在 Kubernetes

支援的版本

• Instana 支援現行穩定版本的 Kubernetes。 如果 Kubernetes 的現行穩定版本是 1.26，則 Kubernetes 感應器會固定至 1.24版。 根據 Kubernetes 版本相容性保證， Instana 支援 Kubernetes 1.22 版至 1.26版。 不過，該範圍中的最低 2 個版本會被視為軟淘汰。

安裝方法

您可以使用數種可用的方法，將 Instana 代理程式安裝至 Kubernetes 叢集。 如果您手動在主機上安裝代理程式，則只會監視容器及處理程序，而不會收集 Kubernetes 資料。 建議您使用 操作器來安裝代理程式。 替代方法為 Helm Chart 或 YAML 檔案 (DaemonSet) 部署。

使用操作器進行安裝

Instana 提供 Kubernetes 操作器來安裝及管理 Instana 代理程式。

如需您可以使用 Instana 代理程式自訂資源定義及環境變數來設定的配置選項，請參閱 操作器配置。

使用 Helm 圖表進行安裝

透過 DaemonSet， Helm 圖表會將 Instana 代理程式新增至叢集中的所有可排程節點。

1. 登入 Instana ，按一下 其他-> 代理程式-> 安裝 Instana 代理程式-> Kubernetes。

   從這個頁面中，您將需要 主機代理程式端點 及 代理程式金鑰。

2. 從 技術 清單中，選取 Helm 圖表。

3. 輸入叢集名稱及 (選擇性地) 代理程式區域。

   叢集名稱 (INSTANA_KUBERNETES_CLUSTER_NAME) 是此 DaemonSet 所監視之叢集的自訂名稱。

   代理程式區域 (INSTANA_ZONE) 用來 自訂基礎架構地圖上顯示的區域分組 。

   所有其他必要參數都會預先移入。

4. 使用 Helm 3 執行下列指令。 若要配置安裝，請使用 --set 旗標在指令行上指定值，或使用 -f 旗標向 yaml 檔案提供您的值。

   附註: 如果您想要部署靜態主機代理程式，請在 helm 安裝指令中設定旗標 —set agent.image.name=containers.instana.io/instana/release/agent/static 。

   kubectl create namespace instana-agent && \
   helm install instana-agent --namespace instana-agent \
   --repo https://agents.instana.io/helm \
   --set agent.key='<your agent key - as described above>' \
   --set agent.endpointHost='<your host agent endpoint - as described above>' \
   --set cluster.name='<your-cluster-name>' \
   --set zone.name='<your-cluster-name>' \
   instana-agent
   

   如需所有配置參數的詳細清單，請參閱我們的 Instana Helm 圖表。

--set 'agent.tls.certificate=<YOUR_CERTIFICATE_BASE64_ENCODED>'
--set 'agent.tls.key=<YOUR_PRIVATE_KEY_BASE64_ENCODED>'

helm uninstall instana-agent

安裝為 DaemonSet

若要將 Instana 代理程式安裝並配置為 Kubernetes 叢集內的 DaemonSet ，請自訂 instana-agent.yaml 檔案，以建立在其中建立 DaemonSet 的 instana-agent 名稱空間。 這可讓您標記代理程式以快速識別，或透過刪除名稱空間來停止所有代理程式。

1. 登入 Instana ，按一下 其他-> 代理程式-> 安裝 Instana 代理程式-> Kubernetes。

2. 從 技術 清單中，選取 DaemonSet。

3. 輸入 叢集 名稱及 (選擇性地) 代理程式區域。

   叢集名稱 (INSTANA_KUBERNETES_CLUSTER_NAME) 是此 DaemonSet 所監視之叢集的自訂名稱。

   代理程式區域 (INSTANA_ZONE) 用來 自訂基礎架構地圖上顯示的區域分組 。 它也會設定叢集的預設名稱。

   所有其他必要參數都會預先移入。

4. 按一下 複製 並儲存 YAML 檔案。

5. 編輯 YAML 檔案，將下列空懸錨點取代為實際值:

   • *agentKey: base64 編碼的 Instana 金鑰，代表應將產生的資料傳送至其中的叢集

     echo YOUR_INSTANA_AGENT_KEY | base64
     

   • *endpointHost: 與安裝相關聯的 IP 位址或主機名稱。

   • *endpointPort: 與安裝相關聯的網路埠。

   • *clusterName: 要指派給 Instana 中叢集的名稱。

   • *zoneName: 要與叢集的節點相關聯的 代理程式區域 。

6. 若要在 Kubernetes 叢集內安裝 Instana ，請執行下列指令:

   kubectl apply -f instana-agent.yaml
   

   附註: 您對 instana-agent.yaml 所做的任何其他編輯都需要重建 DaemonSet 。 若要套用變更，請執行下列指令:

   kubectl delete -f instana-agent.yaml
   kubectl apply -f instana-agent.yaml
   

kubectl create clusterrolebinding cluster-admin-binding \
--clusterrole cluster-admin --user $(gcloud config get-value account)

kubectl label --overwrite ns instana-agent pod-security.kubernetes.io/enforce=privileged

檢查主機代理程式的狀態

安裝主機代理程式之後，您可以在 Instana 使用者介面或主機上檢查主機代理程式的狀態。 如需相關資訊，請參閱 檢查主機代理程式的狀態。

配置受監視應用程式的網路存取權

部分類型的應用程式需要先聯繫代理程式。 目前是

• Node.js
• Go
• Ruby
• Python
• .NET Core

那些應用程式需要知道代理程式正在接聽哪個 IP。 由於代理程式將自動在主機 IP 上接聽，請使用下列 Downward API Snippet ，將它在環境變數中傳遞至應用程式 Pod:

spec:
  containers:
    env:
      - name: INSTANA_AGENT_HOST
        valueFrom:
          fieldRef:
            fieldPath: status.hostIP

監視主要節點

依預設，代理程式不會在 Kubernetes 主節點上進行排程，因為部署遵循在大部分主節點上設定的預設污點 node-role.kubernetes.io/master:NoSchedule 。 若要改寫這些，請將下列容錯新增至代理程式 daemonset:

kind: DaemonSet
metadata:
  name: instana-agent
  namespace: instana-agent
spec:
  template:
  ...
    spec:
      tolerations:
        - key: "node-role.kubernetes.io/master"
          effect: "NoSchedule"
          operator: "Exists"
    ...

如需更直接的控制，請 個別在主要節點上安裝代理程式 。 如需您環境的建議，請聯絡 支援中心 。

監視 Kubernetes NGINX 進入

如需如何配置 Kubernetes NGINX Ingress 及代理程式以擷取 NGINX 度量值的準則，請參閱 監視 NGINX 頁面。 也可以透過 OpenTracing 專案來追蹤 Kubernetes NGINX Ingress ，請參閱 NGINX Ingress 的分散式追蹤 ，以瞭解如何設定該準則。

密鑰

Kubernetes 具有 內建支援 ，可用來儲存及管理機密性資訊。 不過，如果您未使用該內建功能，但仍然需要在 Kubernetes 資源中編寫機密資料的能力，則代理程式密碼配置會延伸以支援該功能。

若要對選取的 Kubernetes 資源 (特別是註釋及儲存器環境變數) 啟用機密資料編寫，請將 INSTANA_KUBERNETES_REDACT_SECRETS 環境變數設為 true ，如下列代理程式 yaml Snippet 中所示:

spec:
  containers:
      env:
        - name: INSTANA_KUBERNETES_REDACT_SECRETS
          value: "true"

然後，依照 代理程式密鑰配置中的說明，將代理程式配置成符合所需的密鑰清單。

請務必注意，啟用此功能可能會導致 Kubernetes 感應器中的效能降低。

報告至多個後端

若要啟用從 Kubernetes 代理程式向多個後端產生報告，請參閱 Docker 代理程式配置。

Instana 代理程式安全考量

由於 Instana 代理程式需要連接至應用程式 Pod ，並在部署它的節點上的橋接器網路上列出/開啟自己的埠，因此它需要主機網路存取權及主機層次程序 ID 查閱，以取得基礎架構相關性。 這相當於 permissions granted on Linux & Unix 主機環境，且需要在 DaemonSet 部署中設定下列旗標:

• privileged: true 提供 /proc 的完整存取權 (不含套版)、變更 JVM 連接的 UID/GID ，以及存取應用程式名稱空間。
• hostPID: true 在 /proc中提供基礎架構相關性所需的主機層次 PID。
• hostNetwork: true 提供對主機層次及橋接器網路介面的存取權。

此外，部署至 OpenShift時，安全環境定義限制 (SCC) 將設為 privileged ，以授與上述許可權。

Kubernetes 感應器需要下列叢集角色規則，以偵測在 Kubernetes 叢集中執行的所有資源及應用程式，並確定其受正確監視:

rules:
  - nonResourceURLs:
    - "/version"
    - "/healthz"
    verbs: ["get"]- apiGroups: ["batch"]
    resources:
      - "jobs"
      - "cronjobs"
    verbs: ["get", "list", "watch"]
  - apiGroups: ["extensions"]
    resources:
      - "deployments"
      - "replicasets"
      - "ingresses"
    verbs: ["get", "list", "watch"]
  - apiGroups: ["apps"]
    resources:
      - "deployments"
      - "replicasets"
      - "daemonsets"
      - "statefulsets"
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources:
      - "namespaces"
      - "events"
      - "services"
      - "endpoints"
      - "nodes"
      - "pods"
      - "replicationcontrollers"
      - "componentstatuses"
      - "resourcequotas"
      - "persistentvolumes"
      - "persistentvolumeclaims"
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources:
      - "endpoints"
    verbs: ["create", "update", "patch"]
  - apiGroups: ["networking.k8s.io"]
    resources:
      - "ingresses"
    verbs: ["get", "list", "watch"]

YAML 檔案範例

一般 instana-agent.yaml 檔可以從 Instana 公用 GitHub 儲存庫下載。 它會以一般預設值從 Helm 圖表 呈現。 個別內容定義為下一個步驟中佈置的空懸錨點。

下載此檔案 ，並檢視最新的 變更日誌。