Устаревшая аутентификация для Container Insights

Служба Container Insights по умолчанию использует аутентификацию с использованием управляемого удостоверения, при которой агент мониторинга применяет управляемое удостоверение кластера для отправки данных в Azure Monitor. Он заменил устаревшую локальную проверку подлинности на основе сертификатов и удалил требование добавления роли издателя метрик мониторинга в кластер.

В этой статье описывается, как перенести проверку подлинности управляемого удостоверения, если вы включили аналитику контейнеров с помощью устаревшего метода проверки подлинности, а также как включить устаревшую проверку подлинности при наличии этого требования.

Поиск кластеров с помощью устаревшей проверки подлинности

В следующих запросах перечислены кластеры с использованием устаревшей проверки подлинности в Container Insights. Чтобы выполнить запросы, используйте обозреватель Resource Graph. Запрос выполняется в существующей области портала Azure. Дополнительные сведения о настройке области и выполнении запросов Azure Resource Graph на портале см. в кратком руководстве по выполнению запроса Resource Graph с помощью портала Azure.

Запрос к кластерам AKS

resources        
| where type =~ 'Microsoft.ContainerService/managedClusters'       
| project id, name, aksproperties = parse_json(tolower(properties)), location, identity        
| extend isEnabled = aksproperties.addonprofiles.omsagent.enabled         
| extend workspaceResourceId = iif(isEnabled == true, aksproperties.addonprofiles.omsagent.config.loganalyticsworkspaceresourceid, '')        
| extend useAADAuth  = aksproperties.addonprofiles.omsagent.config.useaadauth  
| where isEnabled =~ "true" and useAADAuth != true 
| extend parts = split(tostring(id), "/")
| extend subscriptionId = parts[2], AKSClusterName = parts[-1], resourceGroupName = parts[4] 
| project AKSClusterName, resourceGroupName, subscriptionId, location, AKSClusterId = tolower(id), workspaceResourceId 

Запрашивать локальные кластеры, т. е. кластеры с помощью Arc.

KubernetesConfigurationResources          
| where type =~ "Microsoft.KubernetesConfiguration/extensions"           
| extend properties = parse_json(tolower(properties))           
| extend extensionType = properties.extensiontype            
| where extensionType in~ ('microsoft.azuremonitor.containers')           
| extend omsagentUseAADAuth = tostring(properties.configurationsettings.["omsagent.useaadauth"])           
| extend amalogsUseAADAuth = tostring(properties.configurationsettings.["amalogs.useaadauth"])            
| extend useAADAuth = iff(omsagentUseAADAuth == 'true' or amalogsUseAADAuth == 'true', 'true', 'false')            
| extend workspaceResourceId = tostring(properties.configurationsettings.loganalyticsworkspaceresourceid)            
| extend resourceId = tolower(split(id, "/providers/Microsoft.KubernetesConfiguration")[0]) 
| where useAADAuth != "true"
| extend parts = split(tostring(resourceId), "/")
| extend subscriptionId = parts[2], ClusterName = parts[-1], ResourceGroupName = parts[4] 
| project ClusterName, ResourceGroupName,resourceId, subscriptionId, workspaceResourceId

Переход на управляемую аутентификацию удостоверения

Если вы включили аналитику контейнеров до того, как проверка подлинности управляемого удостоверения стала доступна, можно использовать следующие методы для миграции кластеров.

Включение устаревшей проверки подлинности

Если требуется устаревшая проверка подлинности, см. статью "Включить аналитику контейнеров", которая содержит примеры различных вариантов включения аналитики контейнеров.

Следующие шаги

Если при обновлении агента возникают проблемы, ознакомьтесь с руководством по устранению неполадок для поддержки.