針對 AKS 叢集啟用監視

如 Azure 監視器中的 Kubernetes 監視中所述，Azure 監視器的多個功能會一起運作，以提供 Azure Kubernetes Service （AKS）叢集的完整監視。本文說明如何為 AKS 叢集啟用下列功能：

Prometheus 指標
受控 Grafana
容器記錄
控制層紀錄

必要條件

您至少需要參與者存取叢集才能上線。
您需要監視讀取器或監視參與者，才能在啟用監視之後檢視資料。

建立工作區

下表說明支援本文中啟用的 Azure 監視器功能所需的工作區。如果您還沒有每種類型的工作區，您可以在入門流程中建立它們。請參閱設計Log Analytics工作區架構，以取得要建立的工作區數目和放置位置的指引。

功能	工作區	備註
受控 Prometheus	Azure 監視器工作區	如果您在上線時未指定現有的 Azure 監視器工作區，則會使用資源群組的預設工作區。若叢集區域中還沒有預設工作區，則名稱格式為 `DefaultAzureMonitorWorkspace-<mapped_region>` 的工作區將在名稱為 `DefaultRG-<cluster_region>` 的資源群組建立。 `Contributor` 權限足以讓附加元件將資料傳送至 Azure 監視器工作區。連結 Azure 監視器工作區以檢視 Azure 受控 Grafana 中的計量時，您將需要 `Owner` 層級權限。這是必要的，因為執行上線步驟的使用者必須能夠提供 Azure 受控 Grafana 系統識別 `Monitoring Reader` 角色在 Azure 監視器工作區上查詢計量。
容器記錄控制層紀錄	Log Analytics 工作區	您可以將叢集連結至相同 Microsoft Entra 租使用者中不同 Azure 訂用帳戶中的 Log Analytics 工作區，但您必須使用 Azure CLI 或 Azure Resource Manager 範本。您目前無法使用 Azure 入口網站執行此設定。如果您要將現有的叢集連接到另一個訂用帳戶中的Log Analytics工作區，則必須在訂用帳戶中向Log Analytics工作區註冊 Microsoft.ContainerService 資源提供者。如需更多資訊，請參閱註冊資源業者。如果您未指定現有的 Log Analytics 工作區，則會使用資源群組的預設工作區。若叢集區域中還沒有預設工作區，則會使用格式為 `DefaultWorkspace-<GUID>-<Region>` 的名稱建立一個工作區。欲了解用於預設工作區的支援對應配對清單，請參閱容器深入解析支援的區域對應。如需如何使用網路安全界限設定工作區的指引，請參閱使用網路安全界限設定 Azure 監視器。
受控 Grafana	Azure 受控 Grafana 工作區	將 Grafana 工作區連結至 Azure 監視器工作區，讓從叢集收集的 Prometheus 計量可供 Grafana 儀表板使用。

啟用 Prometheus 指標和容器日誌

當您在叢集上啟用 Prometheus 和容器記錄時，叢集中會安裝容器化版本的 Azure 監視器代理程式。您可以在新的或現有的叢集上同時設定這些功能，或個別啟用每個功能。

在為您的叢集啟用受控 Grafana 的同時，啟用 Prometheus 計量的抓取。如需連結 Azure 監視器工作區和 Azure 受控 Grafana 工作區的選項，請參閱連結 Grafana 工作區。

必要條件

叢集必須使用受控識別驗證。
下列資源提供者必須在叢集和 Azure 監視器工作區的訂用帳戶中註冊：
- Microsoft.ContainerService（微軟容器服務）
- Microsoft.Insights
- Microsoft.AlertsManagement
- Microsoft.Monitor
下列資源提供者必須在 Grafana 工作區訂用帳戶中註冊：
- Microsoft.Dashboard

必要條件

CLI 2.49.0 版或更高版本中預設有受控識別驗證。
必須使用命令來從 AKS 叢集中解除安裝 "aks-preview" 擴充功能。

Prometheus 指標

根據您是要建立新叢集還是更新現有叢集，使用 -enable-azure-monitor-metrics 選項搭配 az aks create 或 az aks update，以安裝抓取 Prometheus 計量的計量附加元件。這會使用 Azure 監視器中的預設 Prometheus 計量設定中所述的設定。如需修改此設定，請參閱在 Azure 監視器適用於 Prometheus 的受控服務中自訂 Prometheus 計量的抓取。

請參閱下列範例。

### Use default Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group>

### Use existing Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <workspace-name-resource-id>

### Use an existing Azure Monitor workspace and link with an existing Grafana workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <azure-monitor-workspace-name-resource-id> --grafana-resource-id  <grafana-workspace-name-resource-id>

### Use optional parameters
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --ksm-metric-labels-allow-list "namespaces=[k8s-label-1,k8s-label-n]" --ksm-metric-annotations-allow-list "pods=[k8s-annotation-1,k8s-annotation-n]"

範例

az aks create/update --enable-azure-monitor-metrics --name "my-cluster" --resource-group "my-resource-group" --azure-monitor-workspace-resource-id "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/microsoft.monitor/accounts/my-workspace"

選擇性參數

上述每個命令都允許下列選擇性參數。每個參數名稱都不同，但其用法相同。

參數	名稱和描述
註釋鍵	`--ksm-metric-annotations-allow-list` Kubernetes 註解索引鍵的逗號分隔清單，要在資源的 `kube_resource_annotations` 計量中使用。例如，kube_pod_annotations 是 Pod 資源的註釋計量。根據預設，計量只包含名稱和命名空間標籤。若要包含更多註釋，請提供資源名稱的複數形式列表以及您想為這些資源允許的 Kubernetes 註釋鍵。您可以改為對於每個資源提供單一 `*`，允許任何註釋，但會產生嚴重的效能影響。例如： `pods=[kubernetes.io/team,...],namespaces=[kubernetes.io/team],...` 。
標籤索引鍵	`--ksm-metric-labels-allow-list` 以逗號分隔的更多 Kubernetes 標籤索引鍵清單，用於資源的 kube_resource_labels 計量 kube_resource_labels 計量。例如，kube_pod_labels 是 pods 資源的標籤指標。根據預設此計量只包含名稱和命名空間標籤。若要包含更多標籤，請以複數形式提供資源名稱清單，以及您想要允許它們的 Kubernetes 標籤索引鍵：每個資源都可以提供單一 `*` 以允許任何標籤，但這具有嚴重的效能影響。例如： `pods=[app],namespaces=[k8s-label-1,k8s-label-n,...],...` 。
錄製規則	`--enable-windows-recording-rules` 可讓您啟用 Windows 儀錶板正常運作所需的錄製規則群組。

附註

請注意，使用 ksm-metric-annotations-allow-list 和 ksm-metric-labels-allow-list 設定的參數可以被覆寫，或也可以使用 ama-metrics-settings-configmap 來替代設定。

容器日誌

使用 --addon monitoring 選項與 az aks create 來建立新叢集，或使用 az aks enable-addon 更新現有叢集，以啟用容器記錄的收集。請參閱下文以修改日誌收集設定。

請參閱下列範例。

### Use default Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name>

### Use existing Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id>

### Use custom log configuration file
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id> --data-collection-settings dataCollectionSettings.json

### Use legacy authentication
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id> --enable-msi-auth-for-monitoring false

範例

az aks enable-addons --addon monitoring --name "my-cluster" --resource-group "my-resource-group" --workspace-resource-id "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace"

記錄配置檔

若要自訂叢集的日誌收集設定，您可以使用下列格式將組態提供為 JSON 檔案。如果您未提供組態檔，則會使用下表中識別的預設設定。

{
  "interval": "1m",
  "namespaceFilteringMode": "Include",
  "namespaces": ["kube-system"],
  "enableContainerLogV2": true, 
  "streams": ["Microsoft-Perf", "Microsoft-ContainerLogV2"]
}

下表說明組態中的每個設定。

名稱	描述
`interval`	決定代理程式收集資料的頻率。有效值為 1m - 30m，間隔為 1m 如果值超出允許範圍，則預設為 1 m。預設值：1 分鐘。
`namespaceFilteringMode`	包含：只從 [命名空間] 欄位中的值收集資料。排除：從 [命名空間] 欄位中的值以外的所有命名空間收集資料。關閉：忽略任何命名空間選取項目，並收集所有命名空間的資料。預設值：關閉
`namespaces`	以逗號分隔的 Kubernetes 命名空間陣列，可根據 namespaceFilteringMode 收集庫存和效能資料。例如，搭配 Include 的 namespaces = ["kube-system", "default"] 設定只會收集這兩個命名空間。如果使用 Exclude 設定，則代理程式會從kube-system 和 default 以外的所有其他命名空間收集資料。如果使用 Off 設定，代理程式會從所有命名空間收集資料，包括 kube-system 和 default。無效和無法辨識的命名空間會被忽略。沒有。
`enableContainerLogV2`	啟用 ContainerLogV2 結構描述的布林值旗標。如果設定為 true，stdout/stderr 記錄會擷取至 ContainerLogV2 資料表。如果未設定，除非在 ConfigMap 中另有指定，否則容器記錄會擷取至 ContainerLog 資料表。指定個別資料流時，您必須包含 ContainerLog 或 ContainerLogV2 的對應資料表。預設值：True
`streams`	表格流陣列請參閱串流值，以取得有效串流及其對應資料表的清單。預設值：ContainerLogV2、KubeEvents、KubePodInventory

必要條件

必須已建立 Azure 監視器工作區和 Azure 受控 Grafana 執行個體。
範本必須部署在與 Azure 受控 Grafana 執行個體相同的資源群組。
如果 Azure 受控 Grafana 執行個體位於 Azure 監視器工作區訂用帳戶以外的訂用帳戶中，請使用Microsoft.Dashboard的指引透過資源提供者註冊 Azure 監視器工作區訂用帳戶。
AKS 叢集訂用帳戶中具有「User Access Administrator」角色的使用者，可以藉由部署範本，直接啟用 Monitoring Reader 角色。

附註

目前在 Bicep 中，無法明確界定 Azure 監視器工作區字串參數「resource ID」上 Monitoring Reader 角色指派的範圍，例如 ARM 範本中。 Bicep 預期為 resource | tenant 類型的值。 Azure 監視器工作區也沒有 REST API 規格。

因此，Monitoring Reader 角色的預設範圍是在資源群組上。角色透過繼承套用於相同的 Azure Monitor 工作區，這是預期中的行為。部署此 Bicep 範本之後，Grafana 執行個體會被授與該資源群組中所有 Azure Monitor 工作區的Monitoring Reader 權限。

Prometheus 指標

擷取 Grafana 資源的必要值

如果 Azure Managed Grafana 執行個體已連結至 Azure Monitor 工作區，則必須在範本中包含此清單，否則將會被覆寫。在 Azure 入口網站中 Azure 受控 Grafana 執行個體的概觀頁面上，選取 [JSON 檢視]，然後複製 azureMonitorWorkspaceIntegrations 的值，如下所示。如果不存在，則執行個體尚未與任何 Azure 監視器工作區連結。

"properties": {
    "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            }
        ]
    }
}

下載和編輯範本和參數檔案

下載所需的檔案。

肱二頭肌
- 範本檔案：https://aka.ms/azureprometheus-enable-bicep-template
- 參數檔案：https://aka.ms/azureprometheus-enable-bicep-template-parameters
- DCRA 模組：https://aka.ms/nested_azuremonitormetrics_dcra_clusterResourceId
- 個人檔案模組：https://aka.ms/nested_azuremonitormetrics_profile_clusterResourceId
- Azure 受控 Grafana 角色指派模組：https://aka.ms/nested_grafana_amw_role_assignment
JSON
- 範本檔案：https://aka.ms/azureprometheus-enable-arm-template
- 參數檔案：https://aka.ms/azureprometheus-enable-arm-template-parameters

在參數檔案中編輯下列值。 ARM 和 Bicep 範本都使用同一組值。從其概觀頁面的 JSON 檢視 中擷取資源的識別碼。

參數	值
`azureMonitorWorkspaceResourceId`	Azure 監視器工作區的資源識別碼。從 Azure 監視器工作區 [概觀] 頁面上的 [JSON 檢視] 擷取。
`azureMonitorWorkspaceLocation`	Azure 監視器工作區的位置。從 Azure 監視器工作區 [概觀] 頁面上的 [JSON 檢視] 擷取。
`clusterResourceId`	AKS 叢集的資源識別碼。從叢集 [概觀] 頁面上的 [JSON 檢視] 擷取。
`clusterLocation`	AKS 叢集的位置。從叢集 [概觀] 頁面上的 [JSON 檢視] 擷取。
`metricLabelsAllowlist`	Kubernetes 標籤索引鍵的逗號分隔清單，要在資源的標籤計量中使用。
`metricAnnotationsAllowList`	更多 Kubernetes 標籤索引碼的逗號分隔清單，將在資源的批注計量中使用。
`grafanaResourceId`	受控 Grafana 執行個體的資源識別碼。從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。
`grafanaLocation`	受控 Grafana 執行個體的位置。從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。
`grafanaSku`	受控 Grafana 執行個體的 SKU。從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。使用 sku.name。

開啟範本檔案，並使用您從 Grafana 執行個體擷取的值，更新 grafanaIntegrations 檔案結尾處的屬性。這看起來會類似以下範例。在這些樣本中，full_resource_id_1 和 full_resource_id_2 已在 Azure 受控 Grafana 資源 JSON 中。最後的 azureMonitorWorkspaceResourceId 項目已經在範本中，用來連結至參數檔案中提供的 Azure 監視器工作區資源識別碼。

肱二頭肌

    resource grafanaResourceId_8 'Microsoft.Dashboard/grafana@2022-08-01' = {
        name: split(grafanaResourceId, '/')[8]
        sku: {
            name: grafanaSku
        }
        identity: {
            type: 'SystemAssigned'
        }
        location: grafanaLocation
        properties: {
            grafanaIntegrations: {
                azureMonitorWorkspaceIntegrations: [
                    {
                        azureMonitorWorkspaceResourceId: 'full_resource_id_1'
                    }
                    {
                        azureMonitorWorkspaceResourceId: 'full_resource_id_2'
                    }
                    {
                        azureMonitorWorkspaceResourceId: azureMonitorWorkspaceResourceId
                    }
                ]
            }
        }
    }

JSON

{
    "type": "Microsoft.Dashboard/grafana",
    "apiVersion": "2022-08-01",
    "name": "[split(parameters('grafanaResourceId'),'/')[8]]",
    "sku": {
        "name": "[parameters('grafanaSku')]"
    },
    "location": "[parameters('grafanaLocation')]",
    "properties": {
        "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            },
            {
                "azureMonitorWorkspaceResourceId": "[parameters('azureMonitorWorkspaceResourceId')]"
            }
        ]
        }
    }
}

使用任何有效的方法部署 Resource Manager 範本，並搭配參數檔案一起使用。如需不同方法的範例，請參閱部署樣本範本。

容器日誌

必要條件

必須將範本部署在與叢集相同的資源群組中。

下載並安裝範本

下載並編輯模板和參數文件。

肱二頭肌
- 範本檔案 (Syslog)：https://aka.ms/enable-monitoring-msi-syslog-bicep-template
- 參數檔案（Syslog）： https://aka.ms/enable-monitoring-msi-syslog-bicep-parameters
- 範本檔案 (無 Syslog)：https://aka.ms/enable-monitoring-msi-bicep-template
- 參數檔案 (無 Syslog)：https://aka.ms/enable-monitoring-msi-bicep-parameters
ARM
- 範本檔案：https://aka.ms/aks-enable-monitoring-msi-onboarding-template-file
- 參數檔案：https://aka.ms/aks-enable-monitoring-msi-onboarding-template-parameter-file

在參數檔案中編輯下列值。 ARM 和 Bicep 範本都使用同一組值。從其概觀頁面的 JSON 檢視 中擷取資源的識別碼。

參數	描述
`aksResourceId`	叢集的資源識別碼。
`aksResourceLocation`	叢集的位置。
`workspaceResourceId`	Log Analytics 工作區的資源識別碼。
`resourceTagValues`	叢集與 DCR 名稱其現有容器深入解析延伸模組資料收集規則 (DCR) 所指定的現有標記值。該名稱將會是 `MSCI-<clusterName>-<clusterRegion>`，而且此資源會在 AKS 叢集資源群組中建立。第一次上線時可以設定任意標籤值。
`enableRetinaNetworkFlowLogs`	指示是否啟用 Retina 網路流程記錄的旗標。
`enableContainerLogV2`	啟用 ContainerLogV2 結構描述的布林值旗標。如果設定為 true，則 stdout/stderr 記錄會傳送至 ContainerLogV2 資料表。如果沒有，則容器日誌會傳送至 ContainerLog 資料表，除非 ConfigMap 中另有指定。指定個別資料流時，您必須包含 ContainerLog 或 ContainerLogV2 的對應資料表。
`enableSyslog`	指定是否應啟用 Syslog 集合。
`syslogLevels`	如果已啟用 Syslog 集合，請指定要收集的記錄層級。
`dataCollectionInterval`	決定代理程式收集資料的頻率。有效值為 1m - 30m，間隔為 1m，預設值為 1m。如果值超出允許的範圍，則會預設為 1 m。
`namespaceFilteringModeForDataCollection`	包含：只從 [命名空間] 欄位中的值收集資料。排除：從 [命名空間] 欄位中的值以外的所有命名空間收集資料。關閉：忽略任何命名空間選取項目，並收集所有命名空間的資料。
`namespacesForDataCollection`	以逗號分隔的 Kubernetes 命名空間陣列，可根據 namespaceFilteringMode 收集庫存和效能資料。例如，搭配 Include 的 namespaces = ["kube-system", "default"] 設定只會收集這兩個命名空間。如果使用 Exclude 設定，則代理程式會從kube-system 和 default 以外的所有其他命名空間收集資料。如果使用 Off 設定，代理程式會從所有命名空間收集資料，包括 kube-system 和 default。無效和無法辨識的命名空間會被忽略。
`streams`	表格流陣列請參閱串流值，以取得有效串流及其對應資料表的清單。
`useAzureMonitorPrivateLinkScope`	指定是否要針對 Azure 監視器的叢集連線使用私人連結。
`azureMonitorPrivateLinkScopeResourceId`	如果使用私人連結，則為私人連結範圍的資源識別碼。

使用任何有效的方法部署 Resource Manager 範本，並搭配參數檔案一起使用。如需不同方法的範例，請參閱部署樣本範本。

必要條件

必須已建立 Azure 監視器工作區和 Azure 受控 Grafana 工作區。
範本需要在與 Azure 管理的 Grafana 工作區相同的資源群組中部署。
AKS 叢集訂用帳戶中具有「使用者存取系統管理員」角色的使用者，可以藉由部署範本，直接啟用監視讀取者角色。
如果 Azure 受控 Grafana 執行個體位於 Azure 監視器工作區訂用帳戶以外的訂用帳戶中，請遵循Microsoft.Dashboard，向資源提供者註冊 Azure 監視器工作區訂用帳戶。

擷取 Grafana 資源的必要值

"properties": {
    "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            }
        ]
    }
}

使用 grafana 整合清單更新 azure_monitor_workspace_integrations 中的 main.tf 區塊。

  azure_monitor_workspace_integrations {
    resource_id  = var.monitor_workspace_id[var.monitor_workspace_id1, var.monitor_workspace_id2]
  }

下載和編輯範本

新的 AKS 叢集

下載 AddonTerraformTemplate 底下的所有檔案。
使用正確的參數值編輯 variables.tf 檔案中的變數。
執行 terraform init -upgrade 來初始化 Terraform 部署。
執行 terraform plan -out main.tfplan 來初始化 Terraform 部署。
執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

注意：只有在這些值存在時，才會在 main.tf 中傳遞 annotations_allowed 和 labels_allowed 索引鍵的變數。這些是選擇性區塊。

附註

在執行 terraform 範本之前，請先適當地編輯 main.tf 檔案。在執行範本之前，將任何現有的 azure_monitor_workspace_integrations 值新增至 grafana 資源。否則，較舊的值會遭到刪除，並取代為部署期間範本中的內容。 AKS 叢集訂用帳戶中具有「使用者存取系統管理員」角色的使用者，可以藉由部署範本，直接啟用「監視讀取者」角色。如果您使用非標準 SKU，請編輯 grafanaSku 參數，最後在 Grafana 資源的資源群組中執行此範本。

容器日誌

新的 AKS 叢集

視您是否要啟用 Syslog 集合，下載 Terraform 範本檔案。
- 系統日誌： https://aka.ms/enable-monitoring-msi-syslog-terraform
- 無系統日誌： https://aka.ms/enable-monitoring-msi-terraform
根據您的叢集設定，調整 azurerm_kubernetes_cluster 中的資源。

更新 variables.tf 中的參數，以取代「<>」中的值

參數	描述
`aks_resource_group_name`	針對資源群組，使用 AKS 概觀頁面中的值。
`resource_group_location`	針對資源群組，使用 AKS 概觀頁面中的值。
`cluster_name`	定義您想要建立的叢集名稱。
`workspace_resource_id`	使用 Log Analytics 工作區的資源識別碼。
`workspace_region`	使用 Log Analytics 工作區的位置。
`resource_tag_values`	比對為叢集與 DCR 名稱其現有 Container insights 延伸模組資料收集規則 (DCR) 所指定的現有標記值。名稱會比對 `MSCI-<clusterName>-<clusterRegion>`，且此資源會建立在與 AKS 叢集相同的資源群組中。第一次上線時，您可以設定任意標籤值。
`enabledContainerLogV2`	將此參數值設定為 true，以使用預設建議的 ContainerLogV2。
成本最佳化參數	請參閱資料收集參數
`streams`	資料收集的資料流。請參閱串流值。
`use_azure_monitor_private_link_scope`	旗標，指出是否要設定 Azure 監視器 Private Link 範圍。
`azure_monitor_private_link_scope_resource_id`	Azure 監視器 Private Link 範圍的 Azure 資源識別碼。

執行 terraform init -upgrade 來初始化 Terraform 部署。
執行 terraform plan -out main.tfplan 來初始化 Terraform 部署。
執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

現有的 AKS 叢集

使用命令先匯入現有的叢集資源： terraform import azurerm_kubernetes_cluster.k8s <aksResourceId>

將 oms_agent 附加元件設定檔新增至現有的 azurerm_kubernetes_cluster 資源。

oms_agent {
    log_analytics_workspace_id = var.workspace_resource_id
    msi_auth_for_monitoring_enabled = true
  }

從 Terraform 範本複製 DCR 和 DCRA 資源
執行 terraform plan -out main.tfplan，並確定變更正在新增 oms_agent 屬性。注意：如果在 terraform 設計階段定義的 azurerm_kubernetes_cluster 資源有所不同，現有的叢集將會被銷毀並重新建立。
執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

秘訣

在執行 terraform 範本之前，請先適當地編輯 main.tf 檔案
資料會在 10 分鐘後開始流動，因為叢集必須先準備好
WorkspaceID 必須符合格式 /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/example-resource-group/providers/Microsoft.OperationalInsights/workspaces/workspaceValue
如果資源群組已經存在，請在 terraform 方案之前執行 terraform import azurerm_resource_group.rg /subscriptions/<Subscription_ID>/resourceGroups/<Resource_Group_Name>

當您在 Azure 入口網站中建立新的 AKS 叢集或在現有的叢集上時，可以啟用 Prometheus 計量和容器記錄。在這兩種情況下，設定體驗都是相同的。

新的 AKS 叢集

當您在 Azure 入口網站中建立新的 AKS 叢集時，請在 [監視] 索引標籤中設定監視。

現有叢集

在 Azure 入口網站中瀏覽至您的叢集。在服務功能表中，選取 [監視器] ，然後選取 [監視器設定]。

設定選項

新叢集和現有叢集的組態選項都相同。唯一的差異是您可能需要選取 [ 進階設定 ] ，才能檢視現有叢集的所有選項。

系統會為您選取 Prometheus 指標、Grafana、容器記錄及事件。如果您有現有的 Azure 監視器工作區、Grafana 工作區和 Log Analytics 工作區，則會為您選取它們。
如果您要選取替代工作區或建立新的工作區，請選取 [進階設定]。 [記錄配置檔] 和 [傳統配置檔] 設定可讓您修改預設集合詳細數據，以降低監視成本。如需詳細資訊，請參閱在容器深入解析中啟用成本最佳化設定。
選取設定。

對於容器日誌，您必須選取日誌設定檔，以定義要收集哪些日誌以及以何種頻率收集日誌。下表列出可用的設定檔。

成本預設設定	收集頻率	命名空間篩選	Syslog 收集	收集的資料
記錄和事件（預設）	1 公尺	None	未啟用	ContainerLogV2 KubeEvents KubePodInventory
Syslog	1 公尺	None	默認為啟用	所有標準容器深入解析資料表
標準	1 公尺	None	未啟用	所有標準容器深入解析資料表
成本最佳化	5 公尺	排除 kube-system、gatekeeper-system、azure-arc	未啟用	所有標準容器深入解析資料表

如果您想要自訂設定，請按一下 [編輯收集設定]。下表說明每個設定。

名稱	描述
收集頻率	決定代理程式收集資料的頻率。有效值為 1m - 30m，間隔為 1m，預設值為 1m。此選項無法透過 ConfigMap 進行設定。
命名空間篩選	關閉：收集所有命名空間的資料。包含：只從 [命名空間] 欄位中的值收集資料。排除：從 [命名空間] 欄位中的值以外的所有命名空間收集資料。以逗號分隔的 Kubernetes 命名空間陣列，可根據 namespaceFilteringMode 收集庫存和效能資料。例如，搭配 Include 的 namespaces = ["kube-system", "default"] 設定只會收集這兩個命名空間。如果使用 Exclude 設定，則代理程式會從kube-system 和 default 以外的所有其他命名空間收集資料。
收集的資料	定義要收集的容器深入解析資料表。如需每個群組的描述，請參閱下列內容。
啟用 ContainerLogV2	啟用 ContainerLogV2 結構描述的布林值旗標。如果設定為 true，stdout/stderr 記錄會擷取至 ContainerLogV2 資料表。如果未設定，除非在 ConfigMap 中另有指定，否則容器記錄會擷取至 ContainerLog 資料表。指定個別資料流時，您必須包含 ContainerLog 或 ContainerLogV2 的對應資料表。
啟用 Syslog 集合	從叢集啟用 Syslog 集合。

[收集的資料] 選項可讓您選取為叢集填入的資料表。資料表會依最常見的案例分組。

Grouping	Tables	備註
全部 (預設)	所有標準容器深入解析資料表	啟用預設容器深入解析視覺效果時為必要項目
Performance	Perf、InsightsMetrics
記錄和事件	ContainerLog 或 ContainerLogV2、KubeEvents、KubePodInventory	如果您已啟用受控 Prometheus 計量，則建議使用
工作負載、部署和 HPA	InsightsMetrics、KubePodInventory、KubeEvents、ContainerInventory、ContainerNodeInventory、KubeNodeInventory、KubeServices
永續性磁碟區	InsightsMetrics、KubePVInventory

Prometheus 指標

下載 Azure 原則的範本檔案和參數檔案。
- 範本檔案：https://aka.ms/AddonPolicyMetricsProfile
- 參數檔案：https://aka.ms/AddonPolicyMetricsProfile.parameters

使用下列 CLI 命令建立原則定義：

az policy definition create --name "Prometheus Metrics addon" --display-name "Prometheus Metrics addon" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules AddonPolicyMetricsProfile.rules.json --params AddonPolicyMetricsProfile.parameters.json`

建立原則定義之後，請在 Azure 入口網站中，選取 [原則]再來是 [定義]。選取您建立的原則定義。
選取 [指派]，然後填入 [參數] 索引標籤的詳細資料。選取 [檢閱 + 建立]。
如果您想要將原則套用至現有的叢集，請從原則指派為該叢集資源建立補救工作。

將原則指派給訂用帳戶之後，每當您建立未啟用 Prometheus 的新叢集時，原則就會執行並部署以啟用 Prometheus 監視。

容器記錄

下載 Azure 原則的範本檔案和參數檔案。
- 範本檔案：https://aka.ms/enable-monitoring-msi-azure-policy-template
- 參數檔案：https://aka.ms/enable-monitoring-msi-azure-policy-parameters

使用下列 CLI 命令建立原則定義：

az policy definition create --name "AKS-Monitoring-Addon-MSI" --display-name "AKS-Monitoring-Addon-MSI" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules azure-policy.rules.json --params azure-policy.parameters.json

建立原則定義之後，請在 Azure 入口網站中，選取 [原則]再來是 [定義]。選取您建立的原則定義。
選取 [指派]，然後填入 [參數] 索引標籤的詳細資料。選取 [檢閱 + 建立]。
如果您想要將原則套用至現有的叢集，請從原則指派為該叢集資源建立補救工作。

串流值

當您指定要使用 CLI 或 ARM 收集資料表時，您可以指定對應至 Log Analytics 工作區中特定資料表的串流名稱。下表列出每個資料表的串流名稱。

附註

如果您熟悉資料收集規則的結構，則會在 DCR 的 dataFlows 區段中指定此資料表中的資料流名稱。

Stream	容器深入解析資料表
Microsoft-ContainerInventory	ContainerInventory
Microsoft-ContainerLog	ContainerLog
Microsoft-ContainerLogV2	ContainerLogV2
Microsoft-ContainerLogV2-HighScale	ContainerLogV2 (高縮放模式)¹
Microsoft-ContainerNodeInventory	ContainerNodeInventory
Microsoft-InsightsMetrics	InsightsMetrics
Microsoft-KubeEvents	KubeEvents
Microsoft-KubeMonAgentEvents	KubeMonAgentEvents
Microsoft-KubeNodeInventory	KubeNodeInventory
Microsoft-KubePodInventory	KubePodInventory
Microsoft-KubePVInventory	KubePVInventory
Microsoft-KubeServices	KubeServices
Microsoft-Perf	Perf
Microsoft-RetinaNetworkFlowLogs	RetinaNetworkFlowLogs

¹ 不要同時使用 Microsoft-ContainerLogV2 和 Microsoft-ContainerLogV2-HighScale。這會導致資料重複。

適用的資料表和計量

收集頻率和命名空間篩選的設定不會套用至所有記錄資料。下表列出了 Log Analytics 工作區中的資料表及其套用於每個資料表的設定。

資料表名稱	間隔？	命名空間？	備註
ContainerInventory	Yes	Yes
ContainerNodeInventory	Yes	否	用於命名空間的資料收集設定不適用，因為 Kubernetes 節點不是以命名空間為範圍的資源
KubeNodeInventory	Yes	否	用於命名空間的資料收集設定不適用，Kubernetes 節點不是以命名空間為範圍的資源
KubePodInventory	Yes	Yes
KubePVInventory	Yes	Yes
KubeServices	Yes	Yes
KubeEvents	否	Yes	用於間隔的資料收集設定不適用於 Kubernetes 事件
Perf	Yes	Yes	用於命名空間的資料收集設定不適用於 Kubernetes 節點相關計量，因為 Kubernetes 節點不是以命名空間為範圍的物件。
InsightsMetrics	Yes	Yes	資料收集設定僅適用於收集下列命名空間的計量收集：container.azm.ms/kubestate、container.azm.ms/pv 和 container.azm.ms/gpu

附註

命名空間篩選不適用於 ama-logs 代理程式記錄。因此，即使 kube-system 命名空間列在排除的命名空間中，仍會內嵌與 ama-logs 代理程式容器相關聯的記錄。

計量命名空間	間隔？	命名空間？	備註
Insights.container/nodes	Yes	否	節點不是以命名空間為範圍的資源
Insights.container/pods	Yes	Yes
Insights.container/containers	Yes	Yes
Insights.container/persistentvolumes	Yes	Yes

特殊場景

請查看以下參考資料，以瞭解特定案例的組態需求。

如果您使用私人連結，請參閱在 Azure 監視器中啟用 Kubernetes 監視的私人連結。
若要在具有網路安全性周邊的環境中啟用容器記錄，請參閱使用網路安全性周邊設定 Azure Monitor 以配置您的 Log Analytics 工作區。
若要啟用監控附加元件的高擴展模式，請遵循啟用高擴展模式中的上線程式。您還必須按照更新 ConfigMap 中的說明設定 ConfigMap，並且需要將 DCR 串流從 Microsoft-ContainerLogV2 變更為 Microsoft-ContainerLogV2-HighScale。

啟用控制平面記錄

控制平面記錄會在 Azure 監視器中實作為資源記錄。若要收集這些記錄，請建立叢集的診斷設定。將它們傳送至與容器記錄相同的 Log Analytics 工作區。

使用 az monitor diagnostic-settings create 命令，使用 Azure CLI 建立診斷設定。請參閱此命令的文件，以取得其參數的說明。

下列範例會建立診斷設定，將所有 Kubernetes 類別傳送至 Log Analytics 工作區。這包括資源特定模式，可將記錄傳送至 Microsoft.ContainerService/fleets 支援的資源記錄中列出的特定資料表。

az monitor diagnostic-settings create \
--name 'Collect control plane logs' \
--resource  /subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.ContainerService/managedClusters/<cluster-name> \
--workspace /subscriptions/<subscription ID>/resourcegroups/<resource group name>/providers/microsoft.operationalinsights/workspaces/<log analytics workspace name> \
--logs '[{"category": "karpenter-events","enabled": true},{"category": "kube-audit","enabled": true},
{"category": "kube-apiserver","enabled": true},{"category": "kube-audit-admin","enabled": true},{"category": "kube-controller-manager","enabled": true},{"category": "kube-scheduler","enabled": true},{"category": "cluster-autoscaler","enabled": true},{"category": "cloud-controller-manager","enabled": true},{"category": "guard","enabled": true},{"category": "csi-azuredisk-controller","enabled": true},{"category": "csi-azurefile-controller","enabled": true},{"category": "csi-snapshot-controller","enabled": true},{"category": "fleet-member-agent","enabled": true},{"category": "fleet-member-net-controller-manager","enabled": true},{"category": "fleet-mcs-controller-manager","enabled": true}]'
--metrics '[{"category": "AllMetrics","enabled": true}]' \
--export-to-resource-specific true

以下是範例範本和參數檔，可建立控制平面記錄的診斷設定。修改範本以收集不同的類別或將日誌傳送到不同的目的地。

肱二頭肌

param clusterName string
param workspaceId string
param settingName string

resource cluster 'Microsoft.ContainerService/managedClusters@2021-05-01-preview' existing = {
  name: clusterName
}

resource setting 'Microsoft.Insights/diagnosticSettings@2021-05-01-preview' = {
  name: settingName
  scope: cluster
  properties: {
    workspaceId: workspaceId
    logs: [
      {
        category: 'kube-apiserver'
        enabled: true
      }
      {
        category: 'kube-audit'
        enabled: true
      }
      {
        category: 'kube-audit-admin'
        enabled: true
      }
      {
        category: 'kube-controller-manager'
        enabled: true
      }
      {
        category: 'kube-scheduler'
              }
      {
        category: 'cluster-autoscaler'
        enabled: true
      }
      {
        category: 'guard'
        enabled: true
      }
    ]
  }
}

JSON

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "clusterName": {
            "type": "String"
        },
        "workspaceId": {
            "type": "String"
        },
        "settingName": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Insights/diagnosticSettings",
            "apiVersion": "2021-05-01-preview",
            "scope": "[format('Microsoft.ContainerService/managedClusters/{0}', parameters('clusterName'))]",
            "name": "[parameters('settingName')]",
            "properties": {
                "workspaceId": "[parameters('workspaceId')]",
                "logs": [
                    {
                        "category": "kube-apiserver",
                        "enabled": true
                    },
                    {
                        "category": "kube-audit",
                        "enabled": true
                    },
                    {
                        "category": "kube-audit-admin",
                        "enabled": true
                    },
                    {
                        "category": "kube-controller-manager",
                        "enabled": true
                    },
                    {
                        "category": "kube-scheduler",
                        "enabled": false
                    },
                    {
                        "category": "cluster-autoscaler",
                        "enabled": true
                    },
                    {
                        "category": "guard",
                        "enabled": true
                    }
                ]
            }
        }
    ]
}

參數檔案

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "settingName": {
        "value": "<cluster-name>"
    },
    "workspaceId": {
      "value": "/subscriptions/<subscription id>/resourcegroups/<resourcegroup name>/providers/microsoft.operationalinsights/workspaces/<workspace name>"
    },
    "scope": {
      "value": "Microsoft.<resource type>/<resourceName>"
    }
  }
}

使用下列範本來建立控制平面記錄的診斷設定。修改範本以收集不同的類別，或將日誌傳送至不同的目的地。

  features {}
}

variable "setting_name" {
  type        = string
  description = "Name for the diagnostic setting."
}

variable "workspace_id" {
  type        = string
  description = "Resource ID of the Log Analytics workspace."
}

variable "cluster_id" {
  type        = string
  description = "Resource ID of the AKS cluster to attach diagnostics to."
}

resource "azurerm_monitor_diagnostic_setting" "aks" {
  name                       = var.setting_name
  target_resource_id         = var.cluster_id
  log_analytics_workspace_id = var.workspace_id

  log {
    category = "kube-apiserver"
    enabled  = true
  }

  log {
    category = "kube-audit"
    enabled  = true
  }

  log {
    category = "kube-audit-admin"
    enabled  = true
  }

  log {
    category = "kube-controller-manager"
    enabled  = true
  }

  log {
    category = "kube-scheduler"
    enabled  = false
  }

  log {
    category = "cluster-autoscaler"
    enabled  = true
  }

  log {
    category = "guard"
    enabled  = true
  }
}

啟用 Windows 計量（預覽版）

自受控 Prometheus 附加元件容器版本 6.4.0-main-02-22-2023-3ee44b9e 起，AKS 叢集已啟用 Windows 計量集合。啟用 Azure 監視器度量附加元件可以使 Windows DaemonSet Pod 開始在您的節點集區上執行。 Windows Server 2019 和 Windows Server 2022 都有支援。請遵循下列步驟，讓 Pod 從您的 Windows 節點集區收集計量。

附註

在 windows-exporter-daemonset.yaml 中沒有 CPU/記憶體限制，因此可能會導致 Windows 系統資源過度配置。如需詳細資訊，請參閱資源保留

當您部署工作負載時，請設定容器的資源儲存體和 CPU 限制。這也會從 NodeAllocatable 減去，並協助全叢集排程器判斷要放置於哪些節點上的 Pod。排程沒有限制的 Pod 可能會過度佈建 Windows 節點，而且在極端情況下可能會導致節點變成狀況不良。

安裝 Windows 匯出工具

藉由部署 windows-exporter-daemonset YAML 檔案，在 AKS 節點上手動安裝 Windows 匯出工具以存取 Windows 計量。啟用下列收集器。如需更多收集器，請參閱適用於 Windows 指標的 Prometheus 匯出工具。

[defaults]
- container
- memory
- process
- cpu_info

部署 windows-exporter-daemonset YAML 檔案。如果節點中套用了任何污點，您必須套用適當的容忍。

kubectl apply -f windows-exporter-daemonset.yaml

啟用 Windows 計量

在指標設定 ConfigMap 中將 windowsexporter 和 windowskubeproxy 布林值設定為 true ，並將其套用至叢集。請參閱使用 ConfigMap 自訂 Kubernetes 叢集的 Prometheus 指標集合。

啟用錄製規則

開啟立即可用儀表板所需的錄製規則：

如果使用 CLI 上線，請包含選項 --enable-windows-recording-rules。
如果使用 ARM 範本、Bicep 或 Azure 原則來上線，請在參數檔案中將 enableWindowsRecordingRules 設定為 true。
如果叢集已上線，請使用此 ARM 範本和此參數檔案來建立規則群組。這會新增必要的記錄規則，而且不是叢集上的 ARM 作業，也不會影響叢集目前的監視狀態。

驗證部署

使用 kubectl 命令行工具來確認代理程式是否已正確部署。

受控 Prometheus

確認 DaemonSet 已正確部署於 Linux 節點集區

kubectl get ds ama-metrics-node --namespace=kube-system

Pod 的數目應該等於叢集上的 Linux 節點數目。輸出應類似下列範例：

User@aksuser:~$ kubectl get ds ama-metrics-node --namespace=kube-system
NAME               DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
ama-metrics-node   1         1         1       1            1           <none>          10h

確認已正確部署 Windows 節點

kubectl get ds ama-metrics-win-node --namespace=kube-system

Pod 的數目應該等於叢集上的 Windows 節點數目。輸出應類似下列範例：

User@aksuser:~$ kubectl get ds ama-metrics-node --namespace=kube-system
NAME                   DESIRED   CURRENT   READY   UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
ama-metrics-win-node   3         3         3       3            3           <none>          10h

確認已針對 Prometheus 部署兩個 ReplicaSet

kubectl get rs --namespace=kube-system

輸出應類似下列範例：

User@aksuser:~$kubectl get rs --namespace=kube-system
NAME                            DESIRED   CURRENT   READY   AGE
ama-metrics-5c974985b8          1         1         1       11h
ama-metrics-ksm-5fcf8dffcd      1         1         1       11h

容器記錄

確認 DaemonSet 已正確部署於 Linux 節點集區

kubectl get ds ama-logs --namespace=kube-system

Pod 的數目應該等於叢集上的 Linux 節點數目。輸出應類似下列範例：

User@aksuser:~$ kubectl get ds ama-logs --namespace=kube-system
NAME       DESIRED   CURRENT   READY     UP-TO-DATE   AVAILABLE   NODE SELECTOR   AGE
ama-logs   2         2         2         2            2           <none>          1d

確認已正確部署 Windows 節點

kubectl get ds ama-logs-windows --namespace=kube-system

Pod 的數目應該等於叢集上的 Windows 節點數目。輸出應類似下列範例：

User@aksuser:~$ kubectl get ds ama-logs-windows --namespace=kube-system
NAME                   DESIRED   CURRENT   READY     UP-TO-DATE   AVAILABLE   NODE SELECTOR     AGE
ama-logs-windows           2         2         2         2            2       <none>            1d

驗證容器記錄解決方案的部署

kubectl get deployment ama-logs-rs --namespace=kube-system

輸出應類似下列範例：

User@aksuser:~$ kubectl get deployment ama-logs-rs --namespace=kube-system
NAME          READY   UP-TO-DATE   AVAILABLE   AGE
ama-logs-rs   1/1     1            1           24d

使用 CLI 來檢視設定

使用 aks show 命令來了解解決方案已啟用、Log Analytics 工作區資源識別碼，以及叢集的摘要資訊。

az aks show --resource-group <resourceGroupofAKSCluster> --name <nameofAksCluster>

此命令會傳回解決方案的 JSON 格式資訊。 addonProfiles 區段應包含 omsagent 的相關資訊，如下列範例所示：

"addonProfiles": {
    "omsagent": {
        "config": {
            "logAnalyticsWorkspaceResourceID": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/my-resource-group/providers/microsoft.operationalinsights/workspaces/my-workspace",
            "useAADAuth": "true"
        },
        "enabled": true,
        "identity": null
    },
}

下一步

如果您在嘗試上線時遇到問題，請檢閱疑難排解指南。
請學習如何在 Azure 入口網站中使用容器分析來分析 Kubernetes 監視資料。

意見反應

此頁面對您有幫助嗎？

Last updated on 2025-10-30

共用方式為

針對 AKS 叢集啟用監視

必要條件

建立工作區

啟用 Prometheus 指標和容器日誌

必要條件

必要條件

Prometheus 指標

選擇性參數

容器日誌

記錄配置檔

串流值

適用的資料表和計量

特殊場景

啟用控制平面記錄

啟用 Windows 計量 （預覽版）

安裝 Windows 匯出工具

啟用 Windows 計量

啟用錄製規則

驗證部署

受控 Prometheus

容器記錄

下一步

意見反應

其他資源

啟用 Windows 計量（預覽版）