將 Prometheus 計量從虛擬機器傳送至 Azure 監視器工作區

發行項
04/19/2024

Prometheus 不限於監視 Kubernetes 叢集。使用 Prometheus 監視在伺服器上執行的應用程式和服務，無論它們執行於何處。例如，您可以監視在虛擬機器、虛擬機器擴展集或甚至是內部部署伺服器上執行的應用程式。在您的伺服器上安裝 prometheus，並設定遠端寫入以將計量傳送至 Azure 監視器工作區。

本文說明如何設定遠端寫入，以將數據從自我管理 Prometheus 實例傳送至 Azure 監視器工作區。

遠端寫入選項

自我管理 Prometheus 可以在 Azure 和非 Azure 環境中執行。以下是根據 Prometheus 執行環境，遠端寫入 Azure 監視器工作區的驗證選項。

Azure 受控虛擬機器和虛擬機器擴展集

針對在 Azure 環境中執行自我管理 Prometheus 的服務，使用使用者指派的受控識別驗證。 Azure 受控服務包括：

Azure 虛擬機器
Azure 虛擬機器擴展集
已啟用 Azure Arc 的虛擬機器

若要設定 Azure 受控資源的遠端寫入，請參閱使用使用者指派的受控識別進行遠端寫入。

在非 Azure 環境中執行的虛擬機。

上線至已啟用 Azure Arc 的服務，可讓您在 Azure 中管理和設定非 Azure 虛擬機。上線之後，請使用使用者指派的受控識別驗證來設定遠端寫入。如需將虛擬機器上線至已啟用 Azure Arc 之伺服器的詳細資訊，請參閱已啟用 Azure Arc 的伺服器。

如果您在非 Azure 環境中有虛擬機，而且不想上線至 Azure Arc，請安裝自我管理 Prometheus 並使用 Microsoft Entra ID 應用程式驗證設定遠端寫入。如需詳細資訊，請參閱使用 Microsoft Entra ID 應用程式驗證進行遠端寫入。

必要條件

支援的版本

受控識別驗證需要大於 v2.45 的 Prometheus 版本。
Microsoft Entra ID 應用程式驗證需要大於 v2.48 的 Prometheus 版本。

Azure 監視器工作區

本文涵蓋將 Prometheus 計量傳送至 Azure 監視器工作區。若要建立 Azure 監視器工作區，請參閱管理 Azure 監視器工作區。

權限

需要叢集或資源的管理員 istrator 許可權，才能完成本文中的步驟。

設定遠端寫入的驗證

根據 Prometheus 執行所在的環境，您可以設定遠端寫入，以使用使用者指派的受控識別或 Microsoft Entra ID 應用程式驗證，將數據傳送至 Azure 監視器工作區。

使用 Azure 入口網站或 CLI 來建立使用者指派的受控識別或 Microsoft Entra ID 應用程式。

使用使用者指派的受控識別驗證進行遠端寫入

若要設定使用者指派的受控識別以遠端寫入 Azure 監視器工作區，請完成下列步驟。

建立使用者指派的受控識別 (機器翻譯)

若要建立要用於遠端寫入組態的使用者受控識別，請參閱管理使用者指派的受控識別。

請注意您所建立受控識別的值 clientId 。 Prometheus 遠端寫入組態中會使用此標識碼。

將監視計量發行者角色指派給應用程式

將 Monitoring Metrics Publisher 工作區數據收集規則上的角色指派給受控識別。

在 [Azure 監視器工作區概觀] 頁面上，選取 [ 數據收集規則] 連結。
在數據收集規則頁面上，選取 [訪問控制][IAM]。
選取 [ 新增]，然後 選取 [新增角色指派]。
搜尋並選取 [監視計量發行者]，然後選取 [ 下一步]。
選取 [受控識別]。
選取 [選取成員]。
在 [ 受控實體 ] 下拉式清單中， 使用者指派的受控識別。
選取您想要使用的使用者指派身分識別，然後按兩下 [ 選取]。
選取 [檢閱 + 指派]，以完成角色指派。

將受控識別指派給虛擬機或虛擬機擴展集。

重要

若要完成本節中的步驟，您必須擁有虛擬機或虛擬 MAchine 擴展集的擁有者或使用者存取系統管理員許可權。

在 Azure 入口網站中，移至叢集、虛擬機或虛擬機擴展集的頁面。
選取 [身分識別]。
選取 [已指派的使用者]。
選取 [新增]。
選取您建立的使用者指派受控識別，然後選取 [ 新增]。

使用 Microsoft Entra ID 應用程式驗證進行遠端寫入

若要使用 Microsoft Entra ID 應用程式設定對 Azure 監視器工作區的遠端寫入，請建立 Entra 應用程式，並將工作區數據收集規則上的角色指派 Monitoring Metrics Publisher 給應用程式。

注意

您的 Azure Entra 應用程式會使用用戶端密碼或密碼。用戶端密碼有到期日。請務必在客戶端密碼到期之前建立新的客戶端密碼，以免失去已驗證的存取權

建立 Microsoft Entra ID 應用程式

若要使用入口網站建立 Microsoft Entra ID 應用程式，請參閱建立可存取資源的 Microsoft Entra ID 應用程式和服務主體。

當您建立 Entra 應用程式時，取得用戶端識別碼併產生客戶端密碼。

在應用程式清單中，複製已註冊應用程式的 [應用程式 (用戶端) 識別碼] 值。這個值用於 Prometheus 遠端寫入組態作為的值 client_id。
選取 憑證和秘密
選取 [客戶端密碼]，然後選取 [ 新增客戶端密碼 ] 以建立新的秘密
輸入描述，設定到期日，然後選取 [ 新增]。
以安全的方式複製祕密的值。此值會用於 Prometheus 遠端寫入組態中做為的值 client_secret。只有在建立且稍後無法擷取時，才會顯示客戶端密碼值。如果遺失，您必須建立新的客戶端密碼。

將監視計量發行者角色指派給應用程式

將 Monitoring Metrics Publisher 工作區數據收集規則上的角色指派給應用程式。

在 [Azure 監視器] 工作區的 [概觀] 頁面上，選取 [ 數據收集規則 ] 連結。
在數據收集規則概觀頁面上，選取 [訪問控制][IAM]。
選取 [新增]，然後選取 [新增角色指派]。
選取 [監視計量發行者] 角色，然後選取 [下一步]。
選取 [使用者、群組或服務主體]，然後選擇 [選取成員]。選取您建立的應用程式，然後選擇 [選取]。
若要完成角色指派，請選取 [檢閱 + 指派]。

使用 CLI 建立使用者指派的身分識別和 Microsoft Entra ID 應用程式

建立使用者指派的受控識別 (機器翻譯)

使用下列步驟建立使用者指派的受控識別以進行遠端寫入：

建立使用者指派的受控識別 (機器翻譯)
將 Monitoring Metrics Publisher 工作區數據收集規則上的角色指派給受控識別
將受控識別指派給虛擬機或虛擬機擴展集。

請注意您所建立受控識別的值 clientId 。 Prometheus 遠端寫入組態中會使用此標識碼。

使用下列 CLI 命令建立使用者指派的受控識別：

az account set \
--subscription <subscription id>

az identity create \
--name <identity name> \
--resource-group <resource group name>

以下是顯示的輸出範例：

{
  "clientId": "abcdef01-a123-b456-d789-0123abc345de",
  "id": "/subscriptions/12345678-abcd-1234-abcd-1234567890ab/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
  "location": "eastus",
  "name": "PromRemoteWriteIdentity",
  "principalId": "98765432-0123-abcd-9876-1a2b3c4d5e6f",
  "resourceGroup": "rg-001",
  "systemData": null,
  "tags": {},
  "tenantId": "ffff1234-aa01-02bb-03cc-0f9e8d7c6b5a",
  "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
}

將 Monitoring Metrics Publisher 工作區數據收集規則上的角色指派給受控識別。

az role assignment create \
--role "Monitoring Metrics Publisher" \
--assignee <managed identity client ID> \
--scope <data collection rule resource ID>

例如，

az role assignment create \
--role "Monitoring Metrics Publisher" \
--assignee abcdef01-a123-b456-d789-0123abc345de \
--scope /subscriptions/12345678-abcd-1234-abcd-1234567890ab/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001

將受控識別指派給虛擬機或虛擬機擴展集。

針對虛擬機器：

az vm identity assign \
-g <resource group name> \
-n <virtual machine name> \
--identities <user assigned identity resource ID>

針對虛擬機器擴展集：

az vmss identity assign \
-g <resource group name> \
-n <VSS name> \
--identities <user assigned identity resource ID>

例如，針對虛擬機擴展集：

az vm identity assign \
-g rg-prom-on-vm \
-n win-vm-prom \
--identities /subscriptions/12345678-abcd-1234-abcd-1234567890ab/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity

如需詳細資訊，請參閱 az identity create 和 az role assignment create。

建立 Microsoft Entra ID 應用程式

若要使用 CLI 建立 Microsoft Entra ID 應用程式，並指派 Monitoring Metrics Publisher 角色，請執行下列命令：

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

例如，

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/abcdef00-1234-5678-abcd-1234567890ab/resourceGroups/MA_amw-001_eastus_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

以下是顯示的輸出範例：

{
  "appId": "01234567-abcd-ef01-2345-67890abcdef0",
  "displayName": "PromRemoteWriteApp",
  "password": "AbCDefgh1234578~zxcv.09875dslkhjKLHJHLKJ",
  "tenant": "abcdef00-1234-5687-abcd-1234567890ab"
}

輸出包含 appId 和 password 值。將這些值儲存在 Prometheus 遠端寫入組態中，做為的值 client_id ，只有在 client_secret 建立且稍後無法擷取時，才會顯示密碼或客戶端密碼值。如果遺失，您必須建立新的客戶端密碼。

如需詳細資訊，請參閱 az ad app create 和 az ad sp create-for-rbac。

設定遠端寫入

遠端寫入是在 Prometheus 組態檔 prometheus.yml中設定。

如需設定遠端寫入的詳細資訊，請參閱 Prometheus.io 文章：設定。如需微調遠端寫入組態的詳細資訊，請參閱遠端寫入微調。

若要將數據傳送至 Azure 監視器工作區，請將下列區段新增至自我管理 Prometheus 實例的組態檔。

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
  azuread:
    cloud: 'AzurePublic'
    managed_identity:
      client_id: "<client-id of the managed identity>"
    oauth:
      client_id: "<client-id from the Entra app>"
      client_secret: "<client secret from the Entra app>"
      tenant_id: "<Azure subscription tenant Id>"

參數 url 會指定 Azure 監視器工作區的計量擷取端點。您可以在 azure 監視器工作區的 [概觀] 頁面上，於 Azure 入口網站中找到。

managed_identity視您的實作而定，請使用或 oauth 來進行 Microsoft Entra ID 應用程式驗證。拿掉您未使用的物件。

使用下列 Azure CLI 命令來尋找受控識別的用戶端識別碼：

az identity list --resource-group <resource group name>

如需詳細資訊，請參閱 az identity list。

若要在入口網站中尋找受控識別驗證的用戶端，請移至 Azure 入口網站中的 [受控識別] 頁面，然後選取相關的身分識別名稱。從 [身分識別概觀] 頁面複製 [用戶端標識符] 的值。

若要尋找 Microsoft Entra ID 應用程式的用戶端識別碼，請使用下列 CLI，或使用 Azure 入口網站一節建立 Microsoft Entra ID 應用程式中的第一個步驟。

$ az ad app list --display-name < application name>

如需詳細資訊，請參閱 az ad app list。

注意

編輯組態檔之後，請重新啟動 Prometheus，以便套用變更。

確認遠端寫入數據正在流動

使用下列方法確認 Prometheus 資料已傳送至您的 Azure 監視器工作區。

使用 PromQL 的 Azure 監視器計量總管

若要檢查計量是否流向 Azure 監視器工作區，請從 Azure 入口網站中的 Azure 監視器工作區，選取 [計量]。使用計量總管來查詢您預期來自自我管理 Prometheus 環境的計量。如需詳細資訊，請參閱計量總管。

Azure 監視器工作區中的 Prometheus 總管

Prometheus Explorer 可讓您在 Azure 環境中與 Prometheus 計量互動，讓監視和疑難解答更有效率。若要使用 Prometheus 總管，請移至 Azure 入口網站中的 Azure 監視器工作區，然後選取 [Prometheus 總管] 以查詢您預期來自自我管理 Prometheus 環境的計量。如需詳細資訊，請參閱 Prometheus 總管。

Grafana

在 Grafana 中使用 PromQL 查詢來驗證結果是否傳回預期的數據。請參閱使用受控的 Prometheus 取得 Grafana 設定，以設定 Grafana。

針對遠端寫入進行疑難排解

如果遠端數據未出現在 Azure 監視器工作區中，請參閱針對常見問題和解決方案進行遠端寫入疑難解答。

Share via

將 Prometheus 計量從虛擬機器傳送至 Azure 監視器工作區

遠端寫入選項

Azure 受控虛擬機器和虛擬機器擴展集

在非 Azure 環境中執行的虛擬機。

必要條件

支援的版本

Azure 監視器工作區

權限

設定遠端寫入的驗證

使用使用者指派的受控識別驗證進行遠端寫入

建立使用者指派的受控識別 (機器翻譯)

將監視計量發行者角色指派給應用程式

將受控識別指派給虛擬機或虛擬機擴展集。

使用 Microsoft Entra ID 應用程式驗證進行遠端寫入

建立 Microsoft Entra ID 應用程式

將監視計量發行者角色指派給應用程式

使用 CLI 建立使用者指派的身分識別和 Microsoft Entra ID 應用程式

建立使用者指派的受控識別 (機器翻譯)

建立 Microsoft Entra ID 應用程式

設定遠端寫入

確認遠端寫入數據正在流動

使用 PromQL 的 Azure 監視器計量總管

Azure 監視器工作區中的 Prometheus 總管

Grafana

針對遠端寫入進行疑難排解

下一步

其他資源

Share via

將 Prometheus 計量從 虛擬機器 傳送至 Azure 監視器工作區

遠端寫入選項

Azure 受控 虛擬機器 和 虛擬機器擴展集

在非 Azure 環境中執行的虛擬機。

必要條件

支援的版本

Azure 監視器工作區

權限

設定遠端寫入的驗證

使用使用者指派的受控識別驗證進行遠端寫入

建立使用者指派的受控識別 (機器翻譯)

將監視計量發行者角色指派給應用程式

將受控識別指派給虛擬機或虛擬機擴展集。

設定遠端寫入

確認遠端寫入數據正在流動

使用 PromQL 的 Azure 監視器計量總管

Azure 監視器工作區中的 Prometheus 總管

Grafana

針對遠端寫入進行疑難排解

下一步

其他資源

將 Prometheus 計量從虛擬機器傳送至 Azure 監視器工作區

Azure 受控虛擬機器和虛擬機器擴展集