啟用 Kubernetes 叢集的監視

使用 CLI 啟用

如果您未在下列命令中指定現有的 Azure 監視器工作區，則會使用資源群組的預設工作區。 若叢集區域中還沒有預設工作區，則名稱格式為 DefaultAzureMonitorWorkspace-<mapped_region> 的工作區將在名稱為 DefaultRG-<cluster_region> 的資源群組建立。

必要條件

• Az CLI 2.49.0 版或更新版本。
• 必須使用命令 az extension remove --name aks-preview 來從 AKS 叢集解除安裝 aks-preview 擴充功能。
• 必須使用命令 az extension add --name k8s-extension 安裝 k8s-extension 擴充功能。
• 需要 k8s 延伸版本 1.4.1 版或更新版本。

AKS cluster

使用 -enable-azure-monitor-metrics 選項 az aks create 或 az aks update (視您要建立新的叢集或更新現有叢集而定) 來安裝會抓取 Prometheus 計量的計量附加元件。

範例命令

### Use default Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group>

### Use existing Azure Monitor workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <workspace-name-resource-id>

### Use an existing Azure Monitor workspace and link with an existing Grafana workspace
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --azure-monitor-workspace-resource-id <azure-monitor-workspace-name-resource-id> --grafana-resource-id  <grafana-workspace-name-resource-id>

### Use optional parameters
az aks create/update --enable-azure-monitor-metrics --name <cluster-name> --resource-group <cluster-resource-group> --ksm-metric-labels-allow-list "namespaces=[k8s-label-1,k8s-label-n]" --ksm-metric-annotations-allow-list "pods=[k8s-annotation-1,k8s-annotation-n]"

已開啟 Arc 的叢集 （預覽）

### Use default Azure Monitor workspace
az k8s-extension create --name azuremonitor-metrics --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers.Metrics

## Use existing Azure Monitor workspace
az k8s-extension create --name azuremonitor-metrics --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers.Metrics --configuration-settings azure-monitor-workspace-resource-id=<workspace-name-resource-id>

### Use an existing Azure Monitor workspace and link with an existing Grafana workspace
az k8s-extension create --name azuremonitor-metrics --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers.Metrics --configuration-settings azure-monitor-workspace-resource-id=<workspace-name-resource-id> grafana-resource-id=<grafana-workspace-name-resource-id>

### Use optional parameters
az k8s-extension create --name azuremonitor-metrics --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers.Metrics --configuration-settings azure-monitor-workspace-resource-id=<workspace-name-resource-id> grafana-resource-id=<grafana-workspace-name-resource-id> AzureMonitorMetrics.KubeStateMetrics.MetricAnnotationsAllowList="pods=[k8s-annotation-1,k8s-annotation-n]" AzureMonitorMetrics.KubeStateMetrics.MetricLabelsAllowlist "namespaces=[k8s-label-1,k8s-label-n]"

任何命令都可使用下列選擇性參數：

• AKS: --ksm-metric-annotations-allow-list
  Arc: --AzureMonitorMetrics.KubeStateMetrics.MetricAnnotationsAllowList
  在資源 kube_resource_annotations 計量中使用的 Kubernetes 註釋索引碼的逗號分隔清單。 例如，kube_pod_annotations 是 Pod 資源的註釋計量。 根據預設，計量只包含名稱和命名空間標籤。 若要包含更多註釋，請對於您會想要允許的註釋提供其複數形式和 Kubernetes 註釋索引碼的資源名稱清單。 您可以改為對於每個資源提供單一 *，允許任何註釋，但會產生嚴重的效能影響。 例如： pods=[kubernetes.io/team,...],namespaces=[kubernetes.io/team],... 。
  
• AKS: --ksm-metric-labels-allow-list
  Arc: --AzureMonitorMetrics.KubeStateMetrics.MetricLabelsAllowlist
  以逗號分隔的更多 Kubernetes 標籤索引鍵清單，用於資源的 kube_resource_labels 計量 kube_resource_labels 計量。 例如，kube_pod_labels 是 Pod 資源的註釋計量。 根據預設此計量只包含名稱和命名空間標籤。 若要包含更多標籤，請以複數形式提供資源名稱清單，以及您想要允許它們的 Kubernetes 標籤索引鍵：每個資源都可以提供單一 * 以允許任何標籤，但這具有嚴重的效能影響。 例如： pods=[app],namespaces=[k8s-label-1,k8s-label-n,...],... 。
  
• AKS：--enable-windows-recording-rules 讓您啟用 Windows 儀表板正常運作所需的錄製規則群組。

使用ARM樣本啟用

必要條件

• 必須已建立 Azure 監視器工作區和 Azure 受控 Grafana 執行個體。
• 範本需要部署在 Azure 受控 Grafana 執行個體所在的資源群組。
• 如果 Azure 受控 Grafana 執行個體位於 Azure 監視器工作區訂用帳戶以外的訂用帳戶中，請使用註冊資源提供者的指引透過 Microsoft.Dashboard 資源提供者註冊 Azure 監視器工作區訂用帳戶。
• AKS 叢集訂用帳戶中具有「User Access Administrator」角色的使用者，可以藉由部署範本，直接啟用 Monitoring Reader 角色。

擷取 Grafana 資源的必要值

如果 Azure 受控 Grafana 執行個體已連結至 Azure 監視器工作區，則必須將此列表包含在範本中。 在 Azure 入口網站中 Azure 受控 Grafana 執行個體的概觀頁面上，選取 [JSON 檢視]，然後複製 azureMonitorWorkspaceIntegrations 的值，如下所示。 如果不存在，則執行個體尚未與任何 Azure 監視器工作區連結。

"properties": {
    "grafanaIntegrations": {
        "azureMonitorWorkspaceIntegrations": [
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_1"
            },
            {
                "azureMonitorWorkspaceResourceId": "full_resource_id_2"
            }
        ]
    }
}

下載和編輯範本和參數檔案

1. 下載您所使用 Kubernetes 叢集類型所需的檔案。

   AKS 叢集 ARM

   • 範本檔案：https://aka.ms/azureprometheus-enable-arm-template
   • 參數檔案：https://aka.ms/azureprometheus-enable-arm-template-parameters

   AKS 叢集

   • 範本檔案：https://aka.ms/azureprometheus-enable-bicep-template
   • 參數檔案：https://aka.ms/azureprometheus-enable-bicep-template-parameters
   • DCRA 模組：https://aka.ms/nested_azuremonitormetrics_dcra_clusterResourceId
   • 設定檔案模組：https://aka.ms/nested_azuremonitormetrics_profile_clusterResourceId
   • Azure 受控 Grafana 角色指派模組：https://aka.ms/nested_grafana_amw_role_assignment

   已啟用 Arc 的叢集 （預覽） ARM

   • 範本檔案：https://aka.ms/azureprometheus-arc-arm-template
   • 參數檔案：https://aka.ms/azureprometheus-arc-arm-template-parameters

2. 在參數檔案中編輯下列值。 ARM 和 Bicep 範本都使用同一組值。 從 JSON 檢視中擷取資源的資源識別碼概觀頁面。

   參數	值
   azureMonitorWorkspaceResourceId	Azure 監視器工作區的資源識別碼。 從 Azure 監視器工作區 [概觀] 頁面上的 [JSON 檢視] 擷取。
   azureMonitorWorkspaceLocation	Azure 監視器工作區的位置。 從 Azure 監視器工作區 [概觀] 頁面上的 [JSON 檢視] 擷取。
   clusterResourceId	AKS 叢集的資源識別碼。 從叢集 [概觀] 頁面上的 [JSON 檢視] 擷取。
   clusterLocation	AKS 叢集的位置。 從叢集 [概觀] 頁面上的 [JSON 檢視] 擷取。
   metricLabelsAllowlist	Kubernetes 標籤索引碼的逗號分隔清單，要在資源的標籤計量中使用。
   metricAnnotationsAllowList	更多 Kubernetes 標籤索引碼的逗號分隔清單，將在資源的批注計量中使用。
   grafanaResourceId	受控 Grafana 執行個體的資源識別碼。 從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。
   grafanaLocation	受控 Grafana 執行個體的位置。 從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。
   grafanaSku	受控 Grafana 執行個體的 SKU。 從 Grafana 執行個體 [概觀] 頁面上的 [JSON 檢視] 擷取。 使用 sku.name。

3. 開啟範本檔案，並使用您從 Grafana 執行個體擷取的值，更新 grafanaIntegrations 檔案結尾處的屬性。 這看起來會類似以下範例。 在這些樣本中，full_resource_id_1 和 full_resource_id_2 已在 Azure 受控 Grafana 資源 JSON 中。 最後的 azureMonitorWorkspaceResourceId 項目已經在範本中，用來連結至參數檔案中提供的 Azure 監視器工作區資源識別碼。

   ARM

   {
       "type": "Microsoft.Dashboard/grafana",
       "apiVersion": "2022-08-01",
       "name": "[split(parameters('grafanaResourceId'),'/')[8]]",
       "sku": {
           "name": "[parameters('grafanaSku')]"
       },
       "location": "[parameters('grafanaLocation')]",
       "properties": {
           "grafanaIntegrations": {
           "azureMonitorWorkspaceIntegrations": [
               {
                   "azureMonitorWorkspaceResourceId": "full_resource_id_1"
               },
               {
                   "azureMonitorWorkspaceResourceId": "full_resource_id_2"
               },
               {
                   "azureMonitorWorkspaceResourceId": "[parameters('azureMonitorWorkspaceResourceId')]"
               }
           ]
           }
       }
   }
   

   Bicep

       resource grafanaResourceId_8 'Microsoft.Dashboard/grafana@2022-08-01' = {
           name: split(grafanaResourceId, '/')[8]
           sku: {
               name: grafanaSku
           }
           identity: {
               type: 'SystemAssigned'
           }
           location: grafanaLocation
           properties: {
               grafanaIntegrations: {
                   azureMonitorWorkspaceIntegrations: [
                       {
                           azureMonitorWorkspaceResourceId: 'full_resource_id_1'
                       }
                       {
                           azureMonitorWorkspaceResourceId: 'full_resource_id_2'
                       }
                       {
                           azureMonitorWorkspaceResourceId: azureMonitorWorkspaceResourceId
                       }
                   ]
               }
           }
       }
   

4. 使用任何有效的方法來部署 Resource Manager 範本，以參數檔案部署範本。 如需不同方法的範例，請參閱部署樣本範本。

使用 Terraform 啟用

必要條件

• 必須已建立 Azure 監視器工作區和 Azure 受控 Grafana 工作區。
• 範本必須部署在 Azure 受控 Grafana 工作區所在的資源群組。
• AKS 叢集訂用帳戶中具有「使用者存取系統管理員」角色的使用者，可以藉由部署範本，直接啟用監視讀取者角色。
• 如果 Azure 受控 Grafana 執行個體位於 Azure 監視器工作區訂用帳戶以外的訂用帳戶中，請遵循本文件，向 Microsoft.Dashboard 資源提供者註冊 Azure 監視器工作區訂用帳戶。

擷取 Grafana 資源的必要值

在 Azure 入口網站中 Azure 受控 Grafana 執行個體的 [概觀] 頁面，選取 [JSON 檢視]。

如果您使用連結至 Azure 監視器工作區的現有 Azure 受控 Grafana 執行個體，則需要 Grafana 整合清單。 複製 azureMonitorWorkspaceIntegrations 欄位的值。 如果不存在，執行個體尚未與任何 Azure 監視器工作區連結。 使用 grafana 整合清單更新 main.tf 中的 azure_monitor_workspace_integrations 區塊。

  azure_monitor_workspace_integrations {
    resource_id  = var.monitor_workspace_id[var.monitor_workspace_id1, var.monitor_workspace_id2]
  }

下載並編輯範本

如果您要使用已啟用 Managed Prometheus 附加元件的 Terraform 來部署新的 AKS 叢集，請遵循下列步驟：

1. 下載 AddonTerraformTemplate 底下的所有檔案。
2. 使用正確的參數值編輯 variables.tf 檔案中的變數。
3. 執行 terraform init -upgrade 來初始化 Terraform 部署。
4. 執行 terraform plan -out main.tfplan 來初始化 Terraform 部署。
5. 執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

注意：只有在這些值存在時，才會在 main.tf 中傳遞 annotations_allowed 和 labels_allowed 索引鍵的變數。 這些是選擇性區塊。

使用 Azure 原則啟用

1. 下載 Azure 原則的範本檔案和參數檔案。

   • 範本檔案：https://aka.ms/AddonPolicyMetricsProfile
   • 參數檔案：https://aka.ms/AddonPolicyMetricsProfile.parameters

2. 使用下列 CLI 命令建立原則定義：

   az policy definition create --name "Prometheus Metrics addon" --display-name "Prometheus Metrics addon" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules AddonPolicyMetricsProfile.rules.json --params AddonPolicyMetricsProfile.parameters.json

3. 建立原則定義之後，請在 Azure 入口網站中，選取 [原則]再來是 [定義]。 選取您建立的原則定義。

4. 選取 [指派]，然後填入 [參數] 索引標籤的詳細資料。選取 [檢閱 + 建立]。

5. 如果您想要將原則套用至現有的叢集，請從原則指派為該叢集資源建立補救工作。

將原則指派給訂用帳戶之後，每當您建立未啟用 Prometheus 的新叢集時，原則就會執行並部署以啟用 Prometheus 監視。

使用下列其中一個命令來監視 AKS 和已啟用 Arc 的叢集。 如果您未指定現有的 Log Analytics 工作區，則會使用資源群組的預設工作區。 若叢集區域中還沒有預設工作區，則會使用格式為 DefaultWorkspace-<GUID>-<Region> 的名稱建立一個工作區。

必要條件

• Azure CLI 版本 2.43.0 版或更新版本
• CLI 2.49.0 版或更高版本中預設有受控識別驗證。
• Azure k8s 延伸版本 1.3.7 版或更新版本
• 受控識別驗證在 k8s-extension 1.43.0 版或更高版本中為預設。
• 已啟用 Arc 的 Kubernetes 叢集不支援使用 ARO(Azure Red Hat Openshift) 或 Windows 節點的受控識別驗證。 使用舊版驗證。
• 針對 CLI 2.54.0 版或更新版本，記錄結構描述將會使用 ConfigMap 設定為 ContainerLogV2。

AKS cluster

### Use default Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name>

### Use existing Log Analytics workspace
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id>

### Use legacy authentication
az aks enable-addons --addon monitoring --name <cluster-name> --resource-group <cluster-resource-group-name> --workspace-resource-id <workspace-resource-id> --enable-msi-auth-for-monitoring false

範例

az aks enable-addons --addon monitoring --name "my-cluster" --resource-group "my-resource-group" --workspace-resource-id "/subscriptions/my-subscription/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace"

已啟用 Arc 的叢集

### Use default Log Analytics workspace
az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers

### Use existing Log Analytics workspace
az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings logAnalyticsWorkspaceResourceID=<workspace-resource-id>

### Use managed identity authentication (default as k8s-extension version 1.43.0)
az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings amalogs.useAADAuth=true

### Use advanced configuration settings
az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings  amalogs.resources.daemonset.limits.cpu=150m amalogs.resources.daemonset.limits.memory=600Mi amalogs.resources.deployment.limits.cpu=1 amalogs.resources.deployment.limits.memory=750Mi

### With custom mount path for container stdout & stderr logs
### Custom mount path not required for Azure Stack Edge version > 2318. Custom mount path must be /home/data/docker for Azure Stack Edge cluster with version <= 2318
az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings amalogs.logsettings.custommountpath=<customMountPath>

檢視 Helm 圖表的資源要求和限制區段，以取得可用的組態設定。

範例

az k8s-extension create --name azuremonitor-containers --cluster-name "my-cluster" --resource-group "my-resource-group" --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings logAnalyticsWorkspaceResourceID="/subscriptions/my-subscription/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace"

具有正向 Proxy 的已啟用 Arc 的叢集

如果已將叢集設為正向 Proxy，則 Proxy 設定會自動套用至延伸模組。 如果是具有 AMPLS + Proxy 的叢集，應該忽略 Proxy 設定。 使用組態設定 amalogs.ignoreExtensionProxySettings=true 將延伸模組上線。

az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings amalogs.ignoreExtensionProxySettings=true

具有 ARO 或 OpenShift 或 Windows 節點的已啟用 Arc 的叢集

已啟用 Arc 的 Kubernetes 叢集不支援使用 ARO (Azure Red Hat OpenShift) 或 OpenShift 或 Windows 節點的受控識別驗證。 藉由指定 amalogs.useAADAuth=false 來使用舊版驗證，如下列範例所示。

az k8s-extension create --name azuremonitor-containers --cluster-name <cluster-name> --resource-group <resource-group> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings amalogs.useAADAuth=false

刪除延伸模組執行個體

下列命令只會刪除延伸模組執行個體，但不會刪除 Log Analytics 工作區。 Log Analytics 資源內的資料會保持不變。

az k8s-extension delete --name azuremonitor-containers --cluster-type connectedClusters --cluster-name <cluster-name> --resource-group <resource-group>

本節提供 ARM 和 Bicep 範本。

必要條件

• 必須將範本部署在與叢集相同的資源群組中。

下載並安裝範本

1. 下載和編輯範本和參數檔案

   AKS 叢集 ARM

   • 範本檔案：https://aka.ms/aks-enable-monitoring-msi-onboarding-template-file
   • 參數檔案：https://aka.ms/aks-enable-monitoring-msi-onboarding-template-parameter-file

   AKS 叢集

   • 範本檔案 (Syslog)：https://aka.ms/enable-monitoring-msi-syslog-bicep-template
   • 參數檔案 (無 Syslog)：https://aka.ms/enable-monitoring-msi-syslog-bicep-parameters
   • 範本檔案 (無 Syslog)：https://aka.ms/enable-monitoring-msi-bicep-template
   • 參數檔案 (無 Syslog)：https://aka.ms/enable-monitoring-msi-bicep-parameters

   已啟用 Arc 的叢集 ARM

   • 範本檔案：https://aka.ms/arc-k8s-azmon-extension-msi-arm-template
   • 參數檔案：https://aka.ms/arc-k8s-azmon-extension-msi-arm-template-params
   • 範本檔案 (舊版驗證)：https://aka.ms/arc-k8s-azmon-extension-arm-template
   • 參數檔案 (舊版驗證)：https://aka.ms/arc-k8s-azmon-extension-arm-template-params

2. 在參數檔案中編輯下列值。 ARM 和 Bicep 範本都使用同一組值。 從 JSON 檢視中擷取資源的資源識別碼概觀頁面。

   參數	描述
   AKS: aksResourceId Arc: clusterResourceId	叢集的資源識別碼。
   AKS: aksResourceLocation Arc: clusterRegion	叢集的位置。
   AKS: workspaceResourceId Arc: workspaceResourceId	Log Analytics 工作區的資源識別碼。
   Arc: workspaceRegion	Log Analytics 工作區的區域。
   Arc: workspaceDomain	Log Analytics 工作區的網域。 Azure 公用雲端的 opinsights.azure.com AzureUSGovernment 的 opinsights.azure.us。
   AKS: resourceTagValues	叢集與 DCR 名稱其現有容器深入解析延伸模組資料收集規則 (DCR) 所指定的現有標記值。 該名稱將會是 MSCI-<clusterName>-<clusterRegion>，而且此資源會在 AKS 叢集資源群組中建立。 第一次上線時可以設定任意標籤值。

3. 使用任何有效的方法來部署 Resource Manager 範本，以參數檔案部署範本。 如需不同方法的範例，請參閱部署樣本範本。

新的 AKS 叢集

1. 視您是否要啟用 Syslog 集合，下載 Terraform 範本檔案。

   Syslog

   • https://aka.ms/enable-monitoring-msi-syslog-terraform

   無 Syslog

   • https://aka.ms/enable-monitoring-msi-terraform

2. 根據您的叢集設定，調整 main.tf 中的 azurerm_kubernetes_cluster 資源。

3. 更新 variables.tf 中的參數，以取代「<>」中的值

   參數	描述
   aks_resource_group_name	針對資源群組，使用 AKS 概觀頁面中的值。
   resource_group_location	針對資源群組，使用 AKS 概觀頁面中的值。
   cluster_name	定義您想要建立的叢集名稱。
   workspace_resource_id	使用 Log Analytics 工作區的資源識別碼。
   workspace_region	使用 Log Analytics 工作區的位置。
   resource_tag_values	比對為叢集與 DCR 名稱其現有 Container insights 延伸模組資料收集規則 (DCR) 所指定的現有標記值。 名稱會比對 MSCI-<clusterName>-<clusterRegion>，且此資源會建立在與 AKS 叢集相同的資源群組中。 第一次上線時，您可以設定任意標籤值。
   enabledContainerLogV2	將此參數值設定為 true，以使用預設建議的 ContainerLogV2。
   成本最佳化參數	請參閱資料收集參數

4. 執行 terraform init -upgrade 來初始化 Terraform 部署。

5. 執行 terraform plan -out main.tfplan 來初始化 Terraform 部署。

6. 執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

現有 AKS 叢集

1. 使用命令先匯入現有的叢集資源： terraform import azurerm_kubernetes_cluster.k8s <aksResourceId>
2. 將 oms_agent 附加元件設定檔新增至現有的 azurerm_kubernetes_cluster 資源。

   oms_agent {
       log_analytics_workspace_id = var.workspace_resource_id
       msi_auth_for_monitoring_enabled = true
     }
   

3. 從 Terraform 範本複製 DCR 和 DCRA 資源
4. 執行 terraform plan -out main.tfplan，並確定變更正在新增 oms_agent 屬性。 注意：如果在 terraform 方案期間定義的 azurerm_kubernetes_cluster 資源不同，現有的叢集將會終結並重新建立。
5. 執行 terraform apply main.tfplan 將執行計畫套用至您的雲端基礎結構。

Azure 入口網站

1. 從 Azure 入口網站中 [原則] 功能表的 [定義] 索引標籤，使用下列詳細資料建立原則定義。

   • 定義位置：應儲存原則定義的 Azure 訂用帳戶。
   • 名稱：AKS 監視附加元件
   • 描述：Azure 自訂原則可讓 Azure Kubernetes 叢集使用監視附加元件。
   • 類別：接著 [使用現有項目]，然後從下拉式清單中選取 [Kubernetes]。
   • 原則規則：將現有的範例 JSON 取代為 https://aka.ms/aks-enable-monitoring-custom-policy 的內容。

2. AKS 監視附加元件選取新的原則定義。

3. 選取 [指派]，並指定應指派原則的 [範圍]。

4. 選取 [下一步]，並提供 Log Analytics 工作區的資源識別碼。

5. 若要將原則套用至所選範圍內的現有 AKS 叢集，請建立補救工作。

6. 選取 [檢閱 + 建立] 以建立原則指派。

Azure CLI

1. 下載 Azure 原則的範本檔案和參數檔案。

   • 範本檔案：https://aka.ms/enable-monitoring-msi-azure-policy-template
   • 參數檔案：https://aka.ms/enable-monitoring-msi-azure-policy-parameters

2. 使用下列 CLI 命令建立原則定義：

   az policy definition create --name "AKS-Monitoring-Addon-MSI" --display-name "AKS-Monitoring-Addon-MSI" --mode Indexed --metadata version=1.0.0 category=Kubernetes --rules azure-policy.rules.json --params azure-policy.parameters.json
   

3. 使用下列 CLI 命令建立原則定義：

   az policy assignment create --name aks-monitoring-addon --policy "AKS-Monitoring-Addon-MSI" --assign-identity --identity-scope /subscriptions/<subscriptionId> --role Contributor --scope /subscriptions/<subscriptionId> --location <location> --role Contributor --scope /subscriptions/<subscriptionId> -p "{ \"workspaceResourceId\": { \"value\":  \"/subscriptions/<subscriptionId>/resourcegroups/<resourceGroupName>/providers/microsoft.operationalinsights/workspaces/<workspaceName>\" } }"
   

將原則指派給訂用帳戶之後，每當您建立未啟用 Prometheus 的新叢集時，原則就會執行並部署以啟用 Prometheus 監視。