‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הגדרת VM Manager

ב-Compute Engine, אתם יכולים לנהל את מערכות ההפעלה שפועלות במכונות הווירטואליות (VM) באמצעות VM Manager.

אתם יכולים להפעיל את VM Manager למכונות וירטואליות ספציפיות, לפרויקט או לכל הפרויקטים בתיקייה או בארגון. במאמר סקירה כללית של ההגדרה מוסבר איך להגדיר את המכונות הווירטואליות לשימוש ב-VM Manager. כדי להפעיל את VM Manager ולהקצות מדיניות של מערכת הפעלה בארגון באמצעות Terraform, קראו את המאמר הגדרת VM Manager בארגון באמצעות Terraform.

אחרי שמגדירים את VM Manager, אפשר לראות את יומני הביקורת של פעולות API שבוצעו באמצעות OS Config API. מידע נוסף זמין במאמר הצגת יומני הביקורת של VM Manager.

לפני שמתחילים

בודקים את המכסות של OS Config בפרויקט.
אם עדיין לא עשיתם את זה, תצטרכו להגדיר אימות. אימות הוא התהליך שבו מאמתים את הזהות שלכם כדי לקבל גישה לממשקי API ולשירותים של Google Cloud . כדי להריץ קוד או דוגמאות מסביבת פיתוח מקומית, אפשר לבצע אימות ל-Compute Engine באחת מהדרכים האלה:
צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:
המסוף

כשמשתמשים במסוף Google Cloud כדי לגשת לשירותים ולממשקי ה-API של Google Cloud , לא צריך להגדיר אימות.
gcloud
1. התקינו את ה-CLI של Google Cloud. אחר כך, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:
  gcloud init
  אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.
  
  הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.
הגדרת אזור ותחום כברירת מחדל.

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

התקינו את ה-CLI של Google Cloud.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

מערכות הפעלה נתמכות

כאן מופיעה רשימה מלאה של גרסאות מערכות ההפעלה שתומכות ב-VM Manager. אם סוכן הגדרות מערכת ההפעלה לא זמין למערכת הפעלה מסוימת, אי אפשר להפעיל את VM Manager למכונה וירטואלית שפועלת במערכת ההפעלה הזו.

הפעלת ה-API של שירות OS Config

כדי להפעיל את OS Config API בפרויקטים ב- Google Cloud , אתם יכולים להשתמש באחת מהשיטות הבאות:

לפרויקט אחד: הפעלת OS Config API לפרויקט אחד
לכל הפרויקטים בתיקייה או בארגון: הפעלת OS Config API בכמה פרויקטים

התפקידים הנדרשים

כדי לקבל את ההרשאה שנדרשת להפעלת ה-API, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של שימוש בשירות (roles/serviceusage.serviceUsageAdmin) בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקיד המוגדר מראש הזה כולל את ההרשאה serviceusage.services.enable, שנדרשת כדי להפעיל את ה-API.

יכול להיות שתוכלו לקבל את ההרשאה הזו גם בתפקידים בהתאמה אישית או בתפקידים מוגדרים מראש.

הפעלת OS Config API בפרויקט אחד

בפרויקט ב- Google Cloud , מפעילים את OS Config API.

המסוף

במסוף Google Cloud , בוחרים את הפרויקט שבו רוצים להפעיל את ה-API.
נכנסים לדף OS Config API.
כניסה ל-OS Config API
לוחצים על Enable.

gcloud

כדי להפעיל את ה-API, מריצים את הפקודה הבאה:

gcloud services enable osconfig.googleapis.com --project=PROJECT_ID

מחליפים את PROJECT_ID במזהה הפרויקט.

הפעלת OS Config API בכמה פרויקטים

כדי להפעיל את OS Config API (‏VM Manager API) לכל הפרויקטים בארגון או בתיקייה, משתמשים בהפעלת שירות היררכית. התכונה הזו מפעילה באופן אוטומטי שירות לכל הפרויקטים הקיימים והחדשים בהיררכיית המשאבים של Google Cloud , ולכן לא צריך להפעיל את השירות באופן ידני לכל פרויקט.

מידע נוסף על הפעלת שירותים היררכית זמין במאמר סקירה כללית על הפעלת שירותים היררכית.

לחלופין, כדי להפעיל את VM Manager ולהקצות כללי מדיניות של מערכת ההפעלה בכל הארגון באמצעות Terraform, קראו את המאמר הגדרת VM Manager בכל הארגון באמצעות Terraform.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות לניהול הפעלת השירות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של שימוש בשירות (roles/serviceusage.serviceUsageAdmin) במשאב היעד. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד מוגדר מראש עם ההרשאות לניהול הפעלת השירות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי לנהל את הפעלת השירות, נדרשות ההרשאות הבאות:

רשימת השירותים:
- serviceusage.effectivepolicy.get
- serviceusage.services.list
- serviceusage.services.get
מפעילים את השירותים:
- serviceusage.consumerpolicy.get
- serviceusage.consumerpolicy.update
- serviceusage.groups.listExpandedMembers
השבתת שירותים:
- serviceusage.consumerpolicy.get
- serviceusage.consumerpolicy.update
- serviceusage.consumerpolicy.analyze

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

תיקייה

כדי להפעיל את OS Config API בכל הפרויקטים בתיקייה, מריצים את הפקודה הבאה:

gcloud beta services enable osconfig.googleapis.com \
    --folder=FOLDER_ID

מחליפים את FOLDER_ID במזהה התיקייה.

ארגון

כדי להפעיל את OS Config API בכל הפרויקטים בארגון, מריצים את הפקודה הבאה:

gcloud beta services enable osconfig.googleapis.com \
    --organization=ORGANIZATION_ID

מחליפים את ORGANIZATION_ID במזהה הארגון.

הגדרת המטא-נתונים של VM Manager באמצעות מדיניות הארגון

כדי להגדיר באופן אוטומטי את המטא-נתונים של VM Manager לכל המכונות הווירטואליות החדשות בארגון, בתיקייה או בפרויקט, אתם יכולים להשתמש במדיניות הארגון "דרישה להגדרת מערכת ההפעלה".

כשמגדירים את האילוץ הבוליאני "דרישה להגדרת מערכת ההפעלה", התנאים הבאים חלים:

הערך enable-osconfig=TRUE נכלל במטא-נתונים של כל הפרויקטים החדשים.
בקשות שבהן הערך של enable-osconfig מוגדר כ-FALSE במטא-נתונים של המכונה או הפרויקט נדחות, גם במכונות וירטואליות ובפרויקטים חדשים וגם בקיימים.
מדיניות הארגון הזו לא משנה את ערך המטא-נתונים enable-osconfig ל-TRUE במכונות וירטואליות או בפרויקטים שנוצרו לפני הפעלת המדיניות. אם אתם רוצים להפעיל את VM Manager במכונות הווירטואליות או בפרויקטים האלה, מומלץ לעדכן את המטא-נתונים. מידע נוסף זמין במאמר הגדרת ערכי המטא-נתונים.

כשהמדיניות של OS Config מופעלת בארגון, עדיין אפשר להשתמש במטא-נתונים של osconfig-disabled-features כדי להשבית תכונה אחת או יותר של VM Manager.

הפעלת מדיניות הארגון של OS Config

ההרשאות שנדרשות למשימה הזו

כדי לבצע את המשימה הזו נדרשות ההרשאות הבאות:

resourcemanager.organizationAdmin role. מידע נוסף זמין במאמר בקרת גישה לארגונים שמשתמשים ב-IAM.
מידע נוסף על ניהול כללי מדיניות ברמת הארגון זמין במאמר הוספת אדמין של מדיניות הארגון.

כדי להפעיל את מדיניות OS Config, אתם יכולים להגדיר את האילוץ Require OS Config בארגון כולו, בתיקיות או בפרויקטים ספציפיים באמצעות מסוףGoogle Cloud או Google Cloud CLI.

המסוף

כדי להגדיר את מדיניות הארגון של OS Config מהמסוף, מבצעים את השלבים הבאים:

במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

כניסה לדף Organization policies
בכלי לבחירת פרויקטים, בוחרים את הפרויקט, התיקייה או הארגון שבהם רוצים לערוך את מדיניות הארגון.
בדף Organization policies מוצגת רשימה של אילוצים זמינים של מדיניות הארגון, שאפשר לסנן.
בוחרים באילוץ Require OS Config מרשימת האילוצים. בדף Policy details שמופיע מתואר האילוץ ומוסבר איך הוא מיושם.
כדי לעדכן את מדיניות הארגון של המשאב הזה, לוחצים על ניהול המדיניות.
בדף עריכת המדיניות, בוחרים באפשרות במקום המדיניות של המשאב הראשי.
לוחצים על הוספת כלל.
בקטע Enforcement, בוחרים אם להפעיל את האכיפה של מדיניות הארגון הזו.
כדי לאכוף את המדיניות, לוחצים על הגדרת מדיניות.

gcloud

כדי להגדיר את מדיניות הארגון של OS Config, משתמשים בפקודה gcloud beta resource-manager org-policies enable-enforce.

מאתרים את מזהה הארגון.
```
gcloud organizations list
```

מגדירים את האילוץ בארגון. מחליפים את organization-id במזהה הארגון.

gcloud resource-manager org-policies enable-enforce compute.requireOsConfig \
    --organization=organization-id

אפשר גם להחיל את מדיניות הארגון של OS Config על תיקייה או על פרויקט באמצעות הדגלים --folder או --project, ומזהה התיקייה ומזהה הפרויקט, בהתאמה.

לתיקיות, מריצים את הפקודה הבאה:

gcloud resource-manager org-policies enable-enforce compute.requireOsConfig \
    --folder=folder-id

לפרויקטים, מריצים את הפקודה הבאה:

gcloud resource-manager org-policies enable-enforce compute.requireOsConfig \
    --project=project-id

מחליפים את מה שכתוב בשדות הבאים:

‫folder-id: מזהה התיקייה.
‫project-id: מזהה הפרויקט.

הפעלת VM Manager בפרויקט

זהירות: כדי ליצור משימות תיקון או הקצאות של מדיניות מערכת הפעלה באמצעות VM Manager, צריך לתת למשתמשים את ההרשאות הנדרשות לניהול זהויות והרשאות גישה (IAM). ההרשאות האלה מאפשרות להם להריץ קוד במכונות וירטואליות, מה שעלול להוות סיכון אבטחה פוטנציאלי.

כדי לצמצם את הסיכון הזה, מומלץ לפעול לפי העיקרון של הרשאות מינימליות ולתת לכל משתמש רק את הגישה הנדרשת. אם אתם לא מתכננים להשתמש ב-VM Manager בפרויקט Google Cloud , מומלץ להשבית את VM Manager באופן הבא:

משביתים את התכונות של מדיניות התיקונים ומערכת ההפעלה באמצעות הגדרת המטא-נתונים ברמת הפרויקט.

משביתים את VM Manager על ידי הגדרת המטא-נתונים של enable-osconfig לערך FALSE.

השבתת הסוכן של OS Config.

כדי להפעיל את VM Manager בפרויקט, יש שתי אפשרויות:

הפעלה אוטומטית: חלה על כל הפרויקט ב- Google Cloud . את ההפעלה האוטומטית מבצעים במסוף Google Cloud . יכול להיות שעדיין תצטרכו לבצע כמה שלבים באופן ידני.
הפעלה ידנית: אפשר להפעיל בכל מכונה וירטואלית בנפרד או בכל הפרויקט ב- Google Cloud .

גלילה ידנית

כדי להגדיר את VM Manager באופן ידני, מבצעים את השלבים הבאים:

בפרויקט ב- Google Cloud , מפעילים את OS Config API.
בכל מכונה וירטואלית, בודקים אם סוכן OS Config מותקן. אם הסוכן עדיין לא מותקן, מתקינים את סוכן OS Config.
בפרויקט או בכל מכונה וירטואלית, מגדירים מטא-נתונים של המכונה לסוכן OS Config. השלב הזה נדרש כדי להפעיל את סוכן OS Config ב-VM או בפרויקט.
מוודאים שלכל המכונות הווירטואליות יש חשבון שירות מצורף. לא צריך להקצות תפקידי IAM לחשבון השירות הזה. ‫VM Manager משתמש בחשבון השירות הזה כדי לחתום על בקשות לשירות ה-API.
אם המכונה הווירטואלית פועלת ברשת VPC פרטית ואין לה גישה לאינטרנט הציבורי, צריך להפעיל את גישה פרטית ל-Google.
אם אתם משתמשים בשרת proxy ל-HTTP במכונות הווירטואליות, מגדירים שרת proxy ל-HTTP.
אופציונלי. בפרויקט או בכל מכונה וירטואלית, משביתים את התכונות שלא צריך.

אוטומטי

בפעם הראשונה שנכנסים לאחד מהדפים של VM Manager במסוףGoogle Cloud , אפשר לבחור להפעיל את VM Manager באופן אוטומטי.

אם תפעלו לפי השלבים במדריך, תוכלו להשתמש בהפעלה האוטומטית כדי לבצע את הפעולות הבאות:

הפעלת VM Manager‏ (OS Config API) בפרויקט ב- Google Cloud
הפעלת סוכני OS Config בכל המכונות הווירטואליות בפרויקט Google Cloud שבהן הסוכן מותקן

הפעלה אוטומטית.

בדיקה אם סוכן OS Config מותקן

סוכן OS Config מותקן כברירת מחדל בתמונות של CentOS, מערכת הפעלה שמותאמת לקונטיינרים (COS),‏ Debian, ‏ Red Hat Enterprise Linux‏ (RHEL), ‏ Rocky Linux, ‏ SLES, ‏ Ubuntu ו-Windows Server, עם תאריך גרסה של v20200114 ואילך. במאמר פרטים על מערכת ההפעלה תוכלו לקרוא על הגרסאות של מערכות ההפעלה שבהן מותקן סוכן OS Config. הסוכנים האלה נשארים במצב של חוסר פעילות עד שמפעילים את המטא-נתונים של הסוכן ומפעילים את ה-API של השירות.

Linux

כדי לבדוק אם הסוכן מותקן ב-VM של Linux, מריצים את הפקודה הבאה:

sudo systemctl status google-osconfig-agent

אם הסוכן מותקן ופועל, הפלט דומה לזה:

google-osconfig-agent.service - Google OSConfig Agent
Loaded: loaded (/lib/systemd/system/google-osconfig-agent.service; enabled; vendor preset:
Active: active (running) since Wed 2020-01-15 00:14:22 UTC; 6min ago
Main PID: 369 (google_osconfig)
 Tasks: 8 (limit: 4374)
Memory: 102.7M
CGroup: /system.slice/google-osconfig-agent.service
        └─369 /usr/bin/google_osconfig_agent

אם הסוכן לא מותקן, מתקינים את סוכן OS Config.

Windows

כדי לבדוק אם הסוכן מותקן ב-VM של Windows, מריצים את הפקודה הבאה:

PowerShell Get-Service google_osconfig_agent

אם הסוכן מותקן ופועל, הפלט דומה לזה:

Status   Name               DisplayName
------   ----               -----------
Running  google_osconfig... Google OSConfig Agent

אם הסוכן לא מותקן, מתקינים את סוכן OS Config.

התקנת הסוכן OS Config

לפני שמתקינים את הסוכן, צריך לבדוק אם הוא כבר פועל ב-VM.

מתקינים את סוכן OS Config בכל מכונה וירטואלית. אפשר להתקין את הסוכן OS Config באחת מהדרכים הבאות:

מתקינים את הסוכן באופן ידני מהטרמינל.
שימוש בסקריפט לטעינה בזמן ההפעלה במכונות הווירטואליות.
אוטומציה של התקנת OS Config בכמה מכונות וירטואליות באמצעות מדיניות הסוכנים של Google Cloud Observability.
התקנת סוכן תפעול במהלך יצירת מכונה וירטואלית.

התקנה ידנית של הסוכן

אתם יכולים להשתמש באפשרות הזו כדי להתקין את סוכן OS Config במכונה וירטואלית קיימת.

כדי להתקין את הסוכן:

מתחברים למכונה הווירטואלית שבה רוצים להתקין את סוכן OS Config.
מתקינים את סוכן OS Config.
Windows Server
כדי להתקין את סוכן OS Config בשרת Windows, מריצים את הפקודה הבאה:
googet -noconfirm install google-osconfig-agent
Ubuntu
כדי להתקין את סוכן OS Config ב-VM של Ubuntu, מריצים את הפקודות הבאות:
1. מגדירים את המאגר של Ubuntu.
  
  בגרסאות Ubuntu 20.04 ואילך, מריצים את הפקודות הבאות:
  
  מוסיפים את המאגר של Ubuntu.
  
  sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-focal-stable main' > \ /etc/apt/sources.list.d/google-compute-engine.list"
  
  מייבאים את המפתח הציבורי של Google Cloud .
  
  curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \ sudo apt-key add -
  
  ב-Ubuntu 18.04 ובגרסאות חדשות יותר, מריצים את הפקודות הבאות:
  
  מוסיפים את המאגר של Ubuntu.
  
  sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-bionic-stable main' > \ /etc/apt/sources.list.d/google-compute-engine.list"
  
  מייבאים את המפתח הציבורי של Google Cloud .
  
  curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \ sudo apt-key add -
  
  ב-Ubuntu 16.04, מריצים את הפקודות הבאות:
  
  מוסיפים את המאגר של Ubuntu.
  
  sudo su -c "echo 'deb http://packages.cloud.google.com/apt google-compute-engine-xenial-stable main'> \ /etc/apt/sources.list.d/google-compute-engine.list"
  
  מייבאים את המפתח הציבורי של Google Cloud .
  
  curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | \ sudo apt-key add -
2. מתקינים את סוכן OS Config.
  
  sudo apt update sudo apt -y install google-osconfig-agent
Debian
כדי להתקין את סוכן OS Config ב-VM של Debian, מריצים את הפקודות הבאות:
sudo apt update sudo apt -y install google-osconfig-agent
הערה: אם אתם משתמשים במכונה וירטואלית שלא נוצרה מתמונה ש-Google סיפקה, או אם מופיעה השגיאה E: Unable to locate package google-osconfig-agent, אתם צריכים להוסיף את המאגר Google Cloudואת המפתח הציבורי.

הוספת Google Cloud המאגר והמפתח הציבורי

אם אתם משתמשים במכונה וירטואלית שלא נוצרה מתמונה ש-Google סיפקה, או אם קיבלתם את הודעת השגיאה "unable to locate package", בצעו את השלבים הבאים כדי להוסיף את המאגר של Google Cloudולייבא את המפתח הציבורי.

אחרי שמוסיפים את המאגר ומייבאים את המפתח, אפשר להריץ את הפקודות להתקנת הסוכן של OS Config.
1. מגדירים את ה-Cloud Repository של Debian:
  
  ‫Debian 13 ואילך
  
  מתקינים את מפתח ה-GPG של המאגר הציבורי ב-/etc/apt/keyrings:
  
  sudo curl https://packages.cloud.google.com/apt/doc/apt-key.gpg -o /etc/apt/keyrings/google-keyring.gpg
  
  מזהים את שם ההפצה של Debian. אחר כך יוצרים את קובץ רשימת המקורות, /etc/apt/sources.list.d/google-cloud.list:
  
  eval $(grep VERSION_CODENAME /etc/os-release) sudo tee /etc/apt/sources.list.d/google-cloud.list << EOM deb [signed-by=/etc/apt/keyrings/google-keyring.gpg] http://packages.cloud.google.com/apt google-compute-engine-${VERSION_CODENAME}-stable main EOM
  
  ‫Debian 12 וגרסאות קודמות
  
  מתקינים את מפתח ה-GPG של המאגר הציבורי:
  
  curl https://packages.cloud.google.com/apt/doc/apt-key.gpg | sudo apt-key add -
  
  מזהים את שם ההפצה של Debian. אחר כך יוצרים את קובץ רשימת המקורות, /etc/apt/sources.list.d/google-cloud.list:
  
  eval $(grep VERSION_CODENAME /etc/os-release) sudo tee /etc/apt/sources.list.d/google-cloud.list << EOM deb http://packages.cloud.google.com/apt google-compute-engine-${VERSION_CODENAME}-stable main deb http://packages.cloud.google.com/apt google-cloud-packages-archive-keyring-${VERSION_CODENAME} main EOM
RHEL/CentOS/Rocky
כדי להתקין את סוכן הגדרות מערכת ההפעלה ב-VM עם RHEL 7/8, ‏ CentOS 7/8 או Rocky Linux 8/9, מריצים את הפקודה הבאה:
sudo yum -y install google-osconfig-agent
SLES/openSUSE
כדי להתקין את סוכן OS Config ב-VM של SLES או openSUSE, מריצים את הפקודות הבאות:
1. מגדירים את המאגר של SLES.
  
  ב-SLES 12, מריצים את הפקודה הבאה:
  
  sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM [google-compute-engine] name=Google Compute Engine baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles12-stable enabled=1 gpgcheck=1 repo_gpgcheck=0 gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg EOM"
  
  ב-SLES 15 וב-OpenSUSE 15, מריצים את הפקודה הבאה:
  
  sudo su -c "cat > /etc/zypp/repos.d/google-compute-engine.repo <<EOM [google-compute-engine] name=Google Compute Engine baseurl=https://packages.cloud.google.com/yum/repos/google-compute-engine-sles15-stable enabled=1 gpgcheck=1 repo_gpgcheck=0 gpgkey=https://packages.cloud.google.com/yum/doc/yum-key.gpg https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg EOM"
2. מייבאים את מפתחות ה-GPG של Google Cloud.
  
  sudo rpm --import https://packages.cloud.google.com/yum/doc/yum-key.gpg \ --import https://packages.cloud.google.com/yum/doc/rpm-package-key.gpg
3. מתקינים את סוכן OS Config.
  
  sudo zypper -n --gpg-auto-import-keys install --from google-compute-engine google-osconfig-agent

התקנת הסוכן באמצעות סקריפט לטעינה בזמן ההפעלה

אתם יכולים גם להשתמש בפקודות ההתקנה הידנית כדי ליצור סקריפט לטעינה בזמן ההפעלה שמתקין את סוכן OS Config במהלך יצירת ה-VM.

מעתיקים את הפקודות הידניות של מערכת ההפעלה.
מזינים את הסקריפט לטעינה בזמן ההפעלה בשיטה ליצירת מכונה וירטואלית.

לדוגמה, אם אתם משתמשים בפקודה gcloud compute instances create כדי ליצור מכונה וירטואלית של Debian 10, הפקודה תיראה כך:
```
gcloud compute instances create VM_NAME \
   --image-family=debian-10 --image-project=debian-cloud \
   --metadata startup-script='#! /bin/bash
   apt update
   apt -y install google-osconfig-agent'
```
מחליפים את VM_NAME בשם של המכונה הווירטואלית.
מוודאים שהסקריפט לטעינה בזמן ההפעלה הושלם. כדי לוודא שהסקריפט לטעינה בזמן ההפעלה הושלם, בודקים את היומנים או את הקונסולה הטורית.

הגדרת ערכי המטא-נתונים

אתם יכולים להגדיר מטא-נתונים של מכונה בכל מכונה וירטואלית, או מטא-נתונים של פרויקט שחלים על כל המכונות הווירטואליות בפרויקט.

בפרויקט או במכונה הווירטואלית ב- Google Cloud , מגדירים את ערך המטא-נתונים enable-osconfig ל-TRUE. הגדרת ערך המטא-נתונים enable-osconfig ל-TRUE מאפשרת את הפעולות הבאות:

תיקון
כללי מדיניות של מערכת ההפעלה
ניהול מלאי של מערכת ההפעלה
- בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, צריך גם להגדיר את ערך המטא-נתונים enable-guest-attributes ל-TRUE. אם שני ערכי המטא-נתונים לא מוגדרים, במכונה הווירטואלית בלוח הבקרה יוצג הכיתוב No data. ההגדרה הזו לא נדרשת בגרסה העדכנית יותר. למידע נוסף על שתי הגרסאות של ניהול מלאי של מערכת ההפעלה

המסוף

אתם יכולים להחיל את ערכי המטא-נתונים על Google Cloud הפרויקטים או המכונות הווירטואליות באחת מהאפשרויות הבאות:

אפשרות 1: מגדירים את enable-osconfig במטא-נתונים ברמת הפרויקט, כדי שההגדרה תחול על כל המכונות הווירטואליות בפרויקט.
1. נכנסים לדף Metadata במסוף Google Cloud .
  
  מעבר למטא-נתונים
2. לוחצים על Edit.
3. מוסיפים את רשומת המטא-נתונים הבאה:
  
  מפתח: enable-osconfig
  ערך: TRUE
  
  בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
  - מפתח: enable-osconfig
    ערך: TRUE
  - מפתח: enable-guest-attributes
    ערך: TRUE
4. לוחצים על שמירה כדי להחיל את השינויים.
אפשרות 2: מגדירים את enable-osconfig במטא-נתונים של המכונה הווירטואלית כשיוצרים מכונה.
1. נכנסים לדף Create an instance במסוף Google Cloud .
  
  כניסה לדף Create an instance
2. מציינים את פרטי ה-VM.
3. מרחיבים את הקטע Advanced options ומבצעים את הפעולות הבאות:
  1. מרחיבים את הקטע Management.
  2. בקטע Metadata, לוחצים על Add item ומוסיפים את רשומות המטא-נתונים הבאות:
    
    מפתח: enable-osconfig
    ערך: TRUE.
    
    בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
    - מפתח: enable-osconfig
      ערך: TRUE
    - מפתח: enable-guest-attributes
      ערך: TRUE
4. כדי ליצור את המכונה הווירטואלית (VM), לוחצים על האפשרות Create.
אפשרות 3: מגדירים את enable-osconfig במטא-נתונים של מכונה וירטואלית קיימת.
1. נכנסים לדף VM instances במסוף Google Cloud .
  
  כניסה לדף VM instances
2. לוחצים על שם המכונה הווירטואלית שרוצים להגדיר לה את ערך המטא-נתונים.
3. בדף Instance details, לוחצים על Edit כדי לערוך את ההגדרות.
4. בקטע Custom metadata, מוסיפים את רשומות המטא-נתונים הבאות:
  
  מפתח: enable-osconfig
  ערך: TRUE.
  
  בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
  - מפתח: enable-osconfig
    ערך: TRUE
  - מפתח: enable-guest-attributes
    ערך: TRUE
5. לוחצים על Save כדי להחיל את השינויים על ה-VM.

gcloud

משתמשים בפקודה project-info add-metadata או instances add-metadata עם הדגל --metadata=enable-osconfig=TRUE.

אתם יכולים להחיל את ערכי המטא-נתונים על הפרויקטים או על המכונות הווירטואליות באחת מהדרכים הבאות:

אפשרות 1: מגדירים את enable-osconfig במטא-נתונים ברמת הפרויקט, כדי שההגדרה תחול על כל המכונות בפרויקט:
```
gcloud compute project-info add-metadata \
  --project PROJECT_ID \
  --metadata=enable-osconfig=TRUE
```
בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
```
gcloud compute project-info add-metadata \
  --project PROJECT_ID \
  --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
```
מחליפים את PROJECT_ID במזהה הפרויקט.
אפשרות 2: מגדירים את enable-osconfig במטא-נתונים של מכונה קיימת.
```
gcloud compute instances add-metadata VM_NAME \
  --metadata=enable-osconfig=TRUE
```
בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
```
gcloud compute instances add-metadata VM_NAME \
  --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
```
מחליפים את VM_NAME בשם של המכונה הווירטואלית.
אפשרות 3: מגדירים את enable-osconfig במטא-נתונים של המכונה כשיוצרים אותה.
```
gcloud compute instances create VM_NAME \
  --metadata=enable-osconfig=TRUE
```
בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, מגדירים גם את enable-osconfig וגם את enable-guest-attributes:
```
gcloud compute instances create VM_NAME \
  --metadata=enable-guest-attributes=TRUE,enable-osconfig=TRUE
```
מחליפים את VM_NAME בשם של המכונה הווירטואלית.

REST

אפשר להגדיר את ערך המטא-נתונים ברמת הפרויקט או ברמת המכונה. Google Cloud

במאמר הגדרת מטא-נתונים מותאמים אישית ברמת הפרויקט מוסבר איך מגדירים מטא-נתונים ברמת הפרויקט.
במאמר הגדרת מטא-נתונים של מכונה מוסבר איך מגדירים מטא-נתונים של מכונה.

צמד המפתח/ערך הבא נדרש כחלק מהמאפיין metadata:

מפתח: enable-osconfig
ערך: TRUE

בגרסה הקודמת של ניהול מלאי של מערכת ההפעלה, צריך להוסיף גם את צמד המפתח/ערך הבא:

מפתח: enable-guest-attributes
ערך: TRUE

הגדרת שרת Proxy ל-HTTP

אם אתם משתמשים בשרת proxy ל-HTTP בשביל המכונות הווירטואליות, הריצו את הפקודות הבאות כדי להגדיר את משתני הסביבה http_proxy ו-https_proxy. כדי לאפשר לסוכן OS Config לגשת לשרת המטא-נתונים המקומי, צריך להגדיר את משתנה הסביבה no_proxy כך שלא יכלול את שרת המטא-נתונים (169.254.169.254 ו-fd20:ce::254).

Linux

בהפצות של Linux שמשתמשות ב-systemd, מוסיפים את משתני הסביבה של שרת ה-proxy ליחידת google-osconfig-agent.service בתור המשתמש root:

mkdir -p /etc/systemd/system/google-osconfig-agent.service.d
cat >/etc/systemd/system/google-osconfig-agent.service.d/override.conf <<EOF
[Service]
Environment="http_proxy=http://PROXY_IP:PROXY_PORT" \
  "https_proxy=http://PROXY_IP:PROXY_PORT" \
  "no_proxy=169.254.169.254,fd20:ce::254,metadata,metadata.google.internal"
EOF

מחליפים את PROXY_IP ו-PROXY_PORT בכתובת ה-IP ובמספר היציאה של שרת ה-proxy, בהתאמה.

מפעילים מחדש את שירות הסוכן של OS Config:

systemctl daemon-reload
systemctl restart google-osconfig-agent

כדי לוודא שמשתני הסביבה מוגדרים בצורה נכונה, בודקים את משתני הסביבה של הנציג שפועל:

tr '\0' '\n' < /proc/$(systemctl show -p MainPID --value google-osconfig-agent)/environ

Windows

מריצים את הפקודות הבאות משורת הפקודה של האדמין.

  setx http_proxy http://PROXY_IP:PROXY_PORT /m
  setx https_proxy http://PROXY_IP:PROXY_PORT /m
  setx no_proxy 169.254.169.254,fd20:ce::254,metadata,metadata.google.internal /m

מחליפים את PROXY_IP ו-PROXY_PORT בכתובת ה-IP ובמספר היציאה של שרת ה-proxy, בהתאמה.

‫Google ממליצה להחריג את *.googleapis.com על ידי הוספת משתנה הסביבה no_proxy כדי למנוע בעיות בחיבור מסוכן OS Config. אם רוצים לחבר רק מכונות וירטואליות ספציפיות לסוכן OS Config, מוסיפים את התחילית של האזור שבו נמצאות המכונות הווירטואליות, ומשתמשים בפורמט [zone-name]-osconfig.googleapis.com. לדוגמה, us-central1-f-osconfig.googleapis.com.

השבתת תכונות שאין צורך בהן

כדי להשבית תכונות שאתם לא צריכים, אתם יכולים להגדיר את ערכי המטא-נתונים הבאים: osconfig-disabled-features=FEATURE1,FEATURE2.

מחליפים את FEATURE1,FEATURE2 בכל אחד מהערכים הבאים:

ניהול מלאי של מערכת ההפעלה: osinventory
כללי מדיניות בנושא תיקונים ומערכת ההפעלה: tasks
מדיניות אורח של מערכת ההפעלה (בטא): guestpolicies

כדי להשבית את ערכי המטא-נתונים, משתמשים באחת מהשיטות הבאות.

המסוף

כדי להשבית את ערכי המטא-נתונים בפרויקטים או במכונות הווירטואליות ב- Google Cloud , אתם יכולים להשתמש באחת מהאפשרויות הבאות:

אפשרות ראשונה: השבתת התכונה במטא-נתונים ברמת הפרויקט, כדי שהיא תחול על כל המכונות בפרויקט.
1. נכנסים לדף Metadata במסוף Google Cloud .
  
  מעבר למטא-נתונים
2. לוחצים על Edit.
3. מוסיפים את רשומת המטא-נתונים הבאה:
  
  מפתח: osconfig-disabled-features
  ערך: FEATURE1,FEATURE2
  
  לדוגמה:
  מפתח: osconfig-disabled-features
  ערך: osinventory,guestpolicies
4. לוחצים על שמירה כדי להחיל את השינויים.
אפשרות 2: השבתת התכונה במטא-נתונים של מכונה וירטואלית קיימת.
1. נכנסים לדף VM instances במסוף Google Cloud .
  
  כניסה לדף VM instances
2. לוחצים על שם המכונה הווירטואלית שבה רוצים להגדיר את ערך המטא-נתונים.
3. בדף Instance details, לוחצים על Edit כדי לערוך את הגדרות המכונה הווירטואלית.
4. בקטע Custom metadata, מוסיפים את רשומות המטא-נתונים הבאות:
  
  מפתח: osconfig-disabled-features
  ערך: FEATURE1,FEATURE2
  
  לדוגמה:
  מפתח: osconfig-disabled-features
  ערך: osinventory
5. לוחצים על Save כדי להחיל את השינויים על ה-VM.

gcloud

משתמשים בפקודה project-info add-metadata או בפקודה instances add-metadata gcloud עם הדגל --metadata=osconfig-disabled-features.

אם משביתים כמה תכונות, הדגל צריך להיות בפורמט --metadata=osconfig-disabled-features=FEATURE1,FEATURE2. ראו דוגמה 2.

דוגמה 1 כדי להשבית את Patch ברמת הפרויקט Google Cloud באמצעות ה-CLI של Google Cloud, מריצים את הפקודה הבאה:

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=tasks

דוגמה 2 כדי להשבית את מדיניות מערכת ההפעלה ואת ניהול המלאי של מערכת ההפעלה ברמת הפרויקט באמצעות Google Cloud CLI, מריצים את הפקודה הבאה:

gcloud compute project-info add-metadata \
    --project PROJECT_ID \
    --metadata=osconfig-disabled-features=osinventory,guestpolicies

מחליפים את PROJECT_ID במזהה הפרויקט.

REST

אפשר להגדיר את ערך המטא-נתונים ברמת הפרויקט או ברמת המכונה. Google Cloud

במאמר הגדרת מטא-נתונים מותאמים אישית ברמת הפרויקט מוסבר איך מגדירים מטא-נתונים ברמת הפרויקט.
במאמר הגדרת מטא-נתונים של מכונה מוסבר איך מגדירים מטא-נתונים של מכונה.

צמד המפתח/ערך הבא נדרש כחלק מהמאפיין metadata:

מפתח: osconfig-disabled-features
ערך: יכול להיות כל אחד מהדגלים הבאים או שילוב שלהם:
- osinventory
- tasks
- guestpolicies

הדרישות לסוכן OS Config פעיל

כדי שסוכן OS Config ייחשב כפעיל וניתן לחיוב, הוא צריך לעמוד בכל הדרישות הבאות:

צריך להגדיר את VM Manager.
המכונה הווירטואלית צריכה להיות במצב RUNNING, וסוכן OS Config צריך לתקשר עם שירות OS Config.

אם מכונה וירטואלית נעצרת, מושעית או מנותקת מהרשת, הסוכן במכונה הווירטואלית הזו לא נספר כסוכן פעיל.

אימות ההגדרה

אחרי שתסיימו את תהליך ההגדרה, תוכלו לאמת את ההגדרה.

הצגת ההגדרות של התכונות של VM Manager בפרויקט

כדי לבדוק אם כל התכונות של VM Manager מופעלות בפרויקט:

gcloud

משתמשים בפקודה gcloud compute os-config project-feature-settings describe באופן הבא:

gcloud compute os-config project-feature-settings describe \
    --project PROJECT_ID

הפלט של הפקודה אמור להיראות כך:

name: projects/my-project/locations/global/projectFeatureSettings
patchAndConfigFeatureSet: OSCONFIG_C

הערך OSCONFIG_C מייצג את קבוצת התכונות המלאה של VM Manager, והערך OSCONFIG_B מייצג את קבוצת התכונות המוגבלת.

REST

כדי לראות את התכונות של VM Manager בפרויקט Google Cloud , יוצרים בקשת GET ל-method‏ projects.locations.global.getProjectFeatureSettings.

   GET https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings

מחליפים את PROJECT_ID במזהה הפרויקט.

אם הפעולה בוצעה ללא שגיאות, ה-method מחזירה את הגדרות התכונות של הפרויקט, כמו בדוגמה הבאה:

{
 "name": "projects/my-project/locations/global/projectFeatureSettings",
 "patchAndConfigFeatureSet": "OSCONFIG_C"
}

הערך OSCONFIG_C מייצג את קבוצת התכונות המלאה של VM Manager, והערך OSCONFIG_B מייצג את קבוצת התכונות המוגבלת.

הפעלת כל הפונקציונליות של VM Manager

אם VM Manager לא מופעל בפרויקט ומתקינים את סוכן תפעול במהלך יצירת ה-VM, אז VM Manager מופעל במצב מוגבל. במצב הזה, VM Manager מציע קבוצת משנה של תכונות למספר בלתי מוגבל של מכונות וירטואליות ללא עלות. לדוגמה, אתם יכולים לראות את הקצאות מדיניות מערכת ההפעלה של המכונות הווירטואליות בדף OS policies, אבל לא ליצור או לערוך הקצאות מדיניות של מערכת ההפעלה.

כדי להפעיל את כל התכונות של VM Manager במכונות הווירטואליות האלה שמותקן בהן סוכן תפעול:

המסוף

נכנסים לדף OS policies במסוף Google Cloud .

למדיניות של מערכת ההפעלה

לוחצים על Enable full VM Manager functionality כדי להפעיל את כל התכונות של VM Manager.

הערה: אם רוצים להפעיל את VM Manager לכל המכונות הווירטואליות בפרויקט, צריך להגדיר את המטא-נתונים enable-osconfig ברמת הפרויקט לערך true. מידע נוסף זמין במאמר הגדרת ערכי המטא-נתונים.

gcloud

כדי להפעיל את כל התכונות של VM Manager בפרויקט Google Cloud , משתמשים בפקודה gcloud compute os-config project-feature-settings update:

gcloud compute os-config project-feature-settings update \
    --project PROJECT_ID \
    --patch-and-config-feature-set=full

REST

כדי להפעיל את כל התכונות של VM Manager ברמת הפרויקט ב- Google Cloud , שולחים בקשת PATCH ל-method‏ projects.locations.global.updateProjectFeatureSettings.

   PATCH https://osconfig.googleapis.com/v1/projects/PROJECT_ID/locations/global/projectFeatureSettings
   {
     "name": "projects/PROJECT_ID/locations/global/projectFeatureSettings",
     "patchAndConfigFeatureSet": "OSCONFIG_C"
   }

מחליפים את PROJECT_ID במזהה הפרויקט. הערך OSCONFIG_C מייצג את קבוצת התכונות המלאה של VM Manager.

השבתת הסוכן OS Config

השבתת הסוכן של OS Config לא משפיעה על ההתנהגות של ה-VM. אפשר להשבית את הסוכן באותו אופן שבו מפסיקים שירותים אחרים של מערכת ההפעלה.

Linux

כדי להשבית את הסוכן באמצעות systemctl, מריצים את הפקודות הבאות:

sudo systemctl stop google-osconfig-agent
sudo systemctl disable google-osconfig-agent

Windows

כדי להשבית את הסוכן באמצעות powershell, מריצים את הפקודה הבאה:

PowerShell Stop-Service google_osconfig_agent [-StartupType disabled]

הגדרת VM Manager קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

המסוף

gcloud

REST

מערכות הפעלה נתמכות

הפעלת ה-API של שירות OS Config

התפקידים הנדרשים

הפעלת OS Config API בפרויקט אחד

המסוף

gcloud

הפעלת OS Config API בכמה פרויקטים

התפקידים הנדרשים

ההרשאות הנדרשות

תיקייה

ארגון

הגדרת המטא-נתונים של VM Manager באמצעות מדיניות הארגון

הפעלת מדיניות הארגון של OS Config

ההרשאות שנדרשות למשימה הזו

המסוף

gcloud

הפעלת VM Manager בפרויקט

גלילה ידנית

אוטומטי

בדיקה אם סוכן OS Config מותקן

Linux

Windows

התקנת הסוכן OS Config

התקנה ידנית של הסוכן

Windows Server

Ubuntu

Debian

‫Debian 13 ואילך

‫Debian 12 וגרסאות קודמות

RHEL/CentOS/Rocky

SLES/openSUSE

התקנת הסוכן באמצעות סקריפט לטעינה בזמן ההפעלה

הגדרת ערכי המטא-נתונים

המסוף

gcloud

REST

הגדרת שרת Proxy ל-HTTP

Linux

Windows

השבתת תכונות שאין צורך בהן

המסוף

gcloud

REST

הדרישות לסוכן OS Config פעיל

אימות ההגדרה

הצגת ההגדרות של התכונות של VM Manager בפרויקט

gcloud

REST

הפעלת כל הפונקציונליות של VM Manager

המסוף

gcloud

REST

השבתת הסוכן OS Config

Linux

Windows

מה השלב הבא?

הגדרת VM Manager

ההרשאות שנדרשות למשימה הזו