Puoi creare e gestire i criteri degli agenti utilizzando
Comando gcloud beta compute instances ops-agents policies
in Google Cloud CLI. I comandi di questo gruppo utilizzano la suite di strumenti di VM Manager in Compute Engine per gestire i criteri del sistema operativo, che possono automatizzare il deployment e la manutenzione delle configurazioni software come gli agenti di osservabilità di Google Cloud: l'agente Ops, l'agente di monitoraggio precedente e l'agente di logging precedente.
Crea un criterio dell'agente
Per creare un criterio di agente utilizzando Google Cloud CLI, completa quanto segue passaggi:
Se non lo hai già fatto, installa il Google Cloud CLI.
Questo documento descrive il gruppo di comandi
beta
per la gestione dei criteri degli agenti.Se non lo hai già fatto, installa il componente
beta
della gcloud CLI:gcloud components install beta
Per verificare se il componente
beta
è installato, esegui:gcloud components list
Se hai già installato il componente
beta
, assicurati di avere la versione più recente:gcloud components update
Scarica e utilizza il seguente script per attivare le API e impostare le autorizzazioni appropriate per l'utilizzo di Google Cloud CLI:
set-permissions.sh
.Per informazioni sullo script, consulta la sezione Script
set-permissions.sh
.Usa il comando
gcloud beta compute instances ops-agents policies
create
per creare un criterio. Per la sintassi del comando, consulta la documentazione digcloud beta compute instances ops-agents policies
create
.Per esempi che mostrano come formattare il comando, consulta la sezione Esempi della documentazione di Google Cloud CLI.
Per ulteriori informazioni sugli altri comandi del gruppo di comandi le opzioni disponibili, vedi
gcloud beta compute instances ops-agents policies
.
Best practice per l'utilizzo dei criteri dell'agente
Per controllare l'impatto sui sistemi di produzione durante l'implementazione, ti consigliamo di utilizzare le etichette e le zone delle istanze per filtrare le istanze a cui si applicano le norme.
Se stai creando un criterio per l'agente operativo, assicurati che sulle VM non sia installato l'agente Logging o l'agente Monitoring legacy. L'esecuzione di Ops Agent e degli agenti precedenti sulla stessa VM può causare l'importazione di log duplicati o un conflitto nell'importazione delle metriche. Se necessario, disinstallare l'agente Monitoring e disinstallare il Agente Logging prima di creare un criterio per installare Ops Agent.Ecco un esempio di un piano di implementazione graduale per le VM Debian 11 in un progetto
chiamato my_project
:
Fase 1: crea un criterio denominato ops-agents-policy-safe-rollout
per installare Ops Agent su tutte le VM con le etichette env=test
e app=myproduct
.
gcloud beta compute instances \
ops-agents policies create ops-agents-policy-safe-rollout \
--agent-rules="type=ops-agent,version=current-major,package-state=installed,enable-autoupgrade=true" \
--os-types=short-name=debian,version=11 \
--group-labels=env=test,app=myproduct \
--project=my_project
Per ulteriori informazioni su come specificare il sistema operativo, vedi
gcloud beta compute instances ops-agents policies
create
Fase 2: aggiorna il criterio per scegliere come target le VM in un'unica zona che hanno
etichette env=prod
e app=myproduct
.
gcloud beta compute instances \
ops-agents policies update ops-agents-policy-safe-rollout \
--group-labels=env=prod,app=myproduct \
--zones=us-central1-c \
Fase 3: aggiorna il criterio per cancellare il filtro delle zone in modo che venga implementato a livello globale
gcloud beta compute instances \
ops-agents policies update ops-agents-policy-safe-rollout \
--clear-zones
Criteri sulle VM precedenti a OS Config
Potresti dover installare e configurare manualmente l'agente OS Config sulle VM precedenti a OS Config. Per informazioni sull'installazione manuale e verificando l'agente OS Config, consulta Elenco di controllo per la verifica di VM Manager.
Risolvere i problemi relativi ai criteri dell'agente beta
Questa sezione fornisce informazioni per aiutarti a risolvere i problemi con l'agente beta per Ops Agent, l'agente Monitoring legacy e l'agente Logging legacy.
I comandi ops-agents policy
hanno esito negativo
In caso di errore di un comando gcloud beta compute instances ops-agents policies
, la risposta mostra un
errore di convalida. Correggi gli errori correggendo gli argomenti e i flag del comando come suggerito dal messaggio di errore.
Oltre agli errori di convalida, potresti notare errori che indicano le seguenti condizioni:
Le sezioni seguenti descrivono queste condizioni in maggiore dettaglio.
Autorizzazione IAM insufficiente
Se un comando gcloud beta compute instances ops-agents policies
non va a buon fine con un errore di autorizzazione, assicurati di aver eseguito lo script set-permissions.sh
come descritto in Creare un criterio dell'agente per configurare i ruoli dei criteri OS Config:
-
GuestPolicy Admin (
roles/osconfig.guestPolicyAdmin
): fornisce accesso completo alle norme per gli ospiti. -
Editor GuestPolicy (
roles/osconfig.guestPolicyEditor
): Consente agli utenti di ricevere, aggiornare ed elencare i criteri relativi agli ospiti. -
Visualizzatore di norme per gli ospiti (
roles/osconfig.guestPolicyViewer
): fornisce accesso di sola lettura per recuperare e elencare le norme per gli ospiti.
Per ulteriori informazioni sullo script set-permissions.sh
, consulta
Lo script set-permissions.sh
.
L'API OS Config non è abilitata
Un errore di esempio è simile al seguente:
API [osconfig.googleapis.com] not enabled on project PROJECT_ID.
Would you like to enable and retry (this will take a few minutes)?
(y/N)?
Puoi inserire y
per abilitare l'API oppure eseguire set-permissions.sh
script, descritto in
Crea un criterio dell'agente,
per concedere tutte le autorizzazioni necessarie. Se inserisci y
al prompt nel messaggio di errore, devi comunque eseguire lo script set-permissions.sh
per impostare le autorizzazioni necessarie.
Per verificare che l'API OS Config sia abilitata per il progetto, esegui i seguenti comandi:
gcloud services list --project PROJECT_ID | grep osconfig.googleapis.com
Di seguito è riportato l'output previsto:
osconfig.googleapis.com Cloud OS Config API
Il criterio non esiste
Un errore di esempio è simile al seguente:
NOT_FOUND: Requested entity was not found
Questo errore potrebbe indicare che il criterio non è mai stato creato, che è stato eliminato o che l'ID criterio specificato non è corretto. Assicurati che il valore POLICY_ID utilizzato in un comando gcloud beta compute instances ops-agents policies
, describe
, update
o delete
corrisponda a un criterio esistente. Per ottenere un elenco degli agenti
usa il comando gcloud beta compute instances ops-agents policies
list
.
Il criterio è stato creato, ma sembra non produrre alcun effetto
Gli agenti di configurazione del sistema operativo vengono dipartiti in ogni istanza Compute Engine per gestire i pacchetti per gli agenti Logging e Monitoring. Il criterio potrebbe non avere alcun effetto se l'agente di configurazione del sistema operativo di base non è installato.
Linux
Per verificare che l'agente OS Config sia installato, esegui questo comando:
gcloud compute ssh instance-id \
--project project-id \
-- sudo systemctl status google-osconfig-agent
Un output di esempio è:
google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
└─369 /usr/bin/google_osconfig_agent
Windows
Per verificare che l'agente di configurazione del sistema operativo sia installato, svolgi i seguenti passaggi:
Connettiti all'istanza utilizzando RDP o uno strumento simile e accedi a Windows.
Apri un terminale PowerShell ed esegui il seguente comando PowerShell. Non sono necessari privilegi di amministratore.
Get-Service google_osconfig_agent
Un output di esempio è:
Status Name DisplayName
------ ---- -----------
Running google_osconfig_a… Google OSConfig Agent
Se l'agente OS Config non è installato, è possibile che sia in uso un che non supporta VM Manager. Il documento Dettagli del sistema operativo di Compute Engine indica quali funzionalità di VM Manager sono supportate per ciascun sistema operativo Compute Engine.
Se il sistema operativo supporta VM Manager, puoi installare l'agente OS Config manualmente.
L'agente di configurazione del sistema operativo è installato, ma non viene installato l'agente operativo
Per verificare se si verificano errori quando l'agente OS Config applica i criteri, puoi controllare il log dell'agente. Puoi farlo utilizzando Logs Explorer o SSH o RDP per controllare le singole istanze Compute Engine.
Per visualizzare i log dell'agente OS Config in Esplora log, utilizza il seguente filtro:
resource.type="gce_instance"
logId(OSConfigAgent)
Per visualizzare i log dell'agente OS Config:
CentOS, RHEL,
SLES, SUSE
Esegui questo comando:
gcloud compute ssh INSTANCE_ID \
--project PROJECT_ID \
-- sudo cat /var/log/messages \
| grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"
Debian, Ubuntu
Esegui questo comando:
gcloud compute ssh INSTANCE_ID \
--project PROJECT_ID \
-- sudo cat /var/log/syslog \
| grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"
Windows
Connettiti all'istanza utilizzando RDP o uno strumento simile e accedi a Windows.
Apri l'app Visualizzatore eventi, poi seleziona Registri di Windows > Applicazione e cerca i log con
Source
uguale aOSConfigAgent
.
Se si verifica un errore di connessione al servizio OS Config, assicurati di eseguire lo scriptset-permissions.sh
come descritto in Creare un criterio dell'agente per configurare i metadati di OS Config.
Per verificare che i metadati OS Config siano abilitati, puoi eseguire quanto segue :
gcloud compute project-info describe \
--project PROJECT_ID \
| grep "enable-osconfig\|enable-guest-attributes" -A 1
Di seguito è riportato l'output previsto:
- key: enable-guest-attributes
value: 'TRUE'
- key: enable-osconfig
value: 'TRUE'
Gli agenti di osservabilità sono installati, ma non funzionano correttamente
Per informazioni sul debug di agenti specifici, consulta i seguenti documenti:
- Risolvere i problemi relativi a Ops Agent
- Risolvere i problemi dell'agente Logging legacy
- Risolvere i problemi dell'agente Monitoring legacy
Attivare i log a livello di debug per l'agente OS Config
Può essere utile abilitare il logging a livello di debug nell'agente OS Config quando segnalando un problema.
Puoi impostare i metadati osconfig-log-level: debug
per abilitare a livello di debug
per l'agente OS Config. I log raccolti contengono maggiori informazioni
e aiutarti con l'indagine.
Per attivare il logging a livello di debug per l'intero progetto, esegui il seguente comando:
gcloud compute project-info add-metadata \
--project PROJECT_ID \
--metadata osconfig-log-level=debug
Per abilitare il logging a livello di debug per una VM, esegui questo comando:
gcloud compute instances add-metadata INSTANCE_ID \
--project PROJECT_ID \
--metadata osconfig-log-level=debug
Script di supporto
Questa sezione fornisce informazioni aggiuntive sugli script di assistenza descritti in questo documento:
Lo script set-permissions.sh
Dopo aver scaricato lo script set-permissions.sh
, puoi utilizzarlo per eseguire le seguenti azioni in base agli argomenti forniti:
Abilita l'API Cloud Logging, l'API Cloud Monitoring e l'API OS Config per il progetto.
Concedi i ruoli di Identity and Access Management Writer log (
roles/logging.logWriter
) e Autore delle metriche di Monitoring (roles/monitoring.metricWriter
) al servizio predefinito di Compute Engine account in modo che gli agenti possano scrivere log e metriche API Logging e Cloud Monitoring.Abilita i metadati OS Config per il progetto in modo che l'agente OS Config sia attivo su ogni VM.
Concedi uno dei seguenti ruoli IAM agli utenti non proprietari per creare e gestire i criteri. Progetto i proprietari hanno accesso completo alla creazione e alla gestione dei criteri; tutti gli altri utenti o di servizio agli account deve essere concesso uno dei seguenti ruoli:
-
Amministratore GuestPolicy (
roles/osconfig.guestPolicyAdmin
): Fornisce l'accesso completo ai criteri guest. -
Editor GuestPolicy (
roles/osconfig.guestPolicyEditor
): Consente agli utenti di ricevere, aggiornare ed elencare i criteri relativi agli ospiti. -
Visualizzatore GuestPolicy (
roles/osconfig.guestPolicyViewer
): Fornisce l'accesso di sola lettura per recuperare ed elencare i criteri guest.
Quando esegui lo script, devi solo specificare
guestPolicy*
del nome del ruolo. Lo script fornisce la parteroles/osconfig.
del nome.-
Amministratore GuestPolicy (
Gli esempi seguenti mostrano alcune invocazioni comuni dello script. Per ulteriori informazioni, vedi i commenti nello script stesso.
Per abilitare le API, concedi i ruoli necessari all'account di servizio predefinito, e abilita i metadati OS Config per un progetto, esegui lo script come segue:
bash set-permissions.sh --project=PROJECT_ID
Per concedere inoltre uno dei ruoli di configurazione del sistema operativo a un utente che
non hanno il ruolo Proprietario (roles/owner
) per il progetto, esegui lo script come
che segue:
bash set-permissions.sh --project=PROJECT_ID \ --iam-user=USER_EMAIL \ --iam-permission-role=guestPolicy[Admin|Editor|Viewer]
Per concedere inoltre uno dei ruoli di OS Config a un account di servizio non predefinito, esegui lo script come segue:
bash set-permissions.sh --project=PROJECT_ID \ --iam-service-account=SERVICE_ACCT_EMAIL \ --iam-permission-role=guestPolicy[Admin|Editor|Viewer]
Lo script diagnose.sh
Dati un ID progetto, un ID istanza Compute Engine e l'ID criterio dell'agente, lo script diagnose.sh
raccoglie automaticamente le informazioni necessarie per aiutarti a diagnosticare i problemi relativi al criterio:
- La versione dell'agente OS Config
- Il criterio guest di OS Config sottostante
- I criteri applicabili a questa istanza Compute Engine
- I repository dei pacchetti dell'agente che vengono estratti in questa istanza Compute Engine
Per richiamare lo script, esegui il seguente comando:
bash diagnose.sh --project-id=PROJECT_ID \ --gce-instance-id=INSTANCE_ID \ --policy-id=POLICY_ID
Integrazione con Terraform
Il supporto di Terraform si basa sui comandi Google Cloud CLI. Per creare un piano di controllo degli agenti utilizzando Terraform, segui le istruzioni del modulo Terraform.