Руководство. Включение телеметрии и мониторинга для Azure Linux с кластером OS Guard (предварительная версия)

В этом руководстве, часть 4 из пяти, вы узнаете, как:

В следующем руководстве вы узнаете, как обновить узлы Linux Azure.

Необходимые условия

• В предыдущих руководствах вы создали и развернули Azure Linux с кластером OS Guard. Чтобы завершить работу с этим руководством, вам потребуется существующий кластер. Если вы еще не выполнили этот шаг и хотите продолжить, начните с руководства 1. Создание кластера с Azure Linux с OS Guard для AKS.
• Если вы подключаете существующий кластер AKS к рабочей области Log Analytics в другой подписке, необходимо зарегистрировать Microsoft.ContainerService поставщика ресурсов в подписке, содержащей рабочую область Log Analytics. Дополнительные сведения см. в разделе "Регистрация поставщика ресурсов".
• Вам нужна последняя версия Azure CLI. Используйте команду az version для поиска версии. Чтобы обновить до последней версии, используйте az upgrade команду.

Azure Linux: особенности и ограничения OS Guard

Прежде чем начать, ознакомьтесь со следующими рекомендациями и ограничениями для Azure Linux с OS Guard (предварительная версия):

• Для работы с Azure Linux и OS Guard требуется версия Kubernetes 1.32.0 или выше.
• Все образы Azure Linux с OS Guard включают в себя Федеральный стандарт обработки информации (FIPS) и доверенный запуск.
• Azure CLI и шаблоны ARM являются единственными поддерживаемыми методами развертывания для Azure Linux с OS Guard в AKS в предварительной версии. PowerShell и Terraform не поддерживаются.
• Образы Arm64 не поддерживаются в Azure Linux с OS Guard на AKS в режиме предварительной версии.
• NodeImage и None являются единственными поддерживаемыми каналами обновления операционной системы (ОС) для Azure Linux с OS Guard в AKS. Unmanaged и SecurityPatch несовместимы с Azure Linux с OS Guard из-за неизменяемого каталога /usr.
• Потоковая передача артефактов не поддерживается.
• Песочница Pod не поддерживается.
• Конфиденциальные виртуальные машины (CVM) не поддерживаются.
• Виртуальные машины 1-го поколения не поддерживаются.

Подключитесь к вашему кластеру

Прежде чем включить мониторинг, важно убедиться, что вы подключены к правильному кластеру. Получите учетные данные для Azure Linux с кластером OS Guard и настройте kubectl, чтобы использовать их с помощью az aks get-credentials команды.

az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME

Включение мониторинга

Вы можете включить мониторинг для кластера Azure Linux with OS Guard с помощью рабочей области Log Analytics по умолчанию или указав рабочую область Log Analytics. Ниже показано, как включить мониторинг кластера с помощью любого метода.

Вариант 1. Использование рабочей области Log Analytics по умолчанию

Используйте следующие команды, чтобы проверить, включена ли надстройка мониторинга для кластера. Если это не так, команда включает мониторинг для вашего кластера Azure Linux with OS Guard с использованием рабочей области Log Analytics по умолчанию в группе ресурсов по умолчанию подписки кластера AKS. Если он еще не существует в регионе, созданная по умолчанию рабочая область похожа на следующий формат: DefaultWorkspace-< GUID >—< Регион >.

# Check if monitoring addon is already enabled
MONITORING_ENABLED=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "addonProfiles.omsagent.enabled" -o tsv)

if [ "$MONITORING_ENABLED" != "true" ]; then
  az aks enable-addons --addons monitoring --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP
fi

Вариант 2. Указание рабочей области Log Analytics

Вы можете указать рабочую область Log Analytics, чтобы включить мониторинг Azure Linux с помощью кластера OS Guard. Идентификатор ресурса рабочей области имеет следующий формат: "/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.OperationalInsights/workspaces/<workspace-name>".

az aks enable-addons --addons monitoring --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --workspace-resource-id <workspace-resource-id>

Проверьте развертывание агента и решения

1. Убедитесь, что агент успешно развернут с помощью следующей команды:

   kubectl get ds ama-logs --namespace=kube-system
   

   Пример выходных данных:

   NAME       DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
   ama-logs   3         3         3       3            3           <none>          3m22s
   

2. Проверьте развертывание решения с помощью следующей команды:

   kubectl get deployment ama-logs-rs -n=kube-system
   

   Пример выходных данных:

   NAME           DESIRED   CURRENT   UP-TO-DATE   AVAILABLE    AGE
   ama-logs-rs    1         1         1            1            3h
   

Проверка конфигурации решения

Получите конфигурацию решения с помощью az aks show команды. С помощью этой команды можно проверить, включено ли решение, что такое идентификатор ресурса рабочей области Log Analytics и получить сводную информацию о кластере.

az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query "addonProfiles.omsagent"

Через несколько минут команда завершает работу и возвращает данные в формате JSON о решении. Результаты команды должны отображать профиль надстройки мониторинга и выглядеть следующим примером выходных данных:

{
  "config": {
    "logAnalyticsWorkspaceResourceID": "/subscriptions/xxxxx/resourceGroups/xxxxx/providers/Microsoft.OperationalInsights/workspaces/xxxxx"
  },
  "enabled": true
}

Следующий шаг

В этом учебном пособии вы включили телеметрию и мониторинг для кластера Azure Linux с ОС Guard. В следующем руководстве вы узнаете, как обновить Azure Linux с помощью узлов OS Guard.