Bewaking voor AKS-clusters inschakelen

Vereisten

• Verificatie van beheerde identiteit is standaard in CLI versie 2.49.0 of hoger.
• De aks-preview-extensie moet worden verwijderd uit AKS-clusters met behulp van de opdracht az extension remove --name aks-preview.

Prometheus-metrieken

Gebruik de -enable-azure-monitor-metrics optie met az aks create of az aks update, afhankelijk van of u een nieuw cluster maakt of een bestaand cluster bijwerkt, om de metrics add-on te installeren die Prometheus-metrics verzamelt. Hiermee wordt de configuratie gebruikt die wordt beschreven in de configuratie voor metrische standaardgegevens van Prometheus in Azure Monitor. Zie Scraping van Prometheus-metrieken aanpassen in de beheerde Azure Monitor-service voor Prometheus om deze configuratie te wijzigen.

Zie de volgende voorbeelden.

### Use default Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group>

### Use existing Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <workspace-name-resource-id>

### Use an existing Azure Monitor workspace and link with an existing Grafana workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <azure-monitor-workspace-name-resource-id> --grafana-resource-id  <grafana-workspace-name-resource-id>

### Use optional parameters
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --ksm-metric-labels-allow-list "namespaces=[k8s-label-1,k8s-label-n]" --ksm-metric-annotations-allow-list "pods=[k8s-annotation-1,k8s-annotation-n]"

Voorbeeld

az aks create/update --enable-azure-monitor-metrics --name "my-cluster" --resource-group "my-resource-group" --azure-monitor-workspace-resource-id "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/microsoft.monitor/accounts/my-workspace"

Optionele parameters

Elk van de bovenstaande opdrachten staat de volgende optionele parameters toe. De parameternaam is voor elke parameter anders, maar het gebruik ervan is hetzelfde.

Containerlogboeken

Gebruik de --addon monitoring optie met az aks create voor een nieuw cluster of az aks enable-addon om een bestaand cluster bij te werken om het verzamelen van containerlogboeken in te schakelen. Zie hieronder om de instellingen voor de logboekverzameling te wijzigen.

Zie de volgende voorbeelden.

### Use default Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name>

### Use existing Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id>

### Use custom log configuration file
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id> --data-collection-settings dataCollectionSettings.json

### Use legacy authentication
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id> --enable-msi-auth-for-monitoring false

Voorbeeld

az aks enable-addons --addon monitoring --name "my-cluster" --resource-group "my-resource-group" --workspace-resource-id "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace"

Logconfiguratiebestand

Als u instellingen voor logboekverzamelingen voor het cluster wilt aanpassen, kunt u de configuratie als een JSON-bestand opgeven met behulp van de volgende indeling. Als u geen configuratiebestand opgeeft, worden de standaardinstellingen in de onderstaande tabel gebruikt.

{
  "interval": "1m",
  "namespaceFilteringMode": "Include",
  "namespaces": ["kube-system"],
  "enableContainerLogV2": true, 
  "streams": ["Microsoft-Perf", "Microsoft-ContainerLogV2"]
}

Elk van de instellingen in de configuratie wordt beschreven in de volgende tabel.

Vereisten

• De Azure Monitor-werkruimte en het Azure Managed Grafana-exemplaar moeten al worden gemaakt.
• De sjabloon moet worden geïmplementeerd in dezelfde resourcegroep als het Azure Managed Grafana-exemplaar.
• Als het Azure Managed Grafana-exemplaar zich in een ander abonnement bevindt dan het Azure Monitor-werkruimteabonnement, registreert u het Azure Monitor-werkruimteabonnement bij de Microsoft.Dashboard resourceprovider met behulp van de richtlijnen bij Resourceprovider registreren.
• Gebruikers met de User Access Administrator rol in het abonnement van het AKS-cluster kunnen de Monitoring Reader rol rechtstreeks inschakelen door de sjabloon te implementeren.

Prometheus-metrieken

Vereiste waarden ophalen voor Grafana-resource

Als het Azure Managed Grafana-exemplaar al is gekoppeld aan een Azure Monitor-werkruimte, moet u deze lijst opnemen in de sjabloon of deze wordt overschreven. Selecteer op de pagina Overzicht voor het Azure Managed Grafana-exemplaar in Azure Portal de JSON-weergave en kopieer de waarde azureMonitorWorkspaceIntegrations die er ongeveer uitziet als in het onderstaande voorbeeld. Als deze niet bestaat, is het exemplaar niet gekoppeld aan een Azure Monitor-werkruimte.

"properties": {
    "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            }
        ]
    }
}

Sjabloon- en parameterbestand downloaden en bewerken

1. Download de vereiste bestanden.

   Biceps

   • Sjabloonbestand: https://aka.ms/azureprometheus-enable-bicep-template
   • Parameterbestand: https://aka.ms/azureprometheus-enable-bicep-template-parameters
   • DCRA-module: https://aka.ms/nested_azuremonitormetrics_dcra_clusterResourceId
   • Profielmodule: https://aka.ms/nested_azuremonitormetrics_profile_clusterResourceId
   • Azure Managed Grafana-roltoewijzingsmodule: https://aka.ms/nested_grafana_amw_role_assignment

   JSON

   • Sjabloonbestand: https://aka.ms/azureprometheus-enable-arm-template
   • Parameterbestand: https://aka.ms/azureprometheus-enable-arm-template-parameters

2. Bewerk de volgende waarden in het parameterbestand. Dezelfde set waarden wordt gebruikt voor zowel de ARM- als bicep-sjablonen. Haal de resource-id van de resources op uit de JSON-weergave van hun overzichtspagina .

   Kenmerk	Waarde
   azureMonitorWorkspaceResourceId	Resource-id voor de Azure Monitor-werkruimte. Ophalen uit de JSON-weergave op de overzichtspagina voor de Azure Monitor-werkruimte.
   azureMonitorWorkspaceLocation	Locatie van de Azure Monitor-werkruimte. Ophalen uit de JSON-weergave op de overzichtspagina voor de Azure Monitor-werkruimte.
   clusterResourceId	Resource-id voor het AKS-cluster. Ophalen uit de JSON-weergave op de overzichtspagina voor het cluster.
   clusterLocation	Locatie van het AKS-cluster. Ophalen uit de JSON-weergave op de overzichtspagina voor het cluster.
   metricLabelsAllowlist	Door komma's gescheiden lijst van Kubernetes-labelsleutels die worden gebruikt in de labelsmetriek van de resource.
   metricAnnotationsAllowList	Door komma's gescheiden lijst met meer Kubernetes-labelsleutels die moeten worden gebruikt in de metrische aantekeningen van de resource.
   grafanaResourceId	Resource-id voor het beheerde Grafana-exemplaar. Ophalen uit de JSON-weergave op de overzichtspagina voor het Grafana-exemplaar.
   grafanaLocation	Locatie voor het beheerde Grafana-exemplaar. Ophalen uit de JSON-weergave op de overzichtspagina voor het Grafana-exemplaar.
   grafanaSku	SKU voor het beheerde Grafana-exemplaar. Ophalen uit de JSON-weergave op de overzichtspagina voor het Grafana-exemplaar. Gebruik de sku.name.

3. Open het sjabloonbestand en werk de grafanaIntegrations eigenschap aan het einde van het bestand bij met de waarden die u hebt opgehaald uit het Grafana-exemplaar. Dit zal er ongeveer als volgt uitzien. In deze voorbeelden full_resource_id_1 en full_resource_id_2 zich al in de JSON van de Azure Managed Grafana-resource bevonden. De laatste azureMonitorWorkspaceResourceId vermelding bevindt zich al in de sjabloon en wordt gebruikt om een koppeling te maken naar de resource-id van de Azure Monitor-werkruimte die is opgegeven in het parameterbestand.

   Biceps

       resource grafanaResourceId_8 'Microsoft.Dashboard/grafana@2022-08-01' = {
           name: split(grafanaResourceId, '/')[8]
           sku: {
               name: grafanaSku
           }
           identity: {
               type: 'SystemAssigned'
           }
           location: grafanaLocation
           properties: {
               grafanaIntegrations: {
                   azureMonitorWorkspaceIntegrations: [
                       {
                           azureMonitorWorkspaceResourceId: 'full_resource_id_1'
                       }
                       {
                           azureMonitorWorkspaceResourceId: 'full_resource_id_2'
                       }
                       {
                           azureMonitorWorkspaceResourceId: azureMonitorWorkspaceResourceId
                       }
                   ]
               }
           }
       }
   

   JSON

   {
       "type": "Microsoft.Dashboard/grafana",
       "apiVersion": "2022-08-01",
       "name": "[split(parameters('grafanaResourceId'),'/')[8]]",
       "sku": {
           "name": "[parameters('grafanaSku')]"
       },
       "location": "[parameters('grafanaLocation')]",
       "properties": {
           "grafanaIntegrations": {
           "azureMonitorWorkspaceIntegrations": [
               {
                   "azureMonitorWorkspaceResourceId": "full_resource_id_1"
               },
               {
                   "azureMonitorWorkspaceResourceId": "full_resource_id_2"
               },
               {
                   "azureMonitorWorkspaceResourceId": "[parameters('azureMonitorWorkspaceResourceId')]"
               }
           ]
           }
       }
   }
   

4. Implementeer de sjabloon met het parameterbestand met behulp van een geldige methode voor het implementeren van Resource Manager-sjablonen. Zie De voorbeeldsjablonen implementeren voor voorbeelden van verschillende methoden.

Containerlogboeken

Vereisten

• De sjabloon moet worden geïmplementeerd in dezelfde resourcegroep als het cluster.

Sjabloon downloaden en installeren

1. Sjabloon- en parameterbestand downloaden en bewerken.

   Biceps

   • Sjabloonbestand (Syslog): https://aka.ms/enable-monitoring-msi-syslog-bicep-template
   • Parameterbestand (Syslog): https://aka.ms/enable-monitoring-msi-syslog-bicep-parameters
   • Sjabloonbestand (geen Syslog): https://aka.ms/enable-monitoring-msi-bicep-template
   • Parameterbestand (geen Syslog): https://aka.ms/enable-monitoring-msi-bicep-parameters

   ARM

   • Sjabloonbestand: https://aka.ms/aks-enable-monitoring-msi-onboarding-template-file
   • Parameterbestand: https://aka.ms/aks-enable-monitoring-msi-onboarding-template-parameter-file

2. Bewerk de volgende waarden in het parameterbestand. Dezelfde set waarden wordt gebruikt voor zowel de ARM- als bicep-sjablonen. Haal de resource-id van de resources op uit de JSON-weergave van hun overzichtspagina .

   Kenmerk	Beschrijving
   aksResourceId	Resource ID van het cluster.
   aksResourceLocation	De locatie van het cluster.
   workspaceResourceId	Resource-id van de Log Analytics-werkruimte.
   resourceTagValues	Tagwaarden die zijn opgegeven voor de bestaande DcR (Container Insights Extension Data Collection Rule) van het cluster en de naam van de DCR. De naam is MSCI-<clusterName>-<clusterRegion> en deze resource die wordt aangemaakt in een AKS-clusterresourcegroep. Voor de eerste keer dat onboarding wordt uitgevoerd, kunt u willekeurige tagwaarden instellen.
   enableRetinaNetworkFlowLogs	Vlag om aan te geven of de Retina Network Flow Logs moeten worden ingeschakeld.
   enableContainerLogV2	Booleaanse vlag om het ContainerLogV2-schema in te schakelen. Als deze optie is ingesteld op true, worden de stdout-/stderr-logboeken verzonden naar de ContainerLogV2-tabel . Zo niet, dan worden de containerlogboeken verzonden naar de ContainerLog-tabel , tenzij anders opgegeven in de ConfigMap. Wanneer u de afzonderlijke streams opgeeft, moet u de bijbehorende tabel voor ContainerLog of ContainerLogV2 opnemen.
   enableSyslog	Hiermee geeft u op of syslog-verzameling moet worden ingeschakeld.
   syslogLevels	Als syslog-verzameling is ingeschakeld, geeft u de logboekniveaus op die moeten worden verzameld.
   dataCollectionInterval	Bepaalt hoe vaak de agent gegevens verzamelt. Geldige waarden zijn 1m - 30m in intervallen van 1 min. De standaardwaarde is 1 min. Als de waarde buiten het toegestane bereik valt, wordt deze standaard ingesteld op 1 m.
   namespaceFilteringModeForDataCollection	Opnemen: verzamelt alleen gegevens van de waarden in het naamruimtenveld. Uitsluiten: verzamelt gegevens van alle naamruimten, met uitzondering van de waarden in het veld naamruimten . Uit: negeert selecties van naamruimten en verzamelt gegevens op alle naamruimten.
   namespacesForDataCollection	Matrix van door komma's gescheiden Kubernetes-naamruimten voor het verzamelen van inventaris- en prestatiegegevens op basis van de naamruimteFilteringMode. Naamruimten = ["kube-system", "default"] met een include-instelling verzamelt bijvoorbeeld alleen deze twee naamruimten. Met de instelling Uitsluiten verzamelt de agent gegevens van alle andere naamruimten, met uitzondering van kube-system en standaard. Met een instelling Uit verzamelt de agent gegevens van alle naamruimten, waaronder kube-system en standaard. Ongeldige en niet-herkende naamruimten worden genegeerd.
   streams	Een matrix met tabelstromen. Zie Stream-waarden voor een lijst met geldige streams en de bijbehorende tabellen.
   useAzureMonitorPrivateLinkScope	Hiermee geeft u op of private link moet worden gebruikt voor de clusterverbinding met Azure Monitor.
   azureMonitorPrivateLinkScopeResourceId	Als er een private link wordt gebruikt, is de resource-id van het privékoppelingsbereik vereist.

3. Implementeer de sjabloon met het parameterbestand met behulp van een geldige methode voor het implementeren van Resource Manager-sjablonen. Zie De voorbeeldsjablonen implementeren voor voorbeelden van verschillende methoden.

Vereisten

• De Azure Monitor-werkruimte en de Azure Managed Grafana-werkruimte moeten al worden gemaakt.
• De sjabloon moet worden geïmplementeerd in dezelfde resourcegroep als de Azure Managed Grafana-werkruimte.
• Gebruikers met de rol Gebruikerstoegangsbeheerder in het abonnement van het AKS-cluster kunnen de rol Controlelezer rechtstreeks inschakelen door de sjabloon te implementeren.
• Als het Azure Managed Grafana-exemplaar zich in een ander abonnement bevindt dan het Azure Monitor Workspace-abonnement, registreert u het Azure Monitor Workspace-abonnement bij de Microsoft.Dashboard resourceprovider door deze documentatie te volgen.

Vereiste waarden ophalen voor Grafana-resource

Als het Azure Managed Grafana-exemplaar al is gekoppeld aan een Azure Monitor-werkruimte, moet u deze lijst opnemen in de sjabloon of deze wordt overschreven. Selecteer op de pagina Overzicht voor het Azure Managed Grafana-exemplaar in Azure Portal de JSON-weergave en kopieer de waarde azureMonitorWorkspaceIntegrations die er ongeveer uitziet als in het onderstaande voorbeeld. Als deze niet bestaat, is het exemplaar niet gekoppeld aan een Azure Monitor-werkruimte.

"properties": {
    "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            }
        ]
    }
}

Werk het azure_monitor_workspace_integrations blok in main.tf bij met de lijst van Grafana-integraties.

  azure_monitor_workspace_integrations {
    resource_id  = var.monitor_workspace_id[var.monitor_workspace_id1, var.monitor_workspace_id2]
  }

Sjablonen downloaden en bewerken

Nieuw AKS-cluster

1. Download alle bestanden onder AddonTerraformTemplate.
2. Bewerk de variabelen in variables.tf bestand met de juiste parameterwaarden.
3. Voer deze opdracht uit terraform init -upgrade om de Terraform-implementatie te initialiseren.
4. Voer deze opdracht uit terraform plan -out main.tfplan om de Terraform-implementatie te initialiseren.
5. Voer terraform apply main.tfplan uit om het uitvoeringsplan toe te passen op uw cloudinfrastructuur.

Opmerking: geef de variabelen voor annotations_allowed en labels_allowed sleutels alleen door in main.tf wanneer deze waarden bestaan. Dit zijn optionele blokken.

Containerlogboeken

Nieuw AKS-cluster

1. Download het Terraform-sjabloonbestand, afhankelijk van of u syslog-verzameling wilt inschakelen.

   • Syslog: https://aka.ms/enable-monitoring-msi-syslog-terraform
   • Geen Syslog: https://aka.ms/enable-monitoring-msi-terraform

2. Pas de azurerm_kubernetes_cluster resource in main.tf aan op basis van uw clusterinstellingen.

3. Parameters in variables.tf bijwerken om waarden in '<>' te vervangen

   Kenmerk	Beschrijving
   aks_resource_group_name	Gebruik de waarden op de AKS-overzichtspagina voor de resourcegroep.
   resource_group_location	Gebruik de waarden op de AKS-overzichtspagina voor de resourcegroep.
   cluster_name	Definieer de clusternaam die u wilt maken.
   workspace_resource_id	Gebruik de resource-id van uw Log Analytics-werkruimte.
   workspace_region	Gebruik de locatie van uw Log Analytics-werkruimte.
   resource_tag_values	Komt overeen met de bestaande tagwaarden die zijn opgegeven voor de bestaande DCR (Container Insights Extension Data Collection Rule) van het cluster en de naam van de DCR. De naam zal overeenkomen met MSCI-<clusterName>-<clusterRegion> en deze resource wordt gemaakt in dezelfde resourcegroep als de AKS-clusters. Voor de eerste keer dat onboarding wordt uitgevoerd, kunt u de willekeurige tagwaarden instellen.
   enabledContainerLogV2	Stel deze parameterwaarde in op true om de standaard aanbevolen ContainerLogV2 te gebruiken.
   Parameters voor kostenoptimalisatie	Raadpleeg parameters voor gegevensverzameling
   streams	Streams voor het verzamelen van gegevens. Zie Stream-waarden.
   use_azure_monitor_private_link_scope	Vlag om aan te geven of azure Monitor Private Link-bereik moet worden geconfigureerd.
   azure_monitor_private_link_scope_resource_id	Azure-resource-id van het Azure Monitor Private Link-bereik.

4. Voer deze opdracht uit terraform init -upgrade om de Terraform-implementatie te initialiseren.

5. Voer deze opdracht uit terraform plan -out main.tfplan om de Terraform-implementatie te initialiseren.

6. Voer terraform apply main.tfplan uit om het uitvoeringsplan toe te passen op uw cloudinfrastructuur.

Bestaand AKS-cluster

1. Importeer eerst de bestaande clusterresource met de opdracht: terraform import azurerm_kubernetes_cluster.k8s <aksResourceId>
2. Voeg het oms_agent-invoegtoepassingsprofiel toe aan de bestaande azurerm_kubernetes_cluster-resource.

   oms_agent {
       log_analytics_workspace_id = var.workspace_resource_id
       msi_auth_for_monitoring_enabled = true
     }
   

3. De DCR- en DCRA-resources kopiëren uit de Terraform-sjablonen
4. Voer de opdracht uit terraform plan -out main.tfplan en zorg ervoor dat de wijziging de eigenschap oms_agent toevoegt. Opmerking: als de azurerm_kubernetes_cluster gedefinieerde resource verschilt tijdens het uitvoeren van een terraform plan, wordt het bestaande cluster vernietigd en opnieuw gemaakt.
5. Voer terraform apply main.tfplan uit om het uitvoeringsplan toe te passen op uw cloudinfrastructuur.

U kunt metrische gegevens en containerlogboeken van Prometheus inschakelen wanneer u een nieuw AKS-cluster maakt of op een bestaand cluster in Azure Portal. In beide gevallen is de configuratie-ervaring hetzelfde.

Nieuw AKS-cluster

Wanneer u een nieuw AKS-cluster maakt in Azure Portal, configureert u bewaking op het tabblad Bewaking .

Bestaand cluster

Navigeer naar uw cluster in Azure Portal. Selecteer Monitor en vervolgens Monitorinstellingen in het servicemenu.

Configuratieopties

Configuratieopties zijn hetzelfde voor zowel nieuwe als bestaande clusters. Het enige verschil is dat u mogelijk Geavanceerde instellingen moet selecteren om alle opties voor een bestaand cluster weer te geven.

3. Metrische gegevens van Prometheus, Grafana en Container Logs en gebeurtenissen worden voor u geselecteerd. Als u een bestaande Azure Monitor-werkruimte, Grafana-werkruimte en Log Analytics-werkruimte hebt, worden deze voor u geselecteerd.
4. Selecteer Geavanceerde instellingen als u alternatieve werkruimten wilt selecteren of nieuwe werkruimten wilt maken. Met de instelling Logboekregistratieprofielen en klassieke profielen kunt u de standaardverzamelingsgegevens wijzigen om de bewakingskosten te verlagen. Zie Instellingen voor kostenoptimalisatie inschakelen in Container Insights voor meer informatie.
5. Selecteer Configureren.

Voor containerlogboeken moet u een logboekregistratieprofiel selecteren, waarmee wordt gedefinieerd welke logboeken worden verzameld en met welke frequentie. De beschikbare profielen worden weergegeven in de volgende tabel.

Als u de instellingen wilt aanpassen, klikt u op Verzamelingsinstellingen bewerken. Elk van deze instellingen wordt beschreven in de volgende tabel.

Met de optie Verzamelde gegevens kunt u de tabellen selecteren die voor het cluster zijn ingevuld. De tabellen worden gegroepeerd op de meest voorkomende scenario's.

Prometheus-metrieken

1. Download de sjabloon en de parameterbestanden voor Azure Policy.

   • Sjabloonbestand: https://aka.ms/AddonPolicyMetricsProfile
   • Parameterbestand: https://aka.ms/AddonPolicyMetricsProfile.parameters

2. Maak de beleidsdefinitie met behulp van de volgende CLI-opdracht:

   az policy definition create --name "Prometheus Metrics addon" --display-name "Prometheus Metrics addon" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules AddonPolicyMetricsProfile.rules.json --params AddonPolicyMetricsProfile.parameters.json

3. Nadat u de beleidsdefinitie hebt gemaakt, selecteert u in Azure Portal Beleid en vervolgens Definities. Selecteer de beleidsdefinitie die u hebt gemaakt.

4. Selecteer Toewijzen en vul de details op het tabblad Parameters in. Selecteer Beoordelen en maken.

5. Als u het beleid wilt toepassen op een bestaand cluster, maakt u een hersteltaak voor die clusterresource op basis van beleidstoewijzing.

Nadat het beleid is toegewezen aan het abonnement, wordt het beleid uitgevoerd en geïmplementeerd om Prometheus-bewaking in te schakelen wanneer u een nieuw cluster maakt zonder Dat Prometheus is ingeschakeld.

Azure Portal

1. Maak op het tabblad Definities van het menu Beleid in Azure Portal een beleidsdefinitie met de volgende details.

   • Definitielocatie: Azure-abonnement waarin de beleidsdefinitie moet worden opgeslagen.
   • Naam: AKS-Monitoring-Addon
   • Beschrijving: aangepast Azure-beleid om de bewakingsinvoegtoepassing in te schakelen op Azure Kubernetes-clusters.
   • Categorie: Selecteer Bestaande gebruiken en vervolgens Kubernetes in de vervolgkeuzelijst.
   • Beleidsregel: Vervang de bestaande voorbeeld-JSON door de inhoud van https://aka.ms/aks-enable-monitoring-custom-policy.

2. Selecteer de nieuwe beleidsdefinitie AKS-bewakingsinvoegtoepassing.

3. Selecteer Toewijzen en geef een bereik op waar het beleid moet worden toegewezen.

4. Selecteer Volgende en geef de resource-id van de Log Analytics-werkruimte op.

5. Maak een hersteltaak als u het beleid wilt toepassen op bestaande AKS-clusters in het geselecteerde bereik.

6. Selecteer Beoordelen en maken om de beleidstoewijzing te maken.

Azure-CLI

1. Download de sjabloon en de parameterbestanden voor Azure Policy.

   • Sjabloonbestand: https://aka.ms/enable-monitoring-msi-azure-policy-template
   • Parameterbestand: https://aka.ms/enable-monitoring-msi-azure-policy-parameters

2. Maak de beleidsdefinitie met behulp van de volgende CLI-opdracht:

   az policy definition create --name "AKS-Monitoring-Addon-MSI" --display-name "AKS-Monitoring-Addon-MSI" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules azure-policy.rules.json --params azure-policy.parameters.json
   

3. Maak de beleidsdefinitie met behulp van de volgende CLI-opdracht:

   az policy assignment create --name aks-monitoring-addon --policy "AKS-Monitoring-Addon-MSI" --assign-identity --identity-scope /subscriptions/<subscriptionId> --role Contributor --scope /subscriptions/<subscriptionId> --location <location> -p "{ \"workspaceResourceId\": { \"value\": \"/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/microsoft.operationalinsights/workspaces/<workspaceName>\" }, \"resourceTagValues\": { \"value\": {} }, \"workspaceRegion\": { \"value\": \"<location>\" }}"
   

Nadat het beleid is toegewezen aan het abonnement, wordt het beleid uitgevoerd en geïmplementeerd wanneer u een nieuw cluster maakt zonder containerinzichten ingeschakeld. Dit beleid wordt geïmplementeerd om Container Insights-bewaking in te schakelen.

Gebruik de opdracht az monitor diagnostic-settings create om een diagnostische instelling te maken met de Azure CLI. Raadpleeg de documentatie voor deze opdracht voor beschrijvingen van de parameters.

In het volgende voorbeeld wordt een diagnostische instelling gemaakt waarmee alle Kubernetes-categorieën worden verzonden naar een Log Analytics-werkruimte. Dit omvat de resourcespecifieke modus voor het verzenden van de logboeken naar specifieke tabellen die worden vermeld in ondersteunde resourcelogboeken voor Microsoft.ContainerService/fleets.

az monitor diagnostic-settings create \
--name 'Collect control plane logs' \
--resource  /subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.ContainerService/managedClusters/<cluster-name> \
--workspace /subscriptions/<subscription ID>/resourcegroups/<resource group name>/providers/microsoft.operationalinsights/workspaces/<log analytics workspace name> \
--logs '[{"category": "karpenter-events","enabled": true},{"category": "kube-audit","enabled": true},
{"category": "kube-apiserver","enabled": true},{"category": "kube-audit-admin","enabled": true},{"category": "kube-controller-manager","enabled": true},{"category": "kube-scheduler","enabled": true},{"category": "cluster-autoscaler","enabled": true},{"category": "cloud-controller-manager","enabled": true},{"category": "guard","enabled": true},{"category": "csi-azuredisk-controller","enabled": true},{"category": "csi-azurefile-controller","enabled": true},{"category": "csi-snapshot-controller","enabled": true},{"category": "fleet-member-agent","enabled": true},{"category": "fleet-member-net-controller-manager","enabled": true},{"category": "fleet-mcs-controller-manager","enabled": true}]'
--metrics '[{"category": "AllMetrics","enabled": true}]' \
--export-to-resource-specific true

Hieronder volgen voorbeeldsjabloon- en parameterbestanden voor het maken van een diagnostische instelling voor logboeken van het besturingsvlak. Wijzig de sjablonen om verschillende categorieën te verzamelen of om de logboeken naar een andere bestemming te verzenden.

Biceps

param clusterName string
param workspaceId string
param settingName string

resource cluster 'Microsoft.ContainerService/managedClusters@2021-05-01-preview' existing = {
  name: clusterName
}

resource setting 'Microsoft.Insights/diagnosticSettings@2021-05-01-preview' = {
  name: settingName
  scope: cluster
  properties: {
    workspaceId: workspaceId
    logs: [
      {
        category: 'kube-apiserver'
        enabled: true
      }
      {
        category: 'kube-audit'
        enabled: true
      }
      {
        category: 'kube-audit-admin'
        enabled: true
      }
      {
        category: 'kube-controller-manager'
        enabled: true
      }
      {
        category: 'kube-scheduler'
              }
      {
        category: 'cluster-autoscaler'
        enabled: true
      }
      {
        category: 'guard'
        enabled: true
      }
    ]
  }
}

JSON

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "clusterName": {
            "type": "String"
        },
        "workspaceId": {
            "type": "String"
        },
        "settingName": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Insights/diagnosticSettings",
            "apiVersion": "2021-05-01-preview",
            "scope": "[format('Microsoft.ContainerService/managedClusters/{0}', parameters('clusterName'))]",
            "name": "[parameters('settingName')]",
            "properties": {
                "workspaceId": "[parameters('workspaceId')]",
                "logs": [
                    {
                        "category": "kube-apiserver",
                        "enabled": true
                    },
                    {
                        "category": "kube-audit",
                        "enabled": true
                    },
                    {
                        "category": "kube-audit-admin",
                        "enabled": true
                    },
                    {
                        "category": "kube-controller-manager",
                        "enabled": true
                    },
                    {
                        "category": "kube-scheduler",
                        "enabled": false
                    },
                    {
                        "category": "cluster-autoscaler",
                        "enabled": true
                    },
                    {
                        "category": "guard",
                        "enabled": true
                    }
                ]
            }
        }
    ]
}

Parameterbestand

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "settingName": {
        "value": "<cluster-name>"
    },
    "workspaceId": {
      "value": "/subscriptions/<subscription id>/resourcegroups/<resourcegroup name>/providers/microsoft.operationalinsights/workspaces/<workspace name>"
    },
    "scope": {
      "value": "Microsoft.<resource type>/<resourceName>"
    }
  }
}

Gebruik de volgende sjabloon om een diagnostische instelling te maken voor logboeken van besturingsvlakken. Wijzig de sjabloon om verschillende categorieën te verzamelen of om de logboeken naar een andere bestemming te verzenden.

  features {}
}

variable "setting_name" {
  type        = string
  description = "Name for the diagnostic setting."
}

variable "workspace_id" {
  type        = string
  description = "Resource ID of the Log Analytics workspace."
}

variable "cluster_id" {
  type        = string
  description = "Resource ID of the AKS cluster to attach diagnostics to."
}

resource "azurerm_monitor_diagnostic_setting" "aks" {
  name                       = var.setting_name
  target_resource_id         = var.cluster_id
  log_analytics_workspace_id = var.workspace_id

  log {
    category = "kube-apiserver"
    enabled  = true
  }

  log {
    category = "kube-audit"
    enabled  = true
  }

  log {
    category = "kube-audit-admin"
    enabled  = true
  }

  log {
    category = "kube-controller-manager"
    enabled  = true
  }

  log {
    category = "kube-scheduler"
    enabled  = false
  }

  log {
    category = "cluster-autoscaler"
    enabled  = true
  }

  log {
    category = "guard"
    enabled  = true
  }
}

Selecteer Diagnostische instellingen in de sectie Bewaking van het menu voor het cluster. Selecteer vervolgens + Diagnostische instelling toevoegen.

Selecteer Verzenden naar Log Analytics-werkruimte en selecteer dezelfde werkruimte waar u uw containerlogboeken verzendt. Selecteer vervolgens de verschillende categorieën die u wilt verzamelen. Geef de naam van de diagnostische instelling een beschrijvende naam, zoals Logboeken van het besturingsvlak verzamelen.

Implementatie verifiëren

Binnen een paar minuten nadat u bewaking hebt ingeschakeld, moet u de volgende methoden kunnen gebruiken om te controleren of de bewakingsfuncties zijn ingeschakeld.

• Het cluster moet worden verplaatst van de weergave Niet-bewaakte clusters naar de weergave Bewaakte clusters in de weergave Met meerdere clusters in Container Insights.
• De monitorweergave voor het cluster moet beginnen met het vullen van gegevens en biedt geen optie meer om bewaking in te schakelen. Dit omvat de Nodes, Workloads en Containers-tabbladen.

Zie Diagnostische instellingen op schaal maken met behulp van ingebouwd Azure-beleid voor meer informatie over het gebruik van Azure Policy om diagnostische instellingen op schaal te maken.