Surveillance et instrumentation d' Microsoft® Azure s à l'aide de l'agent Instana

Les systèmes d'exploitation pris en charge par le capteur Microsoft® Azure sont conformes aux exigences des agents hôtes. Pour plus d'informations, consultez la liste des systèmes d'exploitation pris en charge pour chaque agent hôte d' Instana.

La version du capteur « Azure » détermine les fonctionnalités de surveillance de l'abonnement :

Si vous installez l'agent Instana en dehors de votre environnement Azure, celui-ci utilise par défaut le point de terminaison du cloud public Azure.

Pour spécifier le point de terminaison du nuage Azure que vous souhaitez utiliser, modifiez le fichier de configuration de l'agent /opt/instana/agent/etc/instana/configuration.yaml comme suit :

com.instana.plugin.azure:
  cloud: 'AzurePublicCloud'

En fonction du point de terminaison cloud d' Azure que vous souhaitez utiliser, vous pouvez choisir parmi les valeurs de configuration cloud suivantes : AzurePublicCloud, AzureChinaCloud, AzureUSGovernmentCloud, et AzureGermanCloud. Pour plus d'informations sur les points de terminaison cloud d' Azure, consultez la page Azure cloud endpoints.

Assurez-vous d'avoir accès aux points de terminaison réseau suivants pour l'environnement cloud « Azure » que vous avez sélectionné :

Pour permettre la surveillance externe des services d' Azure, configurez votre pare-feu afin d'autoriser l'accès aux points de terminaison REST API mentionnés ci-dessus, en fonction de votre environnement cloud Azure. Veillez également à ce que le pare-feu autorise l'accès au point de terminaison Log Analytics à l'adresse https://api.loganalytics.io, ce qui est nécessaire principalement pour Databricks, indépendamment des points de terminais Azure.

Azure Resource Manager (ARM) API : Instana utilise l'interface de programmation d'applications (API) ARM API pour identifier les ressources Azure au sein d'un abonnement et recueille des informations de configuration telles que les noms, les types, les emplacements et les balises. Instana utilise également ces informations pour comprendre comment les ressources sont reliées entre elles.

Les points de terminaison ARM API suivent généralement ce modèle : https://{managementendpoint}/subscriptions/{subscriptionId}/...

Azure API de Monitor : Instana utilise le même service Azure Monitor API, qui partage le point de terminaison de gestion ARM, pour collecter des données de surveillance telles que des métriques, des journaux et des informations sur l'état de santé des ressources Azure.

Azure Les points de terminaison de l' API de Monitor suivent généralement ce modèle : https://{managementendpoint}/subscriptions/{subscriptionId}/providers/Microsoft.Insights/...

Pour activer la surveillance d' Azure, configurez l'agent hôte avec un principal de service disposant au minimum des autorisations de lecture. Vous pouvez créer un principal de service à l'aide du portail Azure, de l'interface de ligne de commande (CLI) Azure ou de l'interface de ligne de commande Azure PowerShell.

En utilisant le portail Azure :

1. Dans le portail Azure, sélectionnez « Tous les services » > « Général » > « Abonnements ».
2. Sur la page des abonnements, sélectionnez votre abonnement, puis sélectionnez Contrôle d'accès (IAM).
3. Sélectionnez « Ajouter une attribution de rôle », puis choisissez « Lecteur ». Cliquez sur Suivant.
4. Dans la section « Membres », saisissez les informations suivantes :
   • Pour Assigner l'accès à, sélectionnez user, group ou service principal.
   • Pour les membres, cliquez sur « Sélectionner les membres », puis sélectionnez votre entité de service dans la liste de gauche.
5. Cliquez sur Suivant, puis sélectionnez Révision + affectation.

En utilisant l'interface de ligne de commande (CLI) d' Azure :

az ad sp create-for-rbac --name "<service-principal-name>" --role "Reader" --scopes /subscriptions/{subscription-id}

Pour vérifier le rôle de lecteur d'un principal de service à l'aide du script « Python » (facultatif), consultez le script « Python ».

com.instana.plugin.azure:
  enabled: true
  subscription: "Your-Subscription-Id"
  tenant: "Your-Tenant-Id"
  principals:
    - id: "Your-Service-Principal-Account-Id"
      secret: "Your-Service-Principal-Secret"

Redémarrez l'agent hôte pour appliquer la nouvelle configuration. Une fois le redémarrage effectué, l'agent peut détecter automatiquement les services distants pris en charge sur l'abonnement spécifié.

Azure Resource Manager (ARM) utilise un modèle de régulation basé sur un « token bucket », qui autorise de courtes rafales de requêtes (par exemple, 250 lectures) avec un taux de réapprovisionnement constant (25 requêtes par seconde). La surveillance « Azure » de Instana recueille des métriques et des données sur les ressources dans l'ensemble des abonnements, ce qui peut générer un nombre élevé de requêtes « API », en particulier dans les environnements de grande envergure. Pour contourner cette limitation, vous pouvez créer plusieurs principaux de service. Pour savoir comment créer des entités de service, consultez l'article « Utilisation d' Azure PowerShell pour créer une entité de service avec un certificat ».

Une fois les entités de service créées, mettez à jour le /opt/instana/agent/etc/instana/configuration.yaml fichier sur l'agent hôte Instana comme suit :

com.instana.plugin.azure:
  enabled: true
  subscription: "Your-Subscription-Id"
  tenant: "Your-Tenant-Id"
  principals:
    - id: "Your-Service-Principal-Account-Id-1"
      secret: "Your-Base64-encoded-Service-Principal-Secret-1"
    - id: "Your-Service-Principal-Account-Id-2"
      secret: "Your-Base64-encoded-Service-Principal-Secret-2"

Pour configurer l'agent hôte d' Instana. afin qu'il utilise un proxy, ajoutez les paramètres suivants à la configuration de l'agent :

com.instana.plugin.azure:
  proxy_host: 'example.com' # proxy host name or ip address
  proxy_port: 3128 # proxy port
  proxy_username: 'username' # OPTIONAL: proxy username
  proxy_password: 'password' # OPTIONAL: proxy password
 

Définissez les champs proxy_host et proxy_port pour permettre à l'agent d'acheminer le trafic via un serveur proxy.

Une fois le proxy configuré, redémarrez l'agent d' Instana pour que les modifications prennent effet.

L'agent hôte d' Instana prend en charge le filtrage des services d' Azure. Le filtrage des services et de leurs instances est basé sur des étiquettes et des groupes de ressources.

Pour plus d'informations sur l'ajout de balises aux ressources d' Azure, consultez la section « Utiliser les balises pour organiser vos ressources d' Azure et votre hiérarchie de gestion ».

Pour plus d'informations sur la définition des groupes de ressources dans l' Azure, consultez la page « Qu'est-ce que l' Azure? » à l'adresse Resource Manager?.

Appliquez le filtrage en modifiant le fichier de configuration de l'agent hôte Instana comme /opt/instana/agent/etc/instana/configuration.yaml suit :

com.instana.plugin.azure:
  # Comma separated list of tags in key:value format
  include_tags:
  # Comma separated list of tags in key:value format
  exclude_tags:
  # Comma separated list of resource groups
  include_resource_groups:
  # Comma separated list of resource groups
  exclude_resource_groups:
 

Vous pouvez également appliquer un filtrage au niveau de services spécifiques. Pour plus d'informations, voir la section Services surveillés pour plus de détails sur des services spécifiques.

Lorsque vous avez trop d'API sous un même service API Management, il peut être difficile de collecter et d'analyser les données de manière efficace. Pour cibler les API importantes, configurez le filtrage d' API s en définissant une expression régulière inclusive ou exclusive, comme illustré dans l'exemple de fichier ` YAML ` suivant :

com.instana.plugin.azure.apimanagement:
  monitorApiList:
    - serviceName: 'robotShopApiGateway'
      #inclusiveApiRegex: '^(API name 1|API name 2)$'
      exclusiveApiRegex: '^(API name 1|API name 2)$'
 

Comme le montre l'exemple précédent, vous pouvez utiliser des expressions complexes avec la logique or et and. Si vous définissez à la fois inclusiveApiRegex et exclusiveApiRegex, l'agent hôte donne la priorité à exclusiveApiRegex.

Pour surveiller un très grand nombre de ressources, vous pouvez soit configurer plusieurs abonnements par agent, soit déployer plusieurs agents, chacun disposant d'un seul abonnement. Dans les deux cas, veillez à ce que les abonnements ne soient pas partagés entre les agents et restent mutuellement exclusifs.

• Tous les abonnements doivent appartenir au même tenant Azure.
• Chaque abonnement nécessite au moins un principal de service disposant des autorisations du rôle « Reader ».

Pour surveiller plusieurs abonnements à l' Azure, configurez l'agent hôte Instana en indiquant les informations relatives à l'abonnement et à l'entité de service dans le /opt/instana/agent/etc/instana/configuration.yaml fichier :

com.instana.plugin.azure:
  enabled: true
  tenant: 'Your-Tenant-Id'
  subscriptions:
    - id: 'Subscription-Id-1'
      principals:
        - id: 'Service-Principal-Client-Id-1'
          secret: 'Service-Principal-Client-Secret-1'
        - id: 'Service-Principal-Client-Id-2'
          secret: 'Service-Principal-Client-Secret-2'
    - id: 'Subscription-Id-2'
      principals:
        - id: 'Service-Principal-Client-Id-3'
          secret: 'Service-Principal-Client-Secret-3'
        - id: 'Service-Principal-Client-Id-4'
          secret: 'Service-Principal-Client-Secret-4'

Chaque abonnement peut comporter plusieurs entités de service configurées pour répartir la charge d' API.

• Planification des entités de service : créez au moins 2 à 3 entités de service par abonnement afin d'éviter toute limitation de débit lors de la surveillance d'un grand nombre de ressources.
• Répartition des ressources : lorsque vous surveillez un grand nombre de ressources, pensez à les répartir entre plusieurs abonnements et différentes régions, comme indiqué dans la documentation d' Azure.
• Autorisations requises : assurez-vous que chaque entité de service dispose au minimum d'un rôle de lecteur pour accéder à l'abonnement. Les entités de service ne disposant pas des autorisations requises sont ignorées lors de la configuration du client d' API.

Les remarques suivantes décrivent les limites de performance validées pour l'agent d' Instana s lors de la surveillance des ressources d' Azure s synthétiques. Ces résultats s'appuient sur des tests de résistance effectués sur Ubuntu 24.04 afin de déterminer la limite de sécurité garantissant un fonctionnement stable.