הגדרת סוכן התפעול ל-Bare Metal Solution

סוכן התפעול אוסף יומנים ומדדים בשרת שלכם ב-Bare Metal Solution. הוא שולח את היומנים שלכם אל Cloud Logging ואת המדדים אל Cloud Monitoring. מידע נוסף על סוכן התפעול זמין במאמר סקירה כללית על סוכן התפעול.

אם כבר יש לכם פתרון קיים לניטור ברמת מערכת ההפעלה, ודאו שאתם יכולים לשתף איתנו נתונים במקרה של אירוע שבו תצטרכו את התמיכה שלנו. אם אין לכם פתרון כזה או פתרון אחר, מומלץ להשתמש ב-Ops Agent.

לפני שמתחילים

• מוודאים שבשרת Bare Metal Solution פועלת מערכת הפעלה נתמכת. מערכות ההפעלה הבאות נתמכות ב-Ops Agent:

  • ‫RHEL 7.x
  • RHEL 8.x
  • SLES 12.x
  • SLES 15.x

• מוודאים שיש לכם את פרטי הכניסה לחשבון השירות בשרת Bare Metal Solution שמאשרים תקשורת עם Cloud Logging ו-Cloud Monitoring. אם אין לכם את פרטי הכניסה הנדרשים, אתם צריכים לתת הרשאה לסוכן תפעול לפני ההתקנה.

• מפעילים את השירותים גם עבור Cloud Logging API וגם עבור Cloud Monitoring API.

אישור סוכן התפעול

לפני שמתקינים את סוכן תפעול, צריך לוודא שיש לו הרשאה לשלוח מידע אל Google Cloud. ההרשאה הזו ניתנת באמצעות פרטי כניסה לחשבון שירות שצריך לאחסן בשרת Bare Metal Solution. פרטי הכניסה האלה משמשים כApplication Default Credentials‏ (ADC) עבור Ops Agent.

הרשאה היא התהליך שבו קובעים אילו הרשאות יש ללקוח מאומת לגבי קבוצת משאבים. Google Cloud ההרשאה של סוכן תפעול בשרת Bare Metal Solution מתבצעת באמצעות ADC.

‫סוכן תפעול תומך ב-ADC שמאמתת באמצעות מפתח פרטי מחשבון שירות. המפתח מאשר את צמד המפתחות בחשבון שירות בפרויקט, וכך מאפשר ליצור אסימון גישה. לאחר מכן משתמשים באסימון כדי לספק זהות, כך שתוכלו לקיים אינטראקציה עם ממשקי API של Google Cloud מטעם חשבון השירות.

הענקת הרשאה לסוכן כוללת את השלבים הבאים:

1. יוצרים חשבון שירות.
2. מאשרים את חשבון השירות באמצעות מפתח פרטי.
3. נותנים הרשאה לסוכן התפעול.

אם כבר יש לכם את פרטי הכניסה הנדרשים, אתם יכולים לדלג על התהליך הזה ולהתקין את סוכן התפעול.

יצירה של חשבון שירות ומפתח

בקטע הזה מוסבר איך ליצור חשבון שירות חדש ולהעניק לו את התפקידים הנדרשים, ואיך לעדכן חשבון שירות קיים אם אין לו את התפקידים הנדרשים.

כדי ליצור חשבון שירות, צריך לבצע את השלבים שבמאמר יצירת חשבון שירות ולציין את הפרטים הבאים:

1. בוחרים את אותו Google Cloud פרויקט שמכיל את השרת של Bare Metal Solution כדי ליצור את חשבון השירות.
2. בתפריט הנפתח תפקיד, בוחרים בתפקידים הבאים:
   • Monitoring‏ > Monitoring Metric Writer.
   • Logging‏ > Logs Writer.
3. בוחרים באפשרות JSON בתור Key type.

4. לוחצים על יצירה.

   כשלוחצים על Create, קובץ שמכיל מפתח של חשבון שירות מורד למערכת המקומית. מידע נוסף מופיע במאמר יצירה ומחיקה של מפתחות של חשבונות שירות.

הערה: מפתחות של חשבונות שירות מהווים סיכון אבטחה אם לא מנהלים אותם בצורה נכונה. באחריותכם לאבטח את המפתח הפרטי ולבצע פעולות אחרות שמתוארות במאמר שיטות מומלצות לניהול מפתחות לחשבונות שירות. אם אין לכם אפשרות ליצור מפתח לחשבון שירות, יכול להיות שהיצירה של מפתחות לחשבון שירות מושבתת בארגון שלכם. מידע נוסף זמין במאמר בנושא ניהול משאבי ארגון שמוגדרים כמאובטחים כברירת מחדל.

אם קיבלתם את המפתח של חשבון השירות ממקור חיצוני, אתם צריכים לאמת אותו לפני השימוש. מידע נוסף זמין במאמר בנושא דרישות אבטחה לפרטי כניסה ממקור חיצוני.

בשלב הבא, מאשרים את סוכן תפעול באמצעות מפתח פרטי של חשבון שירות.

אישור חשבון שירות באמצעות מפתח פרטי

כדי לתת הרשאה ל-סוכן תפעול באמצעות מפתח פרטי של חשבון שירות:

1. מעתיקים את קובץ המפתח הפרטי למיקום הבא בשרת Bare Metal Solution כדי שסוכן תפעול יוכל לזהות את פרטי הכניסה.

   אזהרה: אם כבר יש לכם קובץ פרטי כניסה, ודאו שפרטי הכניסה החדשים לא יחליפו את פרטי הכניסה של האפליקציות הנוכחיות.

   /etc/google/auth/application_default_credentials.json
   

2. יוצרים משתנה סביבה שיצביע על קובץ פרטי הכניסה בתחנת העבודה. בדוגמה הבאה נוצר משתנה בשם CREDS:

   CREDS="~/Downloads/PROJECT-NAME-KEY-ID.json"
   

3. מעבירים את המפתח של חשבון השירות לשרת Bare Metal Solution.

   הערה: ההוראות הבאות מבוססות על ההנחה שיש לכם סביבת Linux במערכת המקומית ובשרת. אם אתם משתמשים בסביבה אחרת, כדאי לעיין במסמכי התיעוד של ספק שירותי הענן כדי להבין איך להעתיק את קובץ המפתח הפרטי. מוודאים שקובץ המפתח הפרטי נמצא באותו מיקום שבו נמצא המשתנה CREDS.

   במערכת המקומית, משתמשים בכלי שורת הפקודה scp.

   1. עוברים לדף Servers (שרתים).

      לדף Servers

   2. מזהים את הפרטים הבאים לגבי השרת:

      • מזהה פרויקט
      • שם השרת
      • מיקום השרת

   3. בשרת Bare Metal Solution, מריצים את הפקודות הבאות:

      GOOGLE_APPLICATION_CREDENTIALS="/etc/google/auth/application_default_credentials.json"
      sudo mkdir -p /etc/google/auth
      sudo mv "$HOME/temp.json" "$GOOGLE_APPLICATION_CREDENTIALS"
      sudo chown root:root "$GOOGLE_APPLICATION_CREDENTIALS"
      sudo chmod 0400 "$GOOGLE_APPLICATION_CREDENTIALS"
      
      

      המשתנה GOOGLE_APPLICATION_CREDENTIALS צריך להיות גלוי לתהליך של סוכן תפעול. אם קובץ פרטי הכניסה לא נמצא במיקום ברירת המחדל שצוין קודם, בנוסף לפקודות שבדוגמאות הקודמות, צריך לוודא שGOOGLE_APPLICATION_CREDENTIALS מוגדר וגלוי לתהליך של סוכן תפעול.

אישור סוכן התפעול

1. עורכים את הקובץ /etc/systemd/system.conf ומוסיפים את הפרטים הבאים. יוצרים את הקובץ אם הוא לא קיים.

   DefaultEnvironment=GOOGLE_APPLICATION_CREDENTIALS=path_to_credentials_file BMS_PROJECT_ID=PROJECT_ID BMS_LOCATION=REGION BMS_INSTANCE_ID=SERVER_ID
   

2. טוענים מחדש את משתני הסביבה.

   sudo systemctl daemon-reload
   

   לשרת Bare Metal Solution יש עכשיו את פרטי הכניסה שסוכן התפעול צריך.

3. בשרת Bare Metal Solution, מפעילים מחדש את סוכן התפעול כדי להשתמש בהרשאות החדשות על ידי הרצת הפקודה הבאה:

   sudo service google-cloud-ops-agent restart
   

התקנת סוכן התפעול

כדי להתקין את הסוכן באמצעות שורת הפקודה:

1. פותחים חיבור לטרמינל לשרת Bare Metal Solution באמצעות SSH או כלי דומה, ומוודאים שיש לכם גישת sudo.

2. עוברים לספרייה שיש לכם הרשאת כתיבה לגביה. לדוגמה, ספריית הבית.

3. מורידים ומריצים את סקריפט ההתקנה של סוכן תפעול באמצעות הפקודות הבאות:

   curl -sSO https://dl.google.com/cloudagents/add-google-cloud-ops-agent-repo.sh
   

   sudo REPO_SUFFIX=bms bash add-google-cloud-ops-agent-repo.sh --also-install
   

אחרי שההתקנה מסתיימת, סוכן תפעול מופעל באופן אוטומטי.

המאמרים הבאים

• מידע על הגדרות ברירת המחדל וההגדרות המותאמות אישית של Ops Agent מידע נוסף מופיע במאמר בנושא הגדרת סוכן התפעול.