Menggunakan kebijakan agen (GA)

Anda dapat membuat dan mengelola kebijakan agen menggunakan grup perintah gcloud compute instances ops-agents policies di Google Cloud CLI atau ops-agent-policy modul Terraform. Kebijakan agen menggunakan serangkaian alat VM Manager di Compute Engine untuk mengelola kebijakan OS, yang dapat mengotomatiskan deployment dan pemeliharaan konfigurasi software seperti Ops Agent. Kebijakan ini tidak dapat diterapkan ke agen Monitoring lama atau agen Logging lama.

Sebelum memulai

Modul Terraform ops-agent-policy dibangun di atas perintah gcloud compute instances ops-agents policies dari Google Cloud SDK. Untuk mengetahui informasi tentang cara kerja Terraform, lihat artikel Menggunakan Terraform.

Sebelum menggunakan Google Cloud CLI atau modul Terraform untuk membuat kebijakan agen, selesaikan langkah-langkah berikut:

1. Jika Anda akan menggunakan perintah gcloud compute instances ops-agents policies dan jika Anda belum melakukannya, instal Google Cloud CLI.

2. Jika Anda akan menggunakan modul Terraform, lakukan hal berikut:

   1. Untuk mengetahui informasi tentang cara menginstal Terraform, lihat Menginstal dan mengonfigurasi Terraform. Cloud Shell sudah menginstal Terraform.

   2. Buat clone repositori terraform-google-cloud-operations, yang berisi modul ops-agent-policy:

      git clone https://github.com/terraform-google-modules/terraform-google-cloud-operations
      

3. Download dan jalankan skrip prepare-for-ops-agents-policies.sh untuk mengaktifkan API yang diperlukan dan menetapkan izin yang tepat untuk menggunakan Google Cloud CLI atau Terraform.

   Untuk mengetahui informasi tentang skrip, lihat Skrip prepare-for-ops-agents-policies.sh.

Meng-uninstal agen Monitoring dan agen Logging lama

Memastikan agen Konfigurasi OS telah diinstal

Anda mungkin perlu menginstal dan mengonfigurasi agen Konfigurasi OS secara manual di VM yang lebih lama dari Konfigurasi OS. Untuk mengetahui informasi tentang cara menginstal dan memverifikasi agen Konfigurasi OS secara manual, lihat checklist verifikasi VM Manager.

Menemukan nilai untuk informasi sistem operasi

Jika ingin menerapkan kebijakan agen ke sistem operasi atau versi tertentu, Anda harus mengetahui nilai yang digunakan OS Config untuk merujuknya.

Untuk menemukan nilai untuk kolom osShortName dan osVersion untuk VM, gunakan perintah berikut:

gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^ShortName: "

gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^Version: "

Perintah ini mengharuskan agen Konfigurasi OS diinstal di VM.

Membuat kebijakan agen untuk mengelola Agen Operasional

gcloud compute instances ops-agents policies create POLICY_ID \
  --zone ZONE \
  --file path/to/policy-description-file.yaml \
  --project PROJECT_ID

agentsRule:
  packageState: installed|removed
  version: latest|2.*.*|2.x.y

Memverifikasi status kebijakan agen

Bagian ini menjelaskan cara memeriksa status kebijakan yang dibuat dan penginstalan Agen Operasi. Informasi ini juga dapat membantu memecahkan masalah kebijakan agen Anda.

Halaman kebijakan OS Compute Engine

Halaman Kebijakan OS Compute Engine memberikan informasi tentang kebijakan agen yang mengelola Agen Operasional dan tentang VM di tab Instance VM. Contoh:

• Kolom Status menunjukkan apakah kebijakan berhasil diinstal ("Sesuai"), sedang berlangsung ("Tertunda"), mungkin gagal ("Tidak diketahui"), atau tidak ada ("Tidak ada kebijakan").
• Kolom VM yang dipantau menunjukkan apakah Agen Operasional dikelola oleh Konfigurasi OS ("Dipantau") atau tidak ("Tidak dipantau").

  Jika kebijakan "Sesuai" tetapi VM menampilkan "Tidak dipantau", maka mungkin ada masalah saat menginstal Agen Operasional. Misalnya, Anda mungkin telah menginstal agen lama.

Di konsol Google Cloud , buka halaman Kebijakan OS:

Buka kebijakan OS

Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah Compute Engine.

Instance VM di tab kebijakan OS Compute Engine menampilkan informasi tentang agen yang dikelola oleh semua kebijakan OS diGoogle Cloud project Anda. Kebijakan ini diberi label goog-ops-agent-policy.

• Indikator goog-ops-agent-policy mencakup beberapa jenis kebijakan:
  • Kebijakan yang dibuat menggunakan perintah gcloud compute instances ops-agents policies.
  • Kebijakan yang dibuat untuk Anda jika Anda meminta penginstalan Agen Operasional saat Anda membuat VM.
  • Kebijakan yang dibuat menggunakan Terraform untuk mengelola Agen Operasi.

  Untuk membedakan kebijakan, gunakan tab Penetapan kebijakan OS di halaman untuk melihat ID kebijakan untuk semua penetapan kebijakan di Google Cloud project Anda.

• Kolom VM yang dipantau ini tidak mencerminkan penginstalan Ops Agent dengan cara lain, seperti penginstalan manual atau dengan kebijakan agen beta.

Halaman VM Instances Cloud Monitoring

Halaman VM Instances di Cloud Monitoring menyertakan kolom Agent yang mencantumkan agen yang diinstal di setiap VM, dan untuk Agen Operasional, menyertakan indikator untuk agen yang diinstal yang lebih lama dari versi terbaru.

Di Google Cloud konsol, buka halaman dasbor VM Instances:

Buka dasbor Instance VM

Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah Monitoring.

Contoh konfigurasi kebijakan

Bagian ini menjelaskan contoh penyiapan kebijakan agen saat menggunakan Google Cloud SDK atau Terraform.

gcloud compute instances ops-agents policies create POLICY_ID \
  --zone us-central1-a \
  --file agent-policy-description.yaml \
  --project PROJECT_ID

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  all: True

agentsRule:
  packageState: removed
  version: latest
instanceFilter:
  all: True

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  inclusionLabels:
  - labels:
      env: prod
  - labels:
      app: web

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  exclusionLabels:
  - labels:
      env: prod
      app: web6
  inventories:
  - osShortName: debian
    osVersion: '11'

agentsRule:
  packageState: installed
  version: 2.*.*
instanceFilter:
  inventories:
  - osShortName: rhel
    osVersion: '7.*'
  - osShortName: debian
    osVersion: '11'

Memecahkan masalah kebijakan agen GA

Bagian ini memberikan informasi untuk membantu Anda menyelesaikan masalah terkait kebijakan agen GA untuk Agen Operasi. Informasi yang dijelaskan dalam Memverifikasi status kebijakan agen juga mungkin bermanfaat.

Perintah ops-agents policy gagal

Jika perintah gcloud compute instances ops-agents policies gagal, respons akan menampilkan error validasi. Perbaiki error dengan memperbaiki argumen dan flag perintah seperti yang disarankan oleh pesan error.

Selain error validasi, Anda mungkin melihat error yang menunjukkan kondisi berikut:

• Izin IAM tidak memadai
• OS Config API tidak diaktifkan
• Kebijakan yang ditentukan tidak ada

Bagian berikut menjelaskan kondisi ini secara lebih mendetail.

Izin IAM tidak memadai

Jika perintah gcloud compute instances ops-agents policies gagal dengan error izin, pastikan Anda telah menjalankan skrip prepare-for-ops-agents-policies.sh seperti yang dijelaskan dalam Sebelum memulai untuk menyiapkan peran kebijakan OS Config:

• Admin OSPolicyAssignment (roles/osconfig.osPolicyAssignmentAdmin): Memberikan akses penuh ke penetapan kebijakan OS.

• Editor OSPolicyAssignment (roles/osconfig.osPolicyAssignmentEditor): Mengizinkan pengguna mendapatkan, mengupdate, dan mencantumkan penetapan kebijakan OS.

• OSPolicyAssignment Viewer (roles/osconfig.osPolicyAssignmentViewer): Memberikan akses hanya baca untuk mendapatkan dan mencantumkan penetapan kebijakan OS.

Untuk mengetahui informasi selengkapnya tentang skrip prepare-for-ops-agents-policies.sh, lihat Skrip prepare-for-ops-agents-policies.sh.

OS Config API tidak diaktifkan

Contoh error terlihat seperti berikut:

API [osconfig.googleapis.com] not enabled on project PROJECT_ID.
Would you like to enable and retry (this will take a few minutes)?
(y/N)?

Anda dapat memasukkan y untuk mengaktifkan API, atau Anda dapat menjalankan skrip prepare-for-ops-agents-policies.sh yang dijelaskan di Sebelum memulai, untuk memberikan semua izin yang diperlukan. Jika Anda memasukkan y pada prompt di pesan error, Anda tetap perlu menjalankan skrip prepare-for-ops-agents-policies.sh untuk menyetel izin yang diperlukan.

Untuk memverifikasi bahwa OS Config API diaktifkan untuk project, jalankan perintah berikut:

gcloud services list --project PROJECT_ID | grep osconfig.googleapis.com

Berikut adalah output yang diharapkan:

osconfig.googleapis.com    Cloud OS Config API

Kebijakan sudah ada

Contoh error terlihat seperti berikut:

ALREADY_EXISTS: Requested entity already exists

Error ini berarti kebijakan ini sudah ada dengan nama, project ID, dan region yang sama. Anda dapat menggunakan perintah gcloud compute instances ops-agents policies describe untuk mengonfirmasi hal ini.

Kebijakan tidak ada

Contoh error terlihat seperti berikut:

NOT_FOUND: Requested entity was not found

Error ini mungkin berarti bahwa kebijakan tidak pernah dibuat, kebijakan telah dihapus, atau ID kebijakan yang ditentukan salah. Pastikan POLICY_ID yang digunakan dalam perintah gcloud compute instances ops-agents policies describe, update, atau delete sesuai dengan kebijakan yang ada. Untuk mendapatkan daftar kebijakan agen, gunakan perintah gcloud compute instances ops-agents policies list.

Kebijakan dibuat, tetapi tampaknya tidak berpengaruh

Agen OS Config di-deploy ke setiap instance Compute Engine untuk mengelola paket bagi agen Logging dan Pemantauan. Kebijakan mungkin tampak tidak berpengaruh jika agen Konfigurasi OS yang mendasarinya tidak diinstal.

gcloud compute ssh instance-id \
    --project project-id \
    -- sudo systemctl status google-osconfig-agent

    google-osconfig-agent.service - Google OSConfig Agent
    Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
    Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
    Main PID: 369 (google_osconfig)
     Tasks: 8 (limit: 4374)
    Memory: 102.7M
    CGroup: /system.slice/google-osconfig-agent.service
            └─369 /usr/bin/google_osconfig_agent

    Status   Name               DisplayName
    ------   ----               -----------
    Running  google_osconfig_a… Google OSConfig Agent

Jika agen OS Config tidak diinstal, Anda mungkin menggunakan sistem operasi yang tidak mendukung VM Manager. Dokumen Detail sistem operasi Compute Engine menunjukkan fitur VM Manager yang didukung untuk setiap sistem operasi Compute Engine.

Jika sistem operasi mendukung VM Manager, Anda dapat menginstal agen Konfigurasi OS secara manual.

Agen Konfigurasi OS diinstal, tetapi tidak menginstal Agen Operasional

Untuk memverifikasi apakah ada error saat agen OS Config menerapkan kebijakan, Anda dapat memeriksa log agen OS Config. Hal ini dapat dilakukan dengan menggunakan Logs Explorer atau menggunakan SSH atau RDP untuk memeriksa setiap instance Compute Engine.

Untuk melihat log agen OS Config di Logs Explorer, gunakan filter berikut:

resource.type="gce_instance"
logId(OSConfigAgent)

Untuk melihat log agen OS Config, lakukan hal berikut:

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/messages \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/syslog \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

Jika terjadi error saat menghubungkan ke layanan OS Config, pastikan Anda menjalankan skrip prepare-for-ops-agents-policies.sh seperti yang dijelaskan dalam Sebelum memulai untuk menyiapkan metadata OS Config.

Untuk memverifikasi bahwa metadata OS Config diaktifkan, Anda dapat menjalankan perintah berikut:

gcloud compute project-info describe \
    --project PROJECT_ID \
    | grep "enable-osconfig\|enable-guest-attributes" -A 1

Berikut adalah output yang diharapkan:

- key: enable-guest-attributes
  value: 'TRUE'
- key: enable-osconfig
  value: 'TRUE'

Agen Operasional diinstal, tetapi tidak berfungsi dengan baik

Untuk mengetahui informasi selengkapnya tentang cara men-debug masalah Agen Operasional, lihat artikel Memecahkan masalah Agen Operasional.

Mengaktifkan log tingkat debug untuk agen Konfigurasi OS

Logging tingkat debug di agen Konfigurasi OS dapat berguna saat melaporkan masalah.

Anda dapat menetapkan metadata osconfig-log-level: debug untuk mengaktifkan logging tingkat debug bagi agen Konfigurasi OS. Log yang dikumpulkan memiliki informasi lebih lanjut untuk membantu penyelidikan.

Untuk mengaktifkan logging tingkat debug untuk seluruh project, jalankan perintah berikut:

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

Untuk mengaktifkan logging tingkat debug untuk satu VM, jalankan perintah berikut:

gcloud compute instances add-metadata INSTANCE_ID \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

Skrip helper

Bagian ini memberikan informasi tambahan tentang skrip helper yang dijelaskan dalam dokumen ini:

• Skrip prepare-for-ops-agents-policies.sh
• Skrip diagnose_policies.sh

Skrip prepare-for-ops-agents-policies.sh

Setelah mendownload skrip prepare-for-ops-agents-policies.sh, Anda dapat menggunakan skrip untuk melakukan tindakan berikut, berdasarkan argumen yang Anda berikan:

• Aktifkan Cloud Logging API, Cloud Monitoring API, dan OS Config API untuk project.

  Jika OS Config API belum diaktifkan, API ini akan diaktifkan dalam mode fitur terbatas, yang cukup untuk mengelola kebijakan agen. Untuk mengetahui informasi selengkapnya, lihat Harga.

• Berikan peran Identity and Access Management Logs Writer (roles/logging.logWriter) dan Monitoring Metric Writer (roles/monitoring.metricWriter) ke akun layanan default Compute Engine agar agen dapat menulis log dan metrik ke Logging dan Cloud Monitoring API.

• Aktifkan metadata OS Config untuk project agar agen OS Config di setiap VM aktif.

• Berikan salah satu peran IAM berikut kepada pengguna non-pemilik atau akun layanan yang diperlukan untuk membuat dan mengelola kebijakan. Pemilik project memiliki akses penuh untuk membuat dan mengelola kebijakan; semua pengguna atau akun layanan lainnya harus diberi salah satu peran berikut:

  • Admin OSPolicyAssignment (roles/osconfig.osPolicyAssignmentAdmin): Memberikan akses penuh ke penetapan kebijakan OS.
  • Editor OSPolicyAssignment (roles/osconfig.osPolicyAssignmentEditor): Mengizinkan pengguna mendapatkan, mengupdate, dan mencantumkan penetapan kebijakan OS.
  • OSPolicyAssignment Viewer (roles/osconfig.osPolicyAssignmentViewer): Memberikan akses hanya baca untuk mendapatkan dan mencantumkan penetapan kebijakan OS.

  Saat menjalankan skrip, Anda dapat menentukan peran OSPolicyAssignment sebagai admin, editor, atau viewer. Skrip memetakan nilai tersebut ke nama peran roles/osconfig.osPolicyAssignment*.

Contoh berikut menunjukkan beberapa pemanggilan umum untuk skrip. Untuk mengetahui informasi selengkapnya, lihat komentar dalam skrip itu sendiri.

Untuk mengaktifkan API, berikan peran yang diperlukan ke akun layanan default, dan aktifkan metadata Konfigurasi OS untuk project, jalankan skrip sebagai berikut:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID

Untuk memberikan salah satu peran Konfigurasi OS kepada pengguna yang tidak memiliki peran Pemilik (roles/owner) di project, jalankan skrip sebagai berikut:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \
  --iam-user=USER_EMAIL \
  --iam-policy-access=[admin|editor|viewer]

Untuk memberikan salah satu peran OS Config ke akun layanan non-default, jalankan skrip sebagai berikut:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \
  --iam-service-account=SERVICE_ACCT_EMAIL \
  --iam-policy-access=[admin|editor|viewer]

Skrip diagnose_policies.sh

Dengan ID project, ID instance Compute Engine, zona Compute Engine, dan ID kebijakan agen, skrip diagnose_policies.sh akan otomatis mengumpulkan informasi yang diperlukan untuk membantu mendiagnosis masalah kebijakan:

• Versi agen OS Config
• Penetapan kebijakan OS yang mendasarinya
• Penetapan kebijakan OS yang berlaku untuk instance Compute Engine ini
• Deskripsi instance Compute Engine ini

Untuk memanggil skrip, jalankan perintah berikut:

bash diagnose_policies.sh --project-id=PROJECT_ID \ 
  --gce-instance-id=INSTANCE_ID \
  --policy-id=POLICY_ID \
  --zone=ZONE

Harga

Perintah gcloud compute instances ops-agents policies diimplementasikan menggunakan resource penetapan kebijakan OS dari VM Manager. Skrip prepare-for-ops-agents-policies.sh, yang dijelaskan dalam Sebelum memulai, menyiapkan VM Manager dalam mode fitur terbatas (OSCONFIG_B), yang cukup untuk membuat dan mengelola kebijakan agen. Tidak ada biaya untuk menggunakan VM Manager dalam mode terbatas.

Jika Anda telah mengonfigurasi VM Manager dalam mode fitur lengkap (OSCONFIG_C), Anda mungkin dikenai biaya.