View a markdown version of this page

OpenTelemetry Kolektor - Amazon CloudWatch
Penerima yang didukungMemulaiOtentikasi dengan token pembawa (kunci API)Contoh konfigurasi kolektor

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

OpenTelemetry Kolektor

OpenTelemetry Kolektor adalah agen agnostik vendor-agnostik open source yang menerima, memproses, dan mengekspor data telemetri. Ini bertindak sebagai saluran pusat antara aplikasi Anda dan Amazon CloudWatch, mengumpulkan metrik, log, dan jejak dari berbagai sumber dan mengirimkannya ke CloudWatch menggunakan OpenTelemetry Protokol (OTLP).

Menggunakan OpenTelemetry Kolektor dengan CloudWatch memberikan manfaat sebagai berikut:

  • Kumpulkan telemetri dari beberapa aplikasi dan host melalui satu agen, mengurangi jumlah koneksi ke. CloudWatch

  • Memproses dan memfilter telemetri sebelum mengirimnya ke CloudWatch, termasuk menambahkan atau menghapus atribut, mengelompokkan data, dan jejak pengambilan sampel.

  • Gunakan konfigurasi kolektor yang sama di seluruh AWS, lokal, dan lingkungan cloud lainnya, menyediakan pipeline telemetri yang konsisten di mana pun aplikasi Anda berjalan.

  • Kirim metrik ke label kaya CloudWatch yang tersedia untuk kueri menggunakan Prometheus Query Language (PromQL) di Query Studio. CloudWatch

Penerima yang didukung

OpenTelemetry Kolektor mendukung berbagai penerima untuk menelan data telemetri. Anda dapat menggunakan OpenTelemetry penerima seperti penerima OTLP untuk aplikasi yang diinstrumentasi dengan OpenTelemetry SDK, atau penerima Prometheus untuk mengikis metrik dari eksportir Prometheus yang ada. Penerima Prometheus umum yang digunakan meliputi: CloudWatch

  • Penerima Prometheus, untuk mengikis titik akhir apa pun Prometheus-compatible

  • Penerima Metrik Host, untuk mengumpulkan metrik tingkat sistem dari host

  • Penerima Kubernetes Cluster, untuk mengumpulkan metrik tingkat cluster dari server API Kubernetes

Anda dapat mengonfigurasi beberapa penerima dalam satu kolektor, memungkinkan Anda mengumpulkan metrik keduanya OpenTelemetry dan Prometheus dan mengirimkannya melalui pipa yang sama. CloudWatch Untuk daftar lengkap penerima yang tersedia, lihat repositori OpenTelemetry Kolektor.

Memulai

Prasyarat — Jika menggunakan titik akhir OTLP untuk melacak, pastikan bahwa Pencarian Transaksi diaktifkan.

Langkah:

  1. Unduh rilis terbaru dari distribusi OpenTelemetry Kolektor. Untuk informasi selengkapnya, lihat rilis OpenTelemetry Kolektor.

  2. Instal OpenTelemetry Kolektor di host Anda. Kolektor berjalan pada sistem operasi dan platform apa pun. Untuk informasi selengkapnya, lihat Menginstal Kolektor.

  3. Konfigurasikan AWS kredensional di Amazon EC2 atau host lokal. Kolektor menggunakan kredensil ini untuk mengautentikasi CloudWatch saat mengirim data telemetri. Lihat di bawah untuk detailnya.

    Setup IAM permissions for Amazon EC2
    Ikuti prosedur di bawah ini untuk melampirkan kebijakan CloudWatchAgentServerPolicyIAM ke peran IAM instans Amazon EC2 Anda.

    1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

    2. Pilih Peran dan temukan dan pilih peran yang digunakan oleh instans Amazon EC2 Anda.

    3. Di bawah tab Izin, pilih Tambahkan izin, Lampirkan kebijakan.

    4. Menggunakan kotak pencarian, cari CloudWatchAgentServerPolicy kebijakan.

    5. Pilih CloudWatchAgentServerPolicykebijakan dan pilih Tambahkan izin.

    Setup IAM permissions for on-premise hosts
    Anda dapat membuat pengguna IAM yang dapat digunakan untuk memberikan izin ke host lokal Anda.

    1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

    2. Pilih Pengguna, Buat Pengguna.

    3. Di bawah Rincian pengguna, untuk nama Pengguna, masukkan nama untuk pengguna IAM baru. Ini adalah nama masuk AWS yang akan digunakan untuk mengautentikasi host Anda.

    4. Pilih Berikutnya.

    5. Pada halaman Setel izin, di bawah opsi Izin, pilih Lampirkan kebijakan secara langsung.

    6. Dari daftar Kebijakan izin, pilih CloudWatchAgentServerPolicykebijakan yang akan ditambahkan ke pengguna Anda.

    7. Pilih Berikutnya.

    8. Pada halaman Tinjau dan buat, pastikan bahwa Anda puas dengan nama pengguna dan CloudWatchAgentServerPolicykebijakan tersebut berada di bawah ringkasan Izin.

    9. Pilih Create user (Buat pengguna).

    10. Buat dan ambil kunci AWS akses dan kunci rahasia Anda — Di panel navigasi di konsol IAM, pilih Pengguna lalu pilih nama pengguna pengguna yang Anda buat di langkah sebelumnya.

    11. Pada halaman pengguna, pilih tab Security credentials.

    12. Di bawah bagian tombol Akses, pilih Buat kunci akses.

    13. Untuk Buat tombol akses Langkah 1, pilih Antarmuka Baris Perintah (CLI).

    14. Untuk Buat kunci akses Langkah 2, secara opsional masukkan tag dan kemudian pilih Berikutnya.

    15. Untuk Buat kunci akses Langkah 3, pilih Unduh file.csv untuk menyimpan file.csv dengan kunci akses pengguna IAM dan kunci akses rahasia Anda. Anda memerlukan informasi ini untuk langkah selanjutnya.

    16. Pilih Selesai.

    17. Konfigurasikan AWS kredensional Anda di host lokal Anda dengan memasukkan perintah berikut. Ganti ACCESS_KEY_ID dan SECRET_ACCESS_ID dengan kunci akses yang baru dibuat dan kunci akses rahasia dari file.csv yang Anda unduh pada langkah sebelumnya.

      
$ aws configure
AWS Access Key ID [None]: ACCESS_KEY_ID
AWS Secret Access Key [None]: SECRET_ACCESS_ID
Default region name [None]: MY_REGION
Default output format [None]: json
    Tip

    Untuk host lokal yang hanya perlu mengirim metrik atau log, Anda dapat menggunakan otentikasi token pembawa sebagai alternatif yang lebih sederhana untuk mengonfigurasi kunci akses. AWS Token pembawa tidak memerlukan file aws configure langkah atau kredensi pada host. Untuk informasi selengkapnya, lihat Menyiapkan otentikasi token pembawa untuk Metrik.

  4. Siapkan AWS kredensil untuk kluster Amazon EKS atau Kubernetes Anda. Cara termudah untuk memulai dengan Amazon EKS adalah dengan menggunakan add-on EKS OTel Container Insights. Jika Anda lebih suka menggunakan OpenTelemetry Collector secara langsung, ikuti prosedur di bawah ini untuk menyiapkan AWS kredensil untuk kluster Amazon EKS atau Kubernetes Anda untuk mengirim telemetri. CloudWatch

    Setup IAM permissions for Amazon EKS

    1. Buat penyedia identitas IAM OIDC untuk klaster Anda menggunakan perintah berikut. 

      eksctl utils associate-iam-oidc-provider --cluster ${CLUSTER_NAME} --region ${REGION} --approve

    2. Tetapkan peran IAM ke akun layanan Kubernetes untuk OTel Collector menggunakan perintah berikut.

      
eksctl create iamserviceaccount \
--name ${COLLECTOR_SERVICE_ACCOUNT}\
--namespace ${NAMESPACE} \
--cluster ${CLUSTER_NAME} \
--region ${REGION} \
--attach-policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy \
--approve \
--override-existing-serviceaccounts
    Setup IAM permissions for Kubernetes

    1. Konfigurasikan AWS kredensional Anda di host lokal Anda dengan memasukkan perintah berikut. Ganti ACCESS_KEY_ID dan SECRET_ACCESS_ID dengan kunci akses yang baru dibuat dan kunci akses rahasia dari file.csv yang Anda unduh di langkah sebelumnya. Secara default, file kredensi disimpan di bawah/home/user/. aws/credentials. .

      
aws configure
AWS Access Key ID [None]: ACCESS_KEY_ID 
AWS Secret Access Key [None]: SECRET_ACCESS_ID 
Default region name [None]: MY_REGION 
Default output format [None]: json

    2. Edit sumber daya OpenTelemetry Kolektor untuk menambahkan rahasia kredensyal AWS yang baru dibuat dengan menggunakan perintah: kubectl edit OpenTelemetryCollector otel_collector

    3. Menggunakan editor file, tambahkan AWS kredensil ke dalam OpenTelemetryCollector wadah dengan menambahkan konfigurasi berikut ke bagian atas penerapan. Ganti jalur /home/user/.aws/credentials dengan lokasi file AWS kredensial lokal Anda. 

      
                     spec:
                    volumeMounts:
                    - mountPath: /rootfs
                    volumeMounts:
                    - name: aws-credentials
                    mountPath: /root/.aws
                    readOnly: true
                    volumes:
                    - hostPath:
                    path: /home/user/.aws/credentials
                    name: aws-credentials

  5. Konfigurasikan eksportir OTLP dalam konfigurasi kolektor Anda untuk mengirim telemetri ke titik akhir. CloudWatch Lihat contoh di bawah ini.

Otentikasi dengan token pembawa (kunci API)

Jika Anda tidak perlu mengonfigurasi AWS kredensi pada host — misalnya, saat berjalan di AWS non-infrastruktur, penyedia cloud lain, atau CI/CD saluran pipa — Anda dapat menggunakan otentikasi token pembawa alih-alih SigV4. Token pembawa didukung untuk metrik dan titik akhir log (kunci API terpisah diperlukan untuk setiap layanan). Otentikasi token pembawa tidak didukung untuk jejak.

Untuk petunjuk penyiapan, lihatMenyiapkan otentikasi token pembawa untuk Metrik. Untuk log, lihat Menyiapkan otentikasi token pembawa untuk Log.

Untuk contoh konfigurasi kolektor menggunakan token pembawa, lihat contoh metrik token pembawa dalam contoh konfigurasi kolektor di bawah ini.

Contoh konfigurasi kolektor

Salin dan tempel konten di bawah ini untuk mengonfigurasi kolektor Anda untuk mengirim log dan jejak ke titik akhir OTLP.

receivers:
  otlp:
    protocols:
      grpc:
        endpoint: 0.0.0.0:4317
      http:
        endpoint: 0.0.0.0:4318

exporters:
  otlphttp/logs:
    compression: gzip
    logs_endpoint: logs_otlp_endpoint
    headers: 
      x-aws-log-group: ency_log_group
      x-aws-log-stream: default
    auth:
      authenticator: sigv4auth/logs
      
  otlphttp/traces:
    compression: gzip
    traces_endpoint: traces_otlp_endpoint
    auth:
      authenticator: sigv4auth/traces

extensions:
  sigv4auth/logs:
    region: "region"
    service: "logs"
  sigv4auth/traces:
    region: "region"
    service: "xray"

service:
  telemetry:
  extensions: [sigv4auth/logs, sigv4auth/traces]
  pipelines:
    logs:
      receivers: [otlp]
      exporters: [otlphttp/logs]
    traces:
      receivers: [otlp]
      exporters: [otlphttp/traces]

Berikut ini adalah contoh untuk mengirim log dan jejak menggunakan sigv4 ke us-east-1.

receivers:
  otlp:
    protocols:
      grpc:
        endpoint: 0.0.0.0:4317
      http:
        endpoint: 0.0.0.0:4318

exporters:
  otlphttp/logs:
    compression: gzip
    logs_endpoint: https://logs.us-east-1.amazonaws.com/v1/logs
    headers: 
      x-aws-log-group: MyApplicationLogs
      x-aws-log-stream: default
    auth:
      authenticator: sigv4auth/logs
      
  otlphttp/traces:
    compression: gzip
    traces_endpoint: https://xray.us-east-1.amazonaws.com/v1/traces
    auth:
      authenticator: sigv4auth/traces

extensions:
  sigv4auth/logs:
    region: "us-east-1"
    service: "logs"
  sigv4auth/traces:
    region: "us-east-1"
    service: "xray"

service:
  telemetry:
  extensions: [sigv4auth/logs, sigv4auth/traces]
  pipelines:
    logs:
     receivers: [otlp]
      exporters: [otlphttp/logs]
    traces:
      receivers: [otlp]
      exporters: [otlphttp/traces]
catatan

Konfigurasikan OpenTelemetry SDK Anda ke konfigurasi sampling always_on untuk merekam rentang 100% dengan andal dan mendapatkan visibilitas penuh ke aplikasi penting Anda dengan Sinyal Aplikasi. CloudWatch Untuk informasi selengkapnya, lihat contoh konfigurasi sampler SDK OpenTelemetry Java. Untuk contoh pengaturan OpenTelemetry Collector dengan endpoint X-Ray OTLP, lihat repositori demo sinyal aplikasi.

Salin dan tempel konten di bawah ini untuk mengonfigurasi kolektor Anda untuk mengirim metrik ke titik akhir OTLP.

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: metrics_otlp_endpoint
    auth:
      authenticator: sigv4auth

extensions:
  sigv4auth:
    service: "monitoring"
    region: "region"

service:
  extensions: [sigv4auth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Berikut ini adalah contoh untuk mengirim metrik menggunakan sigv4 ke us-east-1.

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: "https://monitoring.us-east-1.amazonaws.com/v1/metrics:443"
    auth:
      authenticator: sigv4auth

extensions:
  sigv4auth:
    service: "monitoring"
    region: "us-east-1"

service:
  extensions: [sigv4auth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Metrik dengan otentikasi token pembawa

Berikut ini adalah contoh untuk mengirim metrik menggunakan token pembawa ke us-east-1. Untuk petunjuk penyiapan dan praktik terbaik keamanan, lihatMenyiapkan otentikasi token pembawa untuk Metrik.

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: "https://monitoring.us-east-1.amazonaws.com/v1/metrics"
    auth:
      authenticator: bearertokenauth

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]
penting

Jangan pernah melakukan hardcode kunci API secara langsung di file konfigurasi kolektor. Gunakan filename untuk membaca dari rahasia yang dipasang, atau ${env:VAR} untuk membaca dari variabel lingkungan yang disuntikkan oleh manajer rahasia Anda.

catatan

Tidak seperti SiGv4, token pembawa tidak memerlukan file AWS kredensyal, peran IAM, atau konfigurasi IRSA. Kolektor dapat berjalan di platform apa pun tanpa dependensi AWS SDK.