1.15. 指标、日志和追踪

从 OpenShift 控制台的步骤

1. 以具有 cluster-admin 权限的用户身份登录到 OpenShift Container Platform web 控制台。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。
2. 进入 Networking → Routes。

3. 在 Routes 页面中，从 Namespace 菜单中选择 Service Mesh control plane 项目，如 istio-system。

   Location 列显示每个路由的链接地址。

4. 如有必要，使用过滤器来查找您要访问的路由的组件控制台。单击路由 位置 以启动控制台。
5. 单击 Log In With OpenShift。

通过 CLI 操作的步骤

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。

   $ oc login --username=<NAMEOFUSER> https://<HOSTNAME>:6443

2. 切换到 Service Mesh control plane 项目。在本例中，istio-system 是 Service Mesh control plane 项目。运行以下命令：

   $ oc project istio-system

3. 要获取各种 Red Hat OpenShift Service Mesh 控制台的路由，请运行以下命令：

   $ oc get routes

   这个命令返回 Kiali、Jaeger、Prometheus 和 Grafana web 控制台以及服务网格中任何其他路由的 URL。您应该看到类似如下的输出：

   NAME                    HOST/PORT                         SERVICES              PORT    TERMINATION
   info-gateway        bookinfo-gateway-yourcompany.com  istio-ingressgateway          http2
   grafana                 grafana-yourcompany.com           grafana               <all>   reencrypt/Redirect
   istio-ingressgateway    istio-ingress-yourcompany.com     istio-ingressgateway  8080
   jaeger                  jaeger-yourcompany.com            jaeger-query          <all>   reencrypt
   kiali                   kiali-yourcompany.com             kiali                 20001   reencrypt/Redirect
   prometheus              prometheus-yourcompany.com        prometheus            <all>   reencrypt/Redirect

4. 将您要从 HOST/PORT 列访问的控制台的 URL 复制到浏览器中以打开控制台。
5. 单击 Log In With OpenShift。

管理员的步骤

1. 使用管理员角色登录 OpenShift Container Platform Web 控制台。
2. 点 Home → Projects。
3. 如有必要，在 Projects 页面上，使用过滤器来查找项目的名称。
4. 点项目的名称，例如 info。
5. 在 Project details 页面中，点 Launcher 部分的 Kiali 链接。

6. 使用与访问 OpenShift Container Platform 控制台相同的用户名和密码登录到 Kiali 控制台。

   第一次登录到 Kiali 控制台时，您会看到 Overview 页面，它会显示服务网格中您有权查看的所有命名空间。

   如果您验证了控制台安装，且命名空间还没有添加到网格中，则可能无法显示 istio-system 以外的任何数据。

开发人员的步骤

1. 使用开发人员角色登录 OpenShift Container Platform Web 控制台。
2. 单击 Project。
3. 如有必要，在 Project Details 页面上，使用过滤器来查找项目的名称。
4. 点项目的名称，例如 info。
5. 在 Project 页面中，点 Launcher 部分的 Kiali 链接。
6. 单击 Log In With OpenShift。

从 OpenShift 控制台的步骤

1. 以具有 cluster-admin 权限的用户身份登录到 OpenShift Container Platform web 控制台。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。
2. 进入 Networking → Routes。

3. 在 Routes 页面中，从 Namespace 菜单中选择 Service Mesh control plane 项目，如 istio-system。

   Location 列显示每个路由的链接地址。

4. 如有必要，使用过滤器来查找 jaeger 路由。单击路由 位置 以启动控制台。
5. 单击 Log In With OpenShift。

Kiali 控制台的步骤

1. 启动 Kiali 控制台。
2. 单击左侧导航窗格中的 Distributed Tracing。
3. 单击 Log In With OpenShift。

通过 CLI 操作的步骤

1. 以具有 cluster-admin 角色的用户身份登录 OpenShift Container Platform CLI。如果使用 Red Hat OpenShift Dedicated，则必须有一个具有 dedicated-admin 角色的帐户。

   $ oc login --username=<NAMEOFUSER> https://<HOSTNAME>:6443

2. 要使用命令行查询路由详情，请输入以下命令。在本例中，istio-system 是 Service Mesh control plane 命名空间。

   $ oc get route -n istio-system jaeger -o jsonpath='{.spec.host}'

3. 启动浏览器并进入 https://<JAEGER_URL>，其中 <JAEGER_URL> 是您在上一步中发现的路由。
4. 使用您用于访问 OpenShift Container Platform 控制台的相同用户名和密码登录。

5. 如果您已将服务添加到服务网格中并生成了 trace，您可以使用过滤器和 Find Traces 按钮搜索 trace 数据。

   如果您要验证控制台安装，则不会显示 trace 数据。

流程

1. 登陆到 OpenShift Container Platform Web 控制台。
2. 点 Project 菜单，选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 单击 Routes。
4. 点击 Grafana 行的 Location 列中的链接。
5. 使用 OpenShift Container Platform 凭证登录到 Grafana 控制台。

流程

1. 登陆到 OpenShift Container Platform Web 控制台。
2. 点 Project 菜单，选择安装 Service Mesh control plane 的项目，如 istio-system。
3. 单击 Routes。
4. 单击 Prometheus 行的 Location 列中的链接。
5. 使用 OpenShift Container Platform 凭证登录到 Prometheus 控制台。

流程

1. 将 cluster-monitoring-view 角色授予 Kiali 服务帐户：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: kiali-monitoring-rbac
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: cluster-monitoring-view
   subjects:
   - kind: ServiceAccount
     name: kiali-service-account
     namespace: istio-system

2. 为 user-workload 监控配置 Kiali：

   apiVersion: kiali.io/v1alpha1
   kind: Kiali
   metadata:
     name: kiali-user-workload-monitoring
     namespace: istio-system
   spec:
     external_services:
       prometheus:
         auth:
           type: bearer
           use_kiali_token: true
         query_scope:
           mesh_id: "basic-istio-system"
         thanos_proxy:
           enabled: true
         url: https://thanos-querier.openshift-monitoring.svc.cluster.local:9091

   • 如果使用 Istio Operator 2.4，请使用此配置为 user-workload 监控配置 Kiali：

     apiVersion: kiali.io/v1alpha1
     kind: Kiali
     metadata:
       name: kiali-user-workload-monitoring
       namespace: istio-system
     spec:
       external_services:
         istio:
           config_map_name: istio-<smcp-name>
           istio_sidecar_injector_config_map_name: istio-sidecar-injector-<smcp-name>
           istiod_deployment_name: istiod-<smcp-name>
           url_service_version: 'http://istiod-<smcp-name>.istio-system:15014/version'
         prometheus:
           auth:
             token: secret:thanos-querier-web-token:token
             type: bearer
             use_kiali_token: false
           query_scope:
             mesh_id: "basic-istio-system"
           thanos_proxy:
             enabled: true
           url: https://thanos-querier.openshift-monitoring.svc.cluster.local:9091
       version: v1.65

3. 为外部 Prometheus 配置 SMCP：

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: basic
     namespace: istio-system
   spec:
     addons:
       prometheus:
         enabled: false 1
       grafana:
         enabled: false 2
       kiali:
         name: kiali-user-workload-monitoring
     meshConfig:
       extensionProviders:
       - name: prometheus
         prometheus: {}

   1

   禁用 OSSM 提供的默认 Prometheus 实例。

   2

   禁用 Grafana。外部 Prometheus 实例不支持它。

4. 应用自定义网络策略以允许来自监控命名空间的入口流量：

   apiVersion: networking.k8s.io/v1
   kind: NetworkPolicy
   metadata:
     name: user-workload-access
     namespace: istio-system 1
   spec:
     ingress:
     - from:
       - namespaceSelector:
           matchLabels:
             network.openshift.io/policy-group: monitoring
     podSelector: {}
     policyTypes:
     - Ingress

   1

   自定义网络策略必须应用到所有命名空间。

5. 应用 Telemetry 对象以启用 Istio 代理中的流量指标：

   apiVersion: telemetry.istio.io/v1alpha1
   kind: Telemetry
   metadata:
     name: enable-prometheus-metrics
     namespace: istio-system 1
   spec:
     selector: 2
       matchLabels:
         app: info
     metrics:
     - providers:
       - name: prometheus

   1

   在 control plane 命名空间中创建的 Telemetry 对象应用到网格中的所有工作负载。要将遥测应用到一个命名空间，请在目标命名空间中创建对象。

   2

   可选：设置 selector.matchLabels spec，将 Telemetry 对象应用到目标命名空间中的特定工作负载。

6. 应用 ServiceMonitor 对象来监控 Istio control plane：

   apiVersion: monitoring.coreos.com/v1
   kind: ServiceMonitor
   metadata:
     name: istiod-monitor
     namespace: istio-system 1
   spec:
     targetLabels:
     - app
     selector:
       matchLabels:
         istio: pilot
     endpoints:
     - port: http-monitoring
       interval: 30s
       relabelings:
       - action: replace
         replacement: "basic-istio-system" 2
         targetLabel: mesh_id

   1

   在 Istio control plane 命名空间中创建此 ServiceMonitor 对象，因为它监控 Istiod 服务。在本例中，命名空间是 istio-system。

   2

   字符串 "basic-istio-system" 是 SMCP 名称及其命名空间的组合，但只要使用集群中用户工作负载监控的每个网格都是唯一的，可以使用任何标签。第 2 步中配置的 Kiali 资源的 spec.prometheus.query_scope 需要匹配这个值。

   注意

   如果使用 user-workload 监控只有一个网格，则 Kiali 资源中的 mesh_id 重新标记和 spec.prometheus.query_scope 字段都是可选的（但如果 mesh_id 标签被删除，则此处给出的 query_scope 字段应该被删除）。

   如果集群中的多个网格实例可能会使用 user-workload 监控，则需要 Kiali 资源中的 mesh_id relabelings 和 spec.prometheus.query_scope 字段。这样可确保 Kiali 只查看其关联的网格中的指标。

   如果没有部署 Kiali，您仍然可以应用 mesh_id 重新标记，以便来自不同网格的指标可以区分不同的网格。

7. 应用 PodMonitor 对象从 Istio 代理收集指标：

   apiVersion: monitoring.coreos.com/v1
   kind: PodMonitor
   metadata:
     name: istio-proxies-monitor
     namespace: istio-system 1
   spec:
     selector:
       matchExpressions:
       - key: istio-prometheus-ignore
         operator: DoesNotExist
     podMetricsEndpoints:
     - path: /stats/prometheus
       interval: 30s
       relabelings:
       - action: keep
         sourceLabels: [__meta_kubernetes_pod_container_name]
         regex: "istio-proxy"
       - action: keep
         sourceLabels: [__meta_kubernetes_pod_annotationpresent_prometheus_io_scrape]
       - action: replace
         regex: (\d+);(([A-Fa-f0-9]{1,4}::?){1,7}[A-Fa-f0-9]{1,4})
         replacement: '[$2]:$1'
         sourceLabels: [__meta_kubernetes_pod_annotation_prometheus_io_port,
         __meta_kubernetes_pod_ip]
         targetLabel: __address__
       - action: replace
         regex: (\d+);((([0-9]+?)(\.|$)){4})
         replacement: $2:$1
         sourceLabels: [__meta_kubernetes_pod_annotation_prometheus_io_port,
         __meta_kubernetes_pod_ip]
         targetLabel: __address__
       - action: labeldrop
         regex: "__meta_kubernetes_pod_label_(.+)"
       - sourceLabels: [__meta_kubernetes_namespace]
         action: replace
         targetLabel: namespace
       - sourceLabels: [__meta_kubernetes_pod_name]
         action: replace
         targetLabel: pod_name
       - action: replace
         replacement: "basic-istio-system" 2
         targetLabel: mesh_id

   1

   由于 OpenShift Container Platform 监控会忽略 ServiceMonitor 和 PodMonitor 对象中的 namespaceSelector spec，所以您必须在所有网格命名空间中应用 PodMonitor 对象，包括 control plane 命名空间。

   2

   字符串 "basic-istio-system" 是 SMCP 名称及其命名空间的组合，但只要使用集群中用户工作负载监控的每个网格都是唯一的，可以使用任何标签。第 2 步中配置的 Kiali 资源的 spec.prometheus.query_scope 需要匹配这个值。

   注意

   如果使用 user-workload 监控只有一个网格，则 Kiali 资源中的 mesh_id 重新标记和 spec.prometheus.query_scope 字段都是可选的（但如果 mesh_id 标签被删除，则此处给出的 query_scope 字段应该被删除）。

   如果集群中的多个网格实例可能会使用 user-workload 监控，则需要 Kiali 资源中的 mesh_id relabelings 和 spec.prometheus.query_scope 字段。这样可确保 Kiali 只查看其关联的网格中的指标。

   如果没有部署 Kiali，您仍然可以应用 mesh_id 重新标记，以便来自不同网格的指标可以区分不同的网格。

8. 打开 OpenShift Container Platform Web 控制台，检查指标是否可见。