PromQL für Cloud Monitoring

GKE

So stellen Sie den Datenquellen-Syncer in einem Kubernetes-Cluster bereit und führen ihn aus:

1. Wählen Sie ein Projekt, einen Cluster und einen Namespace aus, in dem Sie den Datenquellen-Syncer bereitstellen möchten.

   Konfigurieren und autorisieren Sie als Nächstes den Datenquellen-Syncer richtig:

   • Wenn Sie Workload Identity Federation for GKE verwenden, folgen Sie der Anleitung zum Erstellen und Autorisieren eines Dienstkontos. Binden Sie ihn an den Kubernetes-Namespace, in dem Sie den Datenquellen-Syncer ausführen möchten.
   • Wenn Sie Workload Identity Federation for GKE nicht verwenden, prüfen Sie, ob Sie das Compute Engine-Standarddienstkonto nicht geändert haben.

2. Ermitteln Sie die URL Ihrer Grafana-Instanz, z. B. https://yourcompanyname.grafana.net für eine Grafana Cloud-Bereitstellung oder http://grafana.NAMESPACE_NAME.svc:3000 für eine lokale Instanz, die mit der Testbereitstellungs-YAML-Datei konfiguriert wurde.

   Wenn Sie Grafana lokal bereitstellen und Ihr Cluster so konfiguriert ist, dass der gesamte clusterinterne Traffic mithilfe von TLS gesichert wird, müssen Sie https:// in Ihrer URL verwenden und sich mit einer der unterstützten TLS-Authentifizierungoptionen authentifizieren.

3. Wählen Sie die Grafana Prometheus-Datenquelle aus, die Sie für Cloud Monitoring verwenden möchten. Dies kann eine neue oder eine bereits vorhandene Datenquelle sein. Ermitteln Sie dann die Datenquellen-UID. Die Datenquellen-UID finden Sie im letzten Teil der URL, wenn Sie eine Datenquelle untersuchen oder konfigurieren. Beispiel:https://yourcompanyname.grafana.net/connections/datasources/edit/GRAFANA_DATASOURCE_UID. Kopieren Sie nicht die gesamte Datenquellen-URL. Kopieren Sie nur die eindeutige Kennung in der URL.

4. Grafana-Dienstkonto einrichten: Erstellen Sie das Dienstkonto und generieren Sie ein Token für das Konto:

   1. Klicken Sie in der Grafana-Navigationsleiste auf Administration> „Users and Access“ (Nutzer und Zugriff) > „Service Accounts“ (Dienstkonten).

   2. Erstellen Sie das Dienstkonto. Klicken Sie dazu auf Dienstkonto hinzufügen, geben Sie ihm einen Namen und weisen Sie ihm die Rolle „Administrator“ in Grafana zu. Wenn Ihre Version von Grafana detailliertere Berechtigungen zulässt, können Sie die Rolle Data Sources > Writer verwenden.

   3. Klicken Sie auf Dienstkonto-Token hinzufügen.

   4. Legen Sie den Tokenablauf auf „Kein Ablauf“ fest und klicken Sie auf Token generieren. Kopieren Sie dann das generierte Token in die Zwischenablage, um es im nächsten Schritt als GRAFANA_SERVICE_ACCOUNT_TOKEN zu verwenden.

5. Richten Sie die folgenden Umgebungsvariablen anhand der vorherigen Schritte ein:

   # These values are required.
   PROJECT_ID=SCOPING_PROJECT_ID # The value from Step 1.
   GRAFANA_API_ENDPOINT=GRAFANA_INSTANCE_URL # The value from step 2. This is a URL.
   DATASOURCE_UIDS=GRAFANA_DATASOURCE_UID # The value from step 3. This is not a URL.
   GRAFANA_API_TOKEN=GRAFANA_SERVICE_ACCOUNT_TOKEN # The value from step 4.
   GCM_ENDPOINT_OVERRIDE=--gcm-endpoint-override="https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/"
   

6. Führen Sie den folgenden Befehl aus, um einen CronJob zu erstellen, der die Datenquelle bei der Initialisierung und anschließend alle 10 Minuten aktualisiert. Wenn Sie die Workload Identity-Föderation für GKE verwenden, sollte der Wert von NAMESPACE_NAME derselbe Namespace sein, den Sie zuvor an das Dienstkonto gebunden haben.

   curl https://raw.githubusercontent.com/GoogleCloudPlatform/prometheus-engine/v0.15.3/cmd/datasource-syncer/datasource-syncer.yaml \
   | sed 's|$DATASOURCE_UIDS|'"$DATASOURCE_UIDS"'|; s|$GRAFANA_API_ENDPOINT|'"$GRAFANA_API_ENDPOINT"'|; s|$GRAFANA_API_TOKEN|'"$GRAFANA_API_TOKEN"'|; s|$PROJECT_ID|'"$PROJECT_ID"'|;' s|$GCM_ENDPOINT_OVERRIDE|'"$GCM_ENDPOINT_OVERRIDE"'|; \
   | kubectl -n NAMESPACE_NAME apply -f -
   

7. Rufen Sie die neu konfigurierte Grafana-Datenquelle auf und prüfen Sie, ob der Wert der Prometheus-Server-URL mit https://monitoring.s3nsapis.fr beginnt. Möglicherweise müssen Sie die Seite aktualisieren. Sobald die Prüfung abgeschlossen ist, wählen Sie am Ende der Seite die Option Speichern und testen aus. Sie müssen diese Schaltfläche mindestens einmal auswählen, damit die automatische Vervollständigung von Labels in Grafana funktioniert.

Anmeldedaten für das Dienstkonto prüfen

Wenn in Ihrem Kubernetes-Cluster die Workload Identity Federation for GKE aktiviert ist, können Sie diesen Abschnitt überspringen.

Bei Ausführung in GKE ruft Cloud Monitoring automatisch Anmeldedaten aus der Umgebung anhand des Compute Engine-Standarddienstkontos ab. Das Standarddienstkonto hat standardmäßig die erforderlichen Berechtigungen monitoring.metricWriter und monitoring.viewer. Wenn Sie Workload Identity Federation for GKE nicht verwenden und zuvor eine dieser Rollen aus dem Standardknotendienstkonto entfernt haben, müssen Sie diese fehlenden Berechtigungen wieder hinzufügen, bevor Sie fortfahren.

Dienstkonto für die Workload Identity Federation for GKE konfigurieren

Wenn in Ihrem Kubernetes-Cluster die Workload Identity Federation for GKE nicht aktiviert ist, können Sie diesen Abschnitt überspringen.

Cloud Monitoring erfasst Messwertdaten mithilfe der Cloud Monitoring API. Wenn Ihr Cluster Workload Identity Federation for GKE verwendet, müssen Sie Ihrem Kubernetes-Dienstkonto die Berechtigung für die Monitoring API erteilen. In diesem Abschnitt wird Folgendes beschrieben:

• Dediziertes Trusted Cloud by S3NS -Dienstkonto SERVICE_ACCT_NAME erstellen
• Trusted Cloud -Dienstkonto an das Standard-Kubernetes-Dienstkonto im Test-Namespace NAMESPACE_NAME binden
• Dem Trusted Cloud -Dienstkonto die erforderliche Berechtigung gewähren

Dienstkonto erstellen und binden

Dieser Schritt wird an mehreren Stellen in der Cloud Monitoring-Dokumentation aufgeführt. Wenn Sie diesen Schritt bereits als Teil einer vorherigen Aufgabe ausgeführt haben, müssen Sie ihn nicht wiederholen. Fahren Sie mit Dienstkonto autorisieren fort.

Mit der folgenden Befehlssequenz wird das Dienstkonto SERVICE_ACCT_NAME erstellt und an das Standard-Kubernetes-Dienstkonto im Namespace NAMESPACE_NAME gebunden:

gcloud config set project PROJECT_ID \
&&
gcloud iam service-accounts create SERVICE_ACCT_NAME \
&&
gcloud iam service-accounts add-iam-policy-binding \
  --role roles/iam.workloadIdentityUser \
  --member "serviceAccount:PROJECT_ID.svc.id.goog[NAMESPACE_NAME/default]" \
  SERVICE_ACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com \
&&
kubectl annotate serviceaccount \
  --namespace NAMESPACE_NAME \
  default \
  iam.gke.io/gcp-service-account=SERVICE_ACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com

Wenn Sie einen anderen GKE-Namespace oder ein anderes GKE-Dienstkonto verwenden, passen Sie die Befehle entsprechend an.

Dienstkonto autorisieren

Gruppen zusammengehöriger Berechtigungen werden in Rollen zusammengefasst und Sie weisen die Rollen einem Hauptkonto zu, in diesem Beispiel dem Trusted Cloud-Dienstkonto. Weitere Informationen zu Monitoring-Rollen finden Sie unter Zugriffssteuerung.

Mit dem folgenden Befehl werden dem Dienstkonto Trusted Cloud ,SERVICE_ACCT_NAME, die Monitoring API-Rollen zugewiesen, die zum Lesen von Messwertdaten erforderlich sind.

Wenn Sie dem Dienstkonto Trusted Cloud im Rahmen der vorherigen Aufgabe bereits eine bestimmte Rolle zugewiesen haben, müssen Sie dies nicht noch einmal tun.

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:SERVICE_ACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com \
  --role=roles/monitoring.viewer \
&& \
gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=serviceAccount:SERVICE_ACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com \
  --role=roles/iam.serviceAccountTokenCreator

Fehlerbehebung der Konfiguration von Workload Identity Federation for GKE

Wenn Sie Probleme mit der Workload Identity Federation for GKE haben, lesen Sie die Dokumentation zum Prüfen der Workload Identity Federation for GKE-Einrichtung und zur Fehlerbehebung bei der Workload Identity Federation for GKE.

Da Tippfehler und partielle Kopierfunktionen die häufigsten Fehlerquellen bei der Konfiguration von Workload Identity Federation for GKE sind, empfehlen wir dringend die bearbeitbaren Variablen und anklickbaren Symbole, die in die Codebeispiele in dieser Anleitung eingebettet sind.

Workload Identity Federation for GKE in Produktionsumgebungen

Das in diesem Dokument beschriebene Beispiel bindet das Trusted Cloud -Dienstkonto an das Standard-Kubernetes-Dienstkonto und gewährt dem Trusted Cloud-Dienstkonto alle erforderlichen Berechtigungen zur Verwendung der Monitoring API.

In einer Produktionsumgebung können Sie einen feiner abgestimmten Ansatz mit einem Dienstkonto für jede Komponente nutzen, das jeweils nur minimale Berechtigungen hat. Weitere Informationen zum Konfigurieren von Dienstkonten für die Verwaltung von Workload Identity finden Sie unter Workload Identity Federation for GKE verwenden.

Anderswo

So stellen Sie den Datenquellen-Synchronizer in anderen Umgebungen als Google Kubernetes Engine bereit und führen ihn aus:

1. Richten Sie ein Dienstkonto für den Datenquellen-Synchronisierer ein:

   1. Legen Sie das Standardprojekt für gcloud-Befehle fest:

      gcloud config set project PROJECT_ID
      

   2. Erstellen Sie ein Dienstkonto für den Datenquellen-Synchronisierer:

      gcloud iam service-accounts create DS_SYNCER_SVCACCT_NAME
      

   3. Gewähren Sie dem Dienstkonto die Berechtigung zum Lesen von Messwertdaten:

       gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:DS_SYNCER_SVCACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com \
       --role=roles/monitoring.viewer \
       && \
       gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:DS_SYNCER_SVCACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com \
       --role=roles/iam.serviceAccountTokenCreator
      

   4. Erstellen Sie einen Schlüssel für das Dienstkonto:

      gcloud iam service-accounts keys create DS_SYNCER_SVCACCT_KEYFILE_NAME.json \
      --iam-account DS_SYNCER_SVCACCT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com
      

      Der Pfad zu diesem Verzeichnis wird in einem späteren Schritt verwendet, um eine Umgebungsvariable festzulegen. Führen Sie den Befehl pwd aus, um den Pfad zu ermitteln, und notieren Sie den Wert:

      pwd
      DS_SYNCER_SVCACCT_KEYFILE_DIR
      

2. Ermitteln Sie die URL Ihrer Grafana-Instanz, z. B. https://yourcompanyname.grafana.net für eine Grafana Cloud-Bereitstellung oder https://localhost:3000 für eine lokale Testinstanz. Dieser Wert wird im Befehl zum Ausführen des Datenquellen-Syncers verwendet.

   Wenn Sie Grafana lokal für einen Kubernetes-Cluster bereitstellen, der so konfiguriert ist, dass der gesamte clusterinterne Traffic mithilfe von TLS gesichert wird, müssen Sie https:// in Ihrer URL verwenden und sich im nächsten Schritt mit einer der unterstützten TLS-Authentifizierungoptionen authentifizieren.

3. Fügen Sie in Grafana eine Prometheus-Datenquelle hinzu, die für Cloud Monitoring verwendet werden soll, und notieren Sie die UID der Datenquelle:

   1. Klicken Sie auf Verbindungen > Datenquellen > Neue Datenquelle hinzufügen. Wählen Sie Prometheus aus der Liste der Zeitachsendatenbanken aus.

   2. Geben Sie im Feld Prometheus-Server-URL den folgenden Wert ein:

      https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/
      

   3. Klicken Sie auf Speichern und testen.

      Die URL im Browser für die Datenquellenseite enthält die Benutzeroberfläche der Datenquelle, z. B. https://yourcompanyname.grafana.net/connections/datasources/edit/GRAFANA_DATASOURCE_UID..

   4. Notieren Sie sich die UID der Datenquelle. Dieser Wert wird im Befehl zum Ausführen des Datenquellen-Syncers verwendet. Kopieren Sie nicht die gesamte Datenquellen-URL. Kopieren Sie nur die eindeutige Kennung in der URL, z. B. ee0z3woqjah34e:

      GRAFANA_DATASOURCE_UID
      

4. Grafana-Dienstkonto einrichten: Erstellen Sie das Dienstkonto und generieren Sie ein Token für das Dienstkonto:

   1. Klicken Sie in der Grafana-Navigationsleiste auf Administration> „Users and Access“ (Nutzer und Zugriff) > „Service Accounts“ (Dienstkonten).

   2. Erstellen Sie das Dienstkonto. Klicken Sie dazu auf Dienstkonto hinzufügen, geben Sie ihm einen Namen und weisen Sie ihm die Rolle „Administrator“ in Grafana zu.

   3. Klicken Sie auf Dienstkonto-Token hinzufügen.

   4. Legen Sie den Tokenablauf auf „Kein Ablauf“ fest und klicken Sie auf Token generieren. Kopieren Sie dann das generierte Token in die folgende bearbeitbare Variable. Dieser Wert wird im Befehl zum Ausführen des Datenquellen-Syncers verwendet.

      GRAFANA_SERVICE_ACCOUNT_TOKEN
      

5. Führen Sie den Datenquellen-Syncer aus. Sie können den Syncer über ein vorgefertigtes Container-Image mit Docker ausführen oder den Code aus der Quelle erstellen und manuell ausführen. Der Datenquellen-Syncer ist eine Go-Anwendung. Sie müssen also Go installiert haben, um den Syncer aus dem Quellcode zu erstellen.

   Docker

   Führen Sie den Datenquellen-Synchronisierer über Docker mit dem Container-Image gke.gcr.io/prometheus-engine/datasource-syncer:v0.15.3-gke.0 aus. Zum Testen können Sie den Syncer manuell ausführen. Nachdem Sie überprüft haben, ob die Verbindung funktioniert, müssen Sie einen automatisierten Mechanismus wie einen Cron-Job verwenden, um den Syncer für Datenquellen alle 10 Minuten auszuführen. Zugriffstokens haben eine Lebensdauer von einer Stunde. So stellen Sie sicher, dass Ihre Verbindung nicht unterbrochen wird.

   Verwenden Sie den folgenden Docker-Befehl, um den Datenquellen-Syncer auszuführen:

   docker run --network container:grafana -v "DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json:/app/DS_SYNCER_SVCACCT_KEYFILE_NAME.json" gke.gcr.io/prometheus-engine/datasource-syncer:v0.15.3-gke.0
   -datasource-uids=UID_OF_GRAFANA_DATASOURCE
   -grafana-api-token=GRAFANA_SERVICE_ACCOUNT_TOKEN
   -grafana-api-endpoint=URL_OF_GRAFANA_INSTANCE
   -project-id=PROJECT_ID
   -query.credentials-file=DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json
   -gcm-endpoint-override="https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/"
   

   So erstellen Sie einen cron-Job zum Ausführen des Datenquellen-Synchronizers:

   1. Bearbeiten Sie die Crontab:

      cron -e
      

   2. Fügen Sie einen Eintrag hinzu, der den vorherigen Befehl alle 10 Minuten ausführt:

      */10 * * * * * docker run --network container:grafana -v "DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json:/app/<KEY_ID>" gke.gcr.io/prometheus-engine/datasource-syncer:v0.15.3-gke.0 -datasource-uids=UID_OF_GRAFANA_DATASOURCE -grafana-api-token=GRAFANA_SERVICE_ACCOUNT_TOKEN -grafana-api-endpoint=URL_OF_GRAFANA_INSTANCE -project-id=PROJECT_ID -query.credentials-file=DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json -gcm-endpoint-override="https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/"
      

   Weitere Informationen zu den Befehlszeilenoptionen, die beim Ausführen des Datenquellen-Syncers verfügbar sind, finden Sie im README-Dokument.

   Quellcode

   1. So erstellen Sie den Datenquellen-Syncer selbst:

      1. Erstellen Sie ein Verzeichnis für den Code und wechseln Sie in dieses Verzeichnis:

         mkdir data-source-syncer-code
         
         cd data-source-syncer-code
         

         Der Pfad zu diesem Verzeichnis wird in einem späteren Schritt verwendet, um eine Umgebungsvariable festzulegen. Führen Sie den Befehl pwd aus, um den Pfad abzurufen, und speichern Sie ihn in der bearbeitbaren Variablen:

         pwd
         PATH_TO_LOCAL_REPO_COPY
         

      2. Klonen Sie den Code aus dem aktuellen Release des Repositorys:

         git clone -b 'v0.15.3' --single-branch https://github.com/GoogleCloudPlatform/prometheus-engine
         

      3. Wechseln Sie in das Verzeichnis datasource-syncer und erstellen Sie den Code:

         cd prometheus-engine/cmd/datasource-syncer
         
         go build main.go
         

   2. Führen Sie den Datenquellen-Syncer aus. Zum Testen können Sie den Syncer manuell ausführen. Nachdem Sie überprüft haben, ob die Verbindung funktioniert, müssen Sie einen automatisierten Mechanismus wie einen cron-Job verwenden, um den Syncer für Datenquellen alle 10 Minuten auszuführen. Zugriffstokens haben eine Lebensdauer von einer Stunde. So stellen Sie sicher, dass Ihre Verbindung nicht unterbrochen wird.

      Verwenden Sie den folgenden Befehl, um den Datenquellen-Syncer manuell auszuführen:

      main -datasource-uids=UID_OF_GRAFANA_DATASOURCE
      -grafana-api-token=GRAFANA_SERVICE_ACCOUNT_TOKEN
      -grafana-api-endpoint=URL_OF_GRAFANA_INSTANCE
      -project-id=PROJECT_ID
      -query.credentials-file=DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json
      -gcm-endpoint-override="https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/"
      

      So erstellen Sie einen cron-Job zum Ausführen des Datenquellen-Synchronizers:

      1. Bearbeiten Sie die Crontab:

          cron -e
         

      2. Fügen Sie einen Eintrag hinzu, der den vorherigen Befehl alle 10 Minuten ausführt:

          */10 * * * * * main -datasource-uids=UID_OF_GRAFANA_DATASOURCE -grafana-api-token=GRAFANA_SERVICE_ACCOUNT_TOKEN -grafana-api-endpoint=URL_OF_GRAFANA_INSTANCE -project-id=PROJECT_ID -query.credentials-file=DS_SYNCER_SVCACCT_KEYFILE_DIR/DS_SYNCER_SVCACCT_KEYFILE_NAME.json -gcm-endpoint-override="https://monitoring.s3nsapis.fr/v1/projects/PROJECT_ID/location/global/prometheus/"
         

      Weitere Informationen zu den Befehlszeilenoptionen, die beim Ausführen des Datenquellen-Syncers verfügbar sind, finden Sie im README-Dokument.

6. Rufen Sie die neu konfigurierte Grafana-Datenquelle auf und prüfen Sie, ob der Wert der Prometheus-Server-URL mit https://monitoring.s3nsapis.fr beginnt. Möglicherweise müssen Sie die Seite aktualisieren. Sobald die Prüfung abgeschlossen ist, klicken Sie am Ende der Seite auf Speichern und testen. Sie müssen mindestens einmal auf diese Schaltfläche klicken, damit die automatische Vervollständigung von Labels in Grafana funktioniert.