安裝 Instana 後端

密鑰 instana-tls

密碼 instana-tls 是入口配置的必要項目，且必須在 核心的名稱空間中建立。

附註: 此密鑰必須是 kubernetes.io/tls類型。

若要建立密鑰 instana-tls，請遵循下列步驟:

1. 產生自簽憑證。

   openssl req -x509 -newkey rsa:2048 -keyout tls.key -out tls.crt -days 365 -nodes -subj "/CN=<FQDN-Of-Your-Instana>"
   

   將 <FQDN-Of-Your-Instana> 取代為您要安裝 Instana 後端的網域名稱。

2. 建立密鑰來保留新產生的憑證。

   kubectl create secret tls instana-tls --namespace instana-core \
       --cert=path/to/tls.crt \
       --key=path/to/tls.key
   

核心密碼

使用下列範例中所示的內容來建立 config.yaml 檔案。 檔案的結構與將進一步建立的 CoreSpec 結構完全相同，如下所示。

密鑰值必須進入此「核心密鑰」。 任何其他項目都會進入 CoreSpec。

# Diffie-Hellman parameters to use (optional)
dhParams: |
  -----BEGIN DH PARAMETERS-----
  <snip/>
  -----END DH PARAMETERS-----
# The repository password for accessing the Instana agent repository.
# Use the download key that you received from us
repositoryPassword: mydownloadkey
# The sales key you received from us
salesKey: mysaleskey
# Seed for creating crypto tokens. Pick a random 12 char string
tokenSecret: mytokensecret
# Configuration for raw spans storage
storageConfigs:
  rawSpans:
    # Required if using S3 or compatible storage bucket.
    # Credentials should be configured.
    # Not required if IRSA on EKS is used.
    s3Config:
      accessKeyId: ...
      secretAccessKey: ...
    # Required if using Google Cloud Storage.
    # Credentials should be configured.
    # Not required if GKE with workload identity is used.
    gcloudConfig:
      serviceAccountKey: ...

# SAML/OIDC configuration
serviceProviderConfig:
  # Password for the key/cert file
  keyPassword: mykeypass
  # The combined key/cert file
  pem: |
    -----BEGIN RSA PRIVATE KEY-----
    <snip/>
    -----END RSA PRIVATE KEY-----
    -----BEGIN CERTIFICATE-----
    <snip/>
    -----END CERTIFICATE-----
# Required if a proxy is configured that needs authentication
proxyConfig:
  # Proxy user
  user: myproxyuser
  # Proxy password
  password: my proxypassword
emailConfig:
  # Required if SMTP is used for sending e-mails and authentication is required
  smtpConfig:
    user: mysmtpuser
    password: mysmtppassword
  # Required if using for sending e-mail.
  # Credentials should be configured.
  # Not required if using IRSA on EKS.
  sesConfig:
    accessKeyId: ...
    secretAccessKey: ...
# Optional: You can add one or more custom CA certificates to the component trust stores
# in case internal systems (such as LDAP or alert receivers) which Instana talks to use a custom CA.
customCACert: |
  -----BEGIN CERTIFICATE-----
  <snip/>
  -----END CERTIFICATE-----
  # Add more certificates if you need
  # -----BEGIN CERTIFICATE-----
  # <snip/>
  # -----END CERTIFICATE-----
datastoreConfigs:
  kafkaConfig:
    adminUser: strimzi-kafka-user
    adminPassword: <RETRIEVED_FROM_SECRET>
    consumerUser: strimzi-kafka-user
    consumerPassword: <RETRIEVED_FROM_SECRET>
    producerUser: strimzi-kafka-user
    producerPassword: <RETRIEVED_FROM_SECRET>
  elasticsearchConfig:
    adminUser: elastic
    adminPassword: <RETRIEVED_FROM_SECRET>
    user: elastic
    password: <RETRIEVED_FROM_SECRET>
  postgresConfigs:
    - user: postgres
      password: <RETRIEVED_FROM_SECRET>
      adminUser: postgres
      adminPassword: <RETRIEVED_FROM_SECRET>
  cassandraConfigs:
    - user: instana-superuser
      password: <RETRIEVED_FROM_SECRET>
      adminUser: instana-superuser
      adminPassword: <RETRIEVED_FROM_SECRET>
  clickhouseConfigs:
    - user: clickhouse-user
      password: <USER_GENERATED_PASSWORD>
      adminUser: clickhouse-user
      adminPassword: <USER_GENERATED_PASSWORD>

附註：

• 如果您使用協力廠商 Kubernetes 操作器來設定 Instana 資料儲存庫，則需要將 config.yaml 檔案的 datastoreConfigs 部分複製到這個核心密碼 config.yaml 檔案，該檔案說明於 使用使用者名稱及密碼檢閱最終配置檔 小節。

• 您可以選擇性地指定自訂 Diffie-Hellman 參數。 您可以執行下列指令來產生它們:

  openssl dhparam -out dhparams.pem 2048
  

• 必須配置用於簽署或驗證與 IDP 交換之訊息的加密金鑰。 將不接受未加密的金鑰。

  1. 執行下列指令來建立金鑰:

     openssl genrsa -aes128 -out key.pem 2048
     

  2. 執行下列指令來建立憑證:

     openssl req -new -x509 -key key.pem -out cert.pem -days 365
     

  3. 執行下列指令，將兩者結合成單一檔案:

     cat key.pem cert.pem > sp.pem
     

• 您必須在 Core 的名稱空間中建立同名的密鑰。 例如，如果「核心」物件的名稱是 instana-core，請執行下列指令來建立密鑰:

  kubectl create secret generic instana-core --namespace instana-core --from-file=path/to/config.yaml
  

• 您可以透過配置 config.yaml 檔案來連結多個憑證。 請參閱下列範例：

  customCACert: |
    -----BEGIN CERTIFICATE-----
    74ZaqWwi/JDwLnpi4HnW7h6OlM39I9qeKv1o9qbGUaXdgL+IkcJB4PVgCgeQKGlZ
    B3ng/iOFe47dTV6Dx3D5v3j7lxuihPJXwcHtRRjSD0GBH0IJeQAL2fK3rk4ldqhI
    FouqgoyjdONrV0YInRdNWzpl2Nxob33B/U4pwdvKVqDzWDk17+tZEdFvaoqzXFgt
    hGfnmDtNiGVSLrJjbH+lwN0JHVeUSZHQ0iTfHOna5f39ConGgwIkVDVsDjfYqAW1
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    1fm2rJVtuImDPnFMjH75d3SwYPyca+4ZLZwnXgMjE7PJFtUe0niEr40wsPuq4i5L
    B6LrAoGBAPl/PnwPBdst4AhbNn8FmxLje/DZWtpmZoyITBDq129KCM4xGjS3FyDY
    7l69VdaiiFDBXHVDQ6SxQ85z69rk45oGgaU0AVzOb+ZCfTocYb6/xcOVFhLc8h6E
    HzdlW/vjyvYij+o5hNAyo+2VV7y8DZ92V0fMaVsxQzcU+6vKy6VRAoGBAPK/Jnqg
    I0MWhP7zgWo4g+9TM67OxeYkXHV1UUEirjH7LQrMhomlJ7yEYUencfY1md/Fssl1
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    3LzEkVtMxHiusHVq7a7q8ZMMNEQpdSkPcJU7AoGBAIdw9gjU9IztBJbSbgpwweWu
    sP8W6C1qyfSEgRB/fEO6ec8EtnRjZFOo9m3xwOI6+Yrsn+fir7EtB41U3x8Oii8K
    2Koji7YJqnWvEMfGQ7CxP3jNRn9EvfNPCaG6rkbpX4zuMN48e0xzQwvx/G3FK/d6
    waqiKpCXFdwStIHUfS3bAoGAUzo5FBmlsJoBtn9fkiIBWV5a3Nkt6IF+yS+JkqzO
    AoIA0ICjJ+DabIUoqtpS9VQ0wcAgCo6T5SMrBWOJi7yVaFgMqfe3Sq5tochSI7DC
    -----END CERTIFICATE-----
  

單元密鑰

使用下列範例中所示的內容來建立 config-unit.yaml 檔案。 檔案的結構與將進一步建立的 UnitSpec 結構完全相同，如下所示。

密鑰值必須進入此「單元密鑰」。 任何其他內容都會進入 UnitSpec。

# The initial user of this tenant unit with admin role, default admin@instana.local.
# Must be a valid e-mail address.
# NOTE:
# This only applies when setting up the tenant unit.
# Changes to this value won't have any effect.
initialAdminUser: myuser@example.com
# The initial admin password.
# NOTE:
# This is only used for the initial tenant unit setup.
# Changes to this value won't have any effect.
initialAdminPassword: mypass
# A list of Instana licenses. Multiple licenses may be specified.
licenses: [ "license1", "license2" ]
# A list of agent keys. Specifying multiple agent keys enables gradually rotating agent keys.
agentKeys:
  - myagentkey
# The download key that you received from us (in the license e-mail, this is called initial agent key).
downloadKey: mydownloadkey

附註：

• 如果要配置 licenses 欄位，請取得 下載授權檔 區段中所下載的授權，如下所示:

  # cat /path/to/license.json && echo
  ["abcdefghijklmnopqrstuvwxyz0123456789"]
  

• 您必須在「單元」名稱空間中建立同名的密鑰。 例如，如果 Unit 物件的名稱是 tenant0-unit0，請執行下列指令來建立密鑰:

  kubectl create secret generic tenant0-unit0 --namespace instana-units --from-file=config.yaml=/path/to/config-unit.yaml
  

S3 (或相容)

若要使用 S3 (或相容) 來儲存原始跨距資料，請配置 核心 ，如下所示:

spec:
  storageConfigs:
    rawSpans:
      s3Config:
        # Endpoint address of the object storage.
        # Doesn't usually need to be set for S3.
        endpoint:
        # Region.
        region: eu-central-1
        # Bucket name.
        bucket: mybucket
        # Prefix for the storage bucket.
        prefix: myspans
        # Storage class.
        storageClass: Standard
        # Bucket name for long-term storage.
        bucketLongTerm: mybucket
        # Prefix for the long-term storage bucket.
        prefixLongTerm: myspans-longterm
        # Storage class for objects that are written to the long-term bucket.
        storageClassLongTerm: Standard

  # If using IRSA
  serviceAccountAnnotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role

附註: accessKeyId 和 secretAccessKey 必須進入 4.1.3.2小節中指定的 Core 密鑰。 或者，支援 服務帳戶的 IAM 角色 。

Google Cloud Storage

若要使用 GCS 來儲存原始跨距資料，請配置 核心 ，如下所示:

spec:
  storageConfigs:
    rawSpans:
      gcloudConfig:
        # Endpoint address. Doesn't usually need to be set for S3.
        endpoint:
        # Region.
        region: eu-central-1
        # Bucket name.
        bucket: mybucket
        # Prefix for the storage bucket.
        prefix: myspans
        # Storage class.
        storageClass: Standard
        # Bucket name for long-term storage.
        bucketLongTerm: mybucket
        # Prefix for the long-term storage bucket.
        prefixLongTerm: myspans-longterm
        # Storage class for objects that are written to the long-term bucket.
        storageClassLongTerm: Standard

  # If using Workload Identity
  serviceAccountAnnotations:
    iam.gke.io/gcp-service-account: rawspans@myproject.iam.gserviceaccount.com

附註: serviceAccountKey 必須進入 4.1.3.2小節中指定的「核心密碼」。 或者，支援 工作量身分 。

檔案系統

若要使用「檔案系統」來儲存原始跨距資料，請配置 核心 ，如下所示:

spec:
  storageConfigs:
    rawSpans:
      pvcConfig:
        accessModes:
          - ReadWriteMany
        resources:
          requests:
            storage: 100Gi
        volumeName: my-nfs-volume
        storageClassName: ""

附註: 您必須配置 pvcConfig，這是 PersistentVolumeclaimSpec。 磁區必須具有存取模式 ReadWriteMany。

基礎架構度量值保留設定

下列保留內容適用於度量累積更新表格，所列出的值是預設值 (以秒為單位)。 值零會告知系統不要捨棄此時間跨距的累積更新。 較小累積更新的零值可能會導致磁碟快速填滿。

kind: Core
metadata:
  name: instana-core
  namespace: instana-core
spec:
...
  properties:
    - name: retention.metrics.rollup5
      value: "86400"
    - name: retention.metrics.rollup60
      value: "2678400"
    - name: retention.metrics.rollup300
      value: "8035200"
    - name: retention.metrics.rollup3600
      value: "34214400"
...

附註: 圖表精度僅根據所選時間範圍的大小來決定。 這表示變更度量資料保留不會影響 Instana 儀表板中所顯示度量資料的精度。 這些度量保留內容僅供參考，不應變更。

應用程式保留設定

應用程式視景及一般使用者監視 (EUM) 共用短期資料保留內容，預設值為 7 天。 除了短期資料的保留期間之外，長期資料仍會保留 13 個月，且無法配置。

附註: 只有大於或等於 7 天的值才有效。 小於 7 天的值會導致整個系統失敗。

kind: Core
metadata:
  name: instana-core
  namespace: instana-core
spec:
...
  properties:
    - name: config.appdata.shortterm.retention.days
      value: "7"
...

請參閱下列對應用程式視景資料的影響:

範例：

• config.appdata.shortterm.retention.days 從 7 天變更為 14 天:
  舊資料一旦超過 7 天即會刪除，新資料一旦超過 14 天即會刪除。
• config.appdata.shortterm.retention.days 從 14 天變更為 7 天:
  舊資料一旦超過 14 天即會刪除，新資料一旦超過 7 天即會刪除。

請參閱下列對一般使用者監視資料的影響:

範例：

• config.appdata.shortterm.retention.days 從 7 天變更為 14 天:
  舊資料和新資料一旦超過 14 天即會刪除。
• config.appdata.shortterm.retention.days 從 14 天變更為 7 天:
  舊資料和新資料一旦超過 7 天即會刪除。

虛構監視保留設定

綜合監視具有個別資料保留內容，預設值為 7 天。 此設定會控制「虛構」測試結果及「虛構」測試結果詳細資料的保留。

kind: Core
metadata:
  name: instana-core
  namespace: instana-core
spec:
...
  properties:
    - name: config.synthetics.retention.days
      value: "7"
...

請參閱下列對虛構監視資料的影響:

範例：

• config.synthetics.retention.days 從 7 天變更為 14 天:
  配置變更之前儲存的資料一旦超過 7 天就會刪除，配置變更之後儲存的資料一旦超過 14 天就會刪除。
• config.synthetics.retention.days 從 14 天變更為 7 天:
  配置變更之前儲存的資料在超過 14 天之前刪除，而配置變更之後儲存的資料在超過 7 天之後刪除。