Legacy-Authentifizierung für Container Insights

Container Insights verwendet standardmäßig die verwaltete Identitätsauthentifizierung, die über einen Überwachungs-Agent verfügt, der die verwaltete Identität des Clusters verwendet, um Daten an Azure Monitor zu senden. Es ersetzt die auf Legacyzertifikaten basierende lokale Authentifizierung und macht das Hinzufügen einer Rolle vom Typ Überwachung des Metriken-Verlegers zum Cluster überflüssig.

In diesem Artikel wird beschrieben, wie Sie zur verwalteten Identitätsauthentifizierung migrieren, wenn Sie Containererkenntnisse mithilfe einer Legacyauthentifizierungs-Methode aktiviert haben und wie Sie die Legacyauthentifizierung aktivieren, wenn Sie diese Anforderung haben.

Wichtig

Wenn Sie einen Cluster mit Legacyauthentifizierung haben und Log Analytics-Arbeitsbereichsschlüssel rotiert werden, werden Überwachungsdaten nicht mehr in den Log Analytics-Arbeitsbereich übertragen. Sie müssen das Container Insights-Add-On deaktivieren und erneut aktivieren, um die Übertragung von Überwachungsdaten mit den neuen rotierten Arbeitsbereichsschlüsseln wieder zu starten.  Sie sollten zur Authentifizierung mit verwalteten Identitäten von Container Insights migrieren, bei der keine Log Analytics-Arbeitsbereichsschlüssel verwendet werden.

Migrieren zur Authentifizierung mit verwalteten Identitäten

Wenn Sie Containereinblicke aktiviert haben, bevor die verwaltete Identitätsauthentifizierung verfügbar war, können Sie die folgenden Methoden verwenden, um Ihre Cluster zu migrieren.

Azure portal

Sie können aus dem Monitoreinstellungen-Bereich für Ihren AKS-Cluster zur verwalteten Identitätsauthentifizierung migrieren. Klicken Sie vom Abschnitt Überwachung auf die Registerkarte Insights. Klicken Sie auf der Registerkarte Insights auf die Option Einstellungen überwachen, und aktivieren Sie das Kontrollkästchen für Verwaltete Identität verwenden

Wenn die Option Verwaltete Identität verwenden nicht angezeigt wird, verwenden Sie einen SPN-Cluster. In diesem Fall müssen Sie Befehlszeilentools für die Migration verwenden. Migrationsanweisungen und Vorlagen finden Sie auf anderen Registerkarten.

Azure-Befehlszeilenschnittstelle

AKS

AKS-Cluster müssen zuerst die Überwachung deaktivieren und dann auf verwaltete Identitäten aktualisieren. Für diese Migration werden derzeit nur Azure Public Cloud, Microsoft Azure operated by 21Vianet Cloud und Azure Government Cloud unterstützt. Für Cluster mit benutzerseitig zugewiesener Identität wird nur die öffentliche Azure-Cloud unterstützt.

Hinweis

Azure CLI-Version 2.49.0 oder höher.

1. Rufen Sie die konfigurierte Ressourcen-ID des Log Analytics-Arbeitsbereichs ab:

   az aks show -g <resource-group-name> -n <cluster-name> | grep -i "logAnalyticsWorkspaceResourceID"
   

2. Deaktivieren Sie die Überwachung mit dem folgenden Befehl:

   az aks disable-addons -a monitoring -g <resource-group-name> -n <cluster-name> 
   

3. Wenn der Cluster einen Dienstprinzipal verwendet, aktualisieren Sie ihn mit dem folgenden Befehl auf die vom System verwaltete Identität:

   az aks update -g <resource-group-name> -n <cluster-name> --enable-managed-identity
   

4. Aktivieren Sie das Überwachungs-Add-On mit der Option „Authentifizierung mithilfe verwalteter Identitäten“ unter Verwendung der im ersten Schritt abgerufenen Ressourcen-ID des Log Analytics-Arbeitsbereichs:

   az aks enable-addons -a monitoring -g <resource-group-name> -n <cluster-name> --workspace-resource-id <workspace-resource-id>
   

Kubernetes mit Arc-Unterstützung

Hinweis

Die Authentifizierung verwalteter Identitäten wird für Arc-fähige Kubernetes-Cluster mit ARO nicht unterstützt.

1. Rufen Sie den Log Analytics-Arbeitsbereich ab, der für die Erweiterung „Containererkenntnisse“ konfiguriert ist.

   az k8s-extension show --name azuremonitor-containers --cluster-name \<cluster-name\> --resource-group \<resource-group\> --cluster-type connectedClusters -n azuremonitor-containers 
   

2. Aktivieren Sie die Erweiterung „Containererkenntnisse“ mit der Option „Authentifizierung mit verwalteten Identitäten“ unter Verwendung des Arbeitsbereichs, der im ersten Schritt zurückgegeben wird.

   az k8s-extension create --name azuremonitor-containers --cluster-name \<cluster-name\> --resource-group \<resource-group\> --cluster-type connectedClusters --extension-type Microsoft.AzureMonitor.Containers --configuration-settings amalogs.useAADAuth=true logAnalyticsWorkspaceResourceID=\<workspace-resource-id\> 
   

Aktivieren der Legacyauthentifizierung

Wenn Sie die Legacyauthentifizierung benötigen, finden Sie unter Aktivieren von Container Insights Beispiele für verschiedene Optionen zum Aktivieren von Container Insights.

Nächste Schritte

Falls beim Upgrade des Agents Probleme auftreten, hilft Ihnen der Leitfaden zur Problembehandlung weiter.