Überwachung Amazon Web Services ( AWS ) mit Amazon Web Services ( AWS ) Agent

Sie können den AWS Agenten unter Windows oder Linux auf EC2 installieren. Es ist besser, den AWS Instana-Agenten auf einem All zweckrechner der aktuellen Generation auszuführen, auf dem Linux®. Beispielsweise sind Instanzen m5.large ideal.

1. Klicken Sie in der Instana-Benutzeroberfläche auf AWS „Mehr “ > „Agenten“ > „Agenten installieren “.

2. Wählen Sie in der Liste Technologie den Eintrag Instana AWS-Sensor aus.

3. Wählen Sie aus der Liste „Run your AWSElastic Cloud Agent on“ die Option „Compute ( EC2 )“ aus (dies ist die Standardeinstellung).

   Ihr Agentenschlüssel und Ihr Standort sind im Skript bereits vorausgefüllt und werden als User Data on verwendet EC2. Kopieren Sie das angezeigte Skript. Das Skript sieht wie folgt aus, außer dass alle erforderlichen Informationen bereitgestellt werden:

   #!/bin/bash
   
   curl -o setup_agent.sh https://setup.instana.io/agent
   chmod 700 ./setup_agent.sh
   sudo ./setup_agent.sh -y -a <your-agent-key> -m aws -t dynamic -e <location> -s
    

4. Starten Sie eine dedizierte EC2 virtuelle Maschine und verwenden Sie das kopierte Skript als User Data. Weitere Informationen zur Verwendung User Data von auf EC2 finden Sie in der Dokumentation „Ausführen von Befehlen auf Ihrer Linux Instanz bei der Inbetriebnahme “.

5. Kopieren Sie die Konfigurationen im Codeblock des Themas „IAM-Rollen“ in eine configuration.json Datei. Diese Konfigurationen werden für die erforderliche IAM-Rolle für die EC2 virtuelle Maschine verwendet, auf der der AWS Instana-Agent ausgeführt wird, und ermöglichen es dem AWS Agenten, Ihre AWS Ressourcen zu erkennen und zu überwachen. Erstellen Sie anschließend eine IAM-Rolle mit der configuration.json Datei. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM-Benutzer.

6. Damit die IAM-Rolle die AssumedRole Aktion ausführen kann, bearbeiten Sie die Datei Trust Relationship wie folgt:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Wenn der Agent auf einem EC2 Rechner ohne Internetzugang läuft, bearbeiten Sie die Trust Relationship wie folgt:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com.cn"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Weitere erforderliche Konfigurationen finden Sie unter Einrichten des regionalen STS-Endpunkts.

Sie können den AWS Agenten unter Windows oder Linux auf Fargate auf ECS installieren.

1. Klicken Sie in der Instana-Benutzeroberfläche auf AWS „Mehr “ > „Agenten“ > „Agenten installieren “.

2. Wählen Sie in der Liste Technologie den Eintrag Instana AWS-Sensor aus.

3. Wählen Sie in der Liste „Agent AWS ausführen auf“ die Option „Elastic Container Service (ECS) “ aus.

   Die JSON-Datei einer Aufgabenbeschreibung wird für Sie in der JSON-Vorlage für Aufgabenbeschreibungen vorab generiert. Laden Sie die JSON-Datei herunter und verwenden Sie sie mit den Funktionen „Konfigurieren mit JSON“ der Benutzeroberfläche „Aufgabendefinition“.

4. Laden Sie die JSON-Datei mit den IAM-Berechtigungen herunter und weisen Sie der neuen Aufgabendefinition eine IAM-Rolle zu, die mindestens die in der heruntergeladenen JSON-Datei aufgeführten Berechtigungen enthält.

5. Erstellen Sie einen ECS-Service mit einer Instanz der neu erstellten Taskdefinition.

Sie können auch jeden Agenten einsetzen, der außerhalb Ihrer AWS Infrastruktur läuft. Um dieses Ziel zu erreichen, müssen Sie die folgenden Umgebungsvariablen in der setenv Datei angeben:

• Unter Linux:

  /opt/instana/agent/bin/setenv

• Unter Windows:

  C:\Program Files\Instana\instana-agent\bin\setenv

• Die Region, die Sie überwachen möchten:

  INSTANA_AWS_REGION_CONFIG=

• Die Berechtigungsnachweise für den Zugriff auf AWS-Ressourcen. Diese Anmeldedaten sollten zu einem Benutzer gehören, der Zugriff auf die bereits im Abschnitt Amazon Web Services „IAM-Konfiguration“ beschriebenen Ressourcen hat.

  AWS_ACCESS_KEY_ID=
  AWS_SECRET_ACCESS_KEY=

Standardmäßig kontaktiert der Instana-Agent den globalen STS-Endpunkt von der EC2 Instanz aus, um die Anmeldedaten des Instanzprofils abzurufen. Wenn der Instana-Host-Agent jedoch auf einem EC2 Rechner ohne Internetzugang (z. B. in Regionen in China) ausgeführt wird, muss der STS-Regionsendpunkt als Umgebungsvariable angezeigt werden, die den Instana-Agenten anweist, regionale STS-Endpunkte zu verwenden.

Nachdem der Instana-Agent installiert wurde, geben Sie die folgende Umgebungsvariable innerhalb der *instanaAgentDir*/bin/setenv:

export AWS_STS_REGIONAL_ENDPOINTS=regional
 

Für jeden Dienst müssen Sie die erforderlichen Berechtigungen auf den einzelnen Dienstseiten hinzufügen, die über den Abschnitt „Überwachte Dienste“ verlinkt sind. Um einen Service von der Überwachung auszuschließen, lassen Sie die entsprechende Berechtigung aus.

Alternativ können Sie einen Dienst auch von der Überwachung ausschließen, indem Sie das entsprechende enabled_ Flag hinzufügen, <agent_install_dir>/etc/instana/configuration.yml wie auf den folgenden einzelnen Dienstseiten beschrieben.

Der AWS-Instana-Agent unterstützt die Überwachung von Services von mehreren AWS-Accounts in derselben Region. Derzeit gibt es zwei Ansätze: die Verwendung von AWS benannten Profilen und die Verwendung von AWS Security Token Service (STS).

Nachdem Sie die Überwachung eines Dienstes aktiviert haben, können Sie filtern, welche seiner Instanzen Instana anhand von AWS Tags überwachen soll, indem Sie die Konfigurationsdatei /opt/instana/agent/etc/instana/configuration.yaml des AWS Agenten ändern.

Die verfügbaren Optionen in der Konfigurationsdatei lauten wie folgt:

com.instana.plugin.aws:
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is discovered.
  include_tags: ...
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is omitted from discovery.
  exclude_tags: ...
  # Exclude untagged AWS resources by setting the flag to `false`
  include_untagged: ...
 

Es können mehrere Tags getrennt durch Kommata definiert werden. Tags sollten ein Schlüssel-Wert-Paar sein, das durch :getrennt ist. Wenn Sie Tags in beiden Listen (einschließen und ausschließen) definieren, hat die Ausschlussliste eine höhere Priorität. Wenn keine Filterdienste erforderlich sind, sollte die Konfiguration nicht definiert werden.

Der Instana-Agent überwacht automatisch alle AWS Ressourcen, denen keine Tags zugewiesen sind. {: note} Um nicht getaggte Ressourcen von der Überwachung auszuschließen, setzen Sie das include_untagged Flag auf false.

Die Filterung kann auch auf Service-Level-Ebene konfiguriert werden. In diesem Fall wird die Standardkonfiguration für den jeweiligen Service außer Kraft gesetzt. Weitere Informationen zum Filtern von Entdeckungen nach bestimmten Diensten finden Sie in der Dokumentation zu den jeweiligen Diensten.

Um festzulegen, wie oft der AWS Agent den überwachten AWS Dienst abfragt, um zugehörige Tags abzurufen, verwenden Sie die tagged-services-poll-rate Konfigurationseigenschaft. Der Standardwert ist 300 Sekunden. Der Agent verwendet AWS den Service-Client, um Tags abzufragen.

Die Konfiguration der Abrufrate für die mit Tags versehenen Ressourcen sieht wie folgt aus:

com.instana.plugin.aws:
  tagged-services-poll-rate: 60 #default 300
 

Das Abfrageintervall gibt an, wie oft AWS der Agent die CloudWatch API aufruft. Es kann als cloudwatch_period in der configuration.yml Datei konfiguriert werden. Der Standardwert ist 300 Sekunden. Am häufigsten verwenden Überwachungsplattformen einen Wert zwischen 5 und 10 Minuten.

Das Abrufintervall ist auf zwei Ebenen konfigurierbar:

• Auf Agentenebene für alle vom Agenten überwachten AWS-Services:

  com.instana.plugin.aws:
    cloudwatch_period: 300
   

• Pro AWS-Service:

  com.instana.plugin.aws.rds:
    cloudwatch_period: 300
   

Die Konfiguration für einen einzelnen Service überschreibt die Konfiguration auf Agentenebene.

Um Einblicke in Ihre AWS-Services zu ermöglichen, müssen Überwachungsplattformen wie Instana die CloudWatch-API verwenden. Diese API wird von AWS mit verbrauchsabhängiger Preisgestaltung bereitgestellt. Der Zweck dieser Dokumentation besteht darin, Transparenz darüber zu schaffen, wie Instana die CloudWatch API nutzt, damit Nutzer die Auswirkungen auf ihre AWS Rechnung nachvollziehen können.

Die Kosten von CloudWatch sind abhängig von:

• Anzahl der überwachten Instanzen von AWS-Services
• Anzahl der pro AWS Agent gesammelten Metriken
• Abrufintervall (konfigurierbar)

Jeder AWS Agent ruft die GetMetricDataCloudWatch API-Anfrage zur Metrikenerfassung auf, und wenn diese fehlschlägt, GetMetricStatistics wird als Fallback aufgerufen. Beide Endpunkte verursachen die gleichen Kosten pro Metrik (beachten Sie, dass die Fallback-Nutzung von keine zusätzlichen GetMetricStatistics Kosten verursacht). Details zu beiden finden Sie auf der AWSCloudWatch Preisseite.

Die folgende Tabelle enthält grobe Schätzungen der täglichen Kosten für verschiedene AWS Agenten bei einem Abfrageintervall von 5 Minuten und einer Amazon-Gebühr von $ 0.01 pro 1000 CloudWatch Metriken:

Beachten Sie, dass die nicht für EC2 und für CloudWatch Polling-Tags verwendet werden, sodass dort keine CloudWatch Kosten anfallen.

Sie können die CloudWatch-Kosten reduzieren, indem Sie das Abfrageintervall erhöhen. Der Nachteil einer Verlängerung des Abfrageintervalls besteht darin, dass Sie die Granularität der Metriken von CloudWatch. Jede Anfrage liefert einen einzelnen Metrikwert, sodass die Differenz zwischen einem Abfrageintervall von 60s und fünf Metrikwerte oder einen Metrikwert 300s für einen 300s Zeitraum von beträgt.

Es liegt an Ihnen zu entscheiden, ob das standardmäßige Abfrageintervall für Ihr Unternehmen geeignet ist oder ob Sie es anpassen möchten, um ein Gleichgewicht zwischen Kosten und Qualität der Erkenntnisse zu erreichen.

Wenn der Instana-Host-Agent auf einem EC2 Rechner ohne Internetzugang ausgeführt wird, kann der Agent nicht auf öffentliche APIs von AWS Diensten zugreifen und daher die unterstützten AWS Dienste nicht überwachen.

PrivateLinkAWS bietet privaten Zugriff auf Dienste, die auf AWS hochverfügbar und skalierbar gehostet werden, ohne dass öffentliche IP-Adressen verwendet werden müssen und ohne dass der Datenverkehr das Internet durchlaufen muss.

Um zu verwenden, erstellen AWSPrivateLink, Sie einen VPC-Endpunkt für alle AWS Dienste, die überwacht werden müssen. Der VPC-Endpunkt stellt eine elastische Netzwerkschnittstelle in Ihrem Subnetz mit einer privaten IP-Adresse für die AWS Service-API bereit, die vom Instana-Host-Agenten verwendet werden kann.