Überwachung und Instrumentierung von „ Microsoft® Azure “ mit dem „ Instana “-Agenten

Die unterstützten Betriebssysteme des Microsoft® Azure-Sensors entsprechen den Anforderungen der Host-Agenten. Weitere Informationen finden Sie unter den unterstützten Betriebssystemen für die einzelnen Host-Agenten von „ Instana “.

Die Sensorversion von „ Azure “ bestimmt die Funktionen zur Abonnementüberwachung:

Wenn Sie den „ Instana “-Agenten außerhalb Ihrer „ Azure “-Umgebung installieren, verwendet der Agent standardmäßig den Public-Cloud-Endpunkt „ Azure “.

Um den Azure-Cloud-Endpunkt anzugeben, den Sie verwenden möchten, ändern Sie die Konfigurationsdatei des Agenten /opt/instana/agent/etc/instana/configuration.yaml wie folgt:

com.instana.plugin.azure:
  cloud: 'AzurePublicCloud'

Je nachdem, welchen Cloud-Endpunkt von „ Azure “ Sie verwenden möchten, können Sie aus folgenden Cloud-Konfigurationswerten wählen: AzurePublicCloud, AzureChinaCloud, AzureUSGovernmentCloud, und AzureGermanCloud. Weitere Informationen zu den Cloud-Endpunkten von „ Azure “ finden Sie unter „ Azure -Cloud-Endpunkte “.

Stellen Sie sicher, dass Sie Zugriff auf die folgenden Netzwerk-Endpunkte für Ihre ausgewählte „ Azure “-Cloud-Umgebung haben:

Um die externe Überwachung von „ Azure “-Diensten zu ermöglichen, konfigurieren Sie Ihre Firewall so, dass der Zugriff auf die oben genannten Endpunkte unter REST API entsprechend Ihrer „ Azure “-Cloud-Umgebung zugelassen wird. Stellen Sie außerdem sicher, dass der Firewall-Zugriff auf den Log Analytics-Endpunkt unter erlaubt https://api.loganalytics.io ist; dies ist vor allem für Databricks erforderlich, unabhängig von den Cloud-Endpunkten von Azure.

Azure Resource Manager (ARM) API : Instana nutzt ARM API, um die Ressourcen von Azure innerhalb eines Abonnements zu ermitteln und Konfigurationsdetails wie Namen, Typen, Standorte und Tags zu erfassen. Instana nutzt diese Angaben auch, um zu verstehen, wie Ressourcen miteinander verknüpft sind.

ARM- API -Endpunkte verwenden in der Regel dieses Muster: https://{managementendpoint}/subscriptions/{subscriptionId}/...

Azure Monitor API : Instana nutzt denselben Azure -Monitor API, der den ARM-Verwaltungsendpunkt gemeinsam nutzt, um Überwachungsdaten wie Metriken, Protokolle und Zustandsinformationen zu Azure -Ressourcen zu erfassen.

Azure Endpunkte für die Überwachung von „ API “ verwenden in der Regel dieses Muster: https://{managementendpoint}/subscriptions/{subscriptionId}/providers/Microsoft.Insights/...

Um die Überwachung von „ Azure “ zu aktivieren, konfigurieren Sie den Host-Agenten mit einem Dienstprinzipal, der mindestens über Leseberechtigungen verfügt. Sie können einen Dienstprinzipal mithilfe des Azure Portals, Azure CLI oder Azure PowerShell erstellen.

Durch die Nutzung des Portals „ Azure “:

1. Wählen Sie im Portal „ Azure “ die Option „Alle Dienste “ > „Allgemein“ > „Abonnements “.
2. Wählen Sie auf der Seite Abonnements Ihr Abonnement aus und wählen Sie dann Zugangskontrolle (IAM).
3. Wählen Sie „Rollenzuweisung hinzufügen “ und wählen Sie „Leser “. Klicken Sie auf Weiter (Next).
4. Geben Sie im Bereich „Mitglieder “ die folgenden Angaben ein:
   • Wählen Sie für Zugriff zuweisen, user, group oder service principal.
   • Wenn Sie „Mitglieder“ auswählen, klicken Sie auf „Mitglieder auswählen “ und wählen Sie dann Ihren Dienstprinzipal aus der Liste auf der linken Seite aus.
5. Klicken Sie auf Weiter, und wählen Sie dann Überprüfen + Zuweisen.

Mit der Azure -Befehlszeilenschnittstelle:

az ad sp create-for-rbac --name "<service-principal-name>" --role "Reader" --scopes /subscriptions/{subscription-id}

Informationen zur Überprüfung der Leserolle für einen Dienstprinzipal mithilfe des Skripts „ Python “ (optional) finden Sie im Skript „ Python “.

com.instana.plugin.azure:
  enabled: true
  subscription: "Your-Subscription-Id"
  tenant: "Your-Tenant-Id"
  principals:
    - id: "Your-Service-Principal-Account-Id"
      secret: "Your-Service-Principal-Secret"

Starten Sie den Host-Agenten neu, um die neue Konfiguration zu übernehmen. Nach dem Neustart kann der Agent automatisch unterstützte Remote-Dienste im angegebenen Abonnement erkennen.

Azure Resource Manager (ARM) nutzt ein auf einem Token-Bucket-Modell basierendes Drosselungsverfahren, das kurze Anforderungsspitzen (beispielsweise 250 Lesevorgänge) bei einer konstanten Auffüllrate (25 Anfragen pro Sekunde) zulässt. Die Überwachung von „ Azure “ in Instana erfasst Metriken und Ressourcendaten über alle Abonnements hinweg, was insbesondere in großen Umgebungen zu einer hohen Anzahl von API -Anfragen führen kann. Um diese Einschränkung zu überwinden, können Sie mehrere Serviceprinzipale erstellen. Anweisungen zum Erstellen von Dienstprinzipalen finden Sie unter „Verwenden von Azure PowerShell zum Erstellen eines Dienstprinzips mit einem Zertifikat “.

Nachdem Sie die Dienstprinzipale erstellt haben, aktualisieren Sie die /opt/instana/agent/etc/instana/configuration.yaml Datei auf dem Host-Agenten von „ Instana “ wie folgt:

com.instana.plugin.azure:
  enabled: true
  subscription: "Your-Subscription-Id"
  tenant: "Your-Tenant-Id"
  principals:
    - id: "Your-Service-Principal-Account-Id-1"
      secret: "Your-Base64-encoded-Service-Principal-Secret-1"
    - id: "Your-Service-Principal-Account-Id-2"
      secret: "Your-Base64-encoded-Service-Principal-Secret-2"

Um den Host-Agenten von „ Instana “ für die Verwendung eines Proxys zu konfigurieren, fügen Sie der Agentenkonfiguration die folgenden Einstellungen hinzu:

com.instana.plugin.azure:
  proxy_host: 'example.com' # proxy host name or ip address
  proxy_port: 3128 # proxy port
  proxy_username: 'username' # OPTIONAL: proxy username
  proxy_password: 'password' # OPTIONAL: proxy password
 

Definieren Sie die beiden Felder proxy_host und proxy_port, damit der Agent den Datenverkehr über einen Proxyserver leiten kann.

Nachdem Sie den Proxy konfiguriert haben, starten Sie den „ Instana “-Agenten neu, damit die Änderungen wirksam werden.

Der Host-Agent von „ Instana “ unterstützt die Filterung von „ Azure “-Diensten. Die Filterung der Dienste und ihrer Instanzen basiert auf Tags und Ressourcengruppen.

Weitere Informationen zum Hinzufügen von Tags zu Ressourcen in „ Azure “ finden Sie unter „Verwenden von Tags zum Organisieren Ihrer Ressourcen und Verwaltungshierarchie in „ Azure ““.

Weitere Informationen zum Definieren von Ressourcengruppen in „ Azure “ finden Sie unter „Was ist „ Azure “? Resource Manager “.

Wenden Sie die Filterung an, indem Sie die Konfigurationsdatei des Host-Agenten unter „ Instana/opt/instana/agent/etc/instana/configuration.yaml “ wie folgt ändern:

com.instana.plugin.azure:
  # Comma separated list of tags in key:value format
  include_tags:
  # Comma separated list of tags in key:value format
  exclude_tags:
  # Comma separated list of resource groups
  include_resource_groups:
  # Comma separated list of resource groups
  exclude_resource_groups:
 

Sie können die Filterung auch auf der Ebene bestimmter Dienste anwenden. Weitere Informationen zu den einzelnen Diensten finden Sie im Abschnitt Überwachte Dienste.

Wenn Sie zu viele APIs unter einem API Management-Dienst haben, kann es schwierig sein, die Daten effektiv zu sammeln und zu analysieren. Um sich auf wichtige APIs zu konzentrieren, konfigurieren Sie die Filterung unter „ API “, indem Sie einen inklusiven oder exklusiven regulären Ausdruck definieren, wie im folgenden Beispiel in der Datei „ YAML “ gezeigt:

com.instana.plugin.azure.apimanagement:
  monitorApiList:
    - serviceName: 'robotShopApiGateway'
      #inclusiveApiRegex: '^(API name 1|API name 2)$'
      exclusiveApiRegex: '^(API name 1|API name 2)$'
 

Wie im vorangegangenen Beispiel gezeigt, können Sie komplexe Regex-Ausdrücke mit or und and Logik verwenden. Wenn Sie sowohl inclusiveApiRegex als auch exclusiveApiRegex definieren, gibt der Host-Agent exclusiveApiRegex den Vorrang.

Um eine sehr große Anzahl von Ressourcen zu überwachen, können Sie entweder mehrere Abonnements pro Agent konfigurieren oder mehrere Agenten bereitstellen, von denen jeder über ein einzelnes Abonnement verfügt. Stellen Sie in beiden Fällen sicher, dass Abonnements nicht von mehreren Agenten gemeinsam genutzt werden und sich gegenseitig ausschließen.

• Alle Abonnements müssen zum selben „ Azure “-Mandanten gehören.
• Für jedes Abonnement ist mindestens ein Dienstprinzipal mit Berechtigungen für die Rolle „Reader“ erforderlich.

Um mehrere „ Azure “-Abonnements zu überwachen, konfigurieren Sie den Host-Agenten „ Instana “ mit den Angaben zum Abonnement und zum Dienstprinzipal in der /opt/instana/agent/etc/instana/configuration.yaml Datei:

com.instana.plugin.azure:
  enabled: true
  tenant: 'Your-Tenant-Id'
  subscriptions:
    - id: 'Subscription-Id-1'
      principals:
        - id: 'Service-Principal-Client-Id-1'
          secret: 'Service-Principal-Client-Secret-1'
        - id: 'Service-Principal-Client-Id-2'
          secret: 'Service-Principal-Client-Secret-2'
    - id: 'Subscription-Id-2'
      principals:
        - id: 'Service-Principal-Client-Id-3'
          secret: 'Service-Principal-Client-Secret-3'
        - id: 'Service-Principal-Client-Id-4'
          secret: 'Service-Principal-Client-Secret-4'

Für jedes Abonnement können mehrere Dienstprinzipale konfiguriert werden, um die Last von „ API “ zu verteilen.

• Planung der Service-Principals : Erstellen Sie mindestens 2–3 Service-Principals pro Abonnement, um eine Drosselung bei der Überwachung einer großen Anzahl von Ressourcen zu vermeiden.
• Ressourcenverteilung : Wenn Sie eine große Anzahl von Ressourcen überwachen, sollten Sie in Erwägung ziehen, diese auf mehrere Abonnements und verschiedene Regionen zu verteilen, wie in der Dokumentation zu „ Azure “ beschrieben.
• Erforderliche Berechtigungen : Stellen Sie sicher, dass jede Dienstinstanz mindestens über die Rolle „Leser“ für das Abonnement verfügt. Dienstprinzipale ohne die erforderlichen Berechtigungen werden bei der Konfiguration des „ API “-Clients übersprungen.

Die folgenden Hinweise geben einen Überblick über die validierten Leistungsgrenzen des „ Instana “-Agenten bei der Überwachung synthetischer Ressourcen unter Azure. Diese Ergebnisse basieren auf Belastungstests unter Ubuntu 24.04, mit denen die sichere Grenze für einen stabilen Betrieb ermittelt wurde.