Autorizzazione dell'agente operativo

Nota: salta questa guida e torna a Installa Ops Agent, a meno che tu non stia utilizzando VM Compute Engine molto vecchie o debba utilizzare un account di servizio personalizzato anziché il account di servizio predefinito. Le istanze Compute Engine sono preautorizzate per l'esecuzione dell'agente.

Questa guida spiega come assicurarti che Ops Agent, che installi sull'istanza della tua macchina virtuale (VM), sia autorizzato a inviare i dati di telemetria a Logging.

Panoramica dell'autorizzazione

Con autorizzazione si intende il processo di determinazione delle autorizzazioni di cui dispone un client autenticato per un insieme di risorse. Google Cloud autorizza Ops Agent su un'istanza VM Compute Engine utilizzando le credenziali predefinite dell'applicazione (ADC).

Ops Agent supporta l'ADC che autentica l'account di servizio associato di una VM o una chiave dell'account di servizio.

• Un account di servizio associato si riferisce a un account di servizio specifico per una determinata risorsa, ad esempio una VM. Il account di servizio ha le proprie credenziali univoche. ADC utilizza il server di metadati della VM per ottenere le credenziali di un servizio.
• Una chiave dell'account di servizio si riferisce a una chiave privata utilizzata per autorizzare la coppia di chiavi su un account di servizio in un progetto, che consente di creare un token di accesso. Utilizza il token per fornire un'identità in modo da poter interagire con le API Google Cloud per conto dell'account di servizio.

• Ops Agent non supporta l'autorizzazione tramite gcloud auth. Per evitare comportamenti indesiderati, devi revocare tutte le credenziali create utilizzando gcloud auth.

Ti consigliamo di configurare l'ADC per autenticare un account di servizio collegato, se possibile, poiché la chiave privata richiede lo spazio di archiviazione locale, che può essere compromesso. Per ulteriori informazioni sulle chiavi degli account di servizio, consulta Best practice per la gestione delle chiavi degli account di servizio.

Verifica gli ambiti di accesso

Agli ambiti di accesso vengono assegnate le istanze VM di Compute Engine quando le crei. Le nuove VM Compute Engine dispongono di ambiti di accesso adeguati per Ops Agent, ma le VM precedenti o quelle in cui gli ambiti sono stati modificati potrebbero non averlo. Per ulteriori informazioni sugli ambiti di accesso e sugli account di servizio, consulta Autorizzazione nella documentazione di Compute Engine.

Per verificare gli ambiti di accesso:

1. Esegui una query sugli ambiti di accesso eseguendo il seguente comando sulla tua istanza Compute Engine:

   curl --silent --connect-timeout 1 -f -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/scopes

2. Se nell'output comando è elencato l'ambito di accesso https://www.googleapis.com/auth/cloud-platform , significa che disponi dell'autorizzazione sufficiente.

   Se https://www.googleapis.com/auth/cloud-platform non è elencato, hai bisogno di due ambiti di accesso, uno per ciascuna delle seguenti coppie di "registrazione" e "monitoraggio":

   • https://www.googleapis.com/auth/logging.write o
     https://www.googleapis.com/auth/logging.admin
   • https://www.googleapis.com/auth/monitoring.write o
     https://www.googleapis.com/auth/monitoring.admin

Per modificare gli ambiti di accesso:

1. Nella console Google Cloud, vai alla pagina Istanze VM:

   Vai a Istanze VM

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Compute Engine.

2. Se necessario, fai clic sull'elenco a discesa dei progetti Google Cloud e seleziona il nome del progetto.
3. Seleziona Istanze VM dal menu di navigazione, poi la scheda Istanze e infine il nome della VM.
4. Arresta la VM facendo clic su  Arresta.
5. Dopo l'arresto della VM, fai clic su  Modifica.
6. Individua Ambiti di accesso nella sezione Identità e accesso API della pagina, quindi seleziona Imposta l'accesso per ogni API.
7. Per le voci API Stackdriver Logging e API Stackdriver Monitoring, seleziona Sola scrittura.
8. Fai clic su Salva e poi riavvia la VM facendo clic su  Avvia/Riprendi.

Utilizza un account di servizio

Il termine autenticazione fa riferimento al processo di determinazione dell'identità del client. Per l'autenticazione, ti consigliamo di utilizzare un account di servizio, un tipo speciale di account utilizzato in genere da un'applicazione o da un carico di lavoro, anziché da una persona. Per ulteriori informazioni, consulta la panoramica degli account di servizio.

Puoi utilizzare gli account di servizio per l'autenticazione indipendentemente da dove viene eseguito il codice: su Compute Engine, App Engine o on-premise. Per ulteriori informazioni, consulta Autenticazione su Google.

Questa sezione descrive come creare un nuovo account di servizio e concedergli i ruoli necessari, nonché come aggiornare un account di servizio esistente se non dispone dei ruoli necessari.

Crea un account di servizio

Per creare un account di servizio, completa le procedure di creazione di un account di servizio con le seguenti informazioni:

• Seleziona il progetto Google Cloud in cui creare l'account di servizio.

  • Per le istanze Compute Engine, scegli il progetto in cui hai creato l'istanza.

• Nel menu a discesa Ruolo, seleziona i seguenti ruoli:

  • Monitoraggio > Monitoring Metric Writer.

  • Logging > Writer log.

• Se prevedi di eseguire l'autenticazione utilizzando una chiave dell'account di servizio, seleziona JSON come Tipo di chiave e fai clic su Crea.

  Quando fai clic su Crea, un file contenente una chiave dell'account di servizio viene scaricato sul tuo sistema locale. Per ulteriori informazioni, consulta Creare ed eliminare le chiavi degli account di servizio.

  Nota: una volta scaricata, una chiave non può essere scaricata di nuovo.

Successivamente, configura l'account di servizio e le impostazioni in base al fatto che l'autorizzazione venga eseguita utilizzando gli account di servizio collegati o le chiavi private degli account di servizio.

Verificare e modificare i ruoli di un account di servizio esistente

Puoi utilizzare la console Google Cloud per determinare i ruoli di un account di servizio esistente e aggiungere eventuali ruoli necessari mancanti:

1. Nella console Google Cloud, vai alla pagina IAM:

   Vai a IAM

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e amministrazione.

2. Se necessario, fai clic sull'elenco a discesa dei progetti Google Cloud e seleziona il nome del progetto.

3. Se non vedi un elenco di principali IAM (utenti e account di servizio), seleziona la scheda Autorizzazioni.

4. Nell'elenco Visualizza per entità, individua la voce relativa all'account di servizio. La colonna Ruolo elenca i ruoli concessi all'account di servizio.

5. Se il tuo account di servizio non dispone dei ruoli necessari per l'Ops Agent, segui i passaggi riportati di seguito per aggiungere i ruoli descritti in Creare un account di servizio:

   1. Fai clic su  Modifica nella voce relativa all'account di servizio.
   2. Fai clic su Aggiungi un altro ruolo per aggiungere eventuali ruoli mancanti.
   3. Fai clic su Salva.

Autorizzazione con un account di servizio collegato

Per autorizzare Ops Agent installato su un'istanza VM Compute Engine con un account di servizio collegato, segui questi passaggi:

1. Assicurati di aver verificato gli ambiti di accesso della tua VM.

2. Concedi al tuo account di servizio i ruoli IAM con privilegi minimi possibili. Per i ruoli richiesti, consulta la sezione Creare un account di servizio di questa pagina.

3. Associa l'account di servizio alla VM in cui è in esecuzione l'agente.

4. Se non l'hai ancora fatto, installa l'agente. Per informazioni su come installare l'agente, consulta Installazione dell'agente.

Autorizzazione con una chiave dell'account di servizio

Per autorizzare l'Ops Agent installato su un'istanza VM utilizzando le chiavi private dell'account di servizio:

1. Trasferisci il file della chiave dell'account di servizio dal sistema locale all'istanza VM:

   1. Crea una variabile di ambiente che indirizzi al file della chiave dell'account di servizio sul tuo sistema locale. L'esempio seguente crea una variabile denominata CREDS:

      CREDS=~/Downloads/PROJECT-NAME-KEY-ID.json
      

   2. Completa i passaggi mostrati nella tabella seguente:

      Nota: le seguenti istruzioni di copia dei file presuppongono che tu abbia un ambiente Linux sia sul sistema locale sia sull'istanza. Se utilizzi un ambiente diverso, consulta la documentazione del tuo fornitore cloud per scoprire come copiare il file della chiave dell'account di servizio. Assicurati che il file della chiave dell'account di servizio si trovi nella stessa posizione della variabile CREDS.

      Compute Engine

      1. Nella console Google Cloud, vai alla pagina Istanze VM:

         Vai a Istanze VM

         Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Compute Engine.

         Identifica INSTANCE_NAME e INSTANCE_ZONE per la tua VM.

      2. Sul sistema locale, esegui un comando Google Cloud CLI per copiare il file della chiave dal sistema locale all'istanza VM:

         REMOTE_USER="$USER"
         INSTANCE="INSTANCE_NAME"
         ZONE="INSTANCE_ZONE"
         gcloud compute scp "$CREDS" "$REMOTE_USER@$INSTANCE:~/temp.json" --zone "$ZONE"
         

      3. Nell'istanza Compute Engine, sposta il file della chiave dell'account di servizio dalla posizione temporanea a una posizione permanente e, per Linux, assicurati che il file della chiave dell'account di servizio sia leggibile solo da root.

         Devi anche impostare la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS in modo che indichi la posizione del file della chiave dell'account di servizio e la variabile deve essere visibile al processo dell'agente. Per informazioni sulla configurazione, consulta Imposta GOOGLE_APPLICATION_CREDENTIALS.

         Avviso: se hai già un file di chiavi dell'account di servizio, assicurati che il nuovo file di chiavi non sovrascriva quello delle tue applicazioni attuali.

         Ad esempio, su Linux puoi eseguire il seguente script che sposta il file della chiave dell'account di servizio nella posizione predefinita e imposta le autorizzazioni appropriate:

         CREDENTIALS_FILE_LOCATION="/etc/google/auth/application_default_credentials.json"
         sudo mkdir -p /etc/google/auth
         sudo mv "$HOME/temp.json" "$CREDENTIALS_FILE_LOCATION"
         sudo chown root:root "$CREDENTIALS_FILE_LOCATION"
         sudo chmod 0400 "$CREDENTIALS_FILE_LOCATION"
         

2. L'istanza VM ora contiene il file della chiave dell'account di servizio di cui ha bisogno l'agente. Poi, installa o riavvia l'agente:

   • Per informazioni su come installare l'agente, consulta Installazione dell'agente.

   • Per informazioni su come riavviare l'agente, consulta Riavviare l'agente.

   • Se vuoi ricontrollare il file della chiave dell'account di servizio, consulta la sezione Verificare le credenziali della chiave privata.

Imposta GOOGLE_APPLICATION_CREDENTIALS

Questa sezione mostra come impostare la variabile di ambienteGOOGLE_APPLICATION_CREDENTIALS in modo che sia visibile al processo dell'agente.

Nota: Ops Agent non è l'unico servizio che utilizza la variabile di ambiente GOOGLE_APPLICATION_CREDENTIALS. Se modifichi il valore di questa variabile come descritto in questa sezione, la modifica influisce su tutti i servizi di sistema che si basano su questa variabile.

Linux

1. Modifica il seguente file di configurazione o creane uno se non esiste:

   /etc/systemd/system.conf
   

2. Aggiungi quanto segue al file di configurazione:

   DefaultEnvironment="GOOGLE_APPLICATION_CREDENTIALS=PATH_TO_CREDENTIAL_FILE"
   

3. Ricarica le variabili di ambiente:

   sudo systemctl daemon-reload
   

4. Riavviare l'agente eseguendo il seguente comando nell'istanza VM:

   sudo systemctl restart google-cloud-ops-agent
   

Windows

1. In PowerShell, esegui i seguenti comandi come amministratore per impostare la variabile di ambiente di sistema GOOGLE_APPLICATION_CREDENTIALS da utilizzare per Ops Agent:

   [Environment]::SetEnvironmentVariable("GOOGLE_APPLICATION_CREDENTIALS", "PATH_TO_CREDENTIAL_FILE", "Machine")
   

2. Riavviare l'agente eseguendo il seguente comando nell'istanza VM:

   Restart-Service -Name google-cloud-ops-agent -Force