エージェント設定ファイルを使用したホストエージェントの設定

Instana エージェントは、 HashiCorp ボールト を使用して、エージェント構成ファイル内の機密設定の値を安全に取得します。

エージェント設定ファイルに以下の行を追加し、 Vault の統合設定パラメータをホストエージェントに指定する必要があります：

com.instana.configuration.integration.vault:
  connection_url: <vault_server_base_url> # The address (URL) of the Vault server instance(e.g. http://127.0.0.1:8200 or https://exapmle.com:8200)
  prefix: <optional_prefix> # Optional prefix path required if kv_version 2 is used and the /data/ must be injected further down. The /data/ segment is injected after the amount of elements between the / in this prefix.
  token: <vault_access_token> # Vault access token with assigned, at least, `read` access policy to relevant Vault paths, optional if other auth providers are present
  github: # Optional auth method if Vault access token is not provided, has higher priority than approle if present
    github_token: <github_token> # Personal Access Token, must provide at least read:org scope, must be present if github is used as an auth provider
    auth_mount: github # Optional mount path for GitHub Auth, defaults to github
  approle: # Optional auth method if Vault access token or github auth is not provided
    role_id: <roleId> # AppRole RoleId, must be present if approle is used as an auth provider
    secret_id: <secretId> # AppRole SecretId, must be present if approle is used as an auth provider
    auth_mount: approle # Optional mount path for AppRole Auth, defaults to approle
  path_to_pem_file: <path_to_X.509_CA_certificate> # X.509 CA certificate (UTF8 encoded) in unencrypted PEM format, used by the Agent when communicating with Vault over HTTPS
  secret_refresh_rate: 24 # This configuration option allows you to account for rotating credentials, refresh rate in hours, default 24
  kv_version: 2 # The Key/Value secrets engine version, default is 2
                # IMPORTANT: For KV version 2, the /data/ element is injected after the number of path elements in the prefix.
                #
                # Example configuration:
                #   prefix: foo/bar/blah  # 3 path elements
                #   secret_key:
                #     path: my/secret/vault/password
                #     key: password
                #
                # The agent will inject /data/ after 3 path elements (based on prefix depth): my/secret/vault/password → my/secret/vault/data/password

Vault を MySQL で設定し、シークレットを追加する例については、 「 MySQL 用の Vault 設定例 」を参照してください。

Vault の初期設定が完了した後、エージェント設定ファイルで、各種センサーのシークレットの取得を指定できます。

エージェントの設定ファイルに直接記述するのではなく、 HashiCorp Vault から を取得 password する以下の例を参照してください：

com.instana.example:
  user: 'instana'
  password:
    configuration_from:
      type: vault
      secret_key:
        path: <vault_path>
        key: <vault_secret_key>
 

機密データの文字列値を、 Vault の座標を指定する YAML 構造体に置き換えることで、ホストエージェントが自動的にシークレットを取得します。

また、パスワードフィールドについては、シークレットマネージャーとの連携に限定されるわけではありません。 エージェント設定ファイル内で値として文字列を使用する configuration.yamlあらゆる設定について、シークレットマネージャーを利用できます。

詳細については、 Instana エージェントの統合に関連する以下の Vault の概念を参照してください：

• Vault サーバー
• Vault トークン管理
• アクセス・ポリシーのセットアップ
• Vault KVの秘密のエンジン
• Vault TCP リスナーの設定

IBM Cloud Secrets Manager は、オープンソースの HashiCorp Vault をベースとしており、 API と同様の機能と、 HashiCorp Vault と同様の設定を提供します。 統合の設定に関する詳細については、 HashiCorp Vault をご覧ください。

Vault コンポーネントのバージョン 1.0.11 以降では、IAMキーを使用した IBM Cloud Secrets Manager SDKを Vault で利用できるようになりました。

エージェント設定ファイルに以下の行を追加し、 IBM Cloud Secrets Manager の統合設定パラメータをホストエージェントに指定する必要があります：

com.instana.configuration.integration.vault:
  connection_url: <secrets-manager-address> # The address (URL) of the IBM Cloud Secrets Manager server instance(e.g. https://f022446e-1024-4aa9-a00c-72bf15aa9e7b.us-south.secrets-manager.appdomain.cloud)
  ibm_secrets_manager: <iam_key> # IAM Key that can be used to create access tokens
  secret_refresh_rate: 24 # This configuration option allows you to account for rotating credentials, refresh rate in hours, default 24
 

エンドポイントの説明は、 IBM Cloud Docs（ Secrets Manager ） または IBM （ Secrets Manager ）のダッシュボードでご確認いただけます。

IAMキーを作成するには、 IBM Cloud - IAM Keys を参照してください。

IBM Cloud Secrets Manager をホストエージェントに統合した後、エージェントの設定ファイルで、さまざまなセンサーのシークレットの取得を指定できます。

エージェントの設定ファイルに直接記述するのではなく、 IBM Cloud Secrets Manager から を取得 password する以下の例を参照してください：

com.instana.example:
  user: 'instana'
  password:
    configuration_from:
      type: vault
      secret_key:
        path: <secret-id> # The id of the Secret within the IBM Secrets Manager, (e.g. cc32688d-89c0-6fa8-c0b4-6cc88c232e66)
        key: <kv-key-entry> # The Key inside the Secret Object of type KV (e.g. login)
      poll_rate: 300 # seconds
 

Kubernetes のシークレットから機密情報を取得し、エージェントのセンサー設定に反映させるには、次の2つの概念を組み合わせます：

• Kubernetes を設定して、 シークレットを環境変数またはファイルとしてマウントします：
  • このシークレットは、ワークロード固有の環境変数またはファイルであり、データベースへのアクセス認証情報やメトリクス・エンドポイントなど、監視対象のワークロードに関する情報のみを保持します。
  • このシークレットは、エージェントの設定で使用される一般的なシークレットとしても利用でき、エージェントのPodに環境変数またはファイルとしてマウントされます。
• エージェントの configuration.yaml ファイルを修正し、マウントされた環境変数またはファイルから設定値を読み込むようにします：
  • または configuration_from: {type: env} を使用して configuration_from: {type: file}、 ワークロード固有の環境変数またはファイルからシークレットを読み込みます。
  • エージェント環境変数またはローカルファイルから秘密情報を読み込む または configuration_from: {type: agent_env}configuration_from: {type: agent_file} を使用します。

これら2つのプロセスを組み合わせることで、ワークロードは機密情報をポッド固有またはプロセス固有の環境変数やファイルに格納できるようになります。 さらに、エージェントは、これらの環境変数またはファイルを取得して機密情報を読み取り、その情報をワークロード固有の構成に適用することができます。

エージェントの一般的な設定に関連するシークレットについては、エージェント環境から機密情報を取得できます。

エージェントの環境から取得する設定値については、ファイルを configuration.yaml 次のように変更してください：

com.instana.configuration.integration.vault:
  connection_url: <vault_server_base_url>
  token:
    configuration_from:
      type: agent_env
      env_name: INSTANA_AGENT_VAULT_TOKEN
 

次の例では、エージェントは自身の環境から HashiCorp Vault の設定用アクセストークンを読み取るため、トークンを平文で公開する必要はありません configuration.yaml：

com.instana.configuration.integration.vault:
  connection_url: <vault_server_base_url>
  token:
    configuration_from:
      type: agent_env
      env_name: INSTANA_AGENT_VAULT_TOKEN
 

デフォルト値を指定せず、かつエージェントの環境変数にその環境変数が存在しない場合、ファイル configuration.yaml は値が入力されていないものとみなします。

ファイルから読み込まれる設定値については、その configuration.yaml ファイルを次のように変更してください：

com.instana.plugin.mysql:
  user: 'instana'
  password:
    configuration_from:
      type: agent_file
      file_path: <absolute or relative path to a file containing the configuration value>
      default_value: <set this when the file is not found>
 

このプロパティには、ファイルへの絶対パスを指定することも、エージェントの file_path インストールフォルダを基準とした相対パスを指定することもできます。 Linux ホストでは、この場所は通常 /opt/instana/agent、. です。 ファイルから読み込む /opt/instana/agent/etc/vault_token場合、ファイル configuration.yaml 内のエントリは絶対パス /opt/instana/agent/etc/vault_token でも相対パスでも構いません etc/vault_token。

ターゲットプロセスの環境から取得する設定値については、ファイルを configuration.yaml 次のように変更してください：

com.instana.plugin.mysql:
  user: 'instana'
  password:
    configuration_from:
      type: env
      env_name: <environment variable name>
      default_value: <set this when no env var is found on this process>
 

デフォルト値を指定せず、かつ監視対象のプロセスにその環境変数が存在しない場合、この configuration.yaml ファイルは値が入力されていないものとみなします。

ファイルから読み込まれる設定値については、その configuration.yaml ファイルを次のように変更してください：

com.instana.plugin.mysql:
  user: 'instana'
  password:
    configuration_from:
      type: file
      file_path: <absolute path to a file containing the configuration value>
      default_value: <set this when the file is not found>
      common_value: <set this in addition to the configuration value from file>
 

以下の例では、エージェントは、プロパティー type: fileを持つプロセス・ファイル・システムから /jmx-config-map.yaml ファイルを読み取ります。 この default_value プロパティは、複雑な YAML 構造を受け入れます。 common_value プロパティーは、後ですべてのプロセス固有の構成とマージされ、すべてのモニター対象プロセスに共通です。

com.instana.plugin.java:
  jmx:
    configuration_from:
      type: file
      file_path: /jmx-config-map.yaml
      default_value:
        - object_name: 'java.lang:type=OperatingSystem'
          metrics:
          - attributes: 'CommittedVirtualMemorySize'
            type: 'absolute'
      common_value:
        - object_name: 'java.lang:type=OperatingSystem'
          metrics:
          - attributes: 'ProcessCpuLoad'
            type: 'delta'
 

次の例では、 Kubernetes ConfigMap からファイル /jmx-config-map.yaml がマウントされ、以下のコンテンツを提供するアプリケーションコンテナに読み込まれます：

- object_name: 'java.lang:type=Compilation'
  metrics:
  - attributes: 'TotalCompilationTime'
    type: 'delta'
- object_name: 'java.lang:type=ClassLoading'
  metrics:
  - attributes: 'LoadedClassCount'
    type: 'absolute'
 

このプロセスにより、以下の最終構成が行われます。 ProcessCpuLoad の common_value が追加されていることに注意してください。

com.instana.plugin.java:
  jmx:
  - object_name: 'java.lang:type=Compilation'
    metrics:
    - attributes: 'TotalCompilationTime'
      type: 'delta'
  - object_name: 'java.lang:type=ClassLoading'
    metrics:
    - attributes: 'LoadedClassCount'
      type: 'absolute'
  - object_name: 'java.lang:type=OperatingSystem'
    metrics:
    - attributes: 'ProcessCpuLoad'
      type: 'delta'
 

監視対象のプロセスがコンテナ内で実行されている場合、ファイルの絶対パスはそのコンテナのファイルシステムに基づいて解決されます。