Odesílání metrik Prometheus z virtuálních počítačů, škálovacích sad nebo clusterů Kubernetes do pracovního prostoru služby Azure Monitor

Vzdálené zápisy pomocí ověřování spravované identity přiřazené uživatelem

Ověřování spravované identity přiřazené uživatelem je možné použít v jakémkoli prostředí spravovaném v Azure. Pokud je vaše služba Prometheus spuštěná v prostředí mimo Azure, můžete použít ověřování aplikace Microsoft Entra ID.

Pokud chcete nakonfigurovat spravovanou identitu přiřazenou uživatelem pro vzdálený zápis do pracovního prostoru služby Azure Monitor, proveďte následující kroky.

Vytvoření spravované identity přiřazené uživatelem

Pokud chcete vytvořit identitu spravovanou uživatelem, která se použije v konfiguraci vzdáleného zápisu, přečtěte si téma Správa spravovaných identit přiřazených uživatelem.

Poznamenejte si hodnotu clientId spravované identity, kterou jste vytvořili. Toto ID se používá v konfiguraci vzdáleného zápisu Prometheus.

Přiřazení role Vydavatele metrik monitorování k aplikaci

V pravidle shromažďování dat pracovního prostoru přiřaďte Monitoring Metrics Publisher roli spravované identitě.

1. Na stránce Přehled pracovního prostoru služby Azure Monitor vyberte odkaz na pravidlo shromažďování dat.

   

2. Na stránce pravidla shromažďování dat vyberte Řízení přístupu (IAM).

3. Vyberte Přidat a Přidat přiřazení role.

4. Vyhledejte a vyberte vydavatele metrik monitorování a pak vyberte Další.

5. Vyberte spravovanou identitu.

6. Vyberte Vybrat členy.

7. V rozevíracím seznamu Spravované entity spravovaná identita přiřazená uživatelem

8. Vyberte identitu přiřazenou uživatelem, kterou chcete použít, a potom klikněte na vybrat.

9. Výběrem možnosti Zkontrolovat a přiřadit dokončete přiřazení role.

   

Přiřazení spravované identity k virtuálnímu počítači nebo škálovací sadě virtuálních počítačů

1. Na webu Azure Portal přejděte na stránku clusteru, virtuálního počítače nebo škálovací sady virtuálních počítačů.

2. Vyberte Identita.

3. Vyberte přiřazeného uživatele.

4. Vyberte Přidat.

5. Vyberte spravovanou identitu přiřazenou uživatelem, kterou jste vytvořili, a pak vyberte Přidat.

   

Přiřazení spravované identity pro službu Azure Kubernetes Service

Pro služby Azure Kubernetes (AKS) musí být spravovaná identita přiřazená ke škálovacím sadám virtuálních počítačů.

AKS vytvoří skupinu prostředků obsahující škálovací sady virtuálních počítačů. Název skupiny prostředků je ve formátu MC_<resource group name>_<AKS cluster name>_<region>. Pro každou škálovací sadu virtuálních počítačů ve skupině prostředků přiřaďte spravovanou identitu podle kroků v předchozí části, přiřaďte spravovanou identitu virtuálnímu počítači nebo škálovací sadě virtuálních počítačů.

Vzdálené zápisy pomocí ověřování aplikace Microsoft Entra ID

Ověřování aplikace Microsoft Entra ID lze použít v libovolném prostředí. Pokud je vaše služba Prometheus spuštěná v prostředí spravovaném Azure, zvažte použití ověřování spravované identity přiřazené uživatelem.

Pokud chcete nakonfigurovat vzdálený zápis do pracovního prostoru služby Azure Monitor pomocí aplikace Microsoft Entra ID, vytvořte aplikaci Microsoft Entra. V pravidle shromažďování dat pracovního prostoru služby Azure Monitor přiřaďte Monitoring Metrics Publisher roli aplikaci Microsoft Entra.

Vytvoření aplikace Microsoft Entra ID

Pokud chcete vytvořit aplikaci Microsoft Entra ID pomocí portálu, přečtěte si téma Vytvoření aplikace Microsoft Entra ID a instančního objektu, který má přístup k prostředkům.

Po vytvoření aplikace Microsoft Entra získejte ID klienta a vygenerujte tajný klíč klienta.

1. V seznamu aplikací zkopírujte hodnotu ID aplikace (klienta) registrované aplikace. Tato hodnota se používá v konfiguraci vzdáleného zápisu Prometheus jako hodnota pro client_id.

   

2. Výběr certifikátů a tajných kódů

3. Vyberte Tajné kódy klienta, výběrem možnosti Nový tajný klíč klienta vytvořte nový tajný kód .

4. Zadejte popis, nastavte datum vypršení platnosti a vyberte Přidat.

   

5. Bezpečně zkopírujte hodnotu tajného kódu. Hodnota se používá v konfiguraci vzdáleného zápisu Prometheus jako hodnota pro client_secret. Hodnota tajného klíče klienta je viditelná pouze při vytvoření a později ji nelze načíst. Pokud dojde ke ztrátě, musíte vytvořit nový tajný klíč klienta.

   

Přiřazení role Vydavatele metrik monitorování k aplikaci

Monitoring Metrics Publisher Přiřaďte aplikaci roli v pravidle shromažďování dat pracovního prostoru.

1. Na stránce přehledu pracovního prostoru Azure Monitoru vyberte odkaz na pravidlo shromažďování dat.

   

2. Na stránce přehledu pravidla shromažďování dat vyberte Řízení přístupu (IAM).

3. Vyberte Přidat a pak vyberte Přidat přiřazení role.

   

4. Vyberte roli Vydavatel metrik monitorování a pak vyberte Další.

   

5. Vyberte Uživatele, skupinu nebo instanční objekt a pak zvolte Vybrat členy. Vyberte aplikaci, kterou jste vytvořili, a pak zvolte Vybrat.

   

6. Pokud chcete přiřazení role dokončit, vyberte Zkontrolovat a přiřadit.

Vytváření identit přiřazených uživatelem a aplikací Microsoft Entra ID pomocí rozhraní příkazového řádku

Vytvoření spravované identity přiřazené uživatelem

Pomocí následujícího postupu vytvořte spravovanou identitu přiřazenou uživatelem pro vzdálený zápis:

1. Vytvoření spravované identity přiřazené uživatelem
2. Monitoring Metrics Publisher Přiřazení role v pravidle shromažďování dat pracovního prostoru ke spravované identitě
3. Přiřaďte spravovanou identitu virtuálnímu počítači nebo škálovací sadě virtuálních počítačů.

Poznamenejte si hodnotu clientId spravované identity, kterou vytvoříte. Toto ID se používá v konfiguraci vzdáleného zápisu Prometheus.

1. Pomocí následujícího příkazu rozhraní příkazového řádku vytvořte spravovanou identitu přiřazenou uživatelem:

   az account set \
   --subscription <subscription id>
   
   az identity create \
   --name <identity name> \
   --resource-group <resource group name>
   

   Následuje příklad zobrazeného výstupu:

   {
     "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
     "location": "eastus",
     "name": "PromRemoteWriteIdentity",
     "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
     "resourceGroup": "rg-001",
     "systemData": null,
     "tags": {},
     "tenantId": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. Monitoring Metrics Publisher Přiřaďte roli v pravidle shromažďování dat pracovního prostoru spravované identitě.

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee <managed identity client ID> \
   --scope <data collection rule resource ID>
   

   Příklad:

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
   --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001
   

3. Přiřaďte spravovanou identitu virtuálnímu počítači nebo škálovací sadě virtuálních počítačů.

   Pro virtuální počítače:

   az vm identity assign \
   -g <resource group name> \
   -n <virtual machine name> \
   --identities <user assigned identity resource ID>
   

   Pro škálovací sady virtuálních počítačů:

   az vmss identity assign \
   -g <resource group name> \
   -n <VSS name> \
   --identities <user assigned identity resource ID>
   

   Například pro škálovací sadu virtuálních počítačů:

   az vm identity assign \
   -g rg-prom-on-vm \
   -n win-vm-prom \
   --identities /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity
   

Další informace najdete v tématu az identity create a az role assignment create.

Vytvoření aplikace Microsoft Entra ID

Pokud chcete vytvořit aplikaci Microsoft Entra ID pomocí rozhraní příkazového řádku a přiřadit roli Monitoring Metrics Publisher , spusťte následující příkaz:

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

Příklad:

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

Následuje příklad zobrazeného výstupu:

{
  "appId": "66667777-aaaa-8888-bbbb-9999cccc0000",
  "displayName": "PromRemoteWriteApp",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d"
}

Výstup obsahuje appId hodnoty a password hodnoty. Uložte tyto hodnoty tak, aby se používaly v konfiguraci vzdáleného zápisu Prometheus jako hodnoty pro client_id heslo client_secret nebo tajný klíč klienta, je viditelné pouze při vytvoření a nelze je později načíst. Pokud dojde ke ztrátě, musíte vytvořit nový tajný klíč klienta.

Další informace najdete v tématu az ad app create a az ad sp create-for-rbac.

Pokud chcete odesílat data do pracovního prostoru služby Azure Monitor, přidejte do konfiguračního souboru (prometheus.yml) instance Prometheus, který spravujete sami.

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
    azuread:
      cloud: 'AzurePublic'
      managed_identity:
        client_id: "<client-id of the managed identity>"
      oauth:
        client_id: "<client-id from the Entra app>"
        client_secret: "<client secret from the Entra app>"
        tenant_id: "<Azure subscription tenant Id>"

Operátor Prometheus

Pokud používáte cluster Kubernetes se spuštěným operátorem Prometheus, pomocí následujících kroků odešlete data do pracovního prostoru služby Azure Monitor.

1. Pokud používáte ověřování Microsoft Entra ID, převeďte tajný klíč pomocí kódování base64 a použijte tajný kód do clusteru Kubernetes. Uložte následující soubor do souboru yaml. Pokud používáte ověřování spravované identity, tento krok přeskočte.

apiVersion: v1
kind: Secret
metadata:
  name: remote-write-secret
  namespace: monitoring # Replace with namespace where Prometheus Operator is deployed. 
type: Opaque
data:
  password: <base64-encoded-secret>

Použijte tajný kód.

# set context to your cluster 
az aks get-credentials -g <aks-rg-name> -n <aks-cluster-name> 

kubectl apply -f <remote-write-secret.yaml>

2. Aktualizujte hodnoty pro oddíl vzdáleného zápisu v operátoru Prometheus. Zkopírujte následující yaml a uložte ho jako soubor. Další podrobnosti o specifikaci vzdáleného zápisu pracovního prostoru služby Azure Monitor najdete v dokumentaci operátora prometheus Prometheus.

prometheus:
  prometheusSpec:
    remoteWrite:
    - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
      azureAd:
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
        cloud: 'AzurePublic'
        managedIdentity:
          clientId: "<clientId of the managed identity>"
        oauth:
          clientId: "<clientId of the Entra app>"
          clientSecret:
            name: remote-write-secret
            key: password
          tenantId: "<Azure subscription tenant Id>"

3. Pomocí nástroje Helm aktualizujte konfiguraci vzdáleného zápisu pomocí výše uvedeného souboru yaml.

helm upgrade -f <YAML-FILENAME>.yml prometheus prometheus-community/kube-prometheus-stack --namespace <namespace where Prometheus Operator is deployed>