Mengaktifkan tautan privat untuk memantau komputer virtual dan kluster Kubernetes di Azure Monitor

Azure Private Link memungkinkan Anda mengakses sumber daya platform as a service (PaaS) Azure ke jaringan virtual Anda dengan menggunakan titik akhir privat. Azure Monitor Private Link Scope (AMPLS) menghubungkan titik akhir privat ke sekumpulan sumber daya Azure Monitor untuk menentukan batas jaringan pemantauan Anda.

Artikel ini menjelaskan cara mengonfigurasi pemantauan komputer virtual (VM) dan kluster Kubernetes dengan Azure Monitor Private Link Scope (AMPLS) yang ada.

Prasyarat

• Aktifkan pemantauan VM atau kluster Anda menggunakan panduan yang relevan.
  • Aktifkan pemantauan kluster Kubernetes Anda menggunakan panduan di Mengaktifkan metrik Prometheus dan pengelogan kontainer.
  • Aktifkan pemantauan VM Anda menggunakan panduan di Mengaktifkan Wawasan VM atau Mengumpulkan data dari klien komputer virtual dengan Azure Monitor.
• Buat AMPLS dan sambungkan ke VNet Anda menggunakan proses yang dijelaskan dalam Mengonfigurasi tautan privat untuk Azure Monitor.

Ringkasan konseptual

VM dan kluster Kubernetes yang dipantau oleh Azure Monitor keduanya menggunakan agen Azure Monitor untuk pemantauan sehingga konfigurasinya untuk tautan privat serupa. Bergantung pada konfigurasinya, masing-masing akan mengirim metrik ke ruang kerja Azure Monitor dan/atau log ke ruang kerja Analitik Log.

Agen Azure Monitor yang berjalan pada VM atau kluster harus memiliki konektivitas untuk operasi berikut:

• Mengambil konfigurasi dari Azure Monitor. Ini termasuk aturan pengumpulan data (DCR) yang terkait dengan agen yang menentukan data log dan metrik apa yang akan dikumpulkan dan ke mana harus mengirimnya.
• Mengirim data ke ruang kerja Azure Monitor dan ruang kerja Analitik Log.
• Mengkueri data dari ruang kerja Azure Monitor dan ruang kerja Analitik Log.

Nota

VM hanya mengirim metrik ke ruang kerja Azure Monitor jika telah dimigrasikan ke metrik OpenTelemetry seperti yang dijelaskan dalam Migrasi ke VM insights OpenTelemetry (pratinjau). Jika tidak, mereka menyimpan metrik di ruang kerja Log Analytics. Panduan yang sama dalam artikel ini berlaku untuk VM yang belum dimigrasikan ke metrik OpenTelemetry, tetapi hanya ruang kerja Analitik Log yang perlu dikonfigurasi.

Titik akhir pengumpulan data (DCEs) digunakan untuk fungsi yang berbeda saat menggunakan tautan privat dengan Azure Monitor seperti yang dijelaskan dalam sumber daya AMPLS. Anda akan menggunakan kombinasi DCEs yang ada dan DCEs baru yang Anda buat tergantung pada kebutuhan Anda.

Mengaktifkan konfigurasi agen

VM dan kluster memerlukan titik akhir pengumpulan data (DCEs) di AMPLS untuk mengambil konfigurasinya dari Azure Monitor melalui tautan privat. Hanya satu DCE yang diperlukan untuk VM atau kluster untuk mengambil konfigurasinya. Ini akan menggunakan DCE ini untuk mengambil DCR untuk log dan metrik jika keduanya diaktifkan. DCE apa pun di wilayah yang sama dengan VM atau kluster dapat digunakan, tetapi biasanya yang terbaik adalah menggunakan DCE yang ada jika tersedia.

Jika Anda menggunakan ruang kerja Azure Monitor untuk metrik, maka Anda dapat menggunakan DCE yang dibuat secara otomatis untuk ruang kerja. Jika Anda tidak menggunakan ruang kerja Azure Monitor atau jika VM atau kluster Anda berada di wilayah yang berbeda dari ruang kerja Azure Monitor, Anda perlu membuat DCE baru di wilayah yang sama dengan VM atau kluster Anda. Ikuti panduan di Membuat titik akhir pengumpulan data untuk membuat DCE baru di wilayah yang sama dengan VM atau kluster Anda jika diperlukan.

Mengaitkan VM atau kluster dengan DCE

Buat hubungan antara VM atau kluster dan DCE untuk VM/kluster untuk mengambil konfigurasinya dari Azure Monitor menggunakan DCE. Setiap VM atau kluster hanya dapat memiliki asosiasi dengan satu DCE, jadi jika Anda membuat asosiasi lain, yang sudah ada akan diganti.

Portal Azure

Jika Anda menggunakan DCE yang dibuat oleh ruang kerja Azure Monitor, identifikasi dari halaman Gambaran Umumnya di portal Microsoft Azure.

Dari menu Monitor di portal Microsoft Azure, pilih Titik Akhir Pengumpulan Data. Pilih DCE lalu tab Sumber Daya . Klik Tambahkan dan pilih kluster untuk membuat asosiasi.

CLI

Buat hubungan antara VM atau kluster dan DCE menggunakan perintah berikut:

az monitor data-collection rule association create --association-name configurationAccessEndpoint --data-collection-endpoint-id <dce-resource-id> --resource-uri <vm-resource-id/cluster-resource-id>

# Example VM
az monitor data-collection rule association create --association-name configurationAccessEndpoint --data-collection-endpoint-id /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/my-dce --resource-uri /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/vm/providers/Microsoft.Compute/virtualMachines/my-vm

# Example AKS
az monitor data-collection rule association create --association-name configurationAccessEndpoint --data-collection-endpoint-id /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/my-dce --resource-uri /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.ContainerService/managedClusters/my-cluster

PowerShell

Buat hubungan antara VM atau kluster dan DCE menggunakan perintah berikut:

New-AzDataCollectionRuleAssociation -associationname configurationAccessEndpoint -DataCollectionEndpointId <dce-resource-id> -resourceuri <vm-resource-id/cluster-resource-id>  

# Example VM
New-AzDataCollectionRuleAssociation   -resourceuri /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/vm/providers/Microsoft.Compute/virtualMachines/win03 -associationname configurationAccessEndpoint -DataCollectionEndpointId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/my-dce

# Example AKS
New-AzDataCollectionRuleAssociation   -resourceuri /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/vm/providers/Microsoft.Compute/virtualMachines/win03 -associationname configurationAccessEndpoint -DataCollectionEndpointId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/my-dce

Menambahkan DCEs ke AMPLS

Setiap DCEs yang dibuat untuk akses konfigurasi perlu ditambahkan ke AMPLS. Ini termasuk DCE yang dibuat oleh ruang kerja Azure Monitor dan DCEs baru yang dibuat untuk kluster di berbagai wilayah.

Portal Azure

Dari menu Monitor di portal Microsoft Azure, pilih Cakupan Azure Monitor Private Link. Pilih AMPLS Anda lalu tab Sumber Daya Azure Monitor . Klik Tambahkan dan pilih DCE untuk menambahkannya ke AMPLS.

CLI

Tambahkan DCE ke AMPLS menggunakan perintah berikut:

az monitor private-link-scope scoped-resource create --resource-group <resource-group> --scope-name <ampls-name> --name <dce-name> --linked-resource <dce-resource-id>

# Example
az monitor private-link-scope scoped-resource create --resource-group my-resource-group --scope-name my-ampls --name my-cluster  --linked-resource /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

PowerShell

Tambahkan DCE ke AMPLS menggunakan perintah berikut:

 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName <resource-group> -ScopeName <ampls-name> -Name <dce-name> -LinkedResourceId <dce-resource-id>

# Example
 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName my-resource-group -ScopeName my-ampls -Name my-cluster-LinkedResourceId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

Mengaktifkan penyerapan data

VM atau kluster memerlukan DCE di AMPLS untuk mengirim data ke ruang kerja Azure Monitor menggunakan tautan privat. Tidak ada DCE yang diperlukan untuk mengirim data log ke ruang kerja Analitik Log karena ruang kerja Analitik Log ditambahkan ke AMPLS secara langsung.

Mengonfigurasi ruang kerja Azure Monitor

DCE dibuat secara otomatis untuk setiap kluster saat metrik Prometheus diaktifkan. DCE ini akan memiliki nama yang mirip dengan MSProm-<region>-<cluster> dan digunakan untuk pengumpulan dari cluster. Ini hanya perlu ditambahkan ke AMPLS.

Portal Azure

Dari menu Monitor di portal Microsoft Azure, pilih Cakupan Azure Monitor Private Link. Pilih AMPLS Anda lalu tab Sumber Daya Azure Monitor . Klik Tambahkan dan pilih DCE untuk menambahkannya ke AMPLS.

CLI

Tambahkan DCE ke AMPLS menggunakan perintah berikut:

az monitor private-link-scope scoped-resource create --resource-group <resource-group> --scope-name <ampls-name> --name <dce-name> --linked-resource <dce-resource-id>

# Example
az monitor private-link-scope scoped-resource create --resource-group my-resource-group --scope-name my-ampls --name my-cluster  --linked-resource /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

PowerShell

Tambahkan DCE ke AMPLS menggunakan perintah berikut:

 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName <resource-group> -ScopeName <ampls-name> -Name <dce-name> -LinkedResourceId <dce-resource-id>

# Example
 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName my-resource-group -ScopeName my-ampls -Name my-cluster-LinkedResourceId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

Mengonfigurasi ruang kerja Analitik Log

Tidak diperlukan DCE untuk integrasi ke dalam Log Analytics Workspace karena dapat langsung ditambahkan ke AMPLS, seperti yang dijelaskan dalam sumber daya AMPLS. Tambahkan ruang kerja Analitik Log ke AMPLS untuk mendukung penyerapan data dari kluster dan VM di VNet yang terhubung.

Portal Azure

Dari menu Monitor di portal Microsoft Azure, pilih Cakupan Azure Monitor Private Link. Pilih AMPLS Anda lalu tab Sumber Daya Azure Monitor . Klik Tambahkan dan pilih ruang kerja Analitik Log untuk menambahkannya ke AMPLS.

CLI

Tambahkan ruang kerja Analitik Log ke AMPLS menggunakan perintah berikut:

az monitor private-link-scope scoped-resource create --resource-group <resource-group> --scope-name <ampls-name> --name <workspace-name> --linked-resource <workspace-resource-id>

# Example VM
az monitor private-link-scope scoped-resource create --resource-group my-resource-group --scope-name my-ampls --name my-cluster  --linked-resource /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

# Example AKS
az monitor private-link-scope scoped-resource create --resource-group my-resource-group --scope-name my-ampls --name my-cluster  --linked-resource /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-groups/providers/Microsoft.Insights/dataCollectionEndpoints/my-cluster

PowerShell

Tambahkan ruang kerja Analitik Log ke AMPLS menggunakan perintah berikut:

 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName <resource-group> -ScopeName <ampls-name> -Name <workspace-name> -LinkedResourceId <workspace-resource-id>

# Example VM
 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName my-resource-group -ScopeName my-ampls -Name my-workspace -LinkedResourceId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/microsoft.operationalinsights/workspaces/my-workspace

# Example AKS
 New-AzInsightsPrivateLinkScopedResource -ResourceGroupName my-resource-group -ScopeName my-ampls -Name my-workspace -LinkedResourceId /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/microsoft.operationalinsights/workspaces/my-workspace

Mengaktifkan kueri untuk ruang kerja Azure Monitor

Titik akhir privat tambahan diperlukan untuk mendukung kueri ke ruang kerja Azure Monitor melalui sambungan privat. Ini mirip dengan titik akhir privat yang dibuat untuk AMPLS, tetapi titik akhir privat ini khusus untuk ruang kerja Azure Monitor untuk mendukung kueri melalui tautan privat. Untuk detail selengkapnya tentang titik akhir privat ini dan catatan DNS yang dibuat untuknya, lihat Menggunakan titik akhir privat untuk ruang kerja Prometheus terkelola dan Azure Monitor.

Ikuti panduan yang sama di Sambungkan AMPLS ke titik akhir privat untuk membuat koneksi titik akhir privat baru, tetapi gunakan pengaturan berikut untuk sumber daya yang akan disambungkan:

Harta benda	Deskripsi
Subscription	Langganan yang berisi AMPLS Anda.
Jenis sumber daya	Microsoft.Monitor/accounts
Sumber Daya	Nama untuk tautan
Sub-sumber daya sasaran	prometheusMetrics

Penyerapan dari kluster AKS privat

Jika Anda memilih untuk menggunakan Azure Firewall untuk membatasi egress dari kluster, Anda dapat menerapkan salah satu hal berikut ini:

• Buka jalur ke titik akhir pengambilan data publik. Perbarui tabel perutean dengan dua titik akhir berikut:
  • *.handler.control.monitor.azure.com
  • *.ingest.monitor.azure.com
• Aktifkan Azure Firewall untuk mengakses cakupan Azure Monitor Private Link dan DCE yang digunakan untuk penyerapan data.

Penyerapan tautan privat untuk penulisan jarak jauh

Gunakan langkah-langkah berikut untuk menyiapkan penulisan jarak jauh untuk metrik Prometheus untuk kluster Kubernetes melalui jaringan virtual tautan privat dan AMPLS.

1. Konfigurasikan kluster lokal untuk menyambungkan ke Azure VNET menggunakan gateway VPN atau ExpressRoutes dengan peering privat.
2. Sambungkan AMPLS ke titik akhir privat di jaringan virtual yang digunakan oleh kluster lokal. Titik akhir pribadi ini digunakan untuk mengakses DCE Anda.
3. Dari halaman Gambaran Umum untuk ruang kerja Azure Monitor Anda di portal Microsoft Azure, klik titik akhir Pengumpulan data.
4. Pilih halaman Isolasi Jaringan untuk DCE.
5. Klik Tambahkan dan pilih AMPLS Anda. Tunggu beberapa menit hingga pengaturan disebarluaskan, dan data dari kluster AKS lokal Anda harus diserap ke ruang kerja Azure Monitor Anda melalui tautan privat.

Verifikasi penyerapan data

Ada beberapa metode untuk memverifikasi bahwa data sedang diserap dari kluster Anda melalui tautan privat. Salah satu metodenya adalah memeriksa menu Monitor untuk salah satu kluster atau VM Anda. Anda akan melihat metrik dan peristiwa yang dikumpulkan.

Langkah selanjutnya

• Lihat Menyambungkan ke sumber data secara privat untuk detail tentang cara mengonfigurasi tautan privat untuk mengkueri data dari ruang kerja Azure Monitor Anda menggunakan Grafana.
• Lihat Mengaktifkan kueri dari ruang kerja Azure Monitor menggunakan tautan privat untuk detail tentang cara mengonfigurasi tautan privat untuk mengkueri data dari ruang kerja Azure Monitor Anda menggunakan buku kerja.