监控 Amazon Web Services ( AWS ) 通过 Amazon Web Services ( AWS ) 代理

您可以在 Windows 或 Linux 上安装该 AWSEC2 代理。 最好在运行. NET 的当前代通用型机器上运行Instana AWSLinux® 代理。例如，. m5.large NET 4.5实例是理想选择。

1. 在 Instana 用户界面中，点击更多 > 代理 > 安装代理 > AWS。

2. 从技术列表中，选择 Instana AWS 传感器。

3. 在“运行您的 AWS 代理” 列表中，选择 Elastic Cloud “计算( EC2 ) ”（这是默认选项）。

   在脚本中预先填充了您的代理程序密钥和位置，以用作 EC2 上的 User Data。 复制显示的脚本。 脚本如下所示，但所有必要信息均已提供：

   #!/bin/bash
   
   curl -o setup_agent.sh https://setup.instana.io/agent
   chmod 700 ./setup_agent.sh
   sudo ./setup_agent.sh -y -a <your-agent-key> -m aws -t dynamic -e <location> -s
    

4. 启动一台专用 EC2 虚拟机，并将复制的脚本作为 User Data。 有关如何在实例上 User Data 使用命令的更多信息，请参阅启动 EC2 文档中的《在 Linux 实例上运行命令》。

5. 将IAM角色主题中的代码块配置复制到一个 IAM_permission.json 文件中。 这些配置用于为运行Instana AWS 代理的虚拟机 EC2 分配所需的IAM角色，并使代理 AWS 能够发现和监控您的 AWS 资源。 然后，使用该 IAM_permission.json 文件创建一个IAM角色。 有关更多信息，请参阅 《创建角色以向 IAM 用户授予权限》。

6. 要使IAM角色执行该 AssumedRole 操作，请 Trust Relationship 按以下方式编辑（在Instana界面中 trust_relationship.json 显示为）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   如果代理在没有互联网访问权限的 EC2 机器上运行，请 Trust Relationship 按以下方式编辑：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com.cn"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   有关其他必要配置，请参阅设置 STS 区域端点。

您可以在 Windows 上安装代理，或在 ECS 上的 Linux Fargate 上 AWS 安装代理。

1. 在 Instana 用户界面中，点击更多 > 代理 > 安装代理 > AWS。

2. 从技术列表中，选择 Instana AWS 传感器。

3. 在 “运行您的 AWS 代理”列表中，选择 Elastic Container Service (ECS)。

   在任务定义 JSON 模板中会预先为您生成任务定义的 JSON。 下载 JSON 文件，并通过任务定义用户界面的 JSON 配置功能进行使用。

4. 下载IAM权限 JSON文件，并将包含至少下载的JSON文件中所列权限的IAM角色分配给新的任务定义。

5. 使用新创建的任务定义的一个实例创建 ECS 服务。

还可以专用于在 AWS 基础结构外部运行的任何代理程序。 为了实现此目标，需要在 setenv 文件中指定以下环境变量：

• 在 Linux 上：

  /opt/instana/agent/bin/setenv

• 在 Windows 上：

  C:\Program Files\Instana\instana-agent\bin\setenv

• 您希望监视的区域：

  INSTANA_AWS_REGION_CONFIG=

• 用于访问 AWS 资源的凭证。 这些凭证应该属于一个用户，该用户有权访问 Amazon Web Services IAM 配置部分中已描述的资源。

  AWS_ACCESS_KEY_ID=
  AWS_SECRET_ACCESS_KEY=

缺省情况下，Instana 代理程序从 EC2 实例联系全局 STS 端点以收集实例概要文件凭证。 然而，如果 Instana 主机代理运行在无法访问互联网 EC2 的机器上（例如在中国区域），则必须将 STS 区域端点作为环境变量显示，这将指示 Instana 代理使用区域性 STS 端点。

在安装 Instana 代理程序后，在 *instanaAgentDir*/bin/setenv 中指定以下环境变量：

export AWS_STS_REGIONAL_ENDPOINTS=regional
 

对于每个服务，您需要在各个服务页面上添加所需的许可权，从受监视服务部分链接到这些页面。 要将服务排除在监视之外，请保留相应的许可权。

或者，另一种将服务排除在监视之外的方法是，在 <agent_install_dir>/etc/instana/configuration.yml 中添加相应的已启用标志，如以下各个服务页面中所述。

AWS Instana 代理程序支持来自同一区域中多个 AWS 帐户的监视服务。 目前，有两种方法：使用 AWS 命名概要文件和使用 AWS 安全性令牌服务 (STS)。

在启用服务监视后，可以通过修改 AWS 代理程序的代理程序配置文件 /opt/instana/agent/etc/instana/configuration.yaml 来过滤其实例 Instana 将根据 AWS 标记进行监视的实例。

配置文件中的可用选项为：

com.instana.plugin.aws:
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is discovered.
  include_tags: ...
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is omitted from discovery.
  exclude_tags: ...
  # Exclude untagged AWS resources by setting the flag to `false`
  include_untagged: ...
 

可以定义多个标记（以逗号分隔）。 标记应该是用 : 分隔的一个密钥/值对。 在两个列表（包括和排除）中定义标记时，排除列表具有更高的优先级。 如果不需要过滤服务，那么不应该定义该配置。

Instana 代理会自动监控所有未分配标签 AWS 的资源。 {: note} 若要将未标记资源排除在监控之外，请将 include_untagged 标志设置为 false。

还可以在服务级别上配置过滤。 在此情况下，特定服务的缺省配置将被覆盖。 有关按特定服务进行发现过滤的更多详细信息，请参阅特定服务文档。

要指定代理 AWSAWS 程序轮询受监控服务以获取关联标签的频率，请使用 tagged-services-poll-rate 配置属性。 缺省值为 300 秒。 代理使用 AWS 服务客户端轮询标签。

已标记资源的轮询速率配置为：

com.instana.plugin.aws:
  tagged-services-poll-rate: 60 #default 300
 

轮询间隔表示代理调用 CloudWatchAWS API的频率。 它可配置为 configuration.yml 文件中的 cloudwatch_period。 缺省值为 300 秒。 最常见的情况是，监视平台使用 5 到 10 分钟的值。

轮询时间间隔可在以下两个级别上配置：

• 代理程序监视的所有 AWS 服务的代理程序级别：

  com.instana.plugin.aws:
    cloudwatch_period: 300
   

• 每个 AWS 服务：

  com.instana.plugin.aws.rds:
    cloudwatch_period: 300
   

单个服务的配置将覆盖代理程序级别配置。

要深入了解 AWS 服务，像 Instana 这样的监视平台必须使用 CloudWatch API。 此 API 由带有基于消费定价的 AWS 提供，并且本文档的目的是提供有关 Instana 如何使用 CloudWatch API 的透明度，以便用户了解对其 AWS 帐单的影响。

CloudWatch 成本受以下因素影响：

• AWS 服务的受监视实例数
• 每个 AWS 代理收集的指标数量
• 轮询时间间隔（可配置）

每个 AWS 代理都会调用用于指标收集的 CloudWatchGetMetricData API请求，若请求失败则 GetMetricStatistics 调用此请求作为备用方案。 两个端点每项指标的费用相同（请注意，的备用使用 GetMetricStatistics 不会产生任何额外费用）。 在 AWS CloudWatch 定价页面上可以找到两个端点的详细信息。

下表列出了不同 AWS 代理在轮询间隔为5分钟且亚马逊按 0.01 每1000 CloudWatch 个指标收费时的大致每日成本估算：

请注意，CloudWatch 不用于 EC2 和轮询标记，因此不会在其中产生任何 CloudWatch 成本。

可以通过增加轮询时间间隔来降低 CloudWatch 成本。 增加轮询时间间隔的缺点是会减少 CloudWatch 的粒度度量值。 每个请求都提供一个度量值，因此在 300 秒时间段内，60 秒和 300 秒的轮询时间间隔之间的差异是 5 个度量值或 1 个度量值。

需要确定缺省轮询时间间隔是否适合您的业务，或者是否对其进行定制，以便在成本和洞察质量之间取得平衡。

如果 Instana 主机代理运行在无法访问互联网的 EC2 机器上，该代理将无法访问 AWS 服务的公共 API，从而无法监控受支持 AWS 的服务。

PrivateLinkAWS 提供私有访问通道，可访问托管于该平台的服务，这些服务以 AWS 高可用性和可扩展性方式运行，无需使用公共IP地址，且无需流量穿越互联网。

为所有需要监控 AWS 的服务创建 VPCAWSPrivateLink, 端点。 VPC 端点在子网中提供弹性网络接口，该接口为服务 AWS API 配备了私有 IP 地址，Instana 主机代理可使用该地址。