使用 Amazon Web Services (AWS) 代理程序监视 Amazon Web Services (AWS)

您可以在 Windows 上安装 AWS 代理，或在 EC2 上安装 Linux。 建议在运行 Linux® 的当前代通用型机器上运行 Instana AWS 代理。例如， m5.large 实例是理想的选择。

1. 在 Instana 用户界面中，点击 “更多” > “代理” > “安装代理 ”>“ AWS ”。

2. 从技术列表中，选择 Instana AWS 传感器。

3. 在 “运行 AWS 代理” 列表中，选择“ Elastic Cloud Compute ( EC2 ) ”（这是默认选项）。

   在脚本中预先填充了您的代理程序密钥和位置，以用作 EC2 上的 User Data。 复制显示的脚本。 该脚本如下所示，只是提供了所有必需的信息:

   #!/bin/bash
   
   curl -o setup_agent.sh https://setup.instana.io/agent
   chmod 700 ./setup_agent.sh
   sudo -E ./setup_agent.sh --assume-yes --agent-key <your-agent-key> --agent-mode aws --agent-type dynamic --endpoint <location> --enable-agent-service

4. 启动专用 EC2 虚拟机，并将复制的脚本用作 User Data。 有关如何在 EC2 上 User Data 使用 的更多信息，请参阅 Launch 文档中的《在您的 Linux 实例上运行命令》。

5. 将 IAM 角色 主题的代码块中的配置复制到 IAM_permission.json 文件。 这些配置用于为运行 Instana AWS 代理的 EC2 虚拟机配置所需的 IAM 角色，并使 AWS 代理能够发现和监控您的 AWS 资源。 然后，使用 IAM_permission.json 文件创建 IAM 角色。 如需了解更多信息，请参阅《 创建角色以向 IAM 用户授予权限》。

6. 要让 IAM 角色执行该 AssumedRole 操作，请 Trust Relationship 按以下方式编辑（在 Instana 界面中显示 trust_relationship.json 为）：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   如果代理程序运行在无法访问互联网的 EC2 机器上，请 Trust Relationship 按以下方式编辑：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com.cn"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
    

   有关其他必要的配置，请参阅《 设置 STS 区域端点》。

您可以在 ECS 上的 Fargate 环境中，通过 Windows 或 Linux 安装 AWS 代理。

1. 在 Instana 用户界面中，点击 “更多” > “代理” > “安装代理 ”>“ AWS ”。

2. 从技术列表中，选择 Instana AWS 传感器。

3. 从 运行 AWS Agent on 列表中，选择 Elastic Container Service (ECS)。

   在任务定义 JSON 模板中会预先为您生成任务定义的 JSON。 下载 JSON 文件，并通过任务定义用户界面的 “使用 JSON 函数进行配置”功能进行配置。

4. 下载 IAM 权限文件 JSON ，并将一个包含至少下载的 JSON 文件中所列权限的 IAM 角色分配给新的任务定义。

5. 使用新创建的任务定义的一个实例创建 ECS 服务。

还可以专用于在 AWS 基础结构外部运行的任何代理程序。 为了实现此目标，需要在 setenv 文件中指定以下环境变量：

• 在 Linux 上：

  /opt/instana/agent/bin/setenv

• 在 Windows 上：

  C:\Program Files\Instana\instana-agent\bin\setenv

• 您希望监视的区域：

  INSTANA_AWS_REGION_CONFIG=

• 用于访问 AWS 资源的凭证。 这些凭证应该属于一个用户，该用户有权访问 Amazon Web Services IAM 配置部分中已描述的资源。

  AWS_ACCESS_KEY_ID=
  AWS_SECRET_ACCESS_KEY=

缺省情况下，Instana 代理程序从 EC2 实例联系全局 STS 端点以收集实例概要文件凭证。 但是，如果 Instana 主机代理运行在无法访问互联网的 EC2 机器上（例如在中国地区），则必须将STS区域端点作为环境变量进行设置，这会指示 Instana 代理使用区域STS端点。

在安装 Instana 代理程序后，在 *instanaAgentDir*/bin/setenv 中指定以下环境变量：

export AWS_STS_REGIONAL_ENDPOINTS=regional
 

对于每个服务，您需要在各个服务页面上添加所需的许可权，从受监视服务部分链接到这些页面。 要将服务排除在监视之外，请保留相应的许可权。

或者，另一种将服务排除在监视之外的方法是，在 <agent_install_dir>/etc/instana/configuration.yml 中添加相应的已启用标志，如以下各个服务页面中所述。

AWS Instana 代理程序支持来自同一区域中多个 AWS 帐户的监视服务。 目前，有两种方法：使用 AWS 命名概要文件和使用 AWS 安全性令牌服务 (STS)。

在启用服务监视后，可以通过修改 AWS 代理程序的代理程序配置文件 /opt/instana/agent/etc/instana/configuration.yaml 来过滤其实例 Instana 将根据 AWS 标记进行监视的实例。

配置文件中的可用选项为：

com.instana.plugin.aws:
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is discovered.
  include_tags: ...
  # Comma-separated list of tags in key:value format.
  # Any AWS resource containing at least one of the specified tags is omitted from discovery.
  exclude_tags: ...
  # Exclude untagged AWS resources by setting the flag to `false`
  include_untagged: ...
 

可以定义多个标记（以逗号分隔）。 标记应该是用 : 分隔的一个密钥/值对。 在两个列表（包括和排除）中定义标记时，排除列表具有更高的优先级。 如果不需要过滤服务，那么不应该定义该配置。

Instana 代理会自动监控所有未分配标签的 AWS 资源。 {: note} 若要将未标记的资源排除在监控之外，请将 include_untagged 标志设置为 false。

还可以在服务级别上配置过滤。 在此情况下，特定服务的缺省配置将被覆盖。 有关按特定服务进行发现过滤的更多详细信息，请参阅特定服务文档。

要指定 AWS 代理程序轮询受监视 AWS 服务以获取关联标记的频率，请使用 tagged-services-poll-rate 配置属性。 缺省值为 300 秒。 代理程序使用 AWS 服务客户机来轮询标记。

已标记资源的轮询速率配置为：

com.instana.plugin.aws:
  tagged-services-poll-rate: 60 #default 300
 

轮询间隔指 AWS 代理调用 CloudWatch API 的频率。 它可配置为 configuration.yml 文件中的 cloudwatch_period。 缺省值为 300 秒。 最常见的情况是，监视平台使用 5 到 10 分钟的值。

轮询时间间隔可在以下两个级别上配置：

• 代理程序监视的所有 AWS 服务的代理程序级别：

  com.instana.plugin.aws:
    cloudwatch_period: 300
   

• 每个 AWS 服务：

  com.instana.plugin.aws.rds:
    cloudwatch_period: 300
   

单个服务的配置将覆盖代理程序级别配置。

要深入了解 AWS 服务，像 Instana 这样的监视平台必须使用 CloudWatch API。 此 API 由带有基于消费定价的 AWS 提供，并且本文档的目的是提供有关 Instana 如何使用 CloudWatch API 的透明度，以便用户了解对其 AWS 帐单的影响。

CloudWatch 成本受以下因素影响：

• AWS 服务的受监视实例数
• 每个 AWS 代理程序收集的度量值数
• 轮询时间间隔（可配置）

每个 AWS 代理都会调用 GetMetricDataCloudWatch API 请求来收集指标，如果该请求失败，则 GetMetricStatistics 会调用作为备用方案。 这两个端点的每项指标产生的费用相同（请注意，使用 作为备用方案 GetMetricStatistics 不会产生任何额外费用）。 在 AWS CloudWatch 定价页面上可以找到两个端点的详细信息。

下表包含轮询时间间隔为 5 分钟且 Amazon 收费为每 1000 个 CloudWatch 度量值0.01 美元时不同 AWS 代理程序的大致估算每日成本:

请注意，CloudWatch 不用于 EC2 和轮询标记，因此不会在其中产生任何 CloudWatch 成本。

可以通过增加轮询时间间隔来降低 CloudWatch 成本。 增加轮询时间间隔的缺点是会减少 CloudWatch 的粒度度量值。 每个请求都提供一个度量值，因此在 300 秒时间段内，60 秒和 300 秒的轮询时间间隔之间的差异是 5 个度量值或 1 个度量值。

需要确定缺省轮询时间间隔是否适合您的业务，或者是否对其进行定制，以便在成本和洞察质量之间取得平衡。

如果 Instana 主机代理运行在无法访问互联网的 EC2 机器上，该代理将无法访问 AWS 服务的公共 API，因此无法监控受支持的 AWS 服务。

AWS PrivateLink 以高可用性和可扩展的方式，提供对托管在 AWS 上的服务的私有访问通道，无需使用公共 IP 地址，也无需让流量经过互联网。

要使用 AWS PrivateLink ，请为所有需要监控的 AWS 服务创建一个 VPC端点。 该 VPC 端点在您的子网中提供了一个具有私有 IP 地址的弹性网络接口，用于连接 AWS 服务（ API ），该接口可供 Instana 主机代理使用。