les règles d'agent ne sont appliquées qu'aux VM de la zone spécifiée ; pour appliquer une règle dans plusieurs zones, vous devez créer plusieurs règles.
- path/to/policy-description-file.yaml est le chemin d'accès à un fichier YAML qui décrit la stratégie. Pour en savoir plus sur la structure de ce fichier, consultez Décrivez les stratégies d'agent.
- PROJECT_ID est l'ID du projet Google Cloud.
Pour en savoir plus sur les autres commandes du groupe de commandes et
les options disponibles, consultez les
gcloud compute instances ops-agents policies
.
Décrire les règles d'agent
Fournissez les informations de règle au gcloud compute instances ops-agents policies
create
en créant un fichier YAML décrivant la stratégie et en le transmettant à la commande en tant que valeur de l'option --file
.
Cette section décrit la structure du fichier de description des règles. Pour en savoir plus, consultez la section Exemples de fichiers de description de règles.
Format du fichier de description de stratégie YAML
Le fichier de description d'une stratégie d'agent doit inclure deux groupes de champs :
agentsRule
, qui indique à la stratégie de l'agent s'il doit installer ou supprimer l'agent Ops, et spécifie la version de l'agent Ops à utiliser.instanceFilter
, qui décrit les VM sur lesquelles appliquer la stratégie.
Structure du groupe de champs agentsRule
Le groupe de champs agentsRule
présente la structure suivante :
agentsRule:
packageState: installed|removed
version: latest|2.*.*|2.x.y
- Le champ
packageState
indique à la stratégie l'état prévu de l'Agent Ops. Les valeurs valides sontinstalled
etremoved
. Le champ
version
indique la version de l'agent Ops à installer ou à supprimer. Vous pouvez spécifier les valeurs suivantes :latest
est la version la plus récente de l'agent Ops.2.*.*
est la version la plus récente de la version majeure 2 de l'agent Ops.2.x.y
indique une version spécifique de la version majeure 2.
Pour en savoir plus sur les versions disponibles de l'agent Ops, consultez le dépôt GitHub de l'agent.
Structure du groupe de champs instanceFilter
Le groupe de champs instanceFilter
indique les VM d'une zone à laquelle le filtre s'applique. Ce groupe de champs est une représentation YAML de la structure InstanceFilter
utilisée par la ressource OSPolicyAssignment
dans l'API OS Config.
Le groupe de champs instanceFilter
présente l'une des structures suivantes:
Pour appliquer la règle d'agent à toutes les VM d'une zone, utilisez ce qui suit :
instanceFilter: all: True
Si vous utilisez le filtre
all: True
, vous ne pouvez spécifier aucun autre critère.Pour appliquer la règle d'agent à un ensemble spécifique de VM dans une zone, décrivez les VM à l'aide d'une combinaison des éléments suivants :
- Étiquettes sur la VM, à inclure ou à exclure:
inclusionLabels:
exclusionLabels:
- Système d'exploitation :
inventories:
Par exemple, le filtre suivant applique la règle d'agent aux VM avec les systèmes d'exploitation spécifiés avec l'étiquette "env=prod" et ne comportent pas l'étiquette "app=web" :
instanceFilter: inclusionLabels: - labels: env: prod exclusionLabels: - labels: app: web inventories: - osShortName: rhel osVersion: '7.*' - osShortName: debian osVersion: '11'
Pour en savoir plus sur la recherche des valeurs du système d'exploitation, consultez Recherchez des informations sur le système d'exploitation.
- Étiquettes sur la VM, à inclure ou à exclure:
Terraform
Pour créer une règle d'agent entièrement personnalisée, utilisez le module ops-agent-policy
dans le répertoire modules
du dépôt terraform-google-cloud-operations
.
Ce module nécessite les mêmes informations que la commande
.
Pour obtenir une description de tous les champs utilisés pour décrire une règle d'agent,
Sélectionnez l'onglet Command-line (Ligne de commande).gcloud compute instances ops-agents policies
create
Le répertoire examples
du dépôt terraform-google-cloud-operations
contient des fichiers qui fournissent de nombreuses variables requises par le module ops-agent-policy
. Pour en savoir plus, consultez
Exemples de configurations de règles
Pour savoir comment appliquer ou supprimer un fichier consultez la page Principes de base de Terraform commandes. Pour en savoir plus sur le fonctionnement de Terraform, consultez Utiliser Terraform
Vérifier l'état des règles d'agent
Cette section explique comment vérifier l'état des règles créées et l'installation de l'agent Ops. Ces informations peuvent également aider à dépanner vos stratégies d'agent.
Page Règles d'OS de Compute Engine
La page Règles d'OS de Compute Engine fournit des informations les règles d'agent qui gèrent l'agent Ops et concernant les VM sur le Onglet Instances de VM. Exemple :
- La colonne State (État) indique si une règle a été ou non installée avec succès ("Compliant"), est en cours ("Pending"), a peut-être échoué ("Unknown") ou est manquante ("No policies").
- La colonne VM monitored (VM surveillée) indique si l'agent Ops est géré par OS Config ("Monitored") ou non ("Not monitored").
Si une règle est "Compliant" (Conforme), mais que la VM affiche "Not monitored" (Non surveillée), il est possible qu'un problème soit survenu lors de l'installation de l'agent Ops. Par exemple, il est possible qu'un ancien agent soit déjà installé.
Dans la console Google Cloud, accédez à la page Règles d'OS.
Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Compute Engine.
L'onglet Instances de VM de l'onglet Règles d'OS Compute Engine affiche des informations sur les agents gérés par toutes les règles d'OS de votre projet Google Cloud. Ces règles sont libellées goog-ops-agent-policy
.
- L'indicateur
goog-ops-agent-policy
inclut plusieurs types de règles :- Règles créées à l'aide des commandes
gcloud compute instances ops-agents policies
. - Règles créées pour vous si vous avez demandé l'installation de l'Agent Ops lors de la création de la VM.
- Stratégies créées à l'aide de Terraform pour gérer l'agent Ops.
Pour faire la distinction entre les règles, utilisez l'onglet Attributions de règles d'OS de la page pour afficher les ID de règle de toutes les attributions de règles de votre projet Google Cloud.
- Règles créées à l'aide des commandes
- Cette colonne VM surveillée ne reflète pas l'installation l'agent Ops par d'autres moyens, comme une installation manuelle ou règles de l'agent en version bêta.
Page Instances de VM de Cloud Monitoring
La page Instances de VM dans Cloud Monitoring inclut une colonne Agent qui liste l'agent installé sur chaque VM et, pour l'agent Ops, elle inclut un indicateur pour les agents installés qui sont antérieurs à la dernière version.
Dans la console Google Cloud, accédez à la page Tableau de bord des instances de VM :
Accéder au tableau de bord des instances de VM
Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Monitoring.
Exemples de configurations de règles
Cette section décrit des exemples de configuration de stratégies d'agent lorsque vous utilisez le SDK Google Cloud ou Terraform.
Ligne de commande
Exemples de fichiers de règles/description
Cette section fournit quelques exemples de fichiers de description de stratégie YAML pour différents scénarios. Les exemples supposent que vous placez le fichier YAML dans un fichier nomméagent-policy-description.yaml
et que vous créez la stratégie dans la zone us-central1-a
à l'aide d'une commande semblable à la suivante :
gcloud compute instances ops-agents policies
create
POLICY_ID \
--zone us-central1-a \
--file agent-policy-description.yaml \
--project PROJECT_ID
Installer sur toutes les VM
Pour installer la dernière version de l'Agent Ops sur toutes les VM de la zone us-central1-a
, utilisez la description de règle suivante :
agentsRule:
packageState: installed
version: latest
instanceFilter:
all: True
Supprimer de toutes les VM
Pour supprimer la dernière version de l'Agent Ops sur toutes les VM de la zone us-central1-a
, utilisez la description de règle suivante :
agentsRule:
packageState: removed
version: latest
instanceFilter:
all: True
Installer sur des VM en fonction des libellés
Pour installer la dernière version de l'Agent Ops sur toutes les VM de la zone us-central1-a
avec le libellé "env=prod" ou "app=web", utilisez la description de règle suivante :
agentsRule:
packageState: installed
version: latest
instanceFilter:
inclusionLabels:
- labels:
env: prod
- labels:
app: web
Lorsque vous spécifiez plusieurs entrées labels:
pour l'inclusion ou l'exclusion, une VM correspond si l'un des libellés est présent. Autrement dit, les ensembles de libellés pour l'inclusion ou l'exclusion sont mis en correspondance en tant qu'opération OR
logique, et non en tant qu'opération AND
logique.
Installer sur des VM en fonction d'autres libellés
Pour installer la dernière version de l'Agent Ops sur toutes les VM de la zone us-central1-a
exécutant Debian 11, à l'exception de celles portant les libellés "env=prod" et "app=web6", utilisez la description de règle suivante :
agentsRule:
packageState: installed
version: latest
instanceFilter:
exclusionLabels:
- labels:
env: prod
app: web6
inventories:
- osShortName: debian
osVersion: '11'
Lorsque vous spécifiez plusieurs paires clé/valeur sous une même entrée labels:
pour l'inclusion ou l'exclusion, une VM correspond si tous les libellés sont présents. Autrement dit, les libellés sont mis en correspondance en tant qu'opération AND
operation, et non en tant qu'opération OR
logique.
Installer sur des VM en fonction du système d'exploitation
Pour installer la dernière version 2 de l'agent Ops sur toutes les VM en cours d'exécution
Debian 11 ou RHEL 7.* dans la zone us-central1-a
, utilisez le code suivant :
description du règlement:
agentsRule:
packageState: installed
version: 2.*.*
instanceFilter:
inventories:
- osShortName: rhel
osVersion: '7.*'
- osShortName: debian
osVersion: '11'
Terraform
Cette section décrit les exemples du répertoire examples
.
du dépôt terraform-google-cloud-operations
. Ces exemples contiennent des fichiers qui configurent pour vous de nombreuses variables requises par le module ops-agent-policy
. Vous pouvez également copier et modifier
exemples. Par exemple, tous ces exemples installent l'agent Ops.
vous pouvez les modifier
pour supprimer l'agent à la place.
Pour savoir comment appliquer ou supprimer un fichier consultez la page Principes de base de Terraform commandes.
Exemple : ops_agent_policy_install_all
Cet exemple installe la dernière version de l'agent Ops sur toutes les VM éligibles de votre projet Google Cloud.
Lorsque vous exécutez la commande terraform plan
ou
terraform apply
, vous êtes invité à saisir les informations suivantes :
:
- PROJECT_ID: ID de votre projet Google Cloud
Exemple : ops_agent_policy_install_all_in_region
Cet exemple installe la dernière version de l'agent Ops sur toutes les VM éligibles d'une région donnée, comme us-west1
. Une région contient
plusieurs zones (dans ce cas, us-west-1a
, us-west-1b
et us-west-1c
).
Lorsque vous exécutez la commande terraform plan
ou terraform apply
, vous êtes invité à saisir les valeurs suivantes :
- PROJECT_ID: ID de votre projet Google Cloud
- REGION: région dans laquelle installer l'agent sur les VM
Exemple : ops_agent_policy_install_all_in_zone
Cet exemple installe la dernière version de l'agent Ops sur toutes les VM éligibles d'une zone donnée, comme us-central1-a
.
Lorsque vous exécutez la commande terraform plan
ou terraform apply
, vous êtes invité à saisir les valeurs suivantes :
- PROJECT_ID : ID de votre projet Google Cloud
- ZONE : zone dans laquelle installer l'agent sur les VM
Résoudre les problèmes liés aux règles d'agent DG
Cette section fournit des informations pour vous aider à résoudre les problèmes liés aux règles d'agent DG pour l'agent Ops. Les informations décrites dans la section Vérifier l'état des règles de l'agent peut également être utiles.
Échec des commandes ops-agents policy
Lorsqu'une commande gcloud compute instances ops-agents policies
échoue, la réponse affiche une
erreur de validation. Corrigez ces erreurs en corrigeant les arguments de commande et les options, comme indiqué par le message d'erreur.
Outre les erreurs de validation, les erreurs suivantes peuvent s'afficher :
Les sections suivantes décrivent ces conditions plus en détail.
Autorisation IAM insuffisante
Si une commande gcloud compute instances ops-agents policies
échoue et affiche une erreur d'autorisation, assurez-vous d'avoir exécuté le script prepare-for-ops-agents-policies.sh
comme décrit dans la section Avant de commencer pour configurer les rôles de stratégie OS Config :
-
Administrateur OSPolicyAssignment
(
roles/osconfig.osPolicyAssignmentAdmin
): Fournit un accès complet aux attributions de règles d'OS.
-
Éditeur OSPolicyAssignment
(
roles/osconfig.osPolicyAssignmentEditor
) : permet aux utilisateurs d'obtenir, de mettre à jour et de répertorier les attributions de règles d'OS.
-
Lecteur OSPolicyAssignment
(
roles/osconfig.osPolicyAssignmentViewer
): Fournit un accès en lecture seule permettant d'obtenir et de lister les attributions de règles d'OS.
Pour en savoir plus sur le script prepare-for-ops-agents-policies.sh
, consultez Le script prepare-for-ops-agents-policies.sh
.
L'API OS Config n'est pas activée
Voici un exemple d'erreur :
API [osconfig.googleapis.com] not enabled on project PROJECT_ID.
Would you like to enable and retry (this will take a few minutes)?
(y/N)?
Vous pouvez entrer y
pour activer l'API, ou vous pouvez exécuter le script prepare-for-ops-agents-policies.sh
, décrit dans
Avant de commencer,
afin d'accorder toutes les autorisations requises. Si vous saisissez y
au niveau
apparaît dans le message d'erreur, vous devez quand même exécuter
prepare-for-ops-agents-policies.sh
pour définir les autorisations nécessaires.
Pour vérifier que l'API OS Config est activée pour le projet, exécutez les commandes suivantes :
gcloud services list --project PROJECT_ID | grep osconfig.googleapis.com
Le résultat attendu est le suivant :
osconfig.googleapis.com Cloud OS Config API
La règle n'existe pas
Voici un exemple d'erreur :
NOT_FOUND: Requested entity was not found
Cette erreur peut signifier que la règle n'a jamais été créée, qu'elle a été supprimée ou que l'ID de règle spécifié est incorrect. Assurez-vous que le paramètre
POLICY_ID utilisé dans un gcloud compute instances ops-agents policies
describe
, update
ou
delete
correspond à une règle existante. Pour obtenir la liste des règles d'agent, utilisez la commande list
gcloud compute instances ops-agents policies
.
La règle est créée, mais elle semble n'avoir aucun effet
Les agents OS Config sont déployés sur chaque instance Compute Engine afin de gérer les packages pour les agents Logging et Monitoring. Cette règle peut sembler sans effet si l'agent OS Config sous-jacent n'est pas installé.
Linux
Pour vérifier que l'agent OS Config est installé, exécutez la commande suivante :
gcloud compute ssh instance-id \
--project project-id \
-- sudo systemctl status google-osconfig-agent
Voici un exemple de sortie :
google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
└─369 /usr/bin/google_osconfig_agent
Windows
Pour vérifier que l'agent OS Config est installé, exécutez la commande suivante :
Connectez-vous à votre instance via RDP ou un outil similaire, et connectez-vous à Windows.
Ouvrez un terminal PowerShell, puis exécutez la commande PowerShell suivante. Vous n'avez pas besoin de droits d'administrateur.
Get-Service google_osconfig_agent
Voici un exemple de sortie :
Status Name DisplayName
------ ---- -----------
Running google_osconfig_a… Google OSConfig Agent
Si l'agent OS Config n'est pas installé, vous utilisez peut-être qui n'est pas compatible avec VM Manager. Le document Détails des systèmes d'exploitation de Compute Engine indique les fonctionnalités du Gestionnaire de VM compatibles avec chaque système d'exploitation Compute Engine.
Si le système d'exploitation est compatible avec VM Manager, installer manuellement l'agent OS Config.
L'agent OS Config est installé, mais il n'installe pas l'agent Ops
Pour vérifier si des erreurs se produisent lorsque l'agent OS Config applique des règles, vous pouvez consulter le journal de l'agent OS Config. Pour cela, vous pouvez utiliser Explorateur de journaux, ou utilisation de SSH ou RDP pour examiner chaque instance de Compute Engine Compute Engine.
Pour afficher les journaux de l'agent OS Config dans l'explorateur de journaux, utilisez le filtre suivant :
resource.type="gce_instance"
logId(OSConfigAgent)
Pour afficher les journaux de l'agent OS Config, procédez comme suit :
CentOS, RHEL,
SLES, SUSE
Exécutez la commande suivante :
gcloud compute ssh INSTANCE_ID \
--project PROJECT_ID \
-- sudo cat /var/log/messages \
| grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"
Debian, Ubuntu
Exécutez la commande suivante :
gcloud compute ssh INSTANCE_ID \
--project PROJECT_ID \
-- sudo cat /var/log/syslog \
| grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"
Windows
Connectez-vous à votre instance via RDP ou un outil similaire, et connectez-vous à Windows.
Ouvrez l'application Event Viewer, puis sélectionnez Windows Logs > Application (Journaux Windows > Application), et recherchez les journaux pour lesquels
Source
est égal àOSConfigAgent
.
Si une erreur s'est produite lors de la connexion au service OS Config, assurez-vous d'exécuter le script prepare-for-ops-agents-policies.sh
comme décrit dans la section Avant de commencer pour configurer les métadonnées de OS Config.
Pour vérifier que les métadonnées OS Config sont activées, exécutez la commande suivante :
gcloud compute project-info describe \
--project PROJECT_ID \
| grep "enable-osconfig\|enable-guest-attributes" -A 1
Le résultat attendu est le suivant :
- key: enable-guest-attributes
value: 'TRUE'
- key: enable-osconfig
value: 'TRUE'
L'agent Ops est installé, mais ne fonctionne pas correctement
Pour en savoir plus sur le débogage des problèmes liés à l'agent Ops, consultez la section Résoudre les problèmes liés à l'agent Ops.
Activer les journaux de niveau débogage pour l'agent OS Config
Il peut être utile d'activer la journalisation de niveau débogage dans l'agent OS Config lorsque vous signalez un problème.
Vous pouvez définir les métadonnées osconfig-log-level: debug
pour activer la journalisation au niveau du débogage pour l'agent OS Config. Les journaux collectés contiennent plus d'informations pour faciliter l'investigation.
Afin d'activer la journalisation au niveau du débogage pour l'ensemble du projet, exécutez la commande suivante :
gcloud compute project-info add-metadata \
--project PROJECT_ID \
--metadata osconfig-log-level=debug
Pour activer la journalisation au niveau du débogage sur une VM, exécutez la commande suivante :
gcloud compute instances add-metadata INSTANCE_ID \
--project PROJECT_ID \
--metadata osconfig-log-level=debug
Scripts d'aide
Cette section fournit des informations supplémentaires sur les scripts d'aide. décrites dans ce document:
Script prepare-for-ops-agents-policies.sh
Après avoir téléchargé le script prepare-for-ops-agents-policies.sh
, vous pouvez l'utiliser pour effectuer les actions suivantes, en fonction des arguments que vous fournissez :
Activez l'API Cloud Logging, l'API Cloud Monitoring et l'API OS Config pour le projet.
Si l'API OS Config n'était pas déjà activée, elle l'est dans à fonctionnalités limitées, qui suffit à gérer les règles d'agent. Pour en savoir plus, reportez-vous à la page Tarifs.
Accordez les rôles Identity and Access Management Rédacteur de journaux (
roles/logging.logWriter
) et Rédacteur de métriques Monitoring (roles/monitoring.metricWriter
) au compte de service par défaut Compute Engine afin que les agents puissent écrire des journaux et des métriques dans les API Logging and Cloud Monitoring.Activez les métadonnées OS Config pour le projet afin que l'agent OS Config sur chaque VM est actif.
Attribuez l'un des rôles IAM suivants à l'utilisateur ou au compte de service non propriétaire nécessaire pour créer et gérer des stratégies. Les propriétaires de projet disposent d'un accès complet pour créer et gérer des règles ; tous les autres utilisateurs ou comptes de service doivent disposer de l'un des rôles suivants:
-
OSPolicyAssignment Admin
(
roles/osconfig.osPolicyAssignmentAdmin
) : fournit un accès complet aux attributions de règles d'OS.
- Éditeur OSPolicyAssignment (
roles/osconfig.osPolicyAssignmentEditor
) : permet aux utilisateurs d'obtenir, de mettre à jour et de répertorier les attributions de règles d'OS.
-
Lecteur OSPolicyAssignment
(
roles/osconfig.osPolicyAssignmentViewer
): Fournit un accès en lecture seule permettant d'obtenir et de lister les attributions de règles d'OS.
Lors de l'exécution du script, vous pouvez spécifier les rôles OSPolicyAssignment comme suit :
admin
,editor
ouviewer
. Le script mappe ces valeurs sur les noms des rôlesroles/osconfig.osPolicyAssignment*
.-
OSPolicyAssignment Admin
(
Les exemples suivants illustrent quelques appels courants du script. Pour en savoir plus, consultez les commentaires dans le script lui-même.
Pour activer les API, attribuez les rôles nécessaires au compte de service par défaut, et activez les métadonnées OS Config pour un projet, exécutez le script comme suit:
bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID
Pour en plus accorder l'un des rôles OS Config à un utilisateur qui ne dispose pas du rôle Propriétaire (roles/owner
) sur le projet, exécutez le script comme suit :
bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \ --iam-user=USER_EMAIL \ --iam-policy-access=[admin|editor|viewer]
Pour en plus accorder l'un des rôles OS Config à un compte de service autre que celui par défaut, exécutez le script comme suit :
bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \ --iam-service-account=SERVICE_ACCT_EMAIL \ --iam-policy-access=[admin|editor|viewer]
Script diagnose_policies.sh
À partir d'un ID de projet, d'un ID d'instance Compute Engine, d'une zone Compute Engine et de l'ID de règle de l'agent, le script diagnose_policies.sh
collecte automatiquement les informations nécessaires pour diagnostiquer les problèmes liés à la stratégie:
- Version de l'agent OS Config
- L'attribution de règles d'OS sous-jacente
- Attributions de règles de système d'exploitation applicables à cette instance Compute Engine
- Description de cette instance Compute Engine
Pour appeler le script, exécutez la commande suivante:
bash diagnose_policies.sh --project-id=PROJECT_ID \ --gce-instance-id=INSTANCE_ID \ --policy-id=POLICY_ID \ --zone=ZONE
Tarifs
Les commandes gcloud compute instances ops-agents policies
sont implémentées à l'aide de
Attribution de règles d'OS
les ressources de VM Manager.
Le script prepare-for-ops-agents-policies.sh
, décrit dans Avant de commencer, configure
VM Manager dans le
mode de fonctionnalité limitée
(OSCONFIG_B
),
qui suffit pour créer et gérer les règles d'agent. Il n'y a aucuns frais
pour utiliser VM Manager en mode limité.
Si vous avez configuré VM Manager en mode complet
(OSCONFIG_C
), des frais peuvent s'appliquer.