Alibaba Cloud Service Mesh:Coletar métricas de aplicações em malha via mTLS

Pré-requisitos

A aplicação de exemplo Bookinfo está implantada. Para mais informações, consulte Implantar uma aplicação no cluster associado à sua instância do ASM.

Configurar o Prometheus para coletar métricas via TLS

Para superar a autenticação TLS imposta pelo proxy sidecar, o Prometheus precisa usar um certificado emitido pelo certificado raiz da instância do ASM. Utilize a capacidade de montagem de certificados do proxy sidecar para isso. Ao definir anotações específicas para o pod do Prometheus, configure o proxy sidecar para montar o certificado emitido pelo plano de controle do ASM em um volume compartilhado. Em seguida, o contêiner do Prometheus acessa o certificado e a chave ao montar esse volume compartilhado. As etapas a seguir descrevem esse processo:

1. Adicione o volume istio-certs ao pod do Prometheus.

   volumes:
   - emptyDir:
       medium: Memory
     name: istio-certs

2. Adicione as duas annotation s a seguir ao pod do Prometheus.

   annotations:
     proxy.istio.io/config: |
       proxyMetadata:
         OUTPUT_CERTS: /etc/istio-output-certs
     sidecar.istio.io/userVolumeMount: '[{"name": "istio-certs", "mountPath": "/etc/istio-output-certs"}]'

   • proxy.istio.io/config: Especifica a configuração do proxy, onde proxyMetadata.OUTPUT_CERTS armazena os certificados e chaves no caminho /etc/istio-output-certs.

   • sidecar.istio.io/userVolumeMount: Monta um volume no caminho /etc/istio-output-certs dentro do contêiner do proxy sidecar.

3. Monte o volume istio-certs no caminho /etc/prom-certs/ do contêiner do Prometheus para permitir que ele obtenha os certificados e chaves gravados pelo proxy sidecar nesse local.

   volumeMounts:
   - mountPath: /etc/prom-certs/
     name: istio-certs

4. Na configuração de coleta, especifique quais workloads usam TLS para iniciar solicitações de coleta de métricas e forneça o caminho do certificado. Apenas workloads com proxy sidecar injetado exigem essa configuração.

   Este tópico usa um ambiente com Prometheus Operator como exemplo.

   apiVersion: monitoring.coreos.com/v1
   kind: ServiceMonitor
   metadata:
     name: productpage
     labels:
       app: productpage
       team: bookinfo
   spec:
     selector:
       matchLabels:
         app: productpage
     endpoints:
     - port: http-9080
       interval: 30s
       path: /metrics
       scheme: https
       tlsConfig:
         caFile: /etc/prom-certs/root-cert.pem
         certFile: /etc/prom-certs/cert-chain.pem
         keyFile: /etc/prom-certs/key.pem
         insecureSkipVerify: true

   No yaml anterior, o campo labels define a coleta de métricas para a aplicação productpage e especifica seu endpoint de coleta. Na definição do endpoint, as configurações relacionadas ao TLS são:

   • scheme: https: Indica que a requisição é enviada via HTTPS.

   • tlsConfig: Define os caminhos dos arquivos para o certificado, certificado da CA e chave.

   • insecureSkipVerify: true: Permite acesso com autenticação insegura, pois o Prometheus não suporta o esquema de nomenclatura de identidade do Istio.

Essa configuração permite que o Prometheus monte o certificado e a chave fornecidos pelo proxy sidecar e os utilize para iniciar requisições TLS.

Procedimento