设置虚拟机管理器

在 Compute Engine 上，您可以使用虚拟机管理器来管理虚拟机上运行的操作系统。

您可以为单个虚拟机、项目或是文件夹或组织中的所有项目启用虚拟机管理器。如需查看设置虚拟机以使用虚拟机管理器所需的步骤，请参阅设置概览。

设置虚拟机管理器后，您可以查看通过 OS Config API 执行的 API 操作的审核日志，请参阅查看虚拟机管理器审核日志。

准备工作

• 查看项目的 OS Config 配额。
• 如果您尚未设置身份验证，请进行设置。身份验证是通过其进行身份验证以访问 Google Cloud 服务和 API 的过程。如需从本地开发环境运行代码或示例，您可以选择以下任一选项向 Compute Engine 进行身份验证：
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  如需在本地开发环境中使用本页面上的 REST API 示例，请使用您提供给 gcloud CLI 的凭据。

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  如需了解详情，请参阅 Google Cloud 身份验证文档中的使用 REST 时进行身份验证。

支持的操作系统

如需查看支持虚拟机管理器的操作系统版本的完整列表，请参阅操作系统详细信息。 如果 OS Config 代理不适用于特定操作系统，则无法为运行此操作系统的虚拟机启用虚拟机管理器。

使用组织政策启用虚拟机管理器

您可以使用“需要 OS Config”组织政策，为组织、文件夹或项目中的所有新虚拟机自动启用虚拟机管理器。

设置“需要 OS Config”布尔值限制条件时，将应用以下条件：

• enable-osconfig=TRUE 包括在所有新项目的项目元数据中。
• 对于新的和现有的虚拟机和项目，将实例或项目元数据中的 enable-osconfig 设置为 FALSE 的请求会被拒绝。
• 对于在启用此政策之前创建的虚拟机或项目，此组织政策不会将 enable-osconfig 元数据值更改为 TRUE。如果要对这些虚拟机或项目启用虚拟机管理器，我们建议您更新元数据。如需了解详情，请参阅设置元数据值。

启用 OS Config 组织政策

如需启用 OS Config 政策，您可以使用 Google Cloud 控制台或 Google Cloud CLI 对整个组织、文件夹或特定项目设置“需要 OS Config”限制条件。

gcloud beta resource-manager org-policies enable-enforce compute.requireOsConfig \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsConfig \
    --project=project-id

在项目中启用虚拟机管理器

如需在项目中启用虚拟机管理器，您有两种选择：

• 自动启用：应用于整个 Google Cloud 项目。您可以通过 Google Cloud 控制台完成自动启用。您可能还需要手动执行某些步骤。

• 手动启用：可以按虚拟机启用，也可以为整个 Google Cloud 项目启用。

启用 OS Config Service API

在您的 Google Cloud 项目中，启用 OS Config API。

gcloud services enable osconfig.googleapis.com

检查 OS Config 代理是否已安装

OS Config 代理默认安装在版本日期为 v20200114 或之后的 CentOS、Container-Optimized OS (COS)、Debian、Red Hat Enterprise Linux (RHEL)、Rocky Linux、SLES、Ubuntu 和 Windows Server 映像上。如需了解安装了 OS Config 代理的操作系统版本，请参阅操作系统详细信息。在您启用代理元数据并启用服务 API 之前，这些代理会以空闲方式运行。

sudo systemctl status google-osconfig-agent

google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
 Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
        └─369 /usr/bin/google_osconfig_agent

PowerShell Get-Service google_osconfig_agent

Status   Name               DisplayName
------   ----               -----------
Running  google_osconfig... Google OSConfig Agent

安装 OS Config 代理

在按照下列步骤安装代理之前，请先检查您的虚拟机上是否已运行代理。

在每个虚拟机上，安装 OS Config 代理。您可以使用下列其中一种方法安装 OS Config 代理：

• 使用终端手动安装代理。
• 在虚拟机上使用启动脚本。
• 使用 Google Cloud Observability 代理政策在多个虚拟机上自动安装 OS Config。

手动安装代理

可使用这种方法在现有虚拟机上安装 OS Config 代理。

如需安装代理，请完成以下步骤：

1. 连接到要在其上安装 OS Config 代理的虚拟机。

2. 安装 OS Config 代理。

   Windows Server

   如需在 Windows Server 上安装 OS Config 代理，请运行以下命令：

   googet -noconfirm install google-osconfig-agent
   

   Ubuntu

   如需在 Ubuntu 虚拟机上安装 OS Config 代理，请运行以下命令：

   1. 设置 Ubuntu 代码库。

      • 对于 Ubuntu 20.04 及更高版本，请运行以下命令：

        1. 添加 Ubuntu 代码库。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-focal-stable main' > \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 导入 Google Cloud 公钥。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

      • 对于 Ubuntu 18.04 及更高版本，请运行以下命令：

        1. 添加 Ubuntu 代码库。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-bionic-stable main' > \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 导入 Google Cloud 公钥。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

      • 对于 Ubuntu 16.04，请运行以下命令：

        1. 添加 Ubuntu 代码库。

           sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-xenial-stable main'> \
           /etc/apt/sources.list.d/google-compute-engine.list"
           

        2. 导入 Google Cloud 公钥。

           curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
           sudo apt-key add -
           

   2. 安装 OS Config 代理。

      sudo apt update
      sudo apt -y install google-osconfig-agent
      

   Debian

   如需在 Debian 虚拟机上安装 OS Config 代理，请运行以下命令：

   sudo apt update
   sudo apt -y install google-osconfig-agent
   

   添加 Google Cloud 代码库和公钥

   如果您使用的虚拟机实例并非通过 Google 提供的映像创建，或收到“unable to locate package”的错误消息，请完成下列步骤以添加 Google Cloud 代码库并导入公钥。

   添加代码库并导入密钥之后，您就可以运行相应的命令来安装 OS Config 代理。

   • 对于 Debian 9 (Stretch)，请运行以下命令：

     1. 添加 Debian 代码库。

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-stretch-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
        

     2. 导入 Google Cloud 公钥。

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -
        

   • 对于 Debian 10 (Buster)，请运行以下命令：

     1. 添加 Debian 代码库。

        sudo su -c "echo 'deb http://packages.cloud.google.com/apt \
        google-compute-engine-buster-stable main'> /etc/apt/sources.list.d/google-compute-engine.list"
        

     2. 导入 Google Cloud 公钥。

        curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \
        sudo apt-key add -
        

   RHEL/CentOS/Rocky

   如需在 RHEL 7/8、CentOS 7/8 虚拟机或 Rocky Linux 8/9 上安装 OS Config 代理，请运行以下命令：

   sudo yum -y install google-osconfig-agent
   

   SLES/openSUSE

   如需在 SLES 或 OpenSUSE 虚拟机上安装 OS Config 代理，请运行以下命令：

   1. 设置 SLES 代码库。

      • 对于 SLES 12，请运行以下命令：

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles12-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=0
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        

      • 对于 SLES 15 和 OpenSUSE 15，请运行以下命令：

        sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM
        [google-compute-engine]
        name=Google Compute Engine
        baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles15-stable
        enabled=1
        gpgcheck=1
        repo_gpgcheck=0
        gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg
          https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
        EOM"
        
        

   2. 导入适用于 Google Cloud 的 GPG 密钥。

      sudo rpm --import https://packages.cloud.google.com/yum/doc/yum-key.gpg \
      --import https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
      

   3. 安装 OS Config 代理。

      sudo zypper -n --gpg-auto-import-keys install --from google-compute-engine google-osconfig-agent
      

使用启动脚本安装代理

您还可以使用手动安装命令创建启动脚本，并在创建虚拟机的过程中安装 OS Config 代理。

1. 复制适用于您的操作系统的手动命令。

2. 为虚拟机创建方法提供启动脚本。

   例如，如果您使用 gcloud compute instances create 命令创建 Debian 10 虚拟机，则您的命令类似于以下内容：

   gcloud compute instances create VM_NAME \
      --image-family=debian-10 --image-project=debian-cloud \
      --metadata startup-script='#! /bin/bash
      apt update
      apt -y install google-osconfig-agent'

   将 VM_NAME 替换为虚拟机名称。

3. 验证启动脚本是否完成运行。如需验证启动脚本是否完成运行，您可以查看日志或查看串行控制台。

设置元数据值

您可以设置每个虚拟机上的实例元数据或适用于项目中所有虚拟机的项目元数据。

在您的 Google Cloud 项目或虚拟机上，将 enable-osconfig 元数据值设置为 TRUE。将 enable-osconfig 元数据值设置为 TRUE 可启用以下功能：

• 补丁
• 操作系统政策
• OS Inventory Management
  • 对于早期版本的 OS Inventory Management，您还必须将 enable-guest-attributes 元数据值设置为 TRUE。 如果这两个元数据值均未设置，则信息中心会显示虚拟机的 no data。较高版本则不需要这样做。如需了解这两个 OS Inventory Management 版本，请参阅 OS Inventory Management 版本。

配置 HTTP 代理

如果您为虚拟机使用 HTTP 代理，请运行以下命令以设置 http_proxy 和 https_proxy 环境变量。您还应通过配置 no_proxy 环境变量来排除元数据服务器 (169.254.169.254)，使得 OS Config 代理可以访问本地元数据服务器。

mkdir -p /etc/systemd/system/google-osconfig-agent.service.d
cat >/etc/systemd/system/google-osconfig-agent.service.d/override.conf <<EOF
[Service]
Environment="http_proxy=http://PROXY_IP:PROXY_PORT" \
  "https_proxy=http://PROXY_IP:PROXY_PORT" \
  "no_proxy=169.254.169.254,metadata,metadata.google.internal"
EOF

systemctl daemon-reload
systemctl restart google-osconfig-agent

tr '\0' '\n' < /proc/$(systemctl show -p MainPID --value google-osconfig-agent)/environ

  setx http_proxy http://PROXY_IP:PROXY_PORT /m
  setx https_proxy http://PROXY_IP:PROXY_PORT /m
  setx no_proxy 169.254.169.254,metadata,metadata.google.internal /m

Google 建议您通过添加 no_proxy 环境变量来排除 *.googleapis.com，以避免 OS Config 代理发生连接问题。如果您只想将特定虚拟机连接到 OS Config 代理，请为虚拟机所在的可用区添加前缀，并使用格式 [zone-name]-osconfig.googleapis.com。例如 us-central1-f-osconfig.googleapis.com。

停用不需要的功能

对于您可能不需要的功能，可以通过设置以下元数据值来将其停用：osconfig-disabled-features=FEATURE1,FEATURE2。

将 FEATURE1,FEATURE2 替换为以下任意值：

• OS Inventory Management：osinventory
• 补丁和操作系统政策：tasks
• 操作系统客机政策（Beta 版）：guestpolicies

使用以下方法之一停用元数据值。

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=tasks

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=osinventory,guestpolicies

活跃 OS Config 代理的要求

要想使 OS Config 代理被视为活跃并且可计费，它必须满足以下所有要求：

• 必须设置虚拟机管理器。

• 虚拟机必须处于 RUNNING 状态，并且 OS Config 代理必须正在与 OS Config 服务通信。

  如果虚拟机停止、暂停或断开与网络的连接，则该虚拟机上的代理不会被视为活跃代理。

验证设置

完成设置过程后，您可以验证设置。

查看项目的虚拟机管理器功能设置

如需验证项目中是否启用了所有虚拟机管理器功能，请执行以下操作：

gcloud compute os-config project-feature-settings describe \
    --project PROJECT_ID

name: projects/my-project/locations/global/projectFeatureSettings
patchAndConfigFeatureSet: OSCONFIG_C

   GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings
   

{
 "name": "projects/my-project/locations/global/projectFeatureSettings",
 "patchAndConfigFeatureSet": "OSCONFIG_C"
}

启用完整的虚拟机管理器功能

如果您的项目中未启用虚拟机管理器，并且您在创建虚拟机期间安装 Ops Agent，则会在受限模式下启用虚拟机管理器。在此模式下，虚拟机管理器会免费提供一部分功能，虚拟机数量不受限制。例如，您可以在操作系统政策页面上查看虚拟机的操作系统政策分配，但不能创建或修改操作系统政策分配。

如需为安装了 Ops Agent 的虚拟机启用所有虚拟机管理器功能，请执行以下操作：

gcloud compute os-config project-feature-settings update \
    --project PROJECT_ID \
    --patch-and-config-feature-set=full

   PATCH https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings
   {
     "name": "projects/PROJECT_ID/locations/global/projectFeatureSettings",
     "patchAndConfigFeatureSet": "OSCONFIG_C"
   }
   

停用 OS Config 代理

停用 OS Config 代理不会影响虚拟机的行为。您可以按照与停止操作系统的其他服务相同的方式停用代理。

sudo systemctl stop google-osconfig-agent
sudo systemctl disable google-osconfig-agent

PowerShell Stop-Service google_osconfig_agent [-StartupType disabled]

后续步骤

• 创建操作系统政策分配任务。
• 查看操作系统详情。
• 创建补丁程序作业。
• 详细了解虚拟机管理器。