Hashicorp Vault

Vault è un sistema di gestione dei secret e della crittografia basato sull'identità. Questa integrazione raccoglie i log di controllo di Vault. L'integrazione raccoglie anche metriche relative a token, memoria e spazio di archiviazione.

Per ulteriori informazioni su Vault, consulta la documentazione di Hashicorp Vault.

Prerequisiti

Per raccogliere la telemetria di Vault, devi installare Ops Agent:

• Per le metriche, installa la versione 2.18.2 o successive.
• Per i log, installa la versione 2.18.1 o successive.

Questa integrazione supporta Vault versione 1.6 e successive.

Configura l'istanza Vault

Per raccogliere la telemetria dall'istanza di Vault, devi impostare il campo prometheus_retention_time su un valore diverso da zero nel file di configurazione JSON o HCL di Vault.

Full configuration options can be found at https://www.vaultproject.io/docs/configuration
telemetry {
  prometheus_retention_time = "10m"
  disable_hostname = false
}

Inoltre, è necessario un utente root per abilitare la raccolta degli audit log e per creare una policy ACL prometheus-metrics. Un token root viene utilizzato per aggiungere un criterio con funzionalità di lettura all'endpoint /sys/metrics. Questo criterio viene utilizzato per creare un token Vault con autorizzazioni sufficienti per raccogliere le metriche di Vault.

Se inizializzi Vault per la prima volta, puoi utilizzare il seguente script per generare un token root. In caso contrario, consulta Generare token root utilizzando chiavi di sblocco per informazioni sulla generazione di un token root.

export VAULT_ADDR=http://localhost:8200
# Create simple Vault initialization with 1 key share and a key threshold of 1.
vault operator init -key-shares=1 -key-threshold=1 | head -n3 | cat > .vault-init
VAULT_KEY=$(grep 'Unseal Key 1'  .vault-init | awk '{print $NF}')
VAULT_TOKEN=$(grep 'Initial Root Token:' .vault-init | awk '{print $NF}')
export VAULT_TOKEN
vault operator unseal $VAULT_KEY

# Enable audit logs.
vault audit enable file file_path=/var/log/vault_audit.log

# Create Prometheus ACL policy to access metrics endpoint.
vault policy write prometheus-metrics - << EOF
path "/sys/metrics" {
  capabilities = ["read"]
}
EOF

# Create an example token with the prometheus-metrics policy to access Vault metrics.
# This token is used as `$VAULT_TOKEN` in your Ops Agent configuration for Vault.
vault token create -field=token -policy prometheus-metrics > prometheus-token

Configura Ops Agent per Vault

Segui la guida per configurare Ops Agent, aggiungi gli elementi richiesti per raccogliere i dati di telemetria dalle istanze Vault e riavvia l'agente.

Configurazione di esempio

I seguenti comandi creano la configurazione per raccogliere e importare la telemetria per Vault:

# Configures Ops Agent to collect telemetry from the app. You must restart the agent for the configuration to take effect.

set -e

# Check if the file exists
if [ ! -f /etc/google-cloud-ops-agent/config.yaml ]; then
  # Create the file if it doesn't exist.
  sudo mkdir -p /etc/google-cloud-ops-agent
  sudo touch /etc/google-cloud-ops-agent/config.yaml
fi

# Create a back up of the existing file so existing configurations are not lost.
sudo cp /etc/google-cloud-ops-agent/config.yaml /etc/google-cloud-ops-agent/config.yaml.bak

# Create a Vault token that has read capabilities to /sys/metrics policy.
# For more information see: https://developer.hashicorp.com/vault/tutorials/monitoring/monitor-telemetry-grafana-prometheus?in=vault%2Fmonitoring#define-prometheus-acl-policy
VAULT_TOKEN=$(cat prometheus-token)


sudo tee /etc/google-cloud-ops-agent/config.yaml > /dev/null << EOF
metrics:
  receivers:
    vault:
      type: vault
      token: $VAULT_TOKEN
      endpoint: 127.0.0.1:8200
  service:
    pipelines:
      vault:
        receivers:
          - vault
logging:
  receivers:
    vault_audit:
      type: vault_audit
      include_paths: [/var/log/vault_audit.log]
  service:
    pipelines:
      vault:
        receivers:
          - vault_audit
EOF

Per applicare queste modifiche, devi riavviare l'Ops Agent:

Configura la raccolta dei log

Per importare i log da Vault, devi creare un ricevitore per i log prodotti da Vault e poi creare una pipeline per il nuovo ricevitore.

Per configurare un ricevitore per i log vault_audit, specifica i seguenti campi:

Che cosa viene registrato

logName deriva dagli ID destinatario specificati nella configurazione. I campi dettagliati all'interno di LogEntry sono i seguenti.

I log vault_audit contengono i seguenti campi in LogEntry:

Configurazione della raccolta di metriche

Per importare le metriche da Vault, devi creare un ricevitore per le metriche prodotte da Vault e poi creare una pipeline per il nuovo ricevitore.

Questo ricevitore non supporta l'utilizzo di più istanze nella configurazione, ad esempio per monitorare più endpoint. Tutte queste istanze scrivono nella stessa serie temporale e Cloud Monitoring non ha modo di distinguerle.

Per configurare un ricevitore per le metriche vault, specifica i seguenti campi:

Che cosa viene monitorato

La tabella seguente fornisce l'elenco delle metriche raccolte da Ops Agent dall'istanza Vault.

Verificare la configurazione

Questa sezione descrive come verificare di aver configurato correttamente il ricevitore Vault. Potrebbero essere necessari uno o due minuti prima che Ops Agent inizi a raccogliere i dati di telemetria.

Per verificare che i log di Vault vengano inviati a Cloud Logging, procedi nel seguente modo:

1. Nella Google Cloud console, vai alla pagina Esplora log:

   Vai a Esplora log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Inserisci la seguente query nell'editor e poi fai clic su Esegui query:
   

   resource.type="gce_instance"
   log_id("vault_audit")
   

Per verificare che le metriche di Vault vengano inviate a Cloud Monitoring, procedi nel seguente modo:

1. Nella console Google Cloud , vai alla pagina leaderboard Esplora metriche:

   Vai a Esplora metriche

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Nella barra degli strumenti del riquadro Query Builder, seleziona il pulsante il cui nome è code MQL o code PromQL.
3. Verifica che PromQL sia selezionato nel pulsante di attivazione/disattivazione Lingua. Il pulsante di attivazione/disattivazione della lingua si trova nella stessa barra degli strumenti che ti consente di formattare la query.
4. Inserisci la seguente query nell'editor e poi fai clic su Esegui query:
   

   {"workload.googleapis.com/vault.memory.usage", monitored_resource="gce_instance"}
   

Visualizza dashboard

Per visualizzare le metriche di Vault, devi configurare un grafico o una dashboard. L'integrazione di Vault include una o più dashboard. Le dashboard vengono installate automaticamente dopo la configurazione dell'integrazione e l'inizio della raccolta dei dati delle metriche da parte di Ops Agent.

Puoi anche visualizzare anteprime statiche delle dashboard senza installare l'integrazione.

Per visualizzare una dashboard installata:

1. Nella console Google Cloud , vai alla pagina  Dashboard:

   Vai a Dashboard

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Seleziona la scheda Elenco dashboard e poi scegli la categoria Integrazioni.
3. Fai clic sul nome della dashboard che vuoi visualizzare.

Se hai configurato un'integrazione, ma la dashboard non è stata installata, verifica che Ops Agent sia in esecuzione. Se non sono presenti dati delle metriche per un grafico nella dashboard, l'installazione della dashboard non va a buon fine. Dopo che Ops Agent inizia a raccogliere le metriche, la dashboard viene installata per te.

Per visualizzare un'anteprima statica della dashboard:

1. Nella console Google Cloud , vai alla pagina  Integrazioni:

   Vai a Integrazioni

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Fai clic sul filtro Compute Engine della piattaforma di deployment.
3. Individua la voce relativa a Vault e fai clic su Visualizza dettagli.
4. Seleziona la scheda Dashboard per visualizzare un'anteprima statica. Se la dashboard è installata, puoi accedervi facendo clic su Visualizza dashboard.

Per ulteriori informazioni sulle dashboard in Cloud Monitoring, consulta Dashboard e grafici.

Per saperne di più sull'utilizzo della pagina Integrazioni, consulta Gestire le integrazioni.

Installare criteri di avviso

I criteri di avviso indicano a Cloud Monitoring di inviarti una notifica quando si verificano le condizioni specificate. L'integrazione di Vault include uno o più criteri di avviso da utilizzare. Puoi visualizzare e installare queste norme di avviso dalla pagina Integrazioni in Monitoring.

Per visualizzare le descrizioni dei criteri di avviso disponibili e installarli, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina  Integrazioni:

   Vai a Integrazioni

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Monitoring.

2. Individua la voce relativa a Vault e fai clic su Visualizza dettagli.
3. Seleziona la scheda Avvisi. Questa scheda fornisce descrizioni dei criteri di avviso disponibili e un'interfaccia per installarli.
4. Installa criteri di avviso. I criteri di avviso devono sapere dove inviare le notifiche di attivazione dell'avviso, pertanto richiedono informazioni per l'installazione. Per installare i criteri di avviso:
   1. Dall'elenco dei criteri di avviso disponibili, seleziona quelli che vuoi installare.

   2. Nella sezione Configura le notifiche, seleziona uno o più canali di notifica. Hai la possibilità di disattivare l'utilizzo dei canali di notifica, ma in questo caso i criteri di avviso vengono attivati in modalità silenziosa. Puoi controllare il loro stato in Monitoraggio, ma non ricevi notifiche.

      Per saperne di più sui canali di notifica, consulta l'articolo Gestire i canali di notifica.

   3. Fai clic su Crea policy.

Per ulteriori informazioni sui criteri di avviso in Cloud Monitoring, consulta la pagina Introduzione agli avvisi.

Per saperne di più sull'utilizzo della pagina Integrazioni, consulta Gestire le integrazioni.

Passaggi successivi

Per una procedura dettagliata su come utilizzare Ansible per installare Ops Agent, configurare un'applicazione di terze parti e installare un dashboard di esempio, guarda il video Installare Ops Agent per risolvere i problemi delle applicazioni di terze parti.