設定 VM 管理員

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

在 Compute Engine 中，您可以使用VM 管理員管理在虛擬機器 (VM) 上執行的作業系統。

您可以為個別 VM、專案或資料夾或機構中的所有專案啟用 VM 管理員。如要查看設定 VM 以使用 VM 管理員所需的步驟，請參閱「設定總覽」。

設定 VM 管理員後，您可以查看使用 OS Config API 執行的 API 作業稽核記錄，請參閱「查看 VM 管理員稽核記錄」。

事前準備

• 查看專案的 OS Config 配額。
• 如果尚未設定，請先設定驗證機制。驗證是指驗證身分，以便存取 Google Cloud 服務和 API 的程序。如要在本機開發環境中執行程式碼或範例，您可以選取下列任一選項，向 Compute Engine 進行驗證：
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

  REST

  To use the REST API samples on this page in a local development environment, you use the credentials you provide to the gcloud CLI.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  For more information, see Authenticate for using REST in the Google Cloud authentication documentation.

支援的作業系統

如需支援 VM Manager 的作業系統版本完整清單，請參閱「作業系統詳細資料」。如果 OS 設定代理程式不適用於特定作業系統，您就無法為執行此作業系統的 VM 啟用 VM 管理員。

使用組織政策啟用 VM 管理員

您可以使用「需要 OS 設定」機構政策，為機構、資料夾或專案中的所有新 VM 自動啟用 VM 管理員。

設定「須完成 OS 設定」布林限制後，即適用於以下狀況：

• enable-osconfig=TRUE 已納入所有新專案的專案中繼資料。
• 在執行個體或專案中繼資料中，將 enable-osconfig 設為 FALSE 的要求遭到拒絕，不論是新舊 VM 和專案皆然。
• 這項機構政策不會將 VM 或啟用政策前建立的專案的 enable-osconfig 中繼資料值變更為 TRUE。如果您想在這些 VM 或專案中啟用 VM 管理員，建議您更新中繼資料。詳情請參閱「設定中繼資料值」。

啟用 OS 設定機構政策後，您仍可使用 osconfig-disabled-features 中繼資料停用一或多項 VM Manager 功能。

啟用 OS 設定機構政策

如要啟用 OS 設定政策，您可以使用 Google Cloud 控制台或 Google Cloud CLI，為整個機構、資料夾或特定專案設定「需要 OS 設定」限制。

gcloud beta resource-manager org-policies enable-enforce compute.requireOsConfig \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsConfig \
    --project=project-id

在專案中啟用 VM 管理員

如要在專案中啟用 VM 管理員，有兩種方法：

• 自動啟用：適用於整個 Google Cloud 專案。您可以透過 Google Cloud 控制台完成自動啟用程序。但您可能仍需要手動完成部分步驟。

• 手動啟用：可針對個別 VM 或整個 Google Cloud 專案啟用。

啟用 OS Config 服務 API

在 Google Cloud 專案中啟用 OS Config API。

gcloud services enable osconfig.googleapis.com

檢查是否已安裝 OS 設定代理程式

根據預設，OS Config 代理程式會安裝在 CentOS、Container-Optimized OS (COS)、Debian、Red Hat Enterprise Linux (RHEL)、Rocky Linux、SLES、Ubuntu 和 Windows Server 映像檔 (建構日期為 v20200114 或更新版本) 上。如要瞭解已安裝 OS Config 代理程式的作業系統版本，請參閱「作業系統詳細資料」。這些代理程式會閒置執行，直到您啟用代理程式中繼資料並啟用服務 API。

sudo systemctl status google-osconfig-agent

google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
 Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
        └─369 /usr/bin/google_osconfig_agent

PowerShell Get-Service google_osconfig_agent

Status   Name               DisplayName
------   ----               -----------
Running  google_osconfig... Google OSConfig Agent

安裝 OS 設定代理程式

在按照這些步驟安裝代理程式之前，請先檢查代理程式是否已在 VM 上執行。

請在每個 VM 上安裝 OS 設定代理程式。您可以使用下列其中一個選項來安裝 OS Config 代理程式：

• 使用終端機手動安裝代理程式。
• 在 VM 上使用開機指令碼。
• 使用 Google Cloud 可觀測性代理程式政策，在多個 VM 上自動安裝 OS Config。

手動安裝代理程式

請使用這個選項，在現有的 VM 上安裝 OS 設定代理程式。

如要安裝代理程式，請完成下列步驟：

1. 連線至您要安裝 OS 設定代理程式的 VM。

2. 安裝 OS Config 代理程式。

   Windows Server

   如要在 Windows 伺服器中安裝 OS Config 代理程式，請執行下列指令：

   googet -noconfirm install google-osconfig-agent
   

   Ubuntu

   如要在 Ubuntu VM 上安裝 OS 設定代理程式，請執行下列指令：

   1. 設定 Ubuntu 存放區。

      • 如為 Ubuntu 20.04 以上版本，請執行下列指令：

        1. 新增 Ubuntu 存放區。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-focal-stable main' > \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 匯入 Google Cloud 公開金鑰。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

      • 如為 Ubuntu 18.04 以上版本，請執行下列指令：

        1. 新增 Ubuntu 存放區。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-bionic-stable main' > \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 匯入 Google Cloud 公開金鑰。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

      • 如為 Ubuntu 16.04，請執行下列指令：

        1. 新增 Ubuntu 存放區。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-xenial-stable main'> \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 匯入 Google Cloud 公開金鑰。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

   2. 安裝 OS Config 代理程式。

      sudo apt update
      sudo apt -y install google-osconfig-agent
      

   Debian

   如要在 Debian VM 上安裝 OS Config 代理程式，請執行下列指令：

   sudo apt update
   sudo apt -y install google-osconfig-agent
   

   新增 Google Cloud 存放區和公開金鑰

   如果您使用的 VM 執行個體並非使用 Google 提供的映像檔建立，或是收到「無法找到套件」錯誤訊息，請完成下列步驟來新增 Google Cloud存放區並匯入公開金鑰。

   新增存放區並匯入金鑰後，您就可以執行指令來安裝 OS Config 代理程式。

   • 如為 Debian 9 (Stretch)，請執行下列指令：

     1. 新增 Debian 存放區。

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-stretch-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
        

     2. 匯入 Google Cloud 公開金鑰。

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -
        

   • 如果是 Debian 10 (Buster)，請執行下列指令：

     1. 新增 Debian 存放區。

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-buster-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
        

     2. 匯入 Google Cloud 公開金鑰。

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -
        

   RHEL/CentOS/Rocky

   如要在 RHEL 7/8、CentOS 7/8 VM 或 Rocky Linux 8/9 上安裝 OS Config 代理程式，請執行下列指令：

   sudo yum -y install google-osconfig-agent
   

   SLES/openSUSE

   如要在 SLES 或 openSUSE VM 上安裝 OS 設定代理程式，請執行下列指令：

   1. 設定 SLES 存放區。

      • 如為 SLES 12，請執行下列指令：

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles12-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=0
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        

      • 如為 SLES 15 和 OpenSUSE 15，請執行下列指令：

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles15-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=0
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        
        

   2. 匯入 Google Cloud的 GPG 金鑰。

      sudo rpm --import https://packages.cloud.google.com/yum/doc/yum-key.gpg \
      --import https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
      

   3. 安裝 OS Config 代理程式。

      sudo zypper -n --gpg-auto-import-keys install --from google-compute-engine google-osconfig-agent
      

使用開機指令碼安裝代理程式

您也可以利用手動安裝指令，建立會在 VM 建立期間安裝 OS 設定代理程式的開機指令碼。

1. 複製所用作業系統的手動指令。

2. 將開機指令碼提供給 VM 建立方法。

   舉例來說，如果您使用 gcloud compute instances create 指令建立 Debian 10 VM，指令應該會類似以下內容：

   gcloud compute instances create VM_NAME \
      --image-family=debian-10 --image-project=debian-cloud \
      --metadata startup-script='#! /bin/bash
      apt update
      apt -y install google-osconfig-agent'

   將 VM_NAME 替換為您的 VM 名稱。

3. 確認開機指令碼已執行完畢。如要確認開機指令碼是否已執行完畢，請查看記錄檔或序列主控台。

設定中繼資料值

您可以為每個 VM 設定執行個體中繼資料，也可以設定專案中繼資料，套用至專案中的所有 VM。

在 Google Cloud 專案或 VM 中，將 enable-osconfig 中繼資料值設為 TRUE。將 enable-osconfig 中繼資料值設為 TRUE 可啟用以下功能：

• 修補程式
• OS 政策
• OS 庫存管理服務
  • 對於舊版 OS 廣告空間管理，您也必須將 enable-guest-attributes 中繼資料值設為 TRUE。如果未設定這兩個中繼資料值，資訊主頁會顯示 VM 的 no data。但在較新版本中，您不需要這麼做。如要瞭解這兩種 OS 庫存管理版本，請參閱「OS 庫存管理版本」。

設定 HTTP Proxy

如果您為 VM 使用 HTTP Proxy，請執行下列指令，設定 http_proxy 和 https_proxy 環境變數。您也應設定 no_proxy 環境變數，藉此排除中繼資料伺服器 (169.254.169.254)，讓 OS 設定代理程式能夠存取本機中繼資料伺服器。

mkdir -p /etc/systemd/system/google-osconfig-agent.service.d
cat >/etc/systemd/system/google-osconfig-agent.service.d/override.conf <<EOF
[Service]
Environment="http_proxy=http://PROXY_IP:PROXY_PORT" \
  "https_proxy=http://PROXY_IP:PROXY_PORT" \
  "no_proxy=169.254.169.254,metadata,metadata.google.internal"
EOF

systemctl daemon-reload
systemctl restart google-osconfig-agent

tr '\0' '\n' < /proc/$(systemctl show -p MainPID --value google-osconfig-agent)/environ

  setx http_proxy http://PROXY_IP:PROXY_PORT /m
  setx https_proxy http://PROXY_IP:PROXY_PORT /m
  setx no_proxy 169.254.169.254,metadata,metadata.google.internal /m

Google 建議您新增 no_proxy 環境變數，藉此排除 *.googleapis.com，以免發生 OS 設定代理程式連線問題。如果您只想將特定 VM 連線至 OS Config 代理程式，請在 VM 所在的區域前面加上前置字串，並使用 [zone-name]-osconfig.googleapis.com 格式。例如：us-central1-f-osconfig.googleapis.com。

停用不需要的功能

如果您不需要某些功能，可以設定下列中繼資料值來停用：osconfig-disabled-features=FEATURE1,FEATURE2。

將 FEATURE1,FEATURE2 替換為下列任一值：

• OS 庫存管理服務：osinventory
• 修補程式和 OS 政策：tasks
• OS 客體政策 (Beta 版)：guestpolicies

請使用下列任一方法停用中繼資料值。

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=tasks

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=osinventory,guestpolicies

有效 OS 設定代理程式的需求

如要將 OS Config 代理程式視為處於啟用狀態並可計費，則必須滿足下列所有要求：

• 必須設定 VM 管理員。

• VM 必須處於 RUNNING 狀態，且 OS Config 代理程式必須與 OS Config 服務通訊。

  如果 VM 已停止、暫停或與網路中斷連線，該 VM 上的代理程式就不會計為有效代理程式。

驗證設定

完成設定程序後，您可以驗證設定。

查看專案的 VM 管理員功能設定

如要確認專案是否已啟用所有 VM 管理員功能，請按照下列步驟操作：

gcloud compute os-config project-feature-settings describe \
    --project PROJECT_ID

name: projects/my-project/locations/global/projectFeatureSettings
patchAndConfigFeatureSet: OSCONFIG_C

   GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings
   

{
 "name": "projects/my-project/locations/global/projectFeatureSettings",
 "patchAndConfigFeatureSet": "OSCONFIG_C"
}

啟用完整的 VM 管理員功能

如果專案中未啟用 VM 管理員，且您在建立 VM 時安裝作業套件代理程式，VM 管理員會以受限模式啟用。在這個模式中，VM 管理員會免費提供特定幾項功能，供不限數量的 VM 使用。舉例來說，您可以在 OS 政策頁面上查看虛擬機的 OS 政策指派，但無法建立或編輯 OS 政策指派。

如要為已安裝 Ops Agent 的 VM 啟用所有 VM 管理員功能，請按照下列步驟操作：

gcloud compute os-config project-feature-settings update \
    --project PROJECT_ID \
    --patch-and-config-feature-set=full

   PATCH https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings
   {
     "name": "projects/PROJECT_ID/locations/global/projectFeatureSettings",
     "patchAndConfigFeatureSet": "OSCONFIG_C"
   }
   

停用 OS 設定代理程式

停用 OS 設定代理程式不會影響 VM 的行為。您可以停用這個代理程式，方法與停止作業系統的其他服務相同。

sudo systemctl stop google-osconfig-agent
sudo systemctl disable google-osconfig-agent

PowerShell Stop-Service google_osconfig_agent [-StartupType disabled]

後續步驟

• 建立 OS 政策指派作業。
• 查看作業系統詳細資料。
• 建立修補工作。
• 進一步瞭解 VM 管理員。