Surveillance d' Amazon Web Services (AWS) avec l'agent Amazon Web Services (AWS)

Vous pouvez installer l'agent « AWS » sur Windows ou « Linux » sur EC2. Il est préférable d'exécuter l'agent Instana AWS sur une machine polyvalente de dernière génération équipée d' Linux®. Les instances m5.large , par exemple, constituent une solution idéale.

1. Dans l'interface utilisateur d' Instana, cliquez sur Plus > Agents > Installer des agents > AWS.

2. Dans la liste Technologie, sélectionnez Capteur Instana AWS.

3. Dans la liste « Exécuter votre agent AWS », sélectionnez « Elastic Cloud Compute ( EC2 ) » (c'est l'option par défaut).

   La clé et l'emplacement de votre agent sont préremplis dans le script pour être utilisés en tant que User Data sur EC2. Copiez le script affiché. Le script se présente comme suit, sauf que toutes les informations nécessaires sont fournies:

   #!/bin/bash
   
   curl -o setup_agent.sh https://setup.instana.io/agent
   chmod 700 ./setup_agent.sh
   sudo -E ./setup_agent.sh -y -a <your-agent-key> -m aws -t dynamic -e <location> -s
    

4. Lancez une machine virtuelle EC2 dédiée et utilisez le script copié en tant que User Data. Pour plus d'informations sur l'utilisation de la commande « user » User Data sur EC2, consultez la section « Exécution de commandes sur votre instance Linux » dans la documentation de Launch.

5. Copiez les configurations du bloc de code de la rubrique Rôles IAM dans un fichier IAM_permission.json . Ces configurations sont utilisées pour le rôle IAM requis par la machine virtuelle EC2 qui exécute l'agent Instana AWS et permettent à l'agent AWS de détecter et de surveiller vos ressources AWS. Créez ensuite un rôle IAM avec le fichier IAM_permission.json . Pour plus d'informations, consultez la section Création d'un rôle pour déléguer des autorisations à un utilisateur IAM.

6. Pour que le rôle IAM puisse effectuer AssumedRole l'action, modifiez le paramètre Trust Relationship comme suit (affiché sous la forme trust_relationship.json dans l'interface utilisateur d' Instana ) :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Si l'agent s'exécute sur une machine EC2 e sans accès à Internet, modifiez le fichier Trust Relationship comme suit :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com.cn"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Pour les autres configurations nécessaires, consultez la section « Configuration du point de terminaison régional STS ».

Vous pouvez installer l'agent « AWS » sur Windows ou Linux sur Fargate dans ECS.

1. Dans l'interface utilisateur d' Instana, cliquez sur Plus > Agents > Installer des agents > AWS.

2. Dans la liste Technologie, sélectionnez Capteur Instana AWS.

3. Dans la liste Exécuter votre agent AWS sur , sélectionnez Elastic Container Service (ECS).

   L' JSON e d'une définition de tâche est pré-générée pour vous dans le modèle « Task Definition JSON ». Téléchargez le fichier « JSON » et utilisez-le avec les fonctions «Configurer à l'aide de l' JSON » de l'interface utilisateur de la définition de tâche.

4. Téléchargez le fichier d' JSON s sur les autorisations IAM, puis attribuez à la nouvelle définition de tâche un rôle IAM qui comprend au moins les autorisations répertoriées dans le fichier d' JSON s téléchargé.

5. Créez un service ECS avec une instance de la nouvelle définition de tâche.

Vous pouvez également dédier tout agent qui s'exécute en dehors de votre infrastructure AWS . Pour atteindre cet objectif, vous devez spécifier les variables d'environnement suivantes dans le fichier setenv :

• Sous Linux :

  /opt/instana/agent/bin/setenv

• Sous Windows :

  C:\Program Files\Instana\instana-agent\bin\setenv

• La région que vous souhaitez surveiller:

  INSTANA_AWS_REGION_CONFIG=

• Les données d'identification permettant d'accéder aux ressources AWS. Ces données d'identification doivent appartenir à un utilisateur, qui est autorisé à accéder aux ressources déjà décrites dans la section Configuration d' Amazon Web Services IAM .

  AWS_ACCESS_KEY_ID=
  AWS_SECRET_ACCESS_KEY=

Par défaut, l'agent « Instana » contacte le point de terminaison STS global à partir de l'instance « EC2 » afin de récupérer les informations d'identification du profil d'instance. Toutefois, si l'agent hôte d' Instana s s'exécute sur une machine EC2 sans accès à Internet (par exemple, dans certaines régions de Chine), le point de terminaison régional STS doit être défini sous forme de variable d'environnement, ce qui indique à l'agent d' Instana s d'utiliser les points de terminaison STS régionaux.

Une fois l'agent « Instana » installé, définissez la variable d'environnement suivante dans le fichier *instanaAgentDir*/bin/setenv:

export AWS_STS_REGIONAL_ENDPOINTS=regional
 

Pour chaque service, vous devez ajouter les droits nécessaires sur les pages de service individuelles, liées à partir de la section Services surveillés . Pour exclure un service de la surveillance, omettez les droits correspondants.

Une autre façon d'exclure un service de la surveillance consiste à ajouter l'indicateur-enabled_ approprié dans <agent_install_dir>/etc/instana/configuration.yml , comme décrit dans les pages de service individuelles suivantes.

L'agent AWS prend en charge les services de monitoring de plusieurs comptes AWS situés dans la même région. À l'heure actuelle, il existe deux approches : l'utilisation de profils nommés via AWS et l'utilisation du service de jetons de sécurité (STS) via AWS.

Une fois que vous avez activé la surveillance d'un service, vous pouvez déterminer quelles instances de ce service Instana seront surveillées en fonction des balises AWS, en modifiant le fichier /opt/instana/agent/etc/instana/configuration.yaml de configuration de l'agent AWS.

Les options disponibles dans le fichier de configuration sont les suivantes :

com.instana.plugin.aws:
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is discovered.
  include_tags: ...
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is omitted from discovery.
  exclude_tags: ...
  # Exclude untagged AWS resources by setting the flag to `false`
  include_untagged: ...
 

Plusieurs balises séparées par des virgules peuvent être définies. Les balises doivent être une paire clé-valeur séparée par :. Lorsque vous définissez des balises dans les deux listes (inclusion et exclusion), la priorité de la liste d'exclusion est plus élevée. S'il n'est pas nécessaire de filtrer les services, la configuration ne doit pas être définie.

L'agent d' Instana surveille automatiquement toutes les ressources AWS auxquelles aucune balise n'a été attribuée. {: note} Pour exclure les ressources non balisées de la surveillance, définissez le include_untagged paramètre sur false.

Le filtrage peut également être configuré sur le niveau de service. Dans ce cas, la configuration par défaut est remplacée pour le service concerné. Pour plus de détails sur le filtrage de reconnaissance par service spécifique, voir la documentation de service spécifique.

Pour spécifier la fréquence à laquelle l'agent AWS interroge le service AWS surveillé pour obtenir les balises associées, utilisez la propriété de configuration tagged-services-poll-rate . La valeur par défaut est 300 secondes. L'agent utilise le client de service AWS pour interroger les balises.

La configuration du taux d'interrogation des ressources balisées est la suivante :

com.instana.plugin.aws:
  tagged-services-poll-rate: 60 #default 300
 

L'intervalle d'interrogation indique à quelle fréquence l'agent d' AWS interroge le serveur CloudWatch API. Il est configurable en tant que cloudwatch_period dans le fichier configuration.yml . La valeur par défaut est 300 secondes. Il est courant de voir les plateformes de surveillance utiliser une valeur comprise entre 5 et 10 minutes.

La fréquence d'interrogation est configurable à deux niveaux :

• Au niveau de l'agent pour tous les services AWS surveillés par l'agent :

  com.instana.plugin.aws:
    cloudwatch_period: 300
   

• Par service AWS :

  com.instana.plugin.aws.rds:
    cloudwatch_period: 300
   

La configuration par service unique remplace la configuration au niveau de l'agent.

Pour fournir des informations sur vos services AWS, les plateformes de monitoring comme Instana doivent utiliser l'API CloudWatch. Ce service API est fourni par AWS selon un modèle de tarification à l'utilisation. La présente documentation a pour objectif d'expliquer clairement comment Instana utilise l'interface CloudWatch API, afin que les utilisateurs puissent comprendre l'impact de cette utilisation sur leur facture AWS.

Les coûts liés à CloudWatch sont déterminés par :

• Nombre d'instances surveillées de services AWS
• Nombre de métriques collectées par agent AWS
• Intervalle d'interrogation (configurable)

Chaque agent AWS envoie une requête à GetMetricData l'adresse CloudWatchAPI pour la collecte des métriques; en cas d'échec, GetMetricStatistics il est appelé en guise de solution de secours. Ces deux points de terminaison entraînent les mêmes coûts par indicateur (à noter que l'utilisation de la solution GetMetricStatistics de secours n'entraîne aucun coût supplémentaire). Vous trouverez plus de détails sur ces deux produits sur la page des tarifs d' AWS, à l'adresse CloudWatch.

Le tableau suivant contient une estimation approximative des coûts quotidiens pour les différents agents AWS lorsque l'intervalle d'interrogation est de 5 minutes et que les frais Amazon sont de0.01 $ pour 1000 métriques CloudWatch :

Notez que CloudWatch n'est pas utilisé pour EC2 et pour les balises d'interrogation. Par conséquent, aucun coût CloudWatch n'y est encouru.

Vous pouvez réduire les coûts de CloudWatch en augmentant la fréquence d'interrogation. L'inconvénient de l'augmentation de l'intervalle d'interrogation est que vous réduisez les métriques de granularité de CloudWatch. Chaque demande fournit une valeur de métrique unique, de sorte que la différence entre un intervalle d'interrogation de 60s et de 300s est de cinq valeurs de métrique ou d'une valeur de métrique pour une période de 300s .

Il vous appartient de déterminer si l'intervalle d'interrogation par défaut est approprié pour votre entreprise ou s'il convient de le personnaliser afin de trouver l'équilibre entre le coût et la qualité des connaissances.

Si l'agent hôte d' Instana. est exécuté sur une machine EC2. ne disposant pas d'accès à Internet, l'agent ne pourra pas accéder aux API publiques des services AWS. et ne pourra donc pas surveiller les services AWS. pris en charge.

AWS PrivateLink offre un accès privé aux services hébergés sur AWS, avec une haute disponibilité et une grande évolutivité, sans nécessiter l'utilisation d'adresses IP publiques ni que le trafic transite par Internet.

Pour utiliser l' AWS PrivateLink, créez un point de terminaison VPC pour tous les services AWS qui doivent être surveillés. Le point de terminaison VPC fournit une interface réseau élastique au sein de votre sous-réseau, dotée d'une adresse IP privée, pour le service AWS ( API ), qui peut être utilisée par l'agent hôte Instana.