Red Hat OpenShift へのエージェントのインストール

エージェントをインストールする前に、 前提条件が満たされていることを確認してください。

以下の方法を使用して、 Red Hat OpenShift クラスタに Instana エージェントをインストールできます

• Instana エージェントオペレーター（オンライン）
• Instana エージェントオペレーター（エアギャップ方式）
• Helm チャート（オンライン）
• Helm チャート（エアギャップ方式）

IBM Z または LinuxONE プラットフォーム上の Red Hat OpenShift にエージェントをインストールするには、 Helm チャート（オンライン） をご利用ください。

オペレーターを使用して Red Hat OpenShift に Instana エージェントをインストールするには、以下の手順を実行してください：

1. オペレータのインストールを続行する前に、前提条件の手順を完了してください。

2. 以下のいずれかの方法でオペレーターを取り付ける：

   • Operator Lifecycle Manager(OLM) を使用してオペレータをインストールします（Red Hat OpenShift で推奨）。

   • オペレーターを手動でインストールしてください。

containers.instana.io完全にエアギャップ化された環境では、クラスタノードは や から icr.io イメージを直接取得することはできません。 インターネットに接続可能なジャンプホスト（バスティオン）を使用して、必要なすべてのイメージを、クラスタからアクセス可能なプライベートレジストリにコピーします。 次に、ミラーリングされたイメージからオペレーターをデプロイします。

このセクションの手順では、 IBM Cloud Container Registry （ICR） 内のプライベートネームスペースをターゲットレジストリとして使用します。 ジャンプホストおよびターゲットクラスタからアクセス可能なOCI準拠のレジストリであれば、どれでも同様に機能します。例えば、JFrog（ Artifactory ）、 Red Hat、Quay、Harbor、あるいは自前でホストするディストリビューションレジストリなどが挙げられます。 ICR 以外のレジストリを使用する場合は、ICR 固有の手順をスキップし、 URL および認証情報については、該当する箇所 icr.io すべてを各自のレジストリおよび認証情報に置き換えてください。

[internet] ──pull──▶ jump host ──push──▶ <private-registry>/instana-airgap-mirror ◀──pull── OCP cluster
                      (skopeo)

この scripts/mirror-instana-images.sh スクリプトは、1回の実行で3つのコンポーネントすべてのミラーリングを処理します：

skopeo --version
jq --version
oc version --client

Helmチャートを使ってエージェントをインストールすることができます。 「 Helm 」チャートは、 DaemonSet を使用して、クラスタ内でスケジューリング可能なすべてのノードに「 Instana 」エージェントを追加します。

「 Helm 」チャートを使用して Instana エージェントをインストールするには、まず Helm バージョン3をインストールするか、バージョン3にアップグレードする必要があります。

Instana エージェントの Helm チャートは、 Red Hat OpenShift 4.x に対応しています。

「 Helm 」チャートを使用して、 Red Hat OpenShift に Instana エージェントをインストールするには、以下の手順を実行してください：

1. Instana UIのホームページで、 「エージェントとコレクター」 をクリックします。 [ Instana ] の [エージェント] タブで、 [エージェントのインストール] を選択します。

2. エージェントデプロイメントカタログページで、タイルOpenShift-Helmchart をクリックします。

3. クラスタ名と（オプションで）クラスタを所属させたいエージェントゾーンを入力します。

   クラスタ名（<your_cluster_name>）は、このDaemonSetが監視するクラスタのカスタマイズ名です。

   エージェントゾーン（<your_zone_name>）は、インフラストラクチャマップに表示されるゾーンのグループ分けをカスタマイズするために使用されます。

   エージェント配備コードは、指定した値で更新されます。 他のすべての必要なパラメータは、エージェントデプロイメントコードにあらかじめ入力されています：

   INSTANA_AGENT_NAMESPACE=instana-agent
   oc login -u system:admin
   oc new-project ${INSTANA_AGENT_NAMESPACE}
   oc adm policy add-scc-to-user privileged -z instana-agent -n "${INSTANA_AGENT_NAMESPACE}"
   oc adm policy add-scc-to-user anyuid -z instana-agent-remote -n "${INSTANA_AGENT_NAMESPACE}"
   helm install instana-agent \
   --repo https://agents.instana.io/helm \
   --namespace ${INSTANA_AGENT_NAMESPACE} \
   --set agent.key='<your_agent_key>' \
   --set agent.endpointHost='<your_host_agent_endpoint>' \
   --set agent.endpointPort=443 \
   --set cluster.name='<your_cluster_name>' \
   --set zone.name='<your_zone_name>' \
   instana-agent

4. IBM Z または LinuxONE, に Instana エージェントをインストールする際は、インストールプロセス中に個別のゾーンを設定してください。 この分離が重要なのは、 Instana エージェントと、それが監視するアプリケーションのワークロードの両方が同じクラスター内にあるためです。

   Instana と監視対象のアプリケーションが別々にデプロイされる他の環境とは異なり、 IBM Z または LinuxONE の構成では、同じクラスターを共有します。 そのため、区域を隔離することが不可欠となります。 ゾーンを分離するには、 Instana がインストールされているノードに適切なラベルが付けられ、taintが設定されていることを確認してください。

   使用されるラベルが node-role.kubernetes.io/monitor=true. の場合、 Instana ノードに正しいラベルが付けられていることを確認するには、次のコマンドを実行してください：

   kubectl get nodes -l node-role.kubernetes.io/monitor=true

   Instana ノードが、 node.instana.io/monitor=trueサンプルテイントによって期待どおりにテイントされていることを確認するには、次のコマンドを実行してください：

   kubectl get nodes -o=jsonpath='{range .items[*]}{.metadata.name}{"\t"}{range .spec.taints[*]}{.key}{"="}{.value}{"\t"}{end}{"\n"}{end}' | grep 'node\.instana\.io/monitor'

   Instana ノードにラベルとテイントが設定されていることを確認したら、以下の手順に従ってください：

   1. ワークロードノードへのラベル付け アプリケーション・ワークロードを実行しているノードには、インフラストラクチャ・ノードと区別できるよう、適切なラベルが付けられていることを確認してください。

      NODE=<your node name>
      CLUSTER=<your cluster name>
      oc label node worker${NODE}.${CLUSTER_NAME} workload="true"

   2. 2つのゾーンを設定する

      • Instana ノードを モード INFRASTRUCTURE に設定します。
      • アプリケーションのワークロードノードを モード APM に設定します。
      • YAMLagent_values.yaml ファイルを作成し、そのファイル内にゾーンと、それぞれのアフィニティおよび許容度を指定します。

      zones:
        - name: workloads
          mode: APM
          affinity:
             nodeAffinity:
             requiredDuringSchedulingIgnoredDuringExecution:
                nodeSelectorTerms:
                  - matchExpressions:
                      - key: workload
                        operator: Exists
        - name: instana-nodes
          mode: INFRASTRUCTURE
          tolerations:
            - key: node.instana.io/monitor
              operator: Equal
              effect: NoSchedule
              value: "true"
          affinity:
            nodeAffinity:
              requiredDuringSchedulingIgnoredDuringExecution:
                nodeSelectorTerms:
                  - matchExpressions:
                      - key: node-role.kubernetes.io/monitor
                        operator: In
                        values:
                          - "true"

      このサンプル YAML ファイルでは、 Instana ノードにはラベルが付けられ、キー: でテイントが設定 node-role.kubernetes.io/monitor=truenode.instana.io/monitor=true されているものと仮定しています。 これらの値は、ご自身のノードのラベリングおよびテインティングの規則に合わせて更新してください。

      以下の例に示すように、エージェントのデプロイコードの最後に、独自のYAMLファイルを追加してください

      INSTANA_AGENT_NAMESPACE=instana-agent
      oc login -u system:admin
      oc new-project ${INSTANA_AGENT_NAMESPACE}
      oc adm policy add-scc-to-user privileged -z instana-agent -n "${INSTANA_AGENT_NAMESPACE}"
      oc adm policy add-scc-to-user anyuid -z instana-agent-remote -n "${INSTANA_AGENT_NAMESPACE}"
      helm install instana-agent \
      --repo https://agents.instana.io/helm \
      --namespace ${INSTANA_AGENT_NAMESPACE} \
      --set agent.key='<your_agent_key>' \
      --set agent.endpointHost='<your_host_agent_endpoint>' \
      --set agent.endpointPort=443 \
      --set cluster.name='<your_cluster_name>' \
      --set zone.name='<your_zone_name>' \
      instana-agent -f agent_values.yaml

5. エージェントのデプロイメントコードを編集します。

   • インストールを設定するには、`--` --set フラグを使用してコマンドラインで値を指定するか、`--` -f フラグを使用して設定値を記述した ` YAML ` ファイルを指定することができます。 すべての設定パラメータの詳細な一覧と使用例については、 Instana の「 Helm 」チャートをご覧ください。 また、以下のトピックも参照してください：

     • 追加のバックエンドの設定
     • Instana エージェントと Instana バックエンド間のプロキシ設定
     • カスタム Kubernetes ボリュームと volumeMounts の定義

   • オプション：静的エージェントを配置するには、フラグ '--set agent.image.name=containers.instana.io/instana/release/agent/static を設定する。

   • デフォルトで作成されるKubernetesサービスは、以下の項目をクラスタに公開する：

     • OpenTelemetry gRPC 経由でのデータ取り込み用 otlp エンドポイント
     • Prometheus の導入 remote_writeAPI
     • Web SDK のトレース
     • その他のエージェントAPI。

   • オプション：エージェントのエンドポイントに TLS 暗号化を追加する場合は、既存のシークレットを使用するか、証明書と秘密鍵を使用してください：

     • 既存のタイプ kubernetes.io/tls

       TLS 暗号化には、kubernetes.io/tlsタイプの既存のシークレットを使用できます。 ただし、インストール時に'secretNameと'--set 'agent.tls.secretName=<YOUR_SECRET_NAME>'を指定する必要があります。 そして、提供された秘密のファイルがエージェントに含まれます。

     • 証明書と秘密鍵を使用する

       証明書と秘密鍵は base64-encoded でなければなりません。 このバリアントを使用するには、 helm install コマンドを以下の追加パラメータを指定して実行してください：

       --set 'agent.tls.certificate=<YOUR_CERTIFICATE_BASE64_ENCODED>'
       --set 'agent.tls.key=<YOUR_PRIVATE_KEY_BASE64_ENCODED>'

       注：agent.tls.secretName が設定されている場合、 agent.tls.certificate および agent.tls.key は無視されます。

6. エージェント展開コードをコピーして実行する。

これでエージェントがインストールされた。 インストール後にできることについては、「次にすること」のセクションをご覧ください。

エージェントを更新するには、オペレータ・インストールの更新を参照してください。

Red Hat OpenShift エアギャップ環境で利用可能な内部コンテナレジストリを提供し、クラスター内でワークロードを実行するためのイメージを保存できます。

エージェントをインストールする前に、必ず以下のソフトウェアをインストールしてください：

• OpenShift CLI (oc)
• jq
• Skopeo

エアギャップ環境において、 Helm チャートを使用して Instana エージェントをインストールするには、以下の手順を実行してください：

1. 次のコマンドを実行して、 Red Hat OpenShift クラスタに管理者としてログインします：

   oc login --server=https://api.myopenshiftcluster.com:6443 -u kubeadmin -p $OPENSHIFT_PASSWORD

2. 内部コンテナレジストリを、ジャンプホストからアクセスできるように公開します：

   oc patch configs.imageregistry.operator.openshift.io/cluster --type merge -p '{"spec":{"defaultRoute":true}}'

3. レジストリに外部からアクセスする際に使用されるホスト名を取得します：

   HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')

4. Red Hat OpenShift クラスターに「instana」というプロジェクトを作成し（まだ作成されていない場合）、指定されたネームスペースへのイメージのプッシュを有効にします：

   oc get project instana || oc new-project instana

5. レジストリのホスト情報を表示します：

   echo "${HOST}" # default-route-openshift-image-registry.apps.myopenshiftcluster.com

6. 信頼できるIngressオペレーターの証明書を取得し、システムの認証局（CA）ディレクトリに追加します：

   oc extract secret/$(oc get ingresscontroller -n openshift-ingress-operator default -o json | jq '.spec.defaultCertificate.name // "router-certs-default"' -r) -n openshift-ingress --confirm

   この手順を省略すると、イメージをターゲットレジストリにプッシュしようとした際に、証明書に関する警告（例： tls: failed to verify certificate: x509: certificate signed by unknown authority）が表示される可能性があります。

7. 次のコマンドを使用して、CAをシステムの信頼済み認証局ストアにインポートします：

   sudo mv tls.crt /etc/pki/ca-trust/source/anchors/
   sudo update-ca-trust

8. Skopeo を使用して、送信元レジストリと送信先レジストリの両方にログインします：

   skopeo login -u kubeadmin -p $(oc whoami -t) $HOST
   skopeo login -u _ -p $AGENT_DOWNLOAD_KEY containers.instana.io

9. 各コンポーネントの最新版を確認してください：

   LATEST_OPERATOR_VERSION=$(skopeo inspect docker://icr.io/instana/instana-agent-operator:latest | jq -r ".Labels.version")
   LATEST_AGENT_VERSION=$(skopeo inspect docker://containers.instana.io/instana/release/agent/static:latest | jq -r ".Labels.version")
   LATEST_K8S_SENSOR_VERSION=$(skopeo inspect docker://icr.io/instana/k8sensor:latest | jq -r '.Labels["org.opencontainers.image.revision"]')

10. 必要なコンポーネントをローカルレジストリにコピーします：

    skopeo copy docker://icr.io/instana/instana-agent-operator:latest "docker://${HOST}/instana/instana-agent-operator:${LATEST_OPERATOR_VERSION}"
    skopeo copy docker://containers.instana.io/instana/release/agent/static:latest "docker://${HOST}/instana/instana-agent-static:${LATEST_AGENT_VERSION}"
    skopeo copy docker://icr.io/instana/k8sensor:latest "docker://${HOST}/instana/k8sensor:${LATEST_K8S_SENSOR_VERSION}"