監視 Kubernetes

支援的受管理 Kubernetes

• IBM Cloud Kubernetes Service 監視及效能管理
• Amazon Elastic Container Service for Kubernetes (EKS)
• Azure Kubernetes Service (AKS)
• Google Kubernetes Engine (GKE)
• IBM Cloud Kubernetes Service
• VMware Tanzu Kubernetes Grid (TKG) 及 VMware Tanzu Kubernetes Grid Integration (TKGI) ，先前稱為 Pivotal Container Service (PKS)

附註: 僅支援 Linux 工作者節點。 不支援在 Windows 上執行的工作者。

支援的服務網格

Instana 支援最後三個穩定版本的 Istio。

Kubernetes 頁面

在 Instana 使用者介面的導覽功能表中，按一下 平台 > Kubernetes ，您可以查看 Kubernetes 叢集和名稱空間的資訊。

應用程式頁面

按一下 Instana 使用者介面導覽功能表中的 應用程式 ，然後按一下 應用程式 或 服務 標籤。 如果服務或應用程式在 Kubernetes 叢集上執行，您可以在 基礎架構 標籤中查看個別環境定義資訊:

對於儲存器， Pod 和名稱空間會顯示並直接鏈結; 對於主機，叢集和節點也會顯示並鏈結。

基礎架構頁面

在 Instana 使用者介面的導覽功能表中，按一下 基礎架構 。 在基礎架構圖中，您可以在您所選取主機或容器的資訊看板中查看 Kubernetes 資訊。

您可以使用 動態焦點 來過濾資料。 例如，在叢集中搜尋特定部署。 此外，關鍵字 entity.kubernetes.cluster.distribution 及 entity.kubernetes.cluster.managedBy 可讓您依配送及管理層來搜尋 Kubernetes 叢集。 entity.kubernetes.cluster.distribution 支援的值為 gke、 eks、 openshift及 kubernetes。 entity.kubernetes.cluster.managedBy 支援的值為 rancher 和 none。

單一 Kubernetes 服務至多個邏輯服務

當服務對映規則相符且在該 Kubernetes 服務上產生呼叫時，多個邏輯服務可以與單一 Kubernetes 服務相關。 例如，具有標籤選取元 "service=my-service" 的 Kubernetes 服務可能包含具有其他標籤 "env=dev" 及 "env=staging" 的 Pod ，這些標籤與 Instana 中具有下列標籤 kubernetes.container.name、 kubernetes.pod.label及 key: env的自訂服務對映配置結合。 它會導致多個邏輯服務鏈結至該單一 Kubernetes 服務，並顯示在 Kubernetes Service 儀表板上。

單一邏輯服務至多個 Kubernetes 服務

當 Kubernetes 服務在一段時間內毀損並重建時，多個 Kubernetes 服務可以與單一邏輯服務相關。 例如，如果具有產生的呼叫的 Kubernetes 服務 shop-service-a 在一段時間內由 shop-service-b 取代為產生的呼叫，則當選取的時段與產生的呼叫重疊時，這兩個服務都會顯示在邏輯服務儀表板上。

叢集

CronJob

DaemonSet

部署

工作

Kubernetes 服務

名稱空間

節點

Pod

StatefulSet

內建

有幾個內建性能規則會觸發 Kubernetes 實體的問題。

• 叢集
  • Kubernetes 報告「主要元件」(apiserver、排程器及控制器管理程式) 性能不佳。 由於 Kubernetes 中的錯誤，性能並非一律可靠報告。 Instana 嘗試過濾「主要元件」的性能狀態，不會導致警示，但只會在叢集詳細資料頁面上顯示性能狀態。
• 節點
  • 所要求的 CPU 接近容量上限。 所要求 CPU 與 CPU 容量的比例大於 80%。
  • 所要求的記憶體接近容量上限。 所要求的記憶體與記憶體容量比例大於 80%。
  • 已配置的 Pod 已接近容量上限。 配置的 Pod 對 Pod 容量比例大於 80%。 對於節點，階段 'Running' 和 'Unknown' 中的 Pod 會計算為已配置。 如需節點容量的相關資訊，請參閱 Kubernetes 文件。
  • 節點報告未備妥超過一分鐘的狀況，且此節點的所有狀況都超出「備妥」狀況。 如需所有節點條件的相關資訊，請參閱 Kubernetes 文件。
• 名稱空間
  • 所要求的 CPU 接近容量上限。 所要求 CPU 與 CPU 容量的比例大於 80%。
  • 所要求的記憶體接近容量上限。 所要求的記憶體與記憶體容量比例大於 80%。
  • 已配置的 Pod 已接近容量上限。 配置的 Pod 對 Pod 容量比例大於 80%。 對於名稱空間，會將階段「擱置」、「執行中」及「不明」中的 Pod 視為已配置。 名稱空間容量值基於每個名稱空間可以設定的 ResourceQuotas 。 如需相關資訊，請參閱 Kubernetes 文件。
• 部署
  • 可用的抄本數小於想要的抄本數。
• Pod
  • Pod 必須在部署的一分鐘內備妥，但如果它在一分鐘內未備妥，原因是它尚未完成其作業 (PodCondition= Ready ， Status=False ， Reason! = PodCompleted)。 如需所有 Pod 條件的相關資訊，請參閱 Kubernetes 文件。

自訂

除了內建規則之外，您還可以在叢集、名稱空間、部署及 Pod 的度量值上建立自訂規則。 例如，如果節點容量警告的臨界值太高，您可以停用它們，並建立具有較低臨界值的自訂規則。 如需相關資訊，請參閱 事件及突發事件配置。

OpenShift ServiceMesh

請參閱 OpenShift ServiceMesh上的 OpenShift 常見問題 (FAQ)。

Istio

如果您使用預設拒絕原則 (mode: REGISTRY_ONLY) 來部署 Istio ，則 Istio 的預設安裝與 Instana 一起運作。 若要有效地使用此配置，必須使用下列代理程式配置來啟用 Instana 的服務網格旁路:

com.instana.container:
  serviceMesh:
    enableServiceMeshBypass: true

設定略過封鎖網路連線功能有兩種不同方式:

• 容許從應用程式 Pod 到主機代理程式的送出資料流量 (在代理程式所接聽的所有 IPv4 位址上，以及所有埠上)。
• 容許從 JVM 應用程式的代理程式 (從主機代理程式所接聽的所有 ipv4 位址、所有埠) 送入應用程式 Pod 的資料流量。

對網格旁路進行除錯

若要透過傳遞對服務網格進行除錯，請遵循下列步驟:

1. 驗證已啟用服務網格旁路。
2. 驗證 iptable 規則已套用至儲存器。

kubectl logs -l app.kubernetes.io/instance=instana-agent -n instana-agent -c instana-agent

2021-04-26T08:13:57.065+0000 | INFO  | -client-thread-2 | DefaultServiceMeshSupport        | 51 - com.instana.agent - 1.1.597 | Applying inbound service mesh bypass for process '764670'

2021-04-26T08:13:57.140+0000 | INFO  | -client-thread-2 | DefaultServiceMeshSupport        | 51 - com.instana.agent - 1.1.597 | Applying outbound service mesh bypass for process '764670'

kubectl -n instana-agent exec -it ${INSTANA_AGENT_POD} -c instana-agent  -- /bin/bash
nsenter -n -t ${PID} iptables -t nat -n -L INSTANA_OUTPUT

Chain INSTANA_OUTPUT (1 references)
target     prot opt source               destination
ACCEPT     tcp  --  0.0.0.0/0            10.128.15.237
ACCEPT     tcp  --  0.0.0.0/0            10.64.0.1
ACCEPT     tcp  --  0.0.0.0/0            169.254.123.1

nsenter -n -t ${PID} iptables -t nat -n -L INSTANA_INBOUND

Chain INSTANA_INBOUND (1 references)
target     prot opt source               destination
ACCEPT     tcp  --  10.128.15.237        10.64.0.14
ACCEPT     tcp  --  10.64.0.1            10.64.0.14
ACCEPT     tcp  --  169.254.123.1        10.64.0.14

為何我看不到任何 Kubernetes 叢集或名稱空間?

如果 Kubernetes 頁面上未列出任何叢集或名稱空間，則表示由於未安裝代理程式，未主動監視任何叢集，或在您選取的時間範圍內未監視任何叢集。

按一下 即時 ，以檢查是否有任何處於即時模式的叢集及名稱空間，如果未列出任何叢集及名稱空間，則需要 在 kubernetes 中安裝 Instana 代理程式。

遺漏 clusterRole 許可權

監視問題類型: kubernetes_missing_permissions

Instana 代理程式需要特定資源的適當 ClusterRole 許可權，才能順利監視 Kubernetes 叢集。 如果遺漏這些許可權，則 Instana Kubernetes 儀表板上遺漏對應的資源。 若要解決此問題，請安裝最新版本的 Instana 代理程式 YAML、 Helm Chart 或 Operator。 如需每一種安裝方法最新版本的相關資訊，請參閱 Kubernetes 或 OpenShift。

淘汰

Instana 已淘汰對 Kubernetes 感應器中 DaemonSet、Deployment 及 ReplicaSet 的 extensions/v1beta1 及 apps/v1beta2 API 版本的支援。 已在 Kubernetes v1.16中移除已作廢的 API 版本。 如需相關資訊，請參閱 來自 Kubernetes的公告。