Instana -Host-Agenten konfigurieren

Für Instana SaaS, werden die TLS -Zertifikate für Agent-Backend-Verbindungen von Instana bereitgestellt. Bei selbst gehosteten „ Instana “-Backends können die Zertifikate für die Backend-Verbindungen vom Kunden bereitgestellt werden ( TLS ). Weitere Informationen finden Sie unter „Verwendung vorhandener Zertifikate für die selbst gehostete Standard Edition“.

Bei selbst gehosteten „ Instana “-Backends können Sie die „ Instana “-Agenten so konfigurieren, dass sie den Zertifikatsfingerabdruck des Backend-Zertifikats „ TLS “ überprüfen. Geben Sie in der *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg Datei für die fingerprints Eigenschaft eine durch Kommas getrennte Liste von Zertifikats-Fingerabdrücken an. Der Agent lehnt Verbindungen zu jedem Backend ab, das nicht mit den angegebenen Fingerabdrücken übereinstimmt.

Beispielkonfiguration:

fingerprints=29:17:5A:F4:2E:35:DF:87:D6:1F:4D:C8:A8:01:D2:43:18:47:BF:6E
 

In einigen Fällen benötigen Sie möglicherweise einen Agenten, der an mehrere Back-Ends berichtet. Wenn z. B. gemeinsam genutzte Services von getrennten Umgebungen verwendet werden, können Sie einen Agenten manuell so konfigurieren, dass er Berichte an mehrere Backends in diesen getrennten Umgebungen sendet.

Der Agent wird in allen Backends separat gezählt, da die Anzahl der verwendeten Lizenzen und die Konfiguration die Bandbreitennutzung des Agenten effektiv multiplizieren.

Führen Sie die folgenden Schritte aus, um den Hostagenten für die Berichterstellung an mehrere Back-Ends zu konfigurieren:

1. Benennen Sie die Konfigurationsdatei *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg in *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-1.cfg um.
2. Erstellen Sie Kopien der Konfigurationsdatei *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-2.cfg mit den entsprechenden Konfigurationen für verschiedene Back-Ends, an die der Agent berichtet.

Jede der im vorherigen Schritt erstellten Dateien kann so angepasst werden, dass sie einen anderen Host-Agent-Endpunkt und andere Agentenschlüssel beschreibt. Diese Dateien können sogar unterschiedliche Proxy-Einstellungen enthalten.

Hinweise:

• Sie können eine beliebige numerische oder alphanumerische ID in der Konfigurationsdatei verwenden. Beispiel: *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-<alphanumeric>.cfg

• Wenn die Konfigurationsdatei *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg vorhanden ist, werden alle anderen Back-End-Dateien ignoriert.

• Die Host-Agent-Images „ Instana “ Docker sind speziell konfiguriert, sodass das Hinzufügen weiterer Backends einfach durch Einbinden der Backend-Dateien, wie z. B. com.instana.agent.main.sender.Backend-2.cfg., erfolgen kann.

  Es folgt ein Beispielargument für einen Docker-basierten Agenten:

  --volume <path-to-additional-backend-config>:/opt/instana/agent/etc/instana/com.instana.agent.main.sender.Backend-2.cfg

Um sensible Daten zur Proxy-Authentifizierung geheim zu halten, können Sie die Proxy-Einstellungen über Umgebungsvariablen verknüpfen.

Anhand des folgenden Beispiels für die <instana-agent-dir>/etc/instana/com.instana.agent.main.sender.Backend.cfg Datei können Sie die Eigenschaften des Backend-Proxys mithilfe von Umgebungsvariablen konfigurieren. Sie müssen dem Agenten den Benutzernamen und das Passwort in den Umgebungsvariablen BACKEND_PROXY_USER und BACKEND_PROXY_PASSWORDbereitstellen.

proxy.user=${env:BACKEND_PROXY_USER}
proxy.password=${env:BACKEND_PROXY_PASSWORD}

Sie können das folgende Beispiel für die mvn-settings.xml Datei verwenden, um den Repository-Proxy von Maven mithilfe von Umgebungsvariablen zu konfigurieren. Sie müssen dem Agenten den Benutzernamen und das Passwort in den Umgebungsvariablen MAVEN_PROXY_USER und MAVEN_PROXY_PASSWORDbereitstellen.

<proxies>
  <proxy>
    <id>agent-proxy</id>
    <active>true</active>
    <protocol>http</protocol>
    <username>${env.MAVEN_PROXY_USER}</username>
    <password>${env.MAVEN_PROXY_PASSWORD}</password>
    <host></host>
    <port></port>
  </proxy>
</proxies>

Sie können einen Squid-Proxy ( www.squid-cache.org ) in Kombination mit Instana einrichten, wenn keine anderen Proxys verfügbar sind.

Es gibt verschiedene Möglichkeiten, Squid auf Ihrem System zu installieren. Die meisten Linux® -Distributionen enthalten Squid in ihren Repositorys und die Software kann mit dem bevorzugten Paketmanager installiert werden.

Wenn kein Paket verfügbar ist oder Sie Squid unter Microsoft® Windows®ausführen wollen, dann können Sie Squid -Binärdateien aus der (Squid -Web-Cache-Dokumentation) abrufen.

Nach der Installation von Squid wird eine Beispielkonfiguration squid.conf mit einer Standardkonfiguration erstellt. Wenn Sie den Proxy ausschließlich für die Kommunikation mit Instana nutzen möchten, können Sie die Standardkonfiguration sichern und die folgende Konfiguration für squid.conf verwenden:

# The tcp port squid is listening on
http_port 3128

# Please specify subnet with instana agents
acl instana_agent_net src 10.0.0.0/8

# This is the ip of the instana backend
acl instana_backend dstdomain saas-eu-west-1.instana.io
#acl instana_backend dstdomain ec2-54-144-114-141.compute-1.amazonaws.com
#acl instana_backend dstdomain saas-us-east-1.instana.io
#acl instana_backend dstdomain saas-us-east-1.instana.io

# This is the port used by Instana
acl instana_backend_port port 443

# This is the repo to download updates and additional sensors
acl instana_repo dstdomain artifact-public.instana.io
acl instana_repo_port port 80
acl instana_repo_port_secure port 443

# Protocol used for instana backend
acl instana_backend_proto proto HTTP

# Protocol used for instana backend
acl instana_repo_proto proto HTTP
acl instana_repo_proto_secure proto HTTPS

http_access allow instana_agent_net instana_backend instana_backend_port
http_access allow instana_agent_net instana_repo instana_repo_port
http_access allow instana_agent_net instana_repo instana_repo_port_secure

# DO NOT REMOVE THIS RULE!
http_access deny all

Bei der Einrichtung der „ TLS “-Verschlüsselung für einen Agent-Endpunkt können folgende Probleme bei der Überwachung auftreten. Diese Probleme werden im Agenten-Dashboard der Benutzeroberfläche von „ Instana “ angezeigt. Sie müssen sie auflösen, bevor Sie fortfahren.

Art des Überwachungsproblems: agent_tls_cert_expired

Das Zertifikat, das zur Einrichtung der „ TLS “-Verschlüsselung für den Agent-Endpunkt verwendet wird, läuft ab. Stellen Sie sicher, dass Sie das abgelaufene Zertifikat durch eine neue Zertifikatsdatei ersetzen.

Art des Überwachungsproblems: agent_tls_cert_about_to_expire

Das Zertifikat, das für die Einrichtung der „ TLS “-Verschlüsselung für den Agent-Endpunkt verwendet wird, läuft in wenigen Tagen ab. Stellen Sie sicher, dass Sie das Zertifikat durch eine neue Zertifikatsdatei ersetzen.

Dynamische Hostagenten können sich selbst aktualisieren und so den Verwaltungsaufwand reduzieren. Informationen zur Konfiguration der Aktualisierungen dynamischer Host-Agenten, beispielsweise zur Festlegung des Aktualisierungsintervalls, finden Sie unter „Konfigurieren der Aktualisierungen dynamischer Host-Agenten “.

Da der Agent-Modus auch über die Benutzeroberfläche von „ Instana “ konfiguriert werden kann, enthält die Konfigurationsdatei einen Schalter, mit dem diese Überschreibung deaktiviert werden kann. Auf diese Weise kann der Agentenmodus nur mithilfe der Konfigurationsdatei oder einer Umgebungsvariablen konfiguriert werden, die für den installierten Agenten lokal ist.

Wenn Sie den Agentenmodus nicht über die Benutzerschnittstelle festlegen wollen, fügen Sie die folgende Zeile zur Konfigurationsdatei *instanaAgentDir*/etc/instana/com.instana.agent.main.config.Agent.cfg hinzu:

mode.web-override.allowed = false

Der Agent verwendet standardmäßig eine Protokollrotation von 10 mal 5 MB Agentenprotokolldateien. Das heißt, bei jeweils 5 MB wird die Datei rotiert, 10 Dateien werden beibehalten und die Datei 11 wird gelöscht.

log4j2.appender.rolling.policy.type = SizeBasedTriggeringPolicy
log4j2.appender.rolling.policy.size = 5MB
log4j2.appender.rolling.strategy.type = DefaultRolloverStrategy
log4j2.appender.rolling.strategy.max = 10

Der Agent verwendet Log4j2, eine moderne und flexible Protokollierungseinrichtung. Sehen Sie sich das folgende Beispiel an, um syslog zu konfigurieren:

log4j2.rootLogger.appenderRef.Syslog.ref = Syslog
log4j2.rootLogger.appenderRef.Syslog.level = ERROR
log4j2.appender.syslog.type=Syslog
log4j2.appender.syslog.name=Syslog
log4j2.appender.syslog.layout.type=PatternLayout
log4j2.appender.syslog.layout.pattern = ${log4j2.pattern}
log4j2.appender.syslog.facility=SYSLOG
log4j2.appender.syslog.host=localhost
log4j2.appender.syslog.port=514
log4j2.appender.syslog.protocol=UDP

In angepassten Container-Images können Sie die Protokollierung in STDOUTvornehmen. Sie können dies tun, indem Sie die folgende Konfiguration in der Konfigurationsdatei <instana-agent-install-dir>etc/org.ops4j.pax.logging.cfg bereitstellen:

log4j2.rootLogger.appenderRef.Console.ref = Console

log4j2.appender.console.type = Console
log4j2.appender.console.name = Console
log4j2.appender.console.layout.type = PatternLayout
log4j2.appender.console.layout.pattern = ${log4j2.pattern}

Da die Protokollierung die Standardprotokollierung log4j2 verwendet, kann sie auf viele weitere Arten konfiguriert werden, wie in der Dokumentation zulog4j2beschrieben.

Der Agent kann vorübergehend Metriken oder Traces protokollieren, die über diesen Agenten an eine Datei auf der Platte gesendet werden. Die Funktion zum Protokollieren von Metriken oder Traces in einer Datei wird häufig zum Debuggen verschiedener Probleme verwendet, die sich auf Metriken, Traces, Traceerstellung oder Bereiche beziehen.

Suchen Sie zum Aktivieren des Features die Konfigurationsdatei *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.File.cfg und aktualisieren Sie deren Inhalt mit den folgenden Befehlen:

# Configuration of local logging. Changes will be hot-reloaded.
# Activate logging of outgoing payloads to local disk by setting a non-empty
# prefix. The log file will be written to data/log, and the file will have the
# defined prefix followed by a timestamp.
# Note: There is no automatic rotation of those files.
prefix=locallog

# The file can be filtered to either "metrics" or "traces".
# If empty or absent, there will be no filtering.
type=traces

Wie bereits erwähnt, werden die Änderungen im laufenden Betrieb erneut geladen und können sofort aktiviert werden. Das Feature darf nur vorübergehend aktiviert sein, da die Aktivierung des Features potenziell den gesamten verfügbaren Plattenspeicherplatz belegen kann, wenn ausreichend Zeit und Datenverkehr zur Verfügung steht.

Ermöglichen Sie, dass die Protokollierung für ein oder zwei Minuten fortgesetzt wird, während der Datenverkehr an die Komponente generiert wird, wenn Sie die Probleme verfolgen. Setzen Sie dann die Änderungen zurück oder kommentieren Sie alle Zeilen in dieser Datei. Auch hier werden die auf die Festplatte geschriebenen Änderungen vom „ Instana “-Agenten im laufenden Betrieb neu geladen.

Wenn Sie mit einem Support-Ticket arbeiten, hängen Sie die resultierende Protokolldatei an das Support-Ticket an. Die Protokolldatei befindet sich in der Protokolldatei *instanaAgentDir*/data/log/locallog_*.log .

1. Erstellen Sie eine Konfigurationsdatei mit dem Namen /etc/systemd/system/instana-agent.service.d/20-resource_limits.confund fügen Sie den folgenden Inhalt hinzu:

   [Service]
   # ------------------------------------------------------------
   # CPU accounting and request-style configuration
   # ------------------------------------------------------------
   
   # Enable per-unit CPU usage accounting so that systemd and tools like
   # systemd-cgtop can report precise CPU usage for this service.
   CPUAccounting=true
   
   # cgroup v2:
   # CPUWeight defines relative CPU share (range 1-10000, default about 100).
   # 50 is about half of the default share and behaves similar to "0.5 CPU requested".
   # This is a soft, work-conserving control: the service can still use full CPU
   # when the system is idle but will get less CPU when there is contention.
   CPUWeight=50
   
   # cgroup v1:
   # CPUShares defines relative CPU share (default 1024).
   # 512 is half of the default share and behaves similar to "0.5 CPU requested".
   # Same semantics as CPUWeight above: acts only under contention, not as a hard cap.
   CPUShares=512
   
   # CPUQuota enforces a strict CPU ceiling and causes throttling even when the
   # machine is idle. This is not encouraged for the agent.
   #
   # In practice, using CPUQuota for the agent has been observed to:
   # - Degrade performance when the agent needs more CPU than the quota allows.
   # - Increase total CPU consumption compared to not throttling at all,
   #   because the agent needs more time to complete the same work while
   #   constantly being throttled.
   #
   #CPUQuota=50%
   
   
   # ------------------------------------------------------------
   # Memory accounting and hard memory limit
   # ------------------------------------------------------------
   
   # Enable per-unit memory usage accounting so that systemd and tools like
   # systemd-cgtop can report memory usage for this service.
   MemoryAccounting=true
   
   # MemoryMax sets a hard upper bound on memory usage for this service
   # and its child processes. When the limit is reached, the kernel will
   # reclaim memory or kill processes to enforce the limit.
   #
   # A hard memory limit is recommended for the agent to prevent runaway
   # memory usage from impacting the host.
   MemoryMax=768M

2. Führen Sie systemctl daemon-reload aus.

3. Starten Sie den instana-agent -Service erneut.

Führen Sie den Container instana-agent mit den folgenden zusätzlichen Parametern aus:

Für Docker 1.13 und höher:

--cpus=0.5 --memory=512m

Für Docker 1.12 und früher:

--cpu-period=100000 --cpu-quota=50000 --memory=512m

Fügen Sie das folgende Konfigurationssnippet zur Containerkonfiguration des Hostagenten hinzu:

livenessProbe:
  httpGet: # Agent liveness is published on localhost:42699/status
    path: /status
    port: 42699
  initialDelaySeconds: 75
  periodSeconds: 5
resources:
  requests:
    memory: "768Mi"
    cpu: "0.5"
  limits:
    # Memory requests and limits should be equal to ensure the pod gets
    # a guaranteed QoS class for memory, preventing memory-based eviction.
    memory: "768Mi"
    # CPU limits are not recommended for the agent as they can cause throttling
    # and degrade performance. Use requests to define relative CPU priority.
    # If you must set a CPU limit, use a value significantly higher than requests:
    #cpu: "1.5"

Die Konfiguration legt die CPU- und Speicheranforderungen für den instana-agent Container fest und setzt eine feste Speichergrenze, um eine übermäßige Speicherauslastung zu verhindern. Speicheranforderungen und -grenzen werden auf denselben Wert festgelegt, um eine garantierte Speicher QoS s zu gewährleisten. CPU-Beschränkungen werden bewusst weggelassen, um eine Drosselung zu vermeiden, die die Leistung des Agenten beeinträchtigen könnte.