Utilizzare i criteri dell'agente (versione GA)

Puoi creare e gestire i criteri dell'agente utilizzando il gruppo di comandi gcloud compute instances ops-agents policies in Google Cloud CLI o il modulo Terraform ops-agent-policy. I criteri dell'agente utilizzano la suite di strumenti VM Manager in Compute Engine per gestire i criteri del sistema operativo, che possono automatizzare il deployment e la manutenzione delle configurazioni software come Ops Agent. Questi criteri non possono essere applicati all'agente Monitoring o all'agente Logging legacy.

Prima di iniziare

Il modulo Terraform ops-agent-policy è basato sui comandi gcloud compute instances ops-agents policies dell'Google Cloud SDK. Per informazioni sul funzionamento di Terraform, consulta Utilizzare Terraform.

Prima di utilizzare Google Cloud CLI o il modulo Terraform per creare i criteri dell'agente, completa i seguenti passaggi:

1. Se intendi utilizzare i comandi gcloud compute instances ops-agents policies e se non l'hai ancora fatto, installa Google Cloud CLI.

2. Se intendi utilizzare il modulo Terraform, segui questi passaggi:

   1. Per informazioni sull'installazione di Terraform, consulta Installare e configurare Terraform. Terraform è già installato in Cloud Shell.

   2. Clona il repository terraform-google-cloud-operations, che contiene il modulo ops-agent-policy:

      git clone https://github.com/terraform-google-modules/terraform-google-cloud-operations
      

3. Scarica ed esegui lo script prepare-for-ops-agents-policies.sh per attivare le API richieste e impostare le autorizzazioni appropriate per l'utilizzo di Google Cloud CLI o Terraform.

   Per informazioni sullo script, consulta la sezione Script prepare-for-ops-agents-policies.sh.

Disinstalla gli agenti Monitoring e Logging legacy

Verificare che l'agente OS Config sia installato

Potresti dover installare e configurare manualmente l'agente OS Config sulle VM precedenti a OS Config. Per informazioni sull'installazione e sulla verifica manuale dell'agente OS Config, consulta la lista di controllo per la verifica di VM Manager.

Trovare i valori per le informazioni sul sistema operativo

Se vuoi applicare i criteri dell'agente a sistemi operativi o versioni specifici, devi conoscere i valori utilizzati da OS Config per farvi riferimento.

Per trovare i valori per i campi osShortName e osVersion di una VM, utilizza i seguenti comandi:

gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^ShortName: "

gcloud compute instances os-inventory describe INSTANCE_NAME \
--zone ZONE | grep "^Version: "

Questi comandi richiedono l'installazione dell'agente OS Config sulla VM.

Crea un criterio agente per gestire l&#Ops Agent

gcloud compute instances ops-agents policies create POLICY_ID \
  --zone ZONE \
  --file path/to/policy-description-file.yaml \
  --project PROJECT_ID

agentsRule:
  packageState: installed|removed
  version: latest|2.*.*|2.x.y

Verificare lo stato dei criteri dell'agente

Questa sezione descrive come controllare lo stato dei criteri creati e l'installazione di Ops Agent. Queste informazioni possono essere utili anche per la risoluzione dei problemi relativi alle norme degli agenti.

Pagina Norme del sistema operativo di Compute Engine

La pagina Criteri del sistema operativo di Compute Engine fornisce informazioni sui criteri dell'agente che gestiscono Ops Agent e sulle VM nella scheda Istanze VM. Ad esempio:

• La colonna Stato indica se un criterio è stato installato correttamente ("Conforme"), è in corso ("In attesa"), ha eventualmente avuto esito negativo ("Sconosciuto") o è mancante ("Nessun criterio").
• La colonna VM monitorata indica se Ops Agent è gestito da OS Config ("Monitorata") o meno ("Non monitorata").

  Se un criterio è "Conforme", ma la VM mostra "Non monitorata", potrebbe esserci un problema di installazione di Ops Agent. Ad esempio, potresti avere già installato un agente legacy.

Nella console Google Cloud, vai alla pagina Criteri del sistema operativo:

Vai a Criteri del sistema operativo

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Compute Engine.

La scheda Istanze VM in Criteri OS di Compute Engine mostra informazioni sugli agenti gestiti da tutti i criteri OS nel tuo progetto Google Cloud. Questi criteri sono contrassegnati come goog-ops-agent-policy.

• L'indicatore goog-ops-agent-policy include diversi tipi di norme:
  • Criteri creati utilizzando i comandi gcloud compute instances ops-agents policies.
  • Criteri creati per te se hai richiesto l'installazione di Ops Agent quando hai creato la VM.
  • Criteri creati utilizzando Terraform per gestire l'Ops Agent.

  Per distinguere i criteri, utilizza la scheda Assegnazioni dei criteri del sistema operativo nella pagina per visualizzare gli ID dei criteri per tutte le assegnazioni dei criteri nel tuo progetto Google Cloud.

• Questa colonna VM monitorata non riflette l'installazione di Ops Agent tramite altri mezzi, come l'installazione manuale o tramite i criteri dell'agente beta.

Pagina Istanze VM di Cloud Monitoring

La pagina Istanze VM in Cloud Monitoring include una colonna Agente che elenca l'agente installato su ogni VM e, per Ops Agent, include un indicatore per gli agenti installati precedenti alla versione più recente.

Nella console Google Cloud, vai alla pagina Dashboard Istanze VM:

Vai alla dashboard Istanze VM

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

Configurazioni di criteri di esempio

Questa sezione descrive esempi di configurazione delle norme relative agli agenti quando si utilizzano Google Cloud SDK o Terraform.

gcloud compute instances ops-agents policies create POLICY_ID \
  --zone us-central1-a \
  --file agent-policy-description.yaml \
  --project PROJECT_ID

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  all: True

agentsRule:
  packageState: removed
  version: latest
instanceFilter:
  all: True

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  inclusionLabels:
  - labels:
      env: prod
  - labels:
      app: web

agentsRule:
  packageState: installed
  version: latest
instanceFilter:
  exclusionLabels:
  - labels:
      env: prod
      app: web6
  inventories:
  - osShortName: debian
    osVersion: '11'

agentsRule:
  packageState: installed
  version: 2.*.*
instanceFilter:
  inventories:
  - osShortName: rhel
    osVersion: '7.*'
  - osShortName: debian
    osVersion: '11'

Risolvere i problemi relativi ai criteri dell'agente GA

Questa sezione fornisce informazioni utili per risolvere i problemi relativi alle norme degli agenti GA per l'Ops Agent. Potrebbero essere utili anche le informazioni descritte in Verificare lo stato delle norme relative agli agenti.

I comandi ops-agents policy non vanno a buon fine

Quando un comando gcloud compute instances ops-agents policies non va a buon fine, la risposta mostra un errore di convalida. Correggi gli errori correggendo gli argomenti e i flag del comando come suggerito dal messaggio di errore.

Oltre agli errori di convalida, potresti visualizzare errori che indicano le seguenti condizioni:

• Autorizzazione IAM insufficiente
• L'API OS Config non è abilitata
• Il criterio specificato non esiste

Le sezioni seguenti descrivono queste condizioni in maggiore dettaglio.

Autorizzazione IAM insufficiente

Se un comando gcloud compute instances ops-agents policies non va a buon fine con un errore di autorizzazione, assicurati di aver eseguito lo script prepare-for-ops-agents-policies.sh come descritto in Prima di iniziare per configurare i ruoli dei criteri di OS Config:

• OSPolicyAssignment Admin (roles/osconfig.osPolicyAssignmentAdmin): fornisce accesso completo alle assegnazioni delle norme del sistema operativo.

• OSPolicyAssignment Editor (roles/osconfig.osPolicyAssignmentEditor): consente agli utenti di recuperare, aggiornare ed elencare le assegnazioni delle norme del sistema operativo.

• OSPolicyAssignment Viewer (roles/osconfig.osPolicyAssignmentViewer): fornisce accesso di sola lettura per ottenere e elencare le assegnazioni delle norme del sistema operativo.

Per ulteriori informazioni sullo script prepare-for-ops-agents-policies.sh, consulta Lo script prepare-for-ops-agents-policies.sh.

L'API OS Config non è abilitata

Un errore di esempio è simile al seguente:

API [osconfig.googleapis.com] not enabled on project PROJECT_ID.
Would you like to enable and retry (this will take a few minutes)?
(y/N)?

Puoi inserire y per attivare l'API oppure puoi eseguire lo script prepare-for-ops-agents-policies.sh, descritto in Prima di iniziare, per concedere tutte le autorizzazioni necessarie. Se inserisci y al prompt nel messaggio di errore, devi comunque eseguire lo script prepare-for-ops-agents-policies.sh per impostare le autorizzazioni necessarie.

Per verificare che l'API OS Config sia abilitata per il progetto, esegui i seguenti comandi:

gcloud services list --project PROJECT_ID | grep osconfig.googleapis.com

Di seguito è riportato l'output previsto:

osconfig.googleapis.com    Cloud OS Config API

Il criterio esiste già

Un errore di esempio è simile al seguente:

ALREADY_EXISTS: Requested entity already exists

Questo errore indica che il criterio esiste già con lo stesso nome, ID progetto e regione. Puoi utilizzare il comando gcloud compute instances ops-agents policies describe per confermare.

Il criterio non esiste

Un errore di esempio è simile al seguente:

NOT_FOUND: Requested entity was not found

Questo errore potrebbe indicare che il criterio non è mai stato creato, che è stato eliminato o che l'ID criterio specificato non è corretto. Assicurati che il valore POLICY_ID utilizzato in un comando gcloud compute instances ops-agents policies, describe, update o delete corrisponda a un criterio esistente. Per ottenere un elenco di criteri agenti, utilizza il comando gcloud compute instances ops-agents policies list.

Il criterio è stato creato, ma sembra non avere alcun effetto

Gli agenti di configurazione del sistema operativo vengono dipartiti in ogni istanza Compute Engine per gestire i pacchetti per gli agenti Logging e Monitoring. Il criterio potrebbe non avere alcun effetto se l'agente di configurazione del sistema operativo di base non è installato.

gcloud compute ssh instance-id \
    --project project-id \
    -- sudo systemctl status google-osconfig-agent

    google-osconfig-agent.service - Google OSConfig Agent
    Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
    Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
    Main PID: 369 (google_osconfig)
     Tasks: 8 (limit: 4374)
    Memory: 102.7M
    CGroup: /system.slice/google-osconfig-agent.service
            └─369 /usr/bin/google_osconfig_agent

    Status   Name               DisplayName
    ------   ----               -----------
    Running  google_osconfig_a… Google OSConfig Agent

Se l'agente OS Config non è installato, potresti utilizzare un sistema operativo che non supporta VM Manager. Il documento Dettagli del sistema operativo di Compute Engine indica quali funzionalità di VM Manager sono supportate per ciascun sistema operativo Compute Engine.

Se il sistema operativo supporta VM Manager, puoi installare manualmente l'agente OS Config.

L'agente OS Config è installato, ma non viene installato l'Ops Agent

Per verificare se si verificano errori quando l'agente OS Config applica i criteri, puoi controllare il log dell'agente. Puoi farlo utilizzando Logs Explorer o SSH o RDP per controllare le singole istanze Compute Engine.

Per visualizzare i log dell'agente OS Config in Esplora log, utilizza il seguente filtro:

resource.type="gce_instance"
logId(OSConfigAgent)

Per visualizzare i log dell'agente OS Config:

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/messages \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

gcloud compute ssh INSTANCE_ID \
    --project PROJECT_ID \
    -- sudo cat /var/log/syslog \
       | grep "OSConfigAgent\|google-fluentd\|stackdriver-agent"

Se si verifica un errore di connessione al servizio OS Config, assicurati di eseguire lo scriptprepare-for-ops-agents-policies.sh come descritto in Prima di iniziare per configurare i metadati di OS Config.

Per verificare che i metadati di OS Config siano abilitati, puoi eseguire il seguente comando:

gcloud compute project-info describe \
    --project PROJECT_ID \
    | grep "enable-osconfig\|enable-guest-attributes" -A 1

Di seguito è riportato l'output previsto:

- key: enable-guest-attributes
  value: 'TRUE'
- key: enable-osconfig
  value: 'TRUE'

Ops Agent è installato, ma non funziona correttamente

Per ulteriori informazioni sul debug dei problemi di Ops Agent, consulta Risolvere i problemi di Ops Agent.

Attivare i log a livello di debug per l'agente OS Config

Può essere utile attivare la registrazione a livello di debug nell'agente OS Config quando si segnala un problema.

Puoi impostare i metadati osconfig-log-level: debug per abilitare il logging a livello di debug per l'agente OS Config. I log raccolti contengono più informazioni utili per l'indagine.

Per attivare il logging a livello di debug per l'intero progetto, esegui il seguente comando:

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

Per attivare il logging a livello di debug per una VM, esegui il seguente comando:

gcloud compute instances add-metadata INSTANCE_ID \
    --project PROJECT_ID \
    --metadata osconfig-log-level=debug

Script di supporto

Questa sezione fornisce informazioni aggiuntive sugli script di assistenza descritti in questo documento:

• Lo script prepare-for-ops-agents-policies.sh
• Lo script diagnose_policies.sh

Lo script prepare-for-ops-agents-policies.sh

Dopo aver scaricato lo script prepare-for-ops-agents-policies.sh, puoi utilizzarlo per eseguire le seguenti azioni in base agli argomenti forniti:

• Abilita l'API Cloud Logging, l'API Cloud Monitoring e l'API OS Config per il progetto.

  Se l'API OS Config non è già abilitata, viene attivata in modalità con funzionalità limitate, che è sufficiente per gestire i criteri dell'agente. Per ulteriori informazioni, vedi Prezzi.

• Concedi i ruoli di Identity and Access Management Writer log (roles/logging.logWriter) e Writer metriche monitoraggio (roles/monitoring.metricWriter) all'account di servizio predefinito di Compute Engine in modo che gli agenti possano scrivere log e metriche nelle API Logging e Cloud Monitoring.

• Abilita i metadati OS Config per il progetto in modo che l'agente OS Config sia attivo su ogni VM.

• Concedi uno dei seguenti ruoli IAM agli utenti non proprietari o all'account di servizio necessario per creare e gestire i criteri. I proprietari del progetto dispongono dell'accesso completo per creare e gestire i criteri; a tutti gli altri utenti o account di servizio deve essere concesso uno dei seguenti ruoli:

  • OSPolicyAssignment Admin (roles/osconfig.osPolicyAssignmentAdmin): fornisce accesso completo alle assegnazioni delle norme del sistema operativo.
  • OSPolicyAssignment Editor (roles/osconfig.osPolicyAssignmentEditor): consente agli utenti di recuperare, aggiornare ed elencare le assegnazioni delle norme del sistema operativo.
  • OSPolicyAssignment Viewer (roles/osconfig.osPolicyAssignmentViewer): fornisce accesso di sola lettura per ottenere e elencare le assegnazioni delle norme del sistema operativo.

  Quando esegui lo script, puoi specificare i ruoli OSPolicyAssignment come admin, editor o viewer. Lo script mappa questi valori ai nomi dei ruoliroles/osconfig.osPolicyAssignment*.

Gli esempi seguenti mostrano alcune invocazioni comuni dello script. Per ulteriori informazioni, consulta i commenti nello script stesso.

Per abilitare le API, concedi i ruoli necessari all'account di servizio predefinito e attiva i metadati di OS Config per un progetto eseguendo lo script come segue:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID

Per concedere inoltre uno dei ruoli di configurazione del sistema operativo a un utente che non ha il ruolo Proprietario (roles/owner) nel progetto, esegui lo script come segue:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \
  --iam-user=USER_EMAIL \
  --iam-policy-access=[admin|editor|viewer]

Per concedere inoltre uno dei ruoli di OS Config a un account di servizio non predefinito, esegui lo script come segue:

bash prepare-for-ops-agents-policies.sh --project=PROJECT_ID \
  --iam-service-account=SERVICE_ACCT_EMAIL \
  --iam-policy-access=[admin|editor|viewer]

Lo script diagnose_policies.sh

Dati un ID progetto, un ID istanza Compute Engine, una zona Compute Engine e l'ID criterio dell'agente, lo script diagnose_policies.sh raccoglie automaticamente le informazioni necessarie per aiutarti a diagnosticare i problemi relativi al criterio:

• La versione dell'agente OS Config
• L'assegnazione dei criteri del sistema operativo sottostante
• Le assegnazioni dei criteri di sistema operativo applicabili a questa istanza Compute Engine
• Una descrizione di questa istanza Compute Engine

Per richiamare lo script, esegui il seguente comando:

bash diagnose_policies.sh --project-id=PROJECT_ID \ 
  --gce-instance-id=INSTANCE_ID \
  --policy-id=POLICY_ID \
  --zone=ZONE

Prezzi

I comandi gcloud compute instances ops-agents policies vengono implementati utilizzando le risorse di assegnazione dei criteri del sistema operativo di VM Manager. Lo script prepare-for-ops-agents-policies.sh, descritto in Prima di iniziare, configura VM Manager in modalità con funzionalità limitate (OSCONFIG_B), sufficiente per creare e gestire i criteri dell'agente. L'utilizzo di VM Manager in modalità limitata è senza costi.

Se hai configurato VM Manager in modalità con tutte le funzionalità (OSCONFIG_C), potresti dover sostenere dei costi.