Envoyer des métriques Prometheus depuis des machines virtuelles, des groupes de machines virtuelles identiques ou des clusters Kubernetes à un espace de travail Azure Monitor

Écriture à distance à l'aide de l'authentification de l'identité managée affectée par l'utilisateur

L’authentification des identités managées affectées par l’utilisateur peut être utilisée dans n’importe quel environnement géré par Azure. Si votre service Prometheus s’exécute dans un environnement non-Azure, vous pouvez utiliser l’authentification d’application Microsoft Entra ID.

Pour configurer une identité managée affectée par l'utilisateur pour l'écriture à distance dans l'espace de travail Azure Monitor, procédez comme suit.

Créer une identité managée attribuée par l’utilisateur

Pour créer une identité managée par l'utilisateur à utiliser dans votre configuration d'écriture à distance, consultez Gérer les identités managées affectées par l'utilisateur.

Notez la valeur de clientId de l'identité managée que vous avez créée. Cet ID est utilisé dans la configuration d'écriture à distance Prometheus.

Attribuer le rôle d'éditeur de métriques d'analyse à l'application

Dans la règle de collecte de données de l’espace de travail, attribuez le rôle Monitoring Metrics Publisher à l’identité managée.

1. Sur la page de présentation de l'espace de travail Azure Monitor, sélectionnez le lien Règle de collecte de données.

   

2. Sur la page de règle de collecte de données, sélectionnez Contrôle d'accès (IAM).

3. Sélectionnez Ajouter, puis Ajouter une attribution de rôle.

4. Recherchez et sélectionnez Éditeur de métriques d'analyse, puis sélectionnez Suivant.

5. Sélectionnez Identité managée.

6. Sélectionnez Sélectionner des membres.

7. Dans la liste déroulante Entité managée, Identité managée affectée par l'utilisateur.

8. Sélectionnez l'identité affectée par l'utilisateur que vous souhaitez utiliser, puis cliquez sur Sélectionner.

9. Sélectionnez Vérifier + attribuer pour terminer l’attribution de rôle.

   

Affecter l’identité managée à une machine virtuelle ou à un groupe de machines virtuelles identiques

1. Dans le portail Azure, accédez à la page du cluster, de la machine virtuelle ou du groupe de machines virtuelles identiques.

2. Sélectionnez Identité.

3. Sélectionnez Utilisateur attribué.

4. Sélectionnez Ajouter.

5. Sélectionnez l'identité managée affectée par l'utilisateur que vous avez créée, puis sélectionnez Ajouter.

   

Affecter l’identité managée pour une instance Azure Kubernetes Service (AKS)

Pour les services Azure Kubernetes Service (AKS), l’identité managée doit être affectée aux groupes de machines virtuelles identiques.

AKS crée un groupe de ressources contenant les groupes de machines virtuelles identiques. Le nom du groupe de ressources est au format MC_<resource group name>_<AKS cluster name>_<region>. Pour chaque groupe de machines virtuelles identiques du groupe de ressources, affectez l’identité managée conformément aux étapes décrites dans la section précédente, Affecter l’identité managée à une machine virtuelle ou à un groupe de machines virtuelles identiques.

Écriture à distance à l'aide de l'authentification de l'application Microsoft Entra ID

L’authentification d’application Microsoft Entra ID peut être utilisée dans n’importe quel environnement. Si votre service Prometheus s’exécute dans un environnement managé par Azure, envisagez d’utiliser l’authentification par identité managée affectée par l’utilisateur.

Pour configurer l’écriture à distance dans l’espace de travail Azure Monitor en utilisant une application Microsoft Entra ID, créez une application Microsoft Entra. Dans la règle de collecte de données de l’espace de travail Azure Monitor, attribuez le rôle Monitoring Metrics Publisher à l’application Microsoft Entra.

Créer une application Microsoft Entra ID

Pour créer une application Microsoft Entra ID à l'aide du portail, consultez Créer une application Microsoft Entra ID et un principal de service qui peuvent accéder aux ressources.

Une fois que vous avez créé votre application Microsoft Entra, obtenez l’ID client et générez une clé secrète client.

1. Dans la liste des applications, copiez la valeur de ID d’application (client) pour l’application inscrite. Cette valeur est utilisée dans la configuration d'écriture à distance de Prometheus comme valeur pour client_id.

   

2. Sélectionner Certificats et secrets.

3. Sélectionner Clés secrètes client, puis Nouvelle clé secrète client pour créer un secret.

4. Entrez une description, définissez la date d'expiration et sélectionnez Ajouter.

   

5. Copiez la valeur du secret en toute sécurité. La valeur est utilisée dans la configuration d'écriture à distance de Prometheus comme valeur pour client_secret. La valeur de la clé secrète client est visible uniquement lors de la création et ne peut pas être récupérée ultérieurement. En cas de perte, vous devez créer une clé secrète client.

   

Attribuer le rôle d'éditeur de métriques d'analyse à l'application

Attribuez à l'application le rôle Monitoring Metrics Publisher sur la règle de collecte de données de l'espace de travail.

1. Sur la page de présentation de l'espace de travail Azure Monitor, sélectionnez le lien Règle de collecte de données.

   

2. Sur la page de présentation de la règle de collecte de données, sélectionnez Contrôle d'accès (IAM).

3. Sélectionnez Ajouter, puis sélectionnez Ajouter une attribution de rôle.

   

4. Sélectionnez le rôle Éditeur d’indicateurs de performance d’analyse, puis sélectionnez Suivant.

   

5. Sélectionnez Utilisateur, groupe ou principal de service, puis choisissez Sélectionner les membres. Sélectionnez l’application que vous avez créée, puis choisissez Sélectionner.

   

6. Pour terminer le processus d’attribution de rôle, sélectionnez Vérifier + attribuer.

Créer des identités affectées par l'utilisateur et des applications Microsoft Entra ID à l'aide de l'interface CLI

Créer une identité managée attribuée par l’utilisateur

Créez une identité managée affectée par l'utilisateur pour l'écriture à distance en procédant comme suit :

1. Créer une identité managée attribuée par l’utilisateur
2. attribuer le rôle Monitoring Metrics Publisher sur la règle de collecte de données de l'espace de travail à l'identité managée.
3. Attribuez l'identité managée à une machine virtuelle ou à un groupe de machines virtuelles identiques.

Notez la valeur de clientId de l'identité managée que vous créez. Cet ID est utilisé dans la configuration d'écriture à distance Prometheus.

1. Créez une identité managée affectée par l'utilisateur à l'aide de la commande CLI suivante :

   az account set \
   --subscription <subscription id>
   
   az identity create \
   --name <identity name> \
   --resource-group <resource group name>
   

   Voici un exemple de sortie affichée :

   {
     "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
     "location": "eastus",
     "name": "PromRemoteWriteIdentity",
     "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
     "resourceGroup": "rg-001",
     "systemData": null,
     "tags": {},
     "tenantId": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. Attribuez le rôle Monitoring Metrics Publisher sur la règle de collecte de données de l'espace de travail à l'identité managée.

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee <managed identity client ID> \
   --scope <data collection rule resource ID>
   

   Par exemple,

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
   --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001
   

3. Attribuez l'identité managée à une machine virtuelle ou à un groupe de machines virtuelles identiques.

   Pour les machines virtuelles :

   az vm identity assign \
   -g <resource group name> \
   -n <virtual machine name> \
   --identities <user assigned identity resource ID>
   

   Pour les groupes de machines virtuelles identiques :

   az vmss identity assign \
   -g <resource group name> \
   -n <VSS name> \
   --identities <user assigned identity resource ID>
   

   Par exemple, pour un groupe de machines virtuelles identiques :

   az vm identity assign \
   -g rg-prom-on-vm \
   -n win-vm-prom \
   --identities /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity
   

Pour plus d'informations, consultez créer une identité az et créer une attribution de rôle az.

Créer une application Microsoft Entra ID

Pour créer une application Microsoft Entra ID à l'aide de l'interface CLI et attribuer le rôle Monitoring Metrics Publisher, exécutez la commande suivante :

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

Par exemple,

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

Voici un exemple de sortie affichée :

{
  "appId": "66667777-aaaa-8888-bbbb-9999cccc0000",
  "displayName": "PromRemoteWriteApp",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d"
}

la sortie contient les valeurs appId et password. Enregistrez ces valeurs pour les utiliser dans la configuration de l'écriture à distance de Prometheus comme des valeurs pour client_id et client_secret. Le mot de passe ou la valeur de la clé secrète client n'est visible qu'au moment de la création et ne peut pas être récupéré ultérieurement. En cas de perte, vous devez créer une clé secrète client.

Pour plus d'informations, consultez créer une application az ad et az ad sp create-for-rbac.

Pour envoyer des données à votre espace de travail Azure Monitor, ajoutez la section suivante au fichier config (prometheus.yml) de votre instance Prometheus autogérée.

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
    azuread:
      cloud: 'AzurePublic'
      managed_identity:
        client_id: "<client-id of the managed identity>"
      oauth:
        client_id: "<client-id from the Entra app>"
        client_secret: "<client secret from the Entra app>"
        tenant_id: "<Azure subscription tenant Id>"

Opérateur Prometheus

Si vous êtes sur un cluster Kubernetes exécutant Prometheus Operator, suivez les étapes ci-dessous pour envoyer des données à votre espace de travail Azure Monitor.

1. Si vous utilisez l’authentification Microsoft Entra ID, convertissez le secret à l’aide de l’encodage base64, et appliquez le secret dans votre cluster Kubernetes. Enregistrez les éléments suivants dans un fichier yaml. Ignorez cette étape si vous utilisez une Identity Authentication managée.

apiVersion: v1
kind: Secret
metadata:
  name: remote-write-secret
  namespace: monitoring # Replace with namespace where Prometheus Operator is deployed. 
type: Opaque
data:
  password: <base64-encoded-secret>

Appliquer le secret.

# set context to your cluster 
az aks get-credentials -g <aks-rg-name> -n <aks-cluster-name> 

kubectl apply -f <remote-write-secret.yaml>

2. Mettez à jour les valeurs de la section d’écriture distante dans l’opérateur Prometheus. Copiez le code yaml suivant et enregistrez-le dans un fichier. Reportez-vous à la Documentation de l’opérateur Prometheus pour plus d’informations sur la spécification d’écriture à distance de l’espace de travail Azure Monitor dans l’opérateur Prometheus.

prometheus:
  prometheusSpec:
    remoteWrite:
    - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
      azureAd:
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
        cloud: 'AzurePublic'
        managedIdentity:
          clientId: "<clientId of the managed identity>"
        oauth:
          clientId: "<clientId of the Entra app>"
          clientSecret:
            name: remote-write-secret
            key: password
          tenantId: "<Azure subscription tenant Id>"

3. Utilisez helm pour mettre à jour votre configuration d’écriture distante à l’aide du fichier yaml ci-dessus.

helm upgrade -f <YAML-FILENAME>.yml prometheus prometheus-community/kube-prometheus-stack --namespace <namespace where Prometheus Operator is deployed>