Surveillance Amazon Web Services ( AWS ) avec Amazon Web Services ( AWS ) agent

Vous pouvez installer AWS l'agent sur Windows ou Linux sur EC2. Il est préférable d'exécuter l'agent AWS Instana sur une machine polyvalente de dernière génération qui exécute Linux®. Par exemple, m5.large les instances sont idéales.

1. Cliquez sur Plus > Agents > Installer des agents > AWS dans l'interface utilisateur Instana.

2. Dans la liste Technologie, sélectionnez Capteur Instana AWS.

3. Dans la liste Exécuter votre AWS agent sur, sélectionnez Elastic Cloud Compute ( EC2 ) (c'est la valeur par défaut).

   Votre clé d'agent et votre emplacement sont préremplis dans le script afin d'être utilisés comme User Data sur EC2. Copiez le script qui s'affiche. Le script se présente comme suit, sauf que toutes les informations nécessaires sont fournies :

   #!/bin/bash
   
   curl -o setup_agent.sh https://setup.instana.io/agent
   chmod 700 ./setup_agent.sh
   sudo ./setup_agent.sh -y -a <your-agent-key> -m aws -t dynamic -e <location> -s
    

4. Lancez une machine virtuelle EC2 dédiée et utilisez le script copié comme User Data. Pour plus d'informations sur la manière d'utiliser User Data sur EC2, consultez la documentation Exécution de commandes sur votre Linux instance au lancement.

5. Copiez les configurations dans le bloc de code de la rubrique Rôles IAM dans un IAM_permission.json fichier. Ces configurations sont utilisées pour le rôle IAM requis pour la machine EC2 virtuelle qui exécute l'agent AWS Instana et permettent à AWS l'agent de détecter et de surveiller vos AWS ressources. Ensuite, créez un rôle IAM à l'aide du IAM_permission.json fichier. Pour plus d'informations, consultez la section Création d'un rôle pour déléguer des autorisations à un utilisateur IAM.

6. Pour que le rôle IAM puisse effectuer AssumedRole l'action, modifiez le Trust Relationship comme suit (affiché sous la forme trust_relationship.json dans l'interface utilisateur Instana) :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Si l'agent s'exécute sur une EC2 machine sans accès à Internet, modifiez le Trust Relationship comme suit :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com.cn"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   Pour les configurations supplémentaires nécessaires, consultez la section Configuration du point de terminaison régional STS.

Vous pouvez installer AWS l'agent sur Windows ou Linux sur Fargate sur ECS.

1. Cliquez sur Plus > Agents > Installer des agents > AWS dans l'interface utilisateur Instana.

2. Dans la liste Technologie, sélectionnez Capteur Instana AWS.

3. Dans la liste Exécuter votre AWS agent sur, sélectionnez Elastic Container Service (ECS).

   Le JSON d'une définition de tâche est pré-généré pour vous dans le modèle JSON de définition de tâche. Téléchargez le fichier JSON et utilisez-le avec les fonctions Configurer à l'aide de JSON de l'interface utilisateur Définition de tâche.

4. Téléchargez le fichier JSON des autorisations IAM et attribuez à la nouvelle définition de tâche un rôle IAM qui contient au moins les autorisations répertoriées dans le fichier JSON téléchargé.

5. Créez un service ECS avec une instance de la nouvelle définition de tâche.

Vous pouvez également désigner n'importe quel agent qui fonctionne en dehors de votre AWS infrastructure. Pour atteindre cet objectif, vous devez spécifier les variables d'environnement suivantes dans le setenv fichier :

• Sous Linux :

  /opt/instana/agent/bin/setenv

• Sous Windows :

  C:\Program Files\Instana\instana-agent\bin\setenv

• La région que vous souhaitez surveiller :

  INSTANA_AWS_REGION_CONFIG=

• Les données d'identification permettant d'accéder aux ressources AWS. Ces informations d'identification doivent appartenir à un utilisateur autorisé à accéder aux ressources déjà décrites dans la section Amazon Web Services Configuration IAM.

  AWS_ACCESS_KEY_ID=
  AWS_SECRET_ACCESS_KEY=

Par défaut, l'agent Instana contacte le point de terminaison STS global à partir de EC2 l'instance afin de recueillir les informations d'identification du profil de l'instance. Cependant, si l'agent hôte Instana s'exécute sur une EC2 machine sans accès à Internet (par exemple, dans les régions chinoises), le point de terminaison de la région STS doit être affiché comme une variable d'environnement, ce qui indique à l'agent Instana d'utiliser les points de terminaison STS régionaux.

Une fois l'agent Instana installé, spécifiez la variable d'environnement suivante dans le *instanaAgentDir*/bin/setenv:

export AWS_STS_REGIONAL_ENDPOINTS=regional
 

Pour chaque service, vous devez ajouter les autorisations nécessaires sur les pages individuelles des services, accessibles via les liens de la section Services surveillés. Pour exclure un service de la surveillance, omettez les droits correspondants.

Une autre façon d'exclure un service de la surveillance consiste à ajouter le drapeau appropriate-enabled_ dans <agent_install_dir>/etc/instana/configuration.yml comme décrit dans les pages individuelles suivantes consacrées aux services.

L'agent AWS prend en charge les services de monitoring de plusieurs comptes AWS situés dans la même région. Actuellement, il existe deux approches : l'utilisation de AWS profils nommés et l'utilisation du AWS Service de jetons de sécurité (STS).

Une fois que vous avez activé la surveillance d'un service, il est possible de filtrer les instances que Instana surveillera en fonction AWS des balises, en modifiant le fichier /opt/instana/agent/etc/instana/configuration.yaml de configuration de AWS l'agent.

Les options disponibles dans le fichier de configuration sont les suivantes :

com.instana.plugin.aws:
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is discovered.
  include_tags: ...
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is omitted from discovery.
  exclude_tags: ...
  # Exclude untagged AWS resources by setting the flag to `false`
  include_untagged: ...
 

Plusieurs balises séparées par des virgules peuvent être définies. Les balises doivent être des paires clé-valeur séparées par :. Lorsque vous définissez des balises dans les deux listes (inclure et exclure), la liste d'exclusion a la priorité. Si aucun service de filtrage n'est nécessaire, la configuration ne doit pas être définie.

L'agent Instana surveille automatiquement toutes AWS les ressources qui n'ont pas de balises attribuées. {: note} Pour exclure les ressources non balisées de la surveillance, définissez le include_untagged drapeau sur false.

Le filtrage peut également être configuré sur le niveau de service. Dans ce cas, la configuration par défaut est remplacée pour le service concerné. Pour plus d'informations sur le filtrage des découvertes par service spécifique, consultez la documentation relative au service concerné.

Pour spécifier la fréquence à laquelle AWS l'agent interroge le AWS service surveillé afin d'obtenir les balises associées, utilisez la propriété tagged-services-poll-rate de configuration. La valeur par défaut est 300 secondes. L'agent utilise AWS le service client pour interroger les balises.

La configuration du taux d'interrogation des ressources balisées est la suivante :

com.instana.plugin.aws:
  tagged-services-poll-rate: 60 #default 300
 

L'intervalle d'interrogation indique la fréquence à laquelle AWS l'agent appelle CloudWatch l'API. Il est configurable en tant que cloudwatch_period dans le configuration.yml fichier. La valeur par défaut est 300 secondes. Il est très courant que les plateformes de surveillance utilisent une valeur comprise entre 5 et 10 minutes.

La fréquence d'interrogation est configurable à deux niveaux :

• Au niveau de l'agent pour tous les services AWS surveillés par l'agent :

  com.instana.plugin.aws:
    cloudwatch_period: 300
   

• Par service AWS :

  com.instana.plugin.aws.rds:
    cloudwatch_period: 300
   

La configuration par service unique remplace la configuration au niveau de l'agent.

Pour fournir des informations sur vos services AWS, les plateformes de monitoring comme Instana doivent utiliser l'API CloudWatch. Cette API est fournie par AWS avec une tarification basée sur la consommation, et l'objectif de cette documentation est d'apporter de la transparence sur la manière dont Instana utilise CloudWatch l'API afin que les utilisateurs puissent comprendre l'impact sur leur AWS facture.

Les coûts liés à CloudWatch sont déterminés par :

• Nombre d'instances surveillées de services AWS
• Nombre de métriques collectées par AWS agent
• Intervalle d'interrogation (configurable)

Chaque AWS agent appelle la GetMetricDataCloudWatch requête API pour la collecte des métriques, et en cas d'échec, GetMetricStatistics est appelé en guise de solution de secours. Les deux points de terminaison entraînent les mêmes coûts par métrique (notez que l'utilisation de secours de GetMetricStatistics n'entraîne aucun coût supplémentaire). Vous trouverez plus de détails à ce sujet sur la page AWSCloudWatch des tarifs.

Le tableau suivant contient une estimation approximative des coûts quotidiens pour différents AWS agents lorsque l'intervalle d'interrogation est de 5 minutes et que les frais Amazon sont de $ 0.01 pour 1 000 CloudWatch métriques :

Notez que les ne CloudWatch sont pas utilisés pour EC2 et pour les balises de sondage, il n'y a donc aucun CloudWatch coût associé à cela.

Vous pouvez réduire les coûts de CloudWatch en augmentant la fréquence d'interrogation. L'inconvénient de l'augmentation de l'intervalle d'interrogation est que vous réduisez la granularité des mesures de CloudWatch. Chaque requête fournit une seule valeur métrique, donc la différence entre un intervalle d'interrogation de 60s et 300s est de cinq valeurs métriques ou une valeur métrique pour une 300s période de.

C'est à vous de déterminer si l'intervalle d'interrogation par défaut convient à votre entreprise ou s'il faut le personnaliser afin de trouver le juste équilibre entre le coût et la qualité des informations.

Si l'agent hôte Instana s'exécute sur une EC2 machine qui ne dispose pas d'accès à Internet, l'agent ne pourra pas accéder aux API publiques des AWS services et ne pourra donc pas surveiller les services AWS pris en charge.

PrivateLinkAWS fournit un accès privé à des services hébergés de AWS manière hautement disponible et évolutive, sans avoir besoin d'utiliser des adresses IP publiques et sans que le trafic ait besoin de transiter par Internet.

Pour utiliser, AWSPrivateLink, créez un point de terminaison VPC pour tous AWS les services qui doivent être surveillés. Le point de terminaison VPC fournit une interface réseau élastique dans votre sous-réseau avec une adresse IP privée à l'API AWS de service qui peut être utilisée par l'agent hôte Instana.