Instanaを使った時のHint&Tips (現場からの学び） / 上野 憲一郎さん

Instanauts_jp #3 (続)みんなInstanaどう使ってる？ ~LT大会~
https://instanautsjp.connpass.com/event/301638/
の登壇資料です。

Transcript

1. © 2023 IBM Corporation 1 Instanaを使った時のHint&Tips 〜現場からの学び〜 2023年12⽉08⽇ ⽇本アイ・ビー・エム株式会社 上野憲⼀郎 kenueno@jp.ibm.com
2. © 2023 IBM Corporation 2 q 上野 憲⼀郎 (うえの けんいちろう) q クライアントエンジニアリング本部 CTO, Principal Solution Architect q クラウド移⾏時のIT運⽤に関し、国内外のお客様への技術⽀援を実施 q SRE, ChatOps, AIOps, カオスエンジニアリング といった 新しいサービスオペレーション関連の技術⽀援（運⽤⾼度化技術⽀援） q 技術記事執筆、 カンファレンスでの発表など運⽤⾼度化に関する技術伝播を実施 q Application ServerおよびWebサービス性能向上に⻑年携わり、お客様システム性 能改善に加え、学会・カンファレンス発表、特許取得などの活動も多数 q 近年はクラウドサービスマネージメント関連技術 (SRE, AIOps, カオスエンジニア リングなど)に傾倒 ⾃⼰紹介
3. © 2023 IBM Corporation 3 ⾃⼰紹介 2 ⽬次 3 Instana PoC実施で得た知⾒ 4 ネットワーク要件 6 Agent以外の稼働プロセス 15 ⽬次
4. © 2023 IBM Corporation 4 Instana PoC実施で 得た知⾒
5. © 2023 IBM Corporation 5 01 Instana導⼊時のネットワーク要件を 正しく理解していますか？ 02 Agentプロセス以外は 何も稼働しないのでしょうか？
6. © 2023 IBM Corporation 6 Instana導⼊時のネットワーク要件を正しく理解していますか？ 01
7. © 2023 IBM Corporation 7 主なネットワーク要件 ファイアウォール設定 –アウトバウンドポート プロキシ設定 –フォワードプロキシ 1P$؀ڥ ؂ࢹର৅ ؂ࢹର৅ ؂ࢹର৅ ϑΥϫʔυ ϓϩΩγ ؂ࢹର৅ Ұൠར༻ऀ όοΫ Τϯυ ファイア ウォール https://www.ibm.com/docs/ja/instana-observability/current?topic=agents-configuring-host#setting-up-an-agent-proxy Instana はさまざまなプロキシーと組み合わせて使⽤してください。 ⼀般的に、 HTTP、HTTPS、 SOCKS4、および SOCKS5 プロキシーがサポートされます。
8. © 2023 IBM Corporation 8 多段プロキシ 1P$؀ڥ ؂ࢹର৅ ؂ࢹର৅ ؂ࢹର৅ ؂ࢹର৅ Ұൠར༻ऀ όοΫ Τϯυ ファイア ウォール ϑΥϫʔυ ϓϩΩγ ϑΥϫʔυ ϓϩΩγ 製品マニュアルには多段プロキシに関する記述は⾒つからなかった… 複数のお客様で実績あり。 IBM社内環境で簡易的に実験を⾏い、稼働を確認。 実験では、２台のプロキシサーバともに、Squidを利⽤。
9. © 2023 IBM Corporation 9 TLSインスペクション：HTTPS通信の場合 クライアントとサーバ間をHTTPS通信で接続 ファイアウォール TLS インスペクション 複合化してデータをチェック 暗号化されているため中⾝は⾒えない ファイアウォールの 証明書で暗号化 サーバの 証明書で暗号化 HTTPS HTTPS HTTPS HTTPS 宛先URLにはサーバのURLを指定 CONNECTリクエストをファイアウォールに送信 ファイアウォールがサーバ宛にリクエストを送信
10. © 2023 IBM Corporation 10 TLSインスペクション：Instana Agentの場合 Agentとバックエンド間をHTTPS通信で接続 ファイアウォール TLS インスペクション 複合化してデータをチェック 暗号化されているため中⾝は⾒えない ファイアウォールの 証明書で暗号化 サーバの 証明書で暗号化 HTTPS HTTPS HTTPS HTTPS 宛先URLにはバックエンドのURLを指定 CONNECTリクエストをファイアウォールに送信 ファイアウォールがバックエンド宛にリクエストを送信 ؂ࢹର৅ ؂ࢹର৅ όοΫ Τϯυ όοΫ Τϯυ
11. © 2023 IBM Corporation 11 TLSに関する注意事項 その１ サポートしているTLSのバージョンに注意が必要 –マニュアルに以下の記述あり 「有効な TLS バージョンは、 TLSv1、 TLSv1.1、 TLSv1.2、およ び TLSv1.3です。」 –上記は、バックエンドがサポートするTLSのバージョンであり、クライア ント側（=Agentが稼働する環境）との整合性をとる必要がある。 –クライアント側がサポートしているバージョンを確認しましょう。 https://www.ibm.com/docs/ja/instana-observability/current?topic=agents-configuring-host#setting-up-tls-encryption-for-agent-endpoint
12. © 2023 IBM Corporation 12 TLSに関する注意事項 その２ プロキシ設定・ファイアウォール設定に注意が必要 –マニュアルに以下の記述あり 「プロキシーは、パススルーする CONNECT メソッドをサポートする必 要があります。」 「SSL 接続を終了してから、Instana バックエンドへの独⾃接続の管理 を試みるプロキシーはサポートされていません。 」 TLSインスペクションはサポートされない！
13. © 2023 IBM Corporation 13 TLSインスペクション：Instana Agentの場合 Agentとバックエンド間をHTTPS通信で接続 ファイアウォール TLS インスペクション 複合化してデータをチェック 暗号化されているため中⾝は⾒えない ファイアウォールの 証明書で暗号化 サーバの 証明書で暗号化 HTTPS HTTPS HTTPS HTTPS 宛先URLにはバックエンドのURLを指定 CONNECTリクエストをファイアウォールに送信 ファイアウォールがバックエンド宛にリクエストを送信 ؂ࢹର৅ ؂ࢹର৅ όοΫ Τϯυ όοΫ Τϯυ
14. © 2023 IBM Corporation 14 多段プロキシ & TLSインスペクションに対する解決策 Instanaサポート要件 Instana エージェント 導⼊サーバ Proxy Firewall Instana バックエンド (SaaS) Proxy Firewall PoC環境 (バイパス設定完了後) Proxy Firewall バイパス Instanaでは Instana エージェントとInstana バックエンド間で １つのSSL/TLSによる暗号化通信を直接⾏うことが必要 FirewallにてTLSインスペクションを実施しているため、 ２つのTLSによる暗号化通信が発⽣(Instana エージェントとFirewall、 FirewallとInstanaバックエンド) Instanaがサポートしない要件となり、通信に失敗 FirewallにInstana エージェントとInstana バックエンド(SaaS)間をバイパス設定登録することで 1つのSSL/TLSによる暗号化通信が可能 InstanaエージェントとInstanaバックエンド間のSSL/TLS暗号化通信が可能 TLSインスペクション Instana バックエンド (SaaS) Instana エージェント 導⼊サーバ Instana エージェント 導⼊サーバ Instana バックエンド (SaaS) End-to-endのTLS暗号化通信 PoC環境
15. © 2023 IBM Corporation 15 Agentプロセス以外は何も稼働しないのでしょうか？ 02
16. © 2023 IBM Corporation 16 Agentのリソース使⽤量を監視するだけで⼗分？ Linux 上にAgentを導⼊すると… –Agent⽤のJava VMが導⼊・稼働 ダッシュボード上でAgent (JVM) の メトリック情報を観測 –Agentのリソース使⽤量を確認可能 他に稼働するプロセスは？ Agentプロセスだけ監視すればOK?
17. © 2023 IBM Corporation 17 Windows版 Instanaエージェントを利⽤する場合、各種情報を取得するためのプロセス（InstanaPCP.exe）が 導⼊・起動 このプロセスは、Linux版には存在しない 普段、Linux版を利⽤されることが多い場合は、InstanaPCP.exeの存在に気が付かないかも… マニュアルに以下が記述あり Windows では、エージェントの開始時に InstanaPCP アプリケーションが⾃動的に開始します。 InstanaPCP アプリケーションは、以下のアクションを実⾏します。 • IIS がホストするアプリケーションの⾃動トレースの環境をセットアップします。 • 実⾏中のプロセス (GC や CPU など) のメトリックを収集し、それらをエージェントに送信します。 • Windows ホスト上で実⾏中のプロセスのリストをエージェントに送信します。 • configuration.yaml ファイルに定義されているカスタム・パフォーマンス・カウンター・メトリックを収集 します。 Windows プロセスのモニター https://www.ibm.com/docs/ja/instana-observability/256?topic=framework-monitoring-windows-processes
18. © 2023 IBM Corporation 18 パフォーマンスカウンターの データ取得に失敗すると.. –パフォーマンスカウンターからデータを取得できない場 合には、InstanaPCP.exeが正常稼働しないかも… –パフォーマンスカウンターの再構築が必要な場合がある ため、IBMサポートに相談するとよい InstanaPCP.exeに関する注意事項
19. © 2023 IBM Corporation 19 Instana PoC実施で 得た知⾒ Instana導⼊時のネットワーク要件を正しく理解しましょう Windows環境ではAgentプロセスに加え、 InstanaPCPプロセスの正常稼働を確認しましょう 他にも沢⼭学んだけど、本⽇はこれぐらいにしておきます…