Enviar métricas do Prometheus de máquinas virtuais, conjuntos de escala ou clusters do Kubernetes para um espaço de trabalho do Azure Monitor

Gravação remota usando autenticação de identidade gerenciada atribuída pelo usuário

A autenticação de identidade gerenciada atribuída pelo usuário pode ser usada em qualquer ambiente gerenciado pelo Azure. Se o serviço Prometheus estiver sendo executado em um ambiente que não seja do Azure, você poderá usar a autenticação do aplicativo Microsoft Entra ID.

Para configurar uma identidade gerenciada atribuída pelo usuário para gravação remota no espaço de trabalho do Azure Monitor, conclua as etapas a seguir.

Criar uma identidade gerida atribuída pelo utilizador

Para criar uma identidade gerenciada pelo usuário para usar em sua configuração de gravação remota, consulte Gerenciar identidades gerenciadas atribuídas pelo usuário.

Observe o valor da clientId identidade gerenciada que você criou. Este ID é usado na configuração de gravação remota do Prometheus.

Atribuir a função de Publicador de Métricas de Monitoramento ao aplicativo

Na regra de coleta de dados do espaço de trabalho, atribua a Monitoring Metrics Publisher função à identidade gerenciada.

1. Na página Visão geral do espaço de trabalho do Azure Monitor, selecione o link Regra de coleta de dados.

   

2. Na página da regra de coleta de dados, selecione Controle de acesso (IAM).

3. Selecione Adicionar e Adicionar atribuição de função.

4. Procure e selecione Monitoring Metrics Publisher e, em seguida, selecione Next.

5. Selecione Identidade gerenciada.

6. Selecione Selecionar membros.

7. No menu suspenso Entidade gerenciada, identidade gerenciada atribuída pelo usuário.

8. Selecione a identidade atribuída pelo usuário que você deseja usar e clique em Selecionar.

9. Selecione Rever + atribuir para concluir a atribuição de função.

   

Atribuir a identidade gerenciada a uma máquina virtual ou a um conjunto de escala de máquina virtual

1. No portal do Azure, vá para a página do cluster, da Máquina Virtual ou do Conjunto de Dimensionamento de Máquina Virtual.

2. Selecione a Identidade.

3. Selecione Usuário atribuído.

4. Selecione Adicionar.

5. Selecione a identidade gerenciada atribuída ao usuário que você criou e, em seguida, selecione Adicionar.

   

Atribuir a identidade gerenciada para um Serviço Kubernetes do Azure

Para os serviços Kubernetes do Azure (AKS), a identidade gerenciada deve ser atribuída aos conjuntos de escala da máquina virtual.

O AKS cria um grupo de recursos que contém os conjuntos de escala da máquina virtual. O nome do grupo de recursos está no formato MC_<resource group name>_<AKS cluster name>_<region>. Para cada Conjunto de Escala de Máquina Virtual no grupo de recursos, atribua a identidade gerenciada de acordo com as etapas na seção anterior, Atribua a identidade gerenciada a uma Máquina Virtual ou a um Conjunto de Escala de Máquina Virtual.

Gravação remota usando a autenticação do aplicativo Microsoft Entra ID

A autenticação do aplicativo Microsoft Entra ID pode ser usada em qualquer ambiente. Se o seu serviço Prometheus estiver sendo executado em um ambiente gerenciado pelo Azure, considere usar a autenticação de identidade gerenciada atribuída pelo usuário.

Para configurar a gravação remota no espaço de trabalho do Azure Monitor usando um aplicativo Microsoft Entra ID, crie um aplicativo Microsoft Entra. Na regra de coleta de dados do espaço de trabalho do Azure Monitor, atribua a Monitoring Metrics Publisher função ao aplicativo Microsoft Entra.

Criar um aplicativo Microsoft Entra ID

Para criar um aplicativo Microsoft Entra ID usando o portal, consulte Criar um aplicativo Microsoft Entra ID e uma entidade de serviço que pode acessar recursos.

Quando você tiver criado seu aplicativo Microsoft Entra, obtenha a ID do cliente e gere um segredo do cliente.

1. Na lista de aplicativos, copie o valor para ID do aplicativo (cliente) para o aplicativo registrado. Esse valor é usado na configuração de gravação remota do Prometheus como o valor para client_id.

   

2. Selecionar Certificados e Segredos

3. Selecione Segredos do cliente, eles selecionam Novo segredo do cliente para criar um novo segredo

4. Insira uma descrição, defina a data de validade e selecione Adicionar.

   

5. Copie o valor do segredo com segurança. O valor é usado na configuração de gravação remota do Prometheus como o valor para client_secret. O valor secreto do cliente só é visível quando criado e não pode ser recuperado posteriormente. Se perdido, você deve criar um novo segredo do cliente.

   

Atribuir a função de Publicador de Métricas de Monitoramento ao aplicativo

Atribua a Monitoring Metrics Publisher função na regra de coleta de dados do espaço de trabalho ao aplicativo.

1. No espaço de trabalho do Azure Monitor, página de visão geral, selecione o link Regra de coleta de dados.

   

2. Na página de visão geral da regra de coleta de dados, selecione Controle de acesso (IAM).

3. Selecione Adicionar e, em seguida, selecione Adicionar atribuição de função.

   

4. Selecione a função Publicador de Métricas de Monitoramento e selecione Avançar.

   

5. Selecione Usuário, grupo ou entidade de serviço e, em seguida, escolha Selecionar membros. Selecione o aplicativo que você criou e, em seguida, escolha Selecionar.

   

6. Para concluir a atribuição de função, selecione Rever + atribuir.

Criar identidades atribuídas pelo usuário e aplicativos Microsoft Entra ID usando CLI

Criar uma identidade gerida atribuída pelo utilizador

Crie uma identidade gerenciada atribuída pelo usuário para gravação remota usando as seguintes etapas:

1. Criar uma identidade gerida atribuída pelo utilizador
2. Atribuir a Monitoring Metrics Publisher função na regra de coleta de dados do espaço de trabalho à identidade gerenciada
3. Atribua a identidade gerenciada a uma máquina virtual ou a um conjunto de escala de máquina virtual.

Observe o valor da clientId identidade gerenciada que você cria. Este ID é usado na configuração de gravação remota do Prometheus.

1. Crie uma identidade gerenciada atribuída pelo usuário usando o seguinte comando da CLI:

   az account set \
   --subscription <subscription id>
   
   az identity create \
   --name <identity name> \
   --resource-group <resource group name>
   

   Segue-se um exemplo da saída apresentada:

   {
     "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
     "location": "eastus",
     "name": "PromRemoteWriteIdentity",
     "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
     "resourceGroup": "rg-001",
     "systemData": null,
     "tags": {},
     "tenantId": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. Atribua a Monitoring Metrics Publisher função na regra de coleta de dados do espaço de trabalho à identidade gerenciada.

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee <managed identity client ID> \
   --scope <data collection rule resource ID>
   

   Por exemplo,

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
   --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001
   

3. Atribua a identidade gerenciada a uma máquina virtual ou a um conjunto de escala de máquina virtual.

   Para máquinas virtuais:

   az vm identity assign \
   -g <resource group name> \
   -n <virtual machine name> \
   --identities <user assigned identity resource ID>
   

   Para conjuntos de dimensionamento de máquina virtual:

   az vmss identity assign \
   -g <resource group name> \
   -n <VSS name> \
   --identities <user assigned identity resource ID>
   

   Por exemplo, para um Conjunto de Dimensionamento de Máquina Virtual:

   az vm identity assign \
   -g rg-prom-on-vm \
   -n win-vm-prom \
   --identities /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity
   

Para obter mais informações, consulte az identity create e az role assignment create.

Criar um aplicativo Microsoft Entra ID

Para criar um aplicativo Microsoft Entra ID usando CLI e atribuir a Monitoring Metrics Publisher função, execute o seguinte comando:

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

Por exemplo,

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

Segue-se um exemplo da saída apresentada:

{
  "appId": "66667777-aaaa-8888-bbbb-9999cccc0000",
  "displayName": "PromRemoteWriteApp",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d"
}

A saída contém os appId valores e password . Salve esses valores para usar na configuração de gravação remota do Prometheus como valores para client_id e client_secret A senha ou o valor secreto do cliente só é visível quando criado e não pode ser recuperado posteriormente. Se perdido, você deve criar um novo segredo do cliente.

Para obter mais informações, consulte az ad app create e az ad sp create-for-rbac.

Para enviar dados para seu Espaço de Trabalho do Azure Monitor, adicione a seção a seguir ao arquivo de configuração (prometheus.yml) de sua instância Prometheus autogerenciada.

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
    azuread:
      cloud: 'AzurePublic'
      managed_identity:
        client_id: "<client-id of the managed identity>"
      oauth:
        client_id: "<client-id from the Entra app>"
        client_secret: "<client secret from the Entra app>"
        tenant_id: "<Azure subscription tenant Id>"

Operador Prometheus

Se você estiver em um cluster Kubernetes executando o Prometheus Operator, siga as etapas abaixo para enviar dados para seu Espaço de Trabalho do Azure Monitor.

1. Se você estiver usando a autenticação Microsoft Entra ID, converta o segredo usando a codificação base64 e aplique o segredo em seu cluster Kubernetes. Salve o seguinte em um arquivo yaml. Ignore esta etapa se estiver usando a autenticação de identidade gerenciada.

apiVersion: v1
kind: Secret
metadata:
  name: remote-write-secret
  namespace: monitoring # Replace with namespace where Prometheus Operator is deployed. 
type: Opaque
data:
  password: <base64-encoded-secret>

Aplique o segredo.

# set context to your cluster 
az aks get-credentials -g <aks-rg-name> -n <aks-cluster-name> 

kubectl apply -f <remote-write-secret.yaml>

2. Atualize os valores para a seção de gravação remota no Prometheus Operator. Copie o yaml a seguir e salve-o como um arquivo. Consulte a documentação do Operador Prometheus para obter mais detalhes sobre a especificação de escrita remota do Espaço de Trabalho do Azure Monitor no Operador Prometheus.

prometheus:
  prometheusSpec:
    remoteWrite:
    - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
      azureAd:
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
        cloud: 'AzurePublic'
        managedIdentity:
          clientId: "<clientId of the managed identity>"
        oauth:
          clientId: "<clientId of the Entra app>"
          clientSecret:
            name: remote-write-secret
            key: password
          tenantId: "<Azure subscription tenant Id>"

3. Use helm para atualizar sua configuração de gravação remota usando o arquivo yaml acima.

helm upgrade -f <YAML-FILENAME>.yml prometheus prometheus-community/kube-prometheus-stack --namespace <namespace where Prometheus Operator is deployed>