שימוש במדיניות של סוכנים

כללי מדיניות של סוכנים מאפשרים התקנה ותחזוקה אוטומטיות של סוכני Google Cloud Observability במגוון מכונות וירטואליות של Compute Engine שתואמות לקריטריונים שצוינו על ידי המשתמש. אתם יכולים ליצור מדיניות עבורGoogle Cloud פרויקט ששולטת במכונות וירטואליות קיימות ובמכונות וירטואליות חדשות שמשויכות לאותוGoogle Cloud פרויקט, כדי להבטיח התקנה, הסרה ושדרוג אוטומטי אופציונלי של כל הסוכנים של Google Cloud Observability במכונות הווירטואליות האלה.

אפשר ליצור ולנהל מדיניות של סוכנים באמצעות קבוצת הפקודות gcloud beta compute instances ops-agents policies ב-Google Cloud CLI או באמצעות מודול Terraform‏ agent-policy. בכללי מדיניות של סוכנים נעשה שימוש בחבילת הכלים VM Manager ב-Compute Engine כדי לנהל כללי מדיניות של מערכת הפעלה, שיכולים לבצע אוטומציה של הפריסה והתחזוקה של הגדרות תוכנה כמו הסוכנים של Google Cloud Observability: ‏ סוכן תפעול,‏ legacy Monitoring agent ו-סוכן Logging.

מערכות הפעלה נתמכות

אפשר להחיל מדיניות של סוכן על מכונות וירטואליות של Compute Engine שמריצות את מערכות ההפעלה שמוצגות בטבלה הבאה:

יצירת מדיניות לסוכן

בקטע הזה מתואר השימוש ב-Google Cloud SDK לניהול מדיניות סוכנים. מידע על שימוש ב-Terraform זמין במאמר שילוב של Terraform.

כדי ליצור מדיניות של סוכן באמצעות Google Cloud CLI, מבצעים את השלבים הבאים:

1. אם עדיין לא עשיתם זאת, התקינו את Google Cloud CLI.

   מדיניות הסוכן שמתוארת במסמך הזה משתמשת בקבוצת הפקודות beta.

2. אם עדיין לא עשיתם זאת, מתקינים את הרכיב beta של ה-CLI של gcloud:

   gcloud components install beta
   

   כדי לבדוק אם רכיב beta מותקן, מריצים את הפקודה:

   gcloud components list
   

   אם התקנתם בעבר את רכיב beta, צריך לוודא שיש לכם את הגרסה העדכנית ביותר:

   gcloud components update
   

3. מורידים את הסקריפט הבא ומשתמשים בו כדי להפעיל את ממשקי ה-API ולהגדיר את ההרשאות המתאימות לשימוש ב-Google Cloud CLI:‏ set-permissions.sh.

   מידע על הסקריפט מופיע במאמר הסקריפט set-permissions.sh.

4. משתמשים בפקודה gcloud beta compute instances ops-agents policies create כדי ליצור מדיניות. למידע על התחביר של הפקודה, אפשר לעיין במסמכי התיעוד של gcloud beta compute instances ops-agents policies create.

   דוגמאות לפורמט הפקודה מופיעות בקטע דוגמאות במסמכי התיעוד של Google Cloud CLI.

   מידע נוסף על הפקודות האחרות בקבוצת הפקודות ועל האפשרויות הזמינות מופיע במאמרי העזרה בנושא gcloud beta compute instances ops-agents policies.

שיטות מומלצות לשימוש במדיניות של סוכנים

כדי לשלוט בהשפעה על מערכות הייצור במהלך ההשקה, מומלץ להשתמש בתוויות של מופעים ובאזורים כדי לסנן את המופעים שהמדיניות חלה עליהם.

הנה דוגמה לתוכנית השקה מדורגת של מכונות וירטואליות של Debian 11 בפרויקט בשם my_project:

שלב 1: יוצרים מדיניות בשם ops-agents-policy-safe-rollout להתקנת סוכן ה-Logging מדור קודם וסוכן ה-Monitoring בכל המכונות הווירטואליות עם התוויות env=test ו-app=myproduct.

gcloud beta compute instances \
    ops-agents policies create ops-agents-policy-safe-rollout \
    --agent-rules="type=logging,version=current-major,package-state=installed,enable-autoupgrade=true;type=metrics,version=current-major,package-state=installed,enable-autoupgrade=true" \
    --os-types=short-name=debian,version=11 \
    --group-labels=env=test,app=myproduct \
    --project=my_project

מידע נוסף על ציון מערכת ההפעלה זמין במאמר בנושא gcloud beta compute instances ops-agents policies create.

שלב 2: מעדכנים את המדיניות כך שתטרגט מכונות וירטואליות באזור אחד עם התוויות env=prod ו-app=myproduct.

gcloud beta compute instances \
    ops-agents policies update ops-agents-policy-safe-rollout \
    --group-labels=env=prod,app=myproduct \
    --zones=us-central1-c \

שלב 3: מעדכנים את המדיניות כדי לבטל את הסינון לפי אזורים, כך שהיא תופעל באופן גלובלי

gcloud beta compute instances \
    ops-agents policies update ops-agents-policy-safe-rollout \
    --clear-zones

מדיניות במכונות וירטואליות שנוצרו לפני OS Config

יכול להיות שתצטרכו להתקין ולהגדיר ידנית את הסוכן של OS Config במכונות וירטואליות שנוצרו לפני OS Config. מידע על התקנה ידנית ואימות של הסוכן OS Config מופיע ברשימת המשימות לאימות של VM Manager.

פתרון בעיות במדיניות של סוכני בטא

בקטע הזה מוסבר איך לפתור בעיות שקשורות למדיניות של סוכני בטא עבור סוכן תפעול, Monitoring agent מדור קודם ו-סוכן Logging מדור קודם.

הפקודות ops-agents policy נכשלות

כשפקודת gcloud beta compute instances ops-agents policies נכשלת, בתשובה מוצגת שגיאת אימות. מתקנים את השגיאות על ידי תיקון הארגומנטים והדגלים של הפקודה, כמו שמוצע בהודעת השגיאה.

בנוסף לשגיאות האימות, יכול להיות שיוצגו שגיאות שמצביעות על התנאים הבאים:

• הרשאת IAM לא מספיקה
• ‫OS Config API לא מופעל
• המדיניות שצוינה לא קיימת

בקטעים הבאים מפורטים התנאים האלה.

הרשאת IAM לא מספיקה

אם פקודת gcloud beta compute instances ops-agents policies נכשלת עם שגיאת הרשאה, צריך לוודא שהפעלתם את סקריפט set-permissions.sh כמו שמתואר במאמר יצירת מדיניות של סוכן כדי להגדיר את תפקידי מדיניות OS Config:

• אדמין של מדיניות לאורחים (roles/osconfig.guestPolicyAdmin): מאפשר גישה מלאה למדיניות לאורחים.
• GuestPolicy Editor (roles/osconfig.guestPolicyEditor): מאפשר למשתמשים לקבל, לעדכן ולרשום מדיניות לאורחים.
• צפייה ב-GuestPolicy ‏ (roles/osconfig.guestPolicyViewer): מאפשרת גישה לקריאה בלבד כדי לקבל ולרשום מדיניות של אורחים.

מידע נוסף על סקריפט set-permissions.sh זמין במאמר בנושא הסקריפט set-permissions.sh.

‫OS Config API לא מופעל

דוגמה לשגיאה:

API [osconfig.googleapis.com] not enabled on project PROJECT_ID.
Would you like to enable and retry (this will take a few minutes)?
(y/N)?

אפשר להזין y כדי להפעיל את ה-API, או להריץ את הסקריפט set-permissions.sh שמתואר במאמר יצירת מדיניות של סוכן כדי להעניק את כל ההרשאות הנדרשות. אם מזינים y בהנחיה בהודעת השגיאה, עדיין צריך להריץ את הסקריפט set-permissions.sh כדי להגדיר את ההרשאות הנדרשות.

כדי לוודא ש-OS Config API מופעל בפרויקט, מריצים את הפקודות הבאות:

gcloud services list --project PROJECT_ID | grep osconfig.googleapis.com

הפלט הצפוי:

osconfig.googleapis.com    Cloud OS Config API

המדיניות כבר קיימת

דוגמה לשגיאה:

ALREADY_EXISTS: Requested entity already exists

השגיאה הזו מציינת שהמדיניות הזו כבר קיימת עם אותו שם, מזהה פרויקט ואזור. אפשר להשתמש בפקודה gcloud beta compute instances ops-agents policies describe כדי לאשר את זה.

המדיניות לא קיימת

דוגמה לשגיאה:

NOT_FOUND: Requested entity was not found

יכול להיות שהשגיאה הזו מציינת שהמדיניות מעולם לא נוצרה, שהמדיניות נמחקה או שמזהה המדיניות שצוין שגוי. חשוב לוודא שהתווית POLICY_ID שבה נעשה שימוש בפקודה gcloud beta compute instances ops-agents policies describe, update או delete תואמת למדיניות קיימת. כדי לראות את רשימת כללי המדיניות של הסוכן, משתמשים בפקודה gcloud beta compute instances ops-agents policies list.

המדיניות נוצרת, אבל נראה שאין לה השפעה

סוכני OS Config נפרסים בכל מכונה וירטואלית ב-Compute Engine כדי לנהל את החבילות של סוכני Logging ו-Monitoring. יכול להיות שלמדיניות לא תהיה השפעה אם סוכן ההגדרה של מערכת ההפעלה הבסיסית לא מותקן.

gcloud compute ssh instance-id \
    --project project-id \
    -- sudo systemctl status google-osconfig-agent

    google-osconfig-agent.service - Google OSConfig Agent
    Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
    Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
    Main PID: 369 (google_osconfig)
     Tasks: 8 (limit: 4374)
    Memory: 102.7M
    CGroup: /system.slice/google-osconfig-agent.service
            └─369 /usr/bin/google_osconfig_agent

    Status   Name               DisplayName
    ------   ----               -----------
    Running  google_osconfig_a… Google OSConfig Agent

אם סוכן OS Config לא מותקן, יכול להיות שאתם משתמשים במערכת הפעלה שלא תומכת ב-VM Manager. במסמך פרטים על מערכת ההפעלה של Compute Engine מצוין באילו תכונות של VM Manager יש תמיכה בכל מערכת הפעלה של Compute Engine.

אם מערכת ההפעלה תומכת ב-VM Manager, אפשר להתקין את הסוכן של OS Config באופן ידני.

הסוכן OS Config מותקן, אבל הוא לא מתקין את סוכן Monitoring

כדי לבדוק אם יש שגיאות כשסוכן OS Config מחיל מדיניות, אפשר לבדוק את היומן של סוכן OS Config. אפשר לעשות את זה באמצעות Logs Explorer או באמצעות SSH או RDP כדי לבדוק מקרים ספציפיים של Compute Engine.

כדי לראות את היומנים של הסוכן OS Config ב-Logs Explorer, משתמשים במסנן הבא:

resource.type="gce_instance"
logId(OSConfigAgent)

כדי לראות את היומנים של הסוכן OS Config:

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/messages \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/syslog \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

אם יש שגיאה בחיבור לשירות OS Config, צריך להריץ את הסקריפט set-permissions.sh כמו שמתואר במאמר יצירת מדיניות של סוכן כדי להגדיר את המטא-נתונים של OS Config.

כדי לוודא שהמטא-נתונים של OS Config מופעלים, אפשר להריץ את הפקודה הבאה:

gcloud compute project-info describe \
    --project PROJECT_ID \
    | grep "enable-osconfig\|enable-guest-attributes" -A 1

הפלט הצפוי:

- key: enable-guest-attributes
  value: 'TRUE'
- key: enable-osconfig
  value: 'TRUE'

סוכני Observability מותקנים, אבל לא פועלים כמו שצריך

מידע על ניפוי באגים של סוכנים ספציפיים זמין במאמרים הבאים:

• פתרון בעיות שקשורות לסוכן התפעול
• פתרון בעיות בסוכן Logging מדור קודם
• פתרון בעיות בנציג המעקב בגרסה הקודמת

הפעלת יומנים ברמת ניפוי הבאגים עבור הסוכן של OS Config

יכול להיות שיהיה שימושי להפעיל רישום ביומן ברמת ניפוי הבאגים בסוכן OS Config כשמדווחים על בעיה.

אפשר להגדיר את המטא-נתונים osconfig-log-level: debug כדי להפעיל רישום ביומן ברמת ניפוי הבאגים עבור הסוכן OS Config. ביומנים שנאספו יש מידע נוסף שיכול לעזור בבדיקה.

כדי להפעיל רישום ביומן ברמת ניפוי הבאגים לכל הפרויקט, מריצים את הפקודה הבאה:

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

כדי להפעיל רישום ביומן ברמת ניפוי הבאגים למכונה וירטואלית אחת, מריצים את הפקודה הבאה:

gcloud compute instances add-metadata INSTANCE_ID \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

סקריפטים לעזרה

בקטע הזה מופיע מידע נוסף על סקריפטים של עזרה שמתוארים במסמך הזה:

• set-permissions.sh הסקריפט
• diagnose.sh הסקריפט

הסקריפט set-permissions.sh

אחרי שמורידים את הסקריפט set-permissions.sh, אפשר להשתמש בו כדי לבצע את הפעולות הבאות, על סמך הארגומנטים שמספקים:

• מפעילים בפרויקט את Cloud Logging API, את Cloud Monitoring API ואת OS Config API.

• מקצים את התפקידים Logs Writer (כתיבת יומנים) (roles/logging.logWriter) ו-Monitoring Metric Writer (כתיבת מדדים ב-Monitoring) (roles/monitoring.metricWriter) בניהול הזהויות והרשאות הגישה (IAM) לחשבון השירות שמוגדר כברירת מחדל ב-Compute Engine, כדי שהסוכנים יוכלו לכתוב יומנים ומדדים ב-Logging וב-Cloud Monitoring APIs.

• מפעילים את המטא-נתונים של OS Config בפרויקט כדי שהסוכן OS Config בכל מכונה וירטואלית יהיה פעיל.

• צריך להקצות למשתמשים או לחשבונות השירות שאינם בעלים את אחד מתפקידי ה-IAM הבאים שנדרשים ליצירה ולניהול של כללי מדיניות. לבעלי פרויקטים יש גישה מלאה ליצירה ולניהול של מדיניות. לכל שאר המשתמשים או חשבונות השירות צריך להקצות אחד מהתפקידים הבאים:

  • אדמין של מדיניות לאורחים (roles/osconfig.guestPolicyAdmin): מאפשר גישה מלאה למדיניות לאורחים.
  • GuestPolicy Editor (roles/osconfig.guestPolicyEditor): מאפשר למשתמשים לקבל, לעדכן ולרשום מדיניות לאורחים.
  • צפייה ב-GuestPolicy ‏ (roles/osconfig.guestPolicyViewer): מאפשרת גישה לקריאה בלבד כדי לקבל ולרשום מדיניות של אורחים.

  כשמריצים את הסקריפט, צריך לציין רק את החלק guestPolicy* של שם התפקיד. הסקריפט מספק את החלק roles/osconfig. בשם.

בדוגמאות הבאות מוצגות כמה הפעלות נפוצות של הסקריפט. מידע נוסף זמין בתגובות בתסריט עצמו.

כדי להפעיל את ממשקי ה-API, צריך להקצות את התפקידים הנדרשים לחשבון השירות שמוגדר כברירת מחדל, ולהפעיל את המטא-נתונים של OS Config בפרויקט. כדי לעשות זאת, מריצים את הסקריפט באופן הבא:

bash set-permissions.sh --project=PROJECT_ID

כדי להעניק בנוסף אחד מהתפקידים של OS Config למשתמש שאין לו את התפקיד Owner (roles/owner) בפרויקט, מריצים את הסקריפט באופן הבא:

bash set-permissions.sh --project=PROJECT_ID \
  --iam-user=USER_EMAIL \
  --iam-permission-role=guestPolicy[Admin|Editor|Viewer]

כדי להקצות בנוסף אחד מתפקידי OS Config לחשבון שירות שאינו ברירת המחדל, מריצים את הסקריפט באופן הבא:

bash set-permissions.sh --project=PROJECT_ID \
  --iam-service-account=SERVICE_ACCT_EMAIL \
  --iam-permission-role=guestPolicy[Admin|Editor|Viewer]

הסקריפט diagnose.sh

בהינתן מזהה פרויקט, מזהה מכונת Compute Engine ומזהה מדיניות הסוכן, סקריפט diagnose.sh אוסף באופן אוטומטי את המידע הנדרש כדי לאבחן בעיות במדיניות:

• הגרסה של סוכן OS Config
• מדיניות האורח הבסיסית של OS Config
• המדיניות שחלה על מכונת Compute Engine הזו
• מאגרי חבילות של סוכנים שנמשכים למכונה הזו ב-Compute Engine

כדי להפעיל את הסקריפט, מריצים את הפקודה הבאה:

bash diagnose.sh --project-id=PROJECT_ID \ 
  --gce-instance-id=INSTANCE_ID \
  --policy-id=POLICY_ID 

שילוב של Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform. מידע על אופן הפעולה של Terraform זמין במאמר שימוש ב-Terraform.

התמיכה ב-Terraform במדיניות של סוכנים מבוססת על פקודות Google Cloud CLI. כדי ליצור מדיניות של סוכן באמצעות Terraform, פועלים לפי ההוראות של מודול Terraform agent-policy. אפשר למצוא דוגמאות למדיניות גם בספרייה examples.