Monitoring エージェントを認可する

このガイドでは、仮想マシン（VM）インスタンスにインストールした Monitoring エージェントに Google Cloud Observability へのテレメトリーデータの送信を認可する方法について説明します。

認可の概要

これに対して、「認可」とは、認証されたクライアントが一連のリソースに対してどのような権限を持つかを決定するためのプロセスです。Google Cloud は、アプリケーションのデフォルト認証情報（ADC）を使用して、Compute Engine VM インスタンスで Monitoring エージェントを認可します。

Monitoring エージェントは、VM に接続されているサービスアカウントまたはサービスアカウントキーのいずれかを認証する ADC をサポートします。

接続されたサービスアカウントは、特定のリソース（VM など）に固有のサービスアカウントを意味します。サービスアカウントには固有の認証情報があります。ADC は VM のメタデータサーバーを使用してサービスの認証情報を取得します。
サービスアカウントキーは、プロジェクトのサービスアカウントで鍵ペアを認可するために使用する秘密鍵を、アクセストークンの作成に使用できます。トークンを使用して ID を提供し、サービスアカウントに代わって Google Cloud APIs を操作できるようにします。

秘密鍵にはローカルストレージが必要であり、また、このストレージは侵害される可能性があるため、可能な限り、接続されたサービスアカウントを認証するように ADC を構成することをおすすめします。サービスアカウントキーの詳細については、サービスアカウントキーの管理に関するベストプラクティスをご覧ください。

AWS EC2 VM インスタンスの場合、Monitoring エージェントはサービスアカウントキーを使用した認証のみをサポートします。

始める前に

次のいずれかに該当する場合は、このガイドをお読みください。

非常に古い Compute Engine インスタンスを実行しているか、Compute Engine インスタンスのアクセススコープまたはサービスアカウントの設定を変更した場合は、エージェントをインストールする前にこのガイドの手順を完了する必要があります。これらの VM には、必要なサービスアカウントキーファイルがない可能性があります。インスタンスのアクセススコープとサービスアカウントの設定を確認する方法については、Compute Engine の認証情報を確認するをご覧ください。

新しく作成された Compute Engine VM インスタンスには、エージェントの実行に必要なアクセススコープとサービスアカウントが設定されています。
Amazon EC2（AWS VC2）VM インスタンスを実行している場合は、エージェントをインストールする前に次の操作を行います。
1. EC2 インスタンスを持つ AWS アカウントの AWS ホスティングプロジェクトを特定します。ホスティングプロジェクトは、EC2 インスタンスの指標とログを AWS アカウントに保存することのみを目的とする Google Cloud プロジェクトです。
  
  アカウントの AWS ホスティングプロジェクトが見つからない場合は、ホスティングプロジェクトとして機能する Google Cloud プロジェクトを作成することをおすすめします。複数の AWS アカウントに EC2 インスタンスがある場合は、アカウントごとに Google Cloud プロジェクトを作成します。また、これらのプロジェクトには命名規則を使用するか、プロジェクトラベルを使用して、ホスティングプロジェクトを識別できるようにすることをおすすめします。既存の Google Cloud プロジェクトを再利用することはおすすめしません。特に、Google Cloud リソースが含まれている場合はなおさらです。
2. サービスアカウントキーファイルを使用してエージェントを認可する手順を完了します。

アクセススコープを確認するには、次の操作を行います。

Compute Engine インスタンスで次のコマンドを実行して、アクセススコープをクエリします。

curl --silent --connect-timeout 1 -f -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/scopes

コマンド出力でアクセススコープ https://www.googleapis.com/auth/cloud-platform がリストされている場合、認証情報は十分です。

https://www.googleapis.com/auth/cloud-platform がリストにない場合、次の「logging」と「monitoring」のペアから 1 つずつ、2 つのアクセススコープが必要です。
- https://www.googleapis.com/auth/logging.write または
  https://www.googleapis.com/auth/logging.admin
- https://www.googleapis.com/auth/monitoring.write または
  https://www.googleapis.com/auth/monitoring.admin

アクセススコープを変更するには、次の操作を行います。

Google Cloud コンソールで、[VM インスタンス] ページに移動します。
[VM インスタンス] に移動

検索バーを使用してこのページを検索する場合は、小見出しが [Compute Engine] の結果を選択します。
必要に応じて、Google Cloud プロジェクトのプルダウンリストをクリックし、プロジェクトの名前を選択します。
ナビゲーションメニューから [VM インスタンス] を選択し、[インスタンス] タブを選択して VM の名前を選択します。
停止アイコンをクリックして VM をシャットダウンします。
VM が停止したら、編集アイコンをクリックします。
ページの [ID と API へのアクセス] セクションで [アクセススコープ] を見つけて、[API ごとにアクセス権を設定] を選択します。
[Stackdriver Logging API] と [Stackdriver Monitoring API] エントリの場合、[書き込みのみ] を選択します。
[保存] をクリックしてから、開始 / 再開アイコンをクリックして VM を再起動します。

サービスアカウントを使用する

「認証」とは、クライアントの身元を判別するためのプロセスです。認証にはサービスアカウントを使用することをおすすめします。これは、個人ではなく、アプリケーションまたはワークロードで通常使用される特別な種類のアカウントです。詳しくは、サービスアカウントの概要をご覧ください。

サービスアカウントは、コードが実行される場所（Compute Engine、App Engine、オンプレミス）に関係なく、認証に使用できます。詳細については、Google での認証をご覧ください。

このセクションでは、新しいサービスアカウントを作成して、それを必要なロールを付与する方法と、既存のサービスアカウントに必要なロールがない場合にそれを更新する方法について説明します。

サービスアカウントを作成する

サービスアカウントを作成するには、次の情報を使用してサービスアカウントの作成手順を完了します。

サービスアカウントを作成する Google Cloud プロジェクトを選択します。
- Compute Engine インスタンスの場合は、インスタンスを作成したプロジェクトを選択します。
- Amazon EC2 インスタンスの場合は、[AWS ホスティングプロジェクト] を選択します。
[ロール] プルダウンメニューで次のロールを選択します。
- [モニタリング] > [モニタリング指標の書き込み]。これは Monitoring エージェントを承認します。
Logging エージェントもインストールする場合は、エージェントに次の役割を追加します。
- [ロギング] > [ログ書き込み]。これにより、Logging エージェントが認可されます。
サービスアカウントキーを使用して認証する場合は、[キーのタイプ] として [JSON] を選択し、[作成] をクリックします。

[作成] をクリックすると、サービスアカウントキーを含むファイルがローカルシステムにダウンロードされます。詳細については、サービスアカウントキーの作成と削除をご覧ください。

注: キーをダウンロードした後に、そのキーを再度ダウンロードすることはできません。

次に、接続されたサービスアカウント、またはサービスアカウントの秘密鍵のどちらを使用して認可するかに基づいて、サービスアカウントと設定を構成します。

既存のサービスアカウントのロールを確認して変更する

Google Cloud コンソールを使用して、既存のサービスアカウントにどのロールが付与されているかを確認し、不足している必要なロールを追加できます。

Google Cloud コンソールの [IAM] ページに移動します。
[IAM] に移動

検索バーを使用してこのページを検索する場合は、小見出しが [IAM と管理者] である結果を選択します。
必要に応じて、Google Cloud プロジェクトのプルダウンリストをクリックし、プロジェクトの名前を選択します。
IAM プリンシパル（ユーザーとサービスアカウント）のリストが表示されない場合は、[権限] タブを選択します。
[プリンシパル別に表示] リストで、サービスアカウントのエントリを見つけます。[ロール] 列に、サービスアカウントに付与されているロールが一覧表示されます。
サービスアカウントに Monitoring エージェントに必要なロールがない場合は、次の手順に沿って、サービスアカウントを作成するで説明されているロールを追加します。
1. サービスアカウントのエントリで [ 編集] をクリックします。
2. [別のロールを追加] をクリックして、不足しているロールを追加します。
3. [保存] をクリックします。

接続されたサービスアカウントを使用して認可する

サービスアカウントが接続されている Compute Engine VM インスタンスにインストールされている Monitoring エージェントを認可する手順は次のとおりです。

VM のアクセススコープを確認します。
そのサービスアカウントに最小権限の IAM ロールを付与します。必要なロールについては、このページのサービスアカウントを作成するセクションをご覧ください。
エージェントが実行されている VM にサービスアカウントを接続します。
エージェントをまだインストールしていない場合は、インストールします。エージェントをインストールする方法については、エージェントのインストールをご覧ください。

サービスアカウントキーで認可する

サービスアカウントの秘密鍵を使用して VM インスタンスにインストールされている Monitoring エージェントを認可するには、次のようにします。

サービスアカウントキーファイルをローカルシステムから VM インスタンスに転送します。
1. ローカルシステムのサービスアカウントキーファイルを指す環境変数を作成します。次の例では、CREDS という変数を作成します。
```
CREDS=~/Downloads/PROJECT-NAME-KEY-ID.json
```
2. 次の表の手順を完了します。
  
  注: 以下のファイルコピーの手順は、ローカルシステムとインスタンスの両方に Linux 環境があることを前提としています。別の環境を使用している場合は、クラウドプロバイダのドキュメントでサービスアカウントキーファイルのコピー方法を調べてください。サービスアカウントキーファイルは CREDS 変数と同じ場所に配置する必要があります。
  Compute Engine
  1. Google Cloud コンソールで、[VM インスタンス] ページに移動します。
    [VM インスタンス] に移動
    
    検索バーを使用してこのページを検索する場合は、小見出しが [Compute Engine] の結果を選択します。
    
    VM の INSTANCE_NAME と INSTANCE_ZONE を特定します。
  2. ローカルシステムで Google Cloud CLI コマンドを実行して、ローカルシステムから VM インスタンスにキーファイルをコピーします。
    
    REMOTE_USER="$USER" INSTANCE="INSTANCE_NAME" ZONE="INSTANCE_ZONE" gcloud compute scp "$CREDS" "$REMOTE_USER@$INSTANCE:~/temp.json" --zone "$ZONE"
  3. Compute Engine インスタンスで、サービスアカウントキーファイルを一時的な場所から永続的な場所に移動します。Linux の場合、サービスアカウントキーファイルは root にのみ読み取りを許可します。
    
    警告: サービスアカウントキーファイルがすでにある場合は、新しいキーファイルによってアプリケーションの現在のキーファイルが上書きされないようにしてください。
    
    注: サービスアカウントキーファイルは、Windows を実行している Compute Engine VM の Monitoring エージェントではサポートされていません。これらの VM では、エージェントはメタデータサーバーから提供された認証情報を使用します。
    
    エージェントが想定するキーファイルの場所は次のとおりです。
    
    Linux VM: /etc/google/auth/application_default_credentials.json
    
    Linux VM: 環境変数 GOOGLE_APPLICATION_CREDENTIALS に保存されている任意の場所。エージェントのプロセスから認識できる必要があります。構成情報については、GOOGLE_APPLICATION_CREDENTIALS を設定するをご覧ください。
    
    たとえば、Linux でサービスアカウントキーファイルをデフォルトの場所に移動する次のスクリプトを実行すると、適切な権限を設定できます。
    
    CREDENTIALS_FILE_LOCATION="/etc/google/auth/application_default_credentials.json" sudo mkdir -p /etc/google/auth sudo mv "$HOME/temp.json" "$CREDENTIALS_FILE_LOCATION" sudo chown root:root "$CREDENTIALS_FILE_LOCATION" sudo chmod 0400 "$CREDENTIALS_FILE_LOCATION"
  Amazon EC2
  1. VM の YOUR-INSTANCE'S-ID と YOUR-INSTANCE'S-AWS-REGION を特定します。
  2. ローカルシステムで、scp を使用してサービスアカウントキーファイルをローカルシステムから VM インスタンスにコピーします。
    
    KEY="YOUR-SSH-KEY-PAIR-FILE" INSTANCE="ec2-YOUR-INSTANCE'S-ID.YOUR-INSTANCE'S-AWS-REGION.compute.amazonaws.com" # The remote user depends on the installed OS: ec2-user, ubuntu, root, etc. REMOTE_USER="EC2-USER" scp -i "$KEY" "$CREDS" "$REMOTE_USER@$INSTANCE:~/temp.json"
    
    INSTANCE 環境変数の値は、EC2 インスタンスが us-east-1 リージョンにないことを前提としています。インスタンスが us-east-1 リージョンにあるときに INSTANCE 変数を定義する方法については、Amazon で定義されている命名規則をご覧ください。
  3. EC2 インスタンスで、サービスアカウントキーファイルを一時的な場所から次のいずれかの場所に移動します。Linux の場合、サービスアカウントキーファイルは root でのみ読み取り可能にします。
    
    警告: サービスアカウントキーファイルがすでにある場合は、新しいキーファイルによってアプリケーションの現在のキーファイルが上書きされないようにしてください。
    エージェントが想定するキーファイルの場所は次のとおりです。
    
    Linux VM: /etc/google/auth/application_default_credentials.json
    
    Windows VM: C:\ProgramData\Google\Auth\application_default_credentials.json
    
    Linux VM と Windows VM: 環境変数 GOOGLE_APPLICATION_CREDENTIALS に格納する任意の場所。エージェントのプロセスから認識できる必要があります。構成情報については、GOOGLE_APPLICATION_CREDENTIALS を設定するをご覧ください。
    
    たとえば、Linux でサービスアカウントキーファイルをデフォルトの場所に移動する次のスクリプトを実行すると、適切な権限を設定できます。
    
    CREDENTIALS_FILE_LOCATION="/etc/google/auth/application_default_credentials.json" sudo mkdir -p /etc/google/auth sudo mv "$HOME/temp.json" "$CREDENTIALS_FILE_LOCATION" sudo chown root:root "$CREDENTIALS_FILE_LOCATION" sudo chmod 0400 "$CREDENTIALS_FILE_LOCATION"
これで、エージェントが必要とするサービスアカウントキーファイルが VM インスタンスに存在するようになりました。次に、エージェントをインストールまたは再起動します。
- エージェントをインストールする方法については、エージェントのインストールをご覧ください。
- エージェントを再起動する方法については、エージェントの再起動をご覧ください。
- サービスアカウントキーファイルを再確認する場合は、秘密鍵認証情報を確認をご覧ください。

`GOOGLE_APPLICATION_CREDENTIALS` を設定する

このセクションでは、エージェントのプロセスに表示できるように環境変数 GOOGLE_APPLICATION_CREDENTIALS を設定する方法について説明します。

Linux

次の構成ファイルを編集します。ファイルが存在しない場合は作成します。
```
/etc/default/stackdriver-agent
```
構成ファイルに以下の内容を追加します。
```
GOOGLE_APPLICATION_CREDENTIALS=PATH_TO_CREDENTIAL_FILE
```
VM インスタンスで次のコマンドを実行して、エージェントを再起動します。
```
sudo service stackdriver-agent restart
```

Windows

PowerShell で管理者として次のコマンドを実行し、Ops エージェントで使用する GOOGLE_APPLICATION_CREDENTIALS システム環境変数を設定します。
```
[Environment]::SetEnvironmentVariable("GOOGLE_APPLICATION_CREDENTIALS", "PATH_TO_CREDENTIAL_FILE", "Machine")
```
VM インスタンスで次のコマンドを実行して、エージェントを再起動します。
```
Restart-Service -Name StackdriverMonitoring
```

Monitoring エージェントを認可する

認可の概要

始める前に

サービス アカウントを使用する

サービス アカウントを作成する

既存のサービス アカウントのロールを確認して変更する

接続されたサービス アカウントを使用して認可する

サービス アカウント キーで認可する

Compute Engine

Amazon EC2

GOOGLE_APPLICATION_CREDENTIALS を設定する