View a markdown version of this page

OpenTelemetry Collezionista - Amazon CloudWatch
Ricevitori supportatiNozioni di baseEffettua l'autenticazione con un token al portatore (chiave API)Esempi di configurazione del collettore

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

OpenTelemetry Collezionista

The OpenTelemetry Collector è un agente open source indipendente dal fornitore che riceve, elabora ed esporta dati di telemetria. Funziona come una pipeline centrale tra le tue applicazioni e Amazon CloudWatch, raccogliendo metriche, log e tracce da più fonti e inviandoli all' CloudWatch utilizzo del OpenTelemetry Protocollo (OTLP).

L'utilizzo di OpenTelemetry Collector offre i seguenti vantaggi: CloudWatch

  • Raccogli dati di telemetria da più applicazioni e host tramite un unico agente, riducendo il numero di connessioni a. CloudWatch

  • Elabora e filtra la telemetria prima di inviarla a CloudWatch, inclusa l'aggiunta o la rimozione di attributi, il raggruppamento dei dati e il campionamento delle tracce.

  • Utilizza la stessa configurazione del collettore in tutti gli ambienti cloud AWS, on-premise e in altri ambienti cloud, fornendo una pipeline di telemetria coerente indipendentemente da dove vengono eseguite le applicazioni.

  • Invia metriche a CloudWatch con etichette complete disponibili per l'interrogazione utilizzando il Prometheus Query Language (PromQL) in Query Studio. CloudWatch

Ricevitori supportati

The OpenTelemetry Collector supporta un'ampia gamma di ricevitori per l'acquisizione di dati di telemetria. Puoi utilizzare OpenTelemetry ricevitori come il ricevitore OTLP per applicazioni dotate di OpenTelemetry SDK o i ricevitori Prometheus per acquisire metriche dagli esportatori Prometheus esistenti. I ricevitori Prometheus più comuni utilizzati con includono: CloudWatch

  • Ricevitore Prometheus, per raschiare qualsiasi endpoint Prometheus-compatible

  • Ricevitore Host Metrics, per la raccolta di metriche a livello di sistema dall'host

  • Ricevitore Kubernetes Cluster, per la raccolta di metriche a livello di cluster dal server API Kubernetes

Puoi configurare più ricevitori in un unico raccoglitore, raccogliendo sia le metriche di Prometheus che quelle di OpenTelemetry Prometheus e inviarle tramite la stessa pipeline. CloudWatch Per l'elenco completo dei ricevitori disponibili, consulta il repository Collector. OpenTelemetry

Nozioni di base

Prerequisito: se utilizzi l'endpoint OTLP per il tracciamento, assicurati che Transaction Search sia abilitato.

Fasi:

  1. Scarica l'ultima versione della distribuzione Collector. OpenTelemetry Per ulteriori informazioni, consulta le versioni di OpenTelemetry Collector.

  2. Installa OpenTelemetry Collector sul tuo host. Il collector funziona su qualsiasi sistema operativo e piattaforma. Per ulteriori informazioni, consulta Install the Collector.

  3. Configura AWS le credenziali sul tuo host Amazon EC2 o locale. Il raccoglitore utilizza queste credenziali per l'autenticazione durante l'invio di dati di telemetria. CloudWatch Vedi sotto per i dettagli.

    Setup IAM permissions for Amazon EC2
    Attieniti alla seguente procedura per collegare la policy IAM CloudWatchAgentServerPolicy al ruolo IAM della tua istanza Amazon EC2.

    1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

    2. Scegli Ruoli, quindi trova e seleziona il ruolo utilizzato dalla tua istanza Amazon EC2.

    3. Nella scheda Autorizzazioni, scegli Aggiungi autorizzazioni, Collega policy.

    4. Utilizzando la casella di ricerca, cerca la policy CloudWatchAgentServerPolicy.

    5. Seleziona la policy CloudWatchAgentServerPolicy, quindi scegli Aggiungi autorizzazioni.

    Setup IAM permissions for on-premise hosts
    Puoi creare un utente IAM che può essere utilizzato per fornire le autorizzazioni ai tuoi host on-premises.

    1. Aprire la console IAM all'indirizzo https://console.aws.amazon.com/iam/.

    2. Scegli Utenti, quindi seleziona Crea utente.

    3. In Dettagli utente, per Nome utente, inserisci un nome per il nuovo utente IAM. Questo è il nome di accesso AWS che verrà utilizzato per autenticare il tuo host.

    4. Scegli Next (Successivo).

    5. Nella pagina Imposta autorizzazioni, nel campo Opzioni delle autorizzazioni, scegli Collega direttamente le policy.

    6. Dall'elenco delle politiche di autorizzazione, seleziona la CloudWatchAgentServerPolicypolitica da aggiungere al tuo utente.

    7. Scegli Next (Successivo).

    8. Nella pagina Rivedi e crea, assicurati di essere soddisfatto del nome utente e che la CloudWatchAgentServerPolicypolitica si trovi nel riepilogo delle autorizzazioni.

    9. Selezionare Create user (Crea utente).

    10. Crea e recupera la chiave di AWS accesso e la chiave segreta: nel riquadro di navigazione della console IAM, scegli Utenti, quindi seleziona il nome utente dell'utente creato nel passaggio precedente.

    11. Nella pagina dell'utente, scegli la scheda Credenziali di sicurezza.

    12. Nella sezione Chiavi di accesso, scegli Crea chiave di accesso.

    13. Per Crea chiave di accesso (passaggio 1), scegli Interfaccia a riga di comando (CLI).

    14. Per Crea chiave di accesso (passaggio 2), inserisci facoltativamente un tag e scegli Avanti.

    15. Per Crea chiave di accesso (passaggio 3), seleziona Scarica il file .csv per salvare un file .csv con la chiave di accesso e la chiave di accesso segreta del tuo utente IAM. Queste informazioni serviranno per i passaggi successivi.

    16. Seleziona Fatto.

    17. Configura AWS le tue credenziali nel tuo host locale inserendo il seguente comando. Sostituisci ACCESS_KEY_ID e SECRET_ACCESS_ID con la chiave di accesso e la chiave di accesso segreta appena generate dal file .csv scaricato nel passaggio precedente.

      
$ aws configure
AWS Access Key ID [None]: ACCESS_KEY_ID
AWS Secret Access Key [None]: SECRET_ACCESS_ID
Default region name [None]: MY_REGION
Default output format [None]: json
    Suggerimento

    Per gli host locali che devono solo inviare metriche o log, puoi utilizzare l'autenticazione con token bearer come alternativa più semplice alla configurazione delle chiavi di accesso. AWS I token Bearer non richiedono i file di step o di credenziali sull'hostaws configure. Per ulteriori informazioni, consulta Configurazione dell'autenticazione con token al portatore per Metrics.

  4. Configura AWS le credenziali per i tuoi cluster Amazon EKS o Kubernetes. Il modo più semplice per iniziare a usare Amazon EKS è utilizzare il componente aggiuntivo EKS OTel Container Insights. Se preferisci utilizzare direttamente OpenTelemetry Collector, segui la procedura riportata di seguito per configurare le AWS credenziali per i cluster Amazon EKS o Kubernetes a cui inviare dati di telemetria. CloudWatch

    Setup IAM permissions for Amazon EKS

    1. Crea un provider di identità OIDC IAM per il cluster con il comando seguente. 

      eksctl utils associate-iam-oidc-provider --cluster ${CLUSTER_NAME} --region ${REGION} --approve

    2. Assegna i ruoli IAM all'account del servizio Kubernetes per OTel Collector con il seguente comando.

      
eksctl create iamserviceaccount \
--name ${COLLECTOR_SERVICE_ACCOUNT}\
--namespace ${NAMESPACE} \
--cluster ${CLUSTER_NAME} \
--region ${REGION} \
--attach-policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy \
--approve \
--override-existing-serviceaccounts
    Setup IAM permissions for Kubernetes

    1. Configura le tue AWS credenziali nel tuo host locale inserendo il seguente comando. Sostituisci ACCESS_KEY_ID e SECRET_ACCESS_ID con la chiave di accesso appena generata e la chiave di accesso segreta dal file.csv scaricato nel passaggio precedente. Per impostazione predefinita, il file delle credenziali viene salvato in//. home/user aws/credentials. .

      
aws configure
AWS Access Key ID [None]: ACCESS_KEY_ID 
AWS Secret Access Key [None]: SECRET_ACCESS_ID 
Default region name [None]: MY_REGION 
Default output format [None]: json

    2. Modifica la risorsa OpenTelemetry Collector per aggiungere il segreto delle credenziali AWS appena creato utilizzando il comando: kubectl edit OpenTelemetryCollector otel_collector

    3. Utilizzando l'editor di file, aggiungi AWS le credenziali nel OpenTelemetryCollector contenitore aggiungendo la seguente configurazione all'inizio della distribuzione. Sostituisci il percorso /home/user/.aws/credentials con la posizione del file delle AWS credenziali locali. 

      
                     spec:
                    volumeMounts:
                    - mountPath: /rootfs
                    volumeMounts:
                    - name: aws-credentials
                    mountPath: /root/.aws
                    readOnly: true
                    volumes:
                    - hostPath:
                    path: /home/user/.aws/credentials
                    name: aws-credentials

  5. Configura l'esportatore OTLP nella configurazione del collector per inviare telemetria all'endpoint. CloudWatch Fai riferimento agli esempi riportati di seguito.

Effettua l'autenticazione con un token al portatore (chiave API)

Se non è necessario configurare AWS le credenziali sull'host, ad esempio quando si esegue su AWS infrastrutture diverse, altri provider cloud o CI/CD pipeline, è possibile utilizzare l'autenticazione con token portatore anziché SigV4. I token Bearer sono supportati per gli endpoint delle metriche e dei log (sono necessarie chiavi API separate per ogni servizio). L'autenticazione con token Bearer non è supportata per le tracce.

Per le istruzioni di configurazione, vedereConfigurazione dell'autenticazione con token al portatore per Metrics. Per i registri, vedi Configurazione dell'autenticazione con token al portatore per i registri.

Per un esempio di configurazione del collettore che utilizza token bearer, consulta l'esempio di metrica del token bearer negli esempi di configurazione del collettore di seguito.

Esempi di configurazione del collettore

Copia e incolla il contenuto seguente per configurare il raccoglitore per l'invio di log e tracce agli endpoint OTLP.

receivers:
  otlp:
    protocols:
      grpc:
        endpoint: 0.0.0.0:4317
      http:
        endpoint: 0.0.0.0:4318

exporters:
  otlphttp/logs:
    compression: gzip
    logs_endpoint: logs_otlp_endpoint
    headers: 
      x-aws-log-group: ency_log_group
      x-aws-log-stream: default
    auth:
      authenticator: sigv4auth/logs
      
  otlphttp/traces:
    compression: gzip
    traces_endpoint: traces_otlp_endpoint
    auth:
      authenticator: sigv4auth/traces

extensions:
  sigv4auth/logs:
    region: "region"
    service: "logs"
  sigv4auth/traces:
    region: "region"
    service: "xray"

service:
  telemetry:
  extensions: [sigv4auth/logs, sigv4auth/traces]
  pipelines:
    logs:
      receivers: [otlp]
      exporters: [otlphttp/logs]
    traces:
      receivers: [otlp]
      exporters: [otlphttp/traces]

Di seguito è riportato un esempio di invio di log e tracce utilizzando da sigv4 a us-east-1.

receivers:
  otlp:
    protocols:
      grpc:
        endpoint: 0.0.0.0:4317
      http:
        endpoint: 0.0.0.0:4318

exporters:
  otlphttp/logs:
    compression: gzip
    logs_endpoint: https://logs.us-east-1.amazonaws.com/v1/logs
    headers: 
      x-aws-log-group: MyApplicationLogs
      x-aws-log-stream: default
    auth:
      authenticator: sigv4auth/logs
      
  otlphttp/traces:
    compression: gzip
    traces_endpoint: https://xray.us-east-1.amazonaws.com/v1/traces
    auth:
      authenticator: sigv4auth/traces

extensions:
  sigv4auth/logs:
    region: "us-east-1"
    service: "logs"
  sigv4auth/traces:
    region: "us-east-1"
    service: "xray"

service:
  telemetry:
  extensions: [sigv4auth/logs, sigv4auth/traces]
  pipelines:
    logs:
     receivers: [otlp]
      exporters: [otlphttp/logs]
    traces:
      receivers: [otlp]
      exporters: [otlphttp/traces]
Nota

Configura i tuoi OpenTelemetry SDK in base alla configurazione always_on sampling per registrare in modo affidabile intervalli del 100% e ottenere la piena visibilità delle tue applicazioni critiche con Application Signals. CloudWatch Per ulteriori informazioni, consulta un esempio di configurazione del sampler Java SDK. OpenTelemetry Per un esempio sulla configurazione di OpenTelemetry Collector con un endpoint X-Ray OTLP, consultate l'application signals demo repository.

Copia e incolla il contenuto seguente per configurare il raccoglitore per l'invio di metriche agli endpoint OTLP.

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: metrics_otlp_endpoint
    auth:
      authenticator: sigv4auth

extensions:
  sigv4auth:
    service: "monitoring"
    region: "region"

service:
  extensions: [sigv4auth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Di seguito è riportato un esempio di invio di metriche utilizzando sigv4 a us-east-1.

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: "https://monitoring.us-east-1.amazonaws.com/v1/metrics:443"
    auth:
      authenticator: sigv4auth

extensions:
  sigv4auth:
    service: "monitoring"
    region: "us-east-1"

service:
  extensions: [sigv4auth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]

Metriche con autenticazione con token al portatore

Di seguito è riportato un esempio di invio di metriche utilizzando un token bearer a us-east-1. Per le istruzioni di configurazione e le migliori pratiche di sicurezza, consulta. Configurazione dell'autenticazione con token al portatore per Metrics

extensions:
  bearertokenauth:
    filename: "/etc/otel/cw-api-key"

receivers:
  otlp:
    protocols:
      http:
        endpoint: "0.0.0.0:4318"

processors:
  batch:
    send_batch_size: 200
    timeout: 10s

exporters:
  otlphttp:
    tls:
      insecure: false
    endpoint: "https://monitoring.us-east-1.amazonaws.com/v1/metrics"
    auth:
      authenticator: bearertokenauth

service:
  extensions: [bearertokenauth]
  pipelines:
    metrics:
      receivers: [otlp]
      processors: [batch]
      exporters: [otlphttp]
Importante

Non codificare mai le chiavi API direttamente nei file di configurazione del collettore. filenameUtilizzatelo per leggere da un segreto montato o ${env:VAR} per leggere da una variabile di ambiente inserita dal vostro gestore dei segreti.

Nota

A differenza di SigV4, i token bearer non richiedono file di AWS credenziali, ruoli IAM o configurazione IRSA. Il raccoglitore può essere eseguito su qualsiasi piattaforma senza dipendenze SDK. AWS