Configuration des agents hôtes d' Instana

Pour Instana et SaaS,, les certificats TLS destinés aux connexions au backend des agents sont fournis par Instana. Pour les serveurs Instana hébergés en interne, les certificats de type « TLS » nécessaires aux connexions au serveur peuvent être fournis par le client. Pour plus d'informations, consultez la section « Utilisation de certificats existants pour l'édition Standard auto-hébergée ».

Pour les serveurs Instana hébergés en local, vous pouvez configurer les agents Instana afin qu'ils vérifient l'empreinte du certificat du serveur TLS. Dans le *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg fichier, attribuez à la fingerprints propriété une liste d'empreintes de certificats séparées par des virgules. L'agent refuse toute connexion vers un serveur distant dont l'empreinte ne correspond pas à celles spécifiées.

Exemple de configuration :

fingerprints=29:17:5A:F4:2E:35:DF:87:D6:1F:4D:C8:A8:01:D2:43:18:47:BF:6E
 

Dans certains cas, vous pouvez avoir besoin d'un agent pour générer des rapports à plusieurs systèmes de back end. Par exemple, si des services partagés sont utilisés par des environnements séparés, vous pouvez configurer manuellement un agent pour qu'il envoie des rapports à plusieurs systèmes de back end dans ces environnements séparés.

L'agent est comptabilisé séparément dans tous les programmes d'arrière-plan car le nombre de licences qu'il utilise et la configuration multiplie efficacement la consommation de bande passante de l'agent.

Pour configurer l'agent hôte pour qu'il envoie des rapports à plusieurs systèmes de back end, procédez comme suit:

1. Renommez le fichier de configuration *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg en *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-1.cfg
2. Créez des copies du fichier de configuration *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-2.cfg avec les configurations appropriées pour les différents programmes d'arrière-plan avec lesquels l'agent génère des rapports.

Chacun des fichiers créés à l'étape précédente peut être modifié pour définir un autre point de terminaison de l'agent hôte et d'autres clés d'agent. Ces fichiers peuvent même contenir des paramètres de proxy différents.

Remarques :

• Vous pouvez utiliser n'importe quel ID numérique ou alphanumérique dans le fichier de configuration. Exemple: *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend-<alphanumeric>.cfg

• Si le fichier de configuration *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.Backend.cfg existe, tous les autres fichiers d'arrière-plan sont ignorés.

• Les images de l'agent hôte Instana Docker sont spécialement configurées afin de permettre l'ajout aisé de backends supplémentaires en montant les fichiers de backend, tels que com.instana.agent.main.sender.Backend-2.cfg.

  Voici un exemple d'argument pour un agent dockerisé:

  --volume <path-to-additional-backend-config>:/opt/instana/agent/etc/instana/com.instana.agent.main.sender.Backend-2.cfg

Pour préserver la confidentialité des informations sensibles relatives à l'authentification du proxy, vous pouvez associer les paramètres du proxy à l'aide de variables d'environnement.

Vous pouvez vous inspirer de l'exemple suivant pour le <instana-agent-dir>/etc/instana/com.instana.agent.main.sender.Backend.cfg fichier afin de configurer les propriétés du proxy backend à l'aide de variables d'environnement. Vous devez indiquer le nom d'utilisateur et le mot de passe à l'agent dans les variables d'environnement BACKEND_PROXY_USER et BACKEND_PROXY_PASSWORD.

proxy.user=${env:BACKEND_PROXY_USER}
proxy.password=${env:BACKEND_PROXY_PASSWORD}

Vous pouvez utiliser l'exemple suivant pour le mvn-settings.xml fichier permettant de configurer le proxy du référentiel Maven à l'aide de variables d'environnement. Vous devez indiquer le nom d'utilisateur et le mot de passe à l'agent dans les variables d'environnement MAVEN_PROXY_USER et MAVEN_PROXY_PASSWORD.

<proxies>
  <proxy>
    <id>agent-proxy</id>
    <active>true</active>
    <protocol>http</protocol>
    <username>${env.MAVEN_PROXY_USER}</username>
    <password>${env.MAVEN_PROXY_PASSWORD}</password>
    <host></host>
    <port></port>
  </proxy>
</proxies>

Vous pouvez configurer un proxy Squid ( www.squid-cache.org ) en association avec Instana, lorsqu'aucun autre proxy n'est disponible.

Plusieurs méthodes sont disponibles pour installer Squid sur votre système. La plupart des distributions Linux® incluent Squid dans leurs référentiels et le logiciel peut être installé à l'aide du gestionnaire de package préféré.

Si aucun package n'est disponible ou si vous souhaitez exécuter Squid sur Microsoft® Windows®, vous pouvez obtenir les fichiers binaires Squid à partir de la (documentationSquid Web Cache).

Une fois Squid installé, un exemple de configuration squid.conf est créé et possède une configuration par défaut. Si vous souhaitez utiliser le proxy exclusivement pour la communication avec Instana, vous pouvez sauvegarder la configuration par défaut, puis utiliser la configuration suivante pour squid.conf :

# The tcp port squid is listening on
http_port 3128

# Please specify subnet with instana agents
acl instana_agent_net src 10.0.0.0/8

# This is the ip of the instana backend
acl instana_backend dstdomain saas-eu-west-1.instana.io
#acl instana_backend dstdomain ec2-54-144-114-141.compute-1.amazonaws.com
#acl instana_backend dstdomain saas-us-east-1.instana.io
#acl instana_backend dstdomain saas-us-east-1.instana.io

# This is the port used by Instana
acl instana_backend_port port 443

# This is the repo to download updates and additional sensors
acl instana_repo dstdomain artifact-public.instana.io
acl instana_repo_port port 80
acl instana_repo_port_secure port 443

# Protocol used for instana backend
acl instana_backend_proto proto HTTP

# Protocol used for instana backend
acl instana_repo_proto proto HTTP
acl instana_repo_proto_secure proto HTTPS

http_access allow instana_agent_net instana_backend instana_backend_port
http_access allow instana_agent_net instana_repo instana_repo_port
http_access allow instana_agent_net instana_repo instana_repo_port_secure

# DO NOT REMOVE THIS RULE!
http_access deny all

Vous pourriez rencontrer les problèmes de surveillance suivants lors de la configuration du chiffrement « TLS » pour un point de terminaison d'agent. Ces problèmes s'affichent dans le tableau de bord de l'agent, dans l'interface utilisateur d' Instana. Vous devez les résoudre avant de continuer.

Type de problème de surveillance : agent_tls_cert_expired

Le certificat utilisé pour configurer le chiffrement de l' TLS e pour le point de terminaison de l'agent arrive à expiration. Veillez à remplacer le certificat arrivé à expiration par un nouveau fichier de certificat.

Type de problème de surveillance : agent_tls_cert_about_to_expire

Le certificat utilisé pour configurer le chiffrement de l' TLS pour le point de terminaison de l'agent arrive à expiration dans quelques jours. Veillez à remplacer le certificat par un nouveau fichier de certificat.

Les agents hôte dynamiques peuvent se mettre à jour et réduire ainsi le temps système de gestion. Pour configurer les mises à jour des agents hôtes dynamiques, notamment l'intervalle de mise à jour, consultez la section « Configuration des mises à jour des agents hôtes dynamiques ».

Étant donné que le mode agent peut également être configuré depuis l'interface utilisateur d' Instana, le fichier de configuration comporte un indicateur qui peut être utilisé pour désactiver cette redéfinition. De cette manière, le mode agent peut être configuré en utilisant uniquement le fichier de configuration ou une variable d'environnement locale de l'agent installé.

Si vous ne souhaitez pas définir le mode agent à partir de l'interface utilisateur, ajoutez la ligne suivante au fichier de configuration *instanaAgentDir*/etc/instana/com.instana.agent.main.config.Agent.cfg :

mode.web-override.allowed = false

Par défaut, l'agent utilise une rotation de journal de 10 fois les fichiers journaux de l'agent de 5 Mo. C'est-à-dire qu'à tous les 5 Mo, le fichier fait l'objet d'une rotation et 10 fichiers sont conservés, et le fichier 11 est supprimé.

log4j2.appender.rolling.policy.type = SizeBasedTriggeringPolicy
log4j2.appender.rolling.policy.size = 5MB
log4j2.appender.rolling.strategy.type = DefaultRolloverStrategy
log4j2.appender.rolling.strategy.max = 10

L'agent utilise Log4j2, qui est une fonction de journalisation moderne et flexible. Consultez l'exemple suivant pour configurer syslog:

log4j2.rootLogger.appenderRef.Syslog.ref = Syslog
log4j2.rootLogger.appenderRef.Syslog.level = ERROR
log4j2.appender.syslog.type=Syslog
log4j2.appender.syslog.name=Syslog
log4j2.appender.syslog.layout.type=PatternLayout
log4j2.appender.syslog.layout.pattern = ${log4j2.pattern}
log4j2.appender.syslog.facility=SYSLOG
log4j2.appender.syslog.host=localhost
log4j2.appender.syslog.port=514
log4j2.appender.syslog.protocol=UDP

Dans les images de conteneur personnalisées, vous pouvez être amené à vous connecter à STDOUT. Pour ce faire, vous pouvez fournir la configuration suivante dans le fichier de configuration <instana-agent-install-dir>etc/org.ops4j.pax.logging.cfg :

log4j2.rootLogger.appenderRef.Console.ref = Console

log4j2.appender.console.type = Console
log4j2.appender.console.name = Console
log4j2.appender.console.layout.type = PatternLayout
log4j2.appender.console.layout.pattern = ${log4j2.pattern}

Etant donné que la journalisation utilise la journalisation log4j2 standard, elle peut être configurée de bien d'autres manières, comme décrit dans la documentationlog4j2.

L'agent peut temporairement consigner des métriques ou des traces envoyées via cet agent dans un fichier sur le disque. La fonction de consignation des métriques ou des traces dans un fichier est souvent utilisée pour déboguer divers problèmes liés aux métriques, aux traces, au traçage ou aux étendues.

Pour activer la fonction, recherchez le fichier de configuration *instanaAgentDir*/etc/instana/com.instana.agent.main.sender.File.cfg et mettez à jour son contenu à l'aide des commandes suivantes:

# Configuration of local logging. Changes will be hot-reloaded.
# Activate logging of outgoing payloads to local disk by setting a non-empty
# prefix. The log file will be written to data/log, and the file will have the
# defined prefix followed by a timestamp.
# Note: There is no automatic rotation of those files.
prefix=locallog

# The file can be filtered to either "metrics" or "traces".
# If empty or absent, there will be no filtering.
type=traces

Comme indiqué, les modifications sont rechargées à chaud et peuvent être activées immédiatement. La fonction ne doit être activée temporairement que parce qu'elle peut occuper tout l'espace disque disponible, si le temps et le trafic sont suffisants.

Autorisez la consignation à continuer pendant une minute ou deux pendant que le trafic est généré vers le composant lorsque vous tracez les problèmes. Ensuite, annulez les modifications ou mettez en commentaire toutes les lignes de ce fichier. Une fois encore, les modifications enregistrées sur le disque sont répercutées à chaud par l'agent « Instana ».

Si vous utilisez un ticket de demande de service, joignez le fichier journal résultant au ticket de demande de service. Le fichier journal se trouve dans le fichier journal *instanaAgentDir*/data/log/locallog_*.log .

1. Créez un fichier de configuration nommé /etc/systemd/system/instana-agent.service.d/20-resource_limits.confet ajoutez-lui le contenu suivant:

   [Service]
   # ------------------------------------------------------------
   # CPU accounting and request-style configuration
   # ------------------------------------------------------------
   
   # Enable per-unit CPU usage accounting so that systemd and tools like
   # systemd-cgtop can report precise CPU usage for this service.
   CPUAccounting=true
   
   # cgroup v2:
   # CPUWeight defines relative CPU share (range 1-10000, default about 100).
   # 50 is about half of the default share and behaves similar to "0.5 CPU requested".
   # This is a soft, work-conserving control: the service can still use full CPU
   # when the system is idle but will get less CPU when there is contention.
   CPUWeight=50
   
   # cgroup v1:
   # CPUShares defines relative CPU share (default 1024).
   # 512 is half of the default share and behaves similar to "0.5 CPU requested".
   # Same semantics as CPUWeight above: acts only under contention, not as a hard cap.
   CPUShares=512
   
   # CPUQuota enforces a strict CPU ceiling and causes throttling even when the
   # machine is idle. This is not encouraged for the agent.
   #
   # In practice, using CPUQuota for the agent has been observed to:
   # - Degrade performance when the agent needs more CPU than the quota allows.
   # - Increase total CPU consumption compared to not throttling at all,
   #   because the agent needs more time to complete the same work while
   #   constantly being throttled.
   #
   #CPUQuota=50%
   
   
   # ------------------------------------------------------------
   # Memory accounting and hard memory limit
   # ------------------------------------------------------------
   
   # Enable per-unit memory usage accounting so that systemd and tools like
   # systemd-cgtop can report memory usage for this service.
   MemoryAccounting=true
   
   # MemoryMax sets a hard upper bound on memory usage for this service
   # and its child processes. When the limit is reached, the kernel will
   # reclaim memory or kill processes to enforce the limit.
   #
   # A hard memory limit is recommended for the agent to prevent runaway
   # memory usage from impacting the host.
   MemoryMax=768M

2. Exécutez systemctl daemon-reload.

3. Redémarrez le service instana-agent.

Exécutez le conteneur instana-agent avec les paramètres supplémentaires suivants :

Pour Docker 1.13 et versions ultérieures:

--cpus=0.5 --memory=512m

Pour Docker 1.12 et versions antérieures:

--cpu-period=100000 --cpu-quota=50000 --memory=512m

Ajoutez le fragment de configuration suivant à la configuration de conteneur de l'agent hôte:

livenessProbe:
  httpGet: # Agent liveness is published on localhost:42699/status
    path: /status
    port: 42699
  initialDelaySeconds: 75
  periodSeconds: 5
resources:
  requests:
    memory: "768Mi"
    cpu: "0.5"
  limits:
    # Memory requests and limits should be equal to ensure the pod gets
    # a guaranteed QoS class for memory, preventing memory-based eviction.
    memory: "768Mi"
    # CPU limits are not recommended for the agent as they can cause throttling
    # and degrade performance. Use requests to define relative CPU priority.
    # If you must set a CPU limit, use a value significantly higher than requests:
    #cpu: "1.5"

La configuration spécifie les ressources CPU et mémoire allouées au instana-agent conteneur et définit une limite de mémoire stricte afin d'éviter toute utilisation excessive de la mémoire. Les demandes et les limites de mémoire sont définies sur la même valeur afin de garantir l' QoS. Les limites du processeur sont délibérément omises afin d'éviter tout ralentissement susceptible de nuire aux performances de l'agent.