איך לעקוב

במאמר הזה מתוארות שיטות המעקב אחרי רכיבים שנתמכים בפריסה מקומית של Apigee Edge.

סקירה כללית

ב-Edge יש כמה דרכים לקבל פרטים על שירותים ולבדוק את הסטטוסים שלהם. בטבלה הבאה מפורטים סוגי הבדיקות שאפשר לבצע בכל שירות שעומד בדרישות:

Mgmt API
שירות שימוש בזיכרון [JMX*] בדיקת שירות סטטוס המשתמש/הארגון/ הפריסה axstatus בדיקת מסד נתונים סטטוס apigee-service apigee-monit**
שרת ניהול
מעבד בקשות
Postgres
Qpid
נתב
מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף

* כדי להשתמש ב-JMX, צריך להפעיל אותו, כמו שמתואר בקטע הפעלת JMX.

** השירות apigee-monit בודק אם רכיב פועל, ואם לא, הוא מנסה להפעיל אותו מחדש. מידע נוסף זמין במאמר תיקון עצמי באמצעות apigee-monit.

יציאות למעקב אחרי JMX ו-Management API

כל רכיב תומך בקריאות למעקב אחרי JMX ו-Management API ביציאות שונות. בטבלה הבאה מפורטות היציאות של JMX ושל Management API לכל סוג של שרת:

רכיב יציאת JMX יציאת Management API
שרת ניהול 1099 8080
נתב 1100 8081
מעבד בקשות 1101 8082
Qpid 1102 8083
Postgres 1103 8084

שימוש ב-JMX למעקב

תהליכי המעקב של שרת הניהול, מעבד הבקשות, Qpid ו-Postgres משתמשים כולם ב-JMX. עם זאת, JMX מופעל כברירת מחדל רק ב-Cassandra, ומושבת כברירת מחדל בכל שאר רכיבי Edge. לכן, כדי לעקוב אחרי הרכיבים, צריך להפעיל את JMX בנפרד בכל אחד מהם.

אימות JMX לא מופעל כברירת מחדל. אפשר להפעיל אימות JMX לכל הרכיבים. ב-Cassandra, פועלים לפי ההוראות במאמר הפעלת אימות JMX ל-Cassandra.

הפעלת JMX

‫JMX מופעל כברירת מחדל רק ב-Cassandra, ומושבת כברירת מחדל בכל שאר הרכיבים של Edge. בקטע הזה מוסבר איך להפעיל את JMX ברכיבי Edge האחרים.

כדי להפעיל את JMX:

  1. עורכים את קובץ התצורה של הרכיב. הקובץ הזה נמצא בנתיב opt/apigee/edge-component_name/bin/start. בסביבות ייצור, קובצי התצורה האלה יהיו במכונות שונות.

    בוחרים מבין מיקומי הקבצים הבאים בכל שרת:

    • שרת הניהול: /opt/apigee/edge-management-server/bin/start
    • מעבד בקשות: /opt/apigee/edge-message-processor/bin/start
    • ‫Postgres: ‏ /opt/apigee/edge-postgres-server/bin/start
    • ‫Qpid: ‏ /opt/apigee/edge-qpid-server/bin/start
    • נתב: /opt/apigee/edge-router/bin/start

    לדוגמה, קובץ התצורה של שרת הניהול בשרת שלו נמצא ב-/opt/apigee/edge-management-server/bin/start.

  2. מוסיפים את האפשרויות הבאות של com.sun.management.jmxremote לשורה exec שמתחילה את הרכיב: 
    -Dcom.sun.management.jmxremote \
  -Dcom.sun.management.jmxremote.port=port_number \
  -Dcom.sun.management.jmxremote.local.only=false \
  -Dcom.sun.management.jmxremote.authenticate=false \
  -Dcom.sun.management.jmxremote.ssl=false

    ‫port_number היא יציאת ה-JMX של השירות. כדי לקבל את מספר היציאה של JMX בשירות, קראו את המאמר יציאות למעקב אחרי JMX ו-Management API.

    לדוגמה, כדי להפעיל את JMX בשרת הניהול, מוסיפים את הפרטים הבאים לקובץ התצורה של שרת הניהול:

    exec $JAVA -classpath "$classpath" -Xms$min_mem -Xmx$max_mem $xx_opts \
  -Djava.security.auth.login.config=$conf_path/jaas.config \
  -Dinstallation.dir=$install_dir $sys_props -Dconf.dir=$conf_path \
  -Ddata.dir=$data_dir \
  -Dcom.sun.management.jmxremote \
  -Dcom.sun.management.jmxremote.port=1099 \
  -Dcom.sun.management.jmxremote.local.only=false \
  -Dcom.sun.management.jmxremote.authenticate=false \
  -Dcom.sun.management.jmxremote.ssl=false \
   $* $debug_options com.apigee.kernel.MicroKernel

    בדוגמה הזו, יציאה 1099 מוגדרת לשרת הניהול. כמו שצוין קודם, לכל שירות יש מספר יציאה משלו.

    השורה הערוכה בקובץ התצורה נראית כך:

    exec $JAVA -classpath "$classpath" -Xms$min_mem -Xmx$max_mem $xx_opts -Djava.security.auth.login.config=$conf_path/jaas.config -Dinstallation.dir=$install_dir $sys_props -Dconf.dir=$conf_path -Ddata.dir=$data_dir -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=1099 -Dcom.sun.management.jmxremote.local.only=false -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false $* $debug_options com.apigee.kernel.MicroKernel
  3. שומרים את קובץ התצורה.
  4. מפעילים מחדש את הרכיב באמצעות הפקודה restart.

    לדוגמה, כדי להפעיל מחדש את שרת הניהול, מריצים את הפקודה הבאה:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

האימות של JMX לא מופעל כברירת מחדל. אפשר להפעיל אימות JMX לכל הרכיבים, כמו שמתואר בקטע הפעלת אימות JMX. כדי להפעיל אימות JMX ל-Cassandra, קראו את המאמר הפעלת אימות JMX ל-Cassandra.

הפעלת אימות JMX

אימות JMX לא מופעל כברירת מחדל. אפשר להפעיל אימות JMX לכל הרכיבים. ב-Cassandra, פועלים לפי ההוראות במאמר הפעלת אימות JMX ל-Cassandra.

כדי להפעיל אימות JMX, מריצים את פעולת ה-change_jmx_auth הבאה בכל הצמתים:

/opt/apigee/apigee-service/bin/apigee-service component_name change_jmx_auth [options|-f config_file]

כאשר:

  • ‫component הוא אחד מהבאים:
    • edge-management-server
    • edge-message-processor
    • edge-postgres-server
    • edge-qpid-server
    • edge-router
  • options מציין את הפרטים הבאים:
    • -u username
    • -p password
    • ‫-e [y|n] (הפעלה או השבתה)
  • ‫config_file מציין את המיקום של קובץ תצורה שבו מגדירים את הפרטים הבאים:
    • JMX_USERNAME=username
    • JMX_ENABLED=y|n
    • JMX_PASSWORD=password (אם לא הוגדר או לא הועבר עם -p, תוצג בקשה)

אפשר להשתמש באפשרויות של שורת הפקודה או בקובץ התצורה כדי להגדיר את שם המשתמש, הסיסמה ומצב ההפעלה או ההשבתה. אתם לא מציינים גם קבוצת אפשרויות וגם קובץ תצורה.

בדוגמה הבאה מפעילים את אימות JMX לשרת הניהול באמצעות האפשרויות של שורת הפקודה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -u foo -p bar -e y

בדוגמה הבאה נעשה שימוש בקובץ תצורה במקום באפשרויות של שורת הפקודה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -f /tmp/my-config-file

אם אתם מריצים את Edge בכמה צמתים, צריך להריץ את הפקודה בכל הצמתים ולציין את אותו שם משתמש ואותה סיסמה.

כדי להשבית את אימות JMX בשורת הפקודה, משתמשים באפשרות "-e n", כמו בדוגמה הבאה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -e n

מעקב באמצעות JConsole

משתמשים ב-JConsole (כלי תואם JMX) כדי לנהל ולעקוב אחרי בדיקת התקינות והנתונים הסטטיסטיים של התהליך. באמצעות JConsole, אתם יכולים לצרוך נתונים סטטיסטיים של JMX שנחשפים על ידי השרתים שלכם ולהציג אותם בממשק גרפי. מידע נוסף זמין במאמר שימוש ב-JConsole.

‫JConsole משתמש בכתובת ה-URL הבאה של השירות כדי לעקוב אחרי מאפייני JMX‏ (MBeans) שמוצעים דרך JMX:

service:jmx:rmi:///jndi/rmi://IP_address:port_number/jmxrmi

כאשר:

  • ‫IP_address היא כתובת ה-IP של השרת שרוצים לעקוב אחריו.
  • ‫port_number הוא מספר היציאה של JMX בשרת שרוצים לעקוב אחריו.

לדוגמה, כדי לעקוב אחרי שרת הניהול, מפעילים פקודה כמו זו (בהנחה שכתובת ה-IP של השרת היא 216.3.128.12):

service:jmx:rmi:///jndi/rmi://216.3.128.12:1099/jmxrmi

שימו לב שבדוגמה הזו מצוינת יציאה 1099, שהיא יציאת ה-JMX של שרת הניהול. ליציאות אחרות, ראו יציאות למעקב אחרי JMX ו-Management API.

בטבלה הבאה מוצגים הנתונים הסטטיסטיים הגנריים של JMX:

JMX MBeans מאפייני JMX

זיכרון

HeapMemoryUsage

NonHeapMemoryUsage

שימוש

מעקב באמצעות Management API

‫Edge כולל כמה ממשקי API שבהם אתם יכולים להשתמש כדי לבצע בדיקות שירות בשרתים שלכם, וגם לבדוק את המשתמשים, הארגונים והפריסות שלכם. בקטע הזה מתוארים ממשקי ה-API האלה.

ביצוע בדיקות שירות

ב-Management API יש כמה נקודות קצה (endpoints) למעקב אחרי בעיות בשירותים ולאבחון שלהן. נקודות הקצה האלה כוללות:

נקודת קצה תיאור
/servers/self/up

בדיקה אם שירות מסוים פועל. הקריאה הזו ל-API לא דורשת אימות.

אם השירות פועל, נקודת הקצה הזו מחזירה את התגובה הבאה:

<ServerField>
  <Up>true</Up>
</ServerField>

אם השירות לא פועל, תתקבל תגובה דומה לזו (בהתאם לשירות ולדרך שבה בדקתם אותו):

curl: Failed connect to localhost:port_number; Connection refused
/servers/self

הפונקציה מחזירה מידע על השירות, כולל:

  • מאפייני הגדרות אישיות
  • שעת ההתחלה וזמן הפעילות התקינה
  • מידע על Build,‏ RPM ו-UUID
  • שם מארח וכתובת IP פנימיים וחיצוניים
  • אזור ו-pod
  • המאפיין <isUp>, שמציין אם השירות פועל

כדי לבצע את הקריאה הזו ל-API, צריך לבצע אימות באמצעות פרטי הכניסה של האדמין ב-Apigee.

כדי להשתמש בנקודות הקצה האלה, מפעילים כלי כמו curl עם פקודות שמשתמשות בתחביר הבא:

curl http://host:port_number/v1/servers/self/up -H "Accept: [application/json|application/xml]"
curl http://host:port_number/v1/servers/self -u username:password -H "Accept: [application/json|application/xml]"

כאשר:

  • ‫host היא כתובת ה-IP של השרת שרוצים לבדוק. אם אתם מחוברים לשרת, אתם יכולים להשתמש ב-"localhost". אחרת, ציינו את כתובת ה-IP של השרת, וגם את שם המשתמש והסיסמה.
  • ‫port_number היא היציאה של Management API לשרת שרוצים לבדוק. לכל סוג רכיב יש יציאה שונה. לדוגמה, היציאה של Management API ב-Management Server היא 8080. רשימה של מספרי היציאות של Management API לשימוש מופיעה במאמר יציאות למעקב אחרי JMX ו-Management API.

כדי לשנות את הפורמט של התשובה, אפשר לציין את הכותרת Accept בתור "application/json" או "application/xml".

בדוגמה הבאה מוצג הסטטוס של הנתב ב-localhost (יציאה 8081):

curl http://localhost:8081/v1/servers/self/up -H "Accept: application/xml"

בדוגמה הבאה מוצג מידע על מעבד הבקשות בכתובת 216.3.128.12 (יציאה 8082):

curl http://216.3.128.12:8082/v1/servers/self -u sysAdminEmail:password
  -H "Accept: application/xml"

מעקב אחרי סטטוס המשתמש, הארגון והפריסה

אתם יכולים להשתמש ב-Management API כדי לעקוב אחרי סטטוס המשתמש, הארגון והפריסה של שרתי ה-proxy בשרתי הניהול ובמעבדי הבקשות, באמצעות הפקודות הבאות:

curl http://host:port_number/v1/users -u sysAdminEmail:password
curl http://host:port_number/v1/organizations -u sysAdminEmail:password
curl http://host:port_number/v1/organizations/orgname/deployments -u sysAdminEmail:password

כאשר port_number הוא 8080 לשרת הניהול או 8082 למעבד הבקשות.

כדי להשתמש בקריאה הזו, צריך לבצע אימות באמצעות שם המשתמש והסיסמה של מנהל המערכת.

השרת צריך להחזיר סטטוס "נפרס" לכל הקריאות. אם זה לא עובד, נסו את הפעולות הבאות:

  1. צריך לבדוק אם יש שגיאות ביומני השרת. היומנים נמצאים במיקום:
    • שרת הניהול: opt/apigee/var/log/edge-management-server
    • מעבד בקשות: opt/apigee/var/log/edge-message-processor
  2. מבצעים קריאה לשרת כדי לבדוק אם הוא פועל בצורה תקינה.
  3. מסירים את השרת מה-ELB ומפעילים אותו מחדש: 
    /opt/apigee/apigee-service/bin/apigee-service service_name restart

    כאשר service_name הוא:

    • edge-management-server
    • edge-message-processor

בודקים את הסטטוס באמצעות הפקודה apigee-service

כדי לפתור בעיות בשירותי Edge, אתם יכולים להשתמש בפקודה apigee-service כשאתם מחוברים לשרת שבו פועל השירות.

כדי לבדוק את הסטטוס של שירות באמצעות apigee-service:

  1. מתחברים לשרת ומריצים את הפקודה הבאה: 
    /opt/apigee/apigee-service/bin/apigee-service service_name status

    כאשר service_name הוא אחד מהבאים:

    • שרת הניהול: edge-management-server
    • מעבד בקשות: edge-message-processor
    • ‫Postgres: ‏ edge-postgres-server
    • ‫Qpid: ‏ edge-qpid-server
    • נתב: edge-router

    לדוגמה:

    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor status
  2. אם השירות לא פועל, מפעילים אותו: 
    /opt/apigee/apigee-service/bin/apigee-service service_name start
  3. אחרי שמפעילים מחדש את השירות, בודקים שהוא פועל באמצעות הפקודה apigee-service status שבה השתמשתם קודם או באמצעות Management API, כפי שמתואר בקטע מעקב באמצעות Management API.

    לדוגמה:

    curl -v http://localhost:port_number/v1/servers/self/up

    כאשר port_number היא יציאת Management API של השירות.

    בדוגמה הזו אנחנו מניחים שאתם מחוברים לשרת ויכולים להשתמש ב-"localhost" בתור שם המארח. כדי לבדוק את הסטטוס מרחוק באמצעות Management API, צריך לציין את כתובת ה-IP של השרת ולכלול את שם המשתמש והסיסמה של מנהל המערכת בקריאה ל-API.

מעקב אחרי Postgres

ב-Postgres יש כמה כלי שירות שמאפשרים לבדוק את הסטטוס שלו. הכלים האלה מתוארים בקטעים הבאים.

בדיקת ארגונים וסביבות ב-Postgres

כדי לבדוק את שמות הארגונים והסביבות שהוגדרו בשרת Postgres, מריצים את הפקודה הבאה של curl:

curl -v http://postgres_IP:8084/v1/servers/self/organizations

המערכת אמורה להציג את שם הארגון והסביבה.

אימות סטטוס הניתוח

כדי לאמת את הסטטוס של שרתי הניתוח של Postgres ו-Qpid, מריצים את הפקודה הבאה של curl:

curl -u userEmail:password http://host:port_number/v1/organizations/orgname/environments/envname/provisioning/axstatus

המערכת אמורה להציג סטטוס הצלחה לכל שרתי הניתוח, כמו בדוגמה הבאה:

{
  "environments" : [ {
    "components" : [ {
      "message" : "success at Thu Feb 28 10:27:38 CET 2013",
      "name" : "pg",
      "status" : "SUCCESS",
      "uuid" : "[c678d16c-7990-4a5a-ae19-a99f925fcb93]"
     }, {
      "message" : "success at Thu Feb 28 10:29:03 CET 2013",
      "name" : "qs",
      "status" : "SUCCESS",
      "uuid" : "[ee9f0db7-a9d3-4d21-96c5-1a15b0bf0adf]"
     } ],
    "message" : "",
    "name" : "prod"
   } ],
  "organization" : "acme",
  "status" : "SUCCESS"
}

מסד נתונים של PostgreSQL

בקטע הזה מתוארות שיטות שבהן אפשר להשתמש במיוחד למעקב אחרי מסד הנתונים של Postgres.

שימוש בסקריפט check_postgres.pl

כדי לעקוב אחרי מסד הנתונים של PostgreSQL, אתם יכולים להשתמש בסקריפט מעקב סטנדרטי, check_postgres.pl. מידע נוסף זמין בכתובת http://bucardo.org/wiki/Check_postgres.

לפני שמריצים את הסקריפט:

  1. צריך להתקין את הסקריפט check_postgres.pl בכל צומת של Postgres.
  2. מוודאים שהתקנתם את perl-Time-HiRes.x86_64, מודול Perl שמטמיע התראה ברזולוציה גבוהה, שינה, gettimeofday וטיימרים לאינטרוולים. לדוגמה, אפשר להתקין אותו באמצעות הפקודה הבאה:
    yum install perl-Time-HiRes.x86_64
  3. ‫CentOS 7: לפני שמשתמשים ב-check_postgres.pl ב-CentOS v7, צריך להתקין את ה-RPM של perl-Data-Dumper.x86_64.

פלט של check_postgres.pl

פלט ברירת המחדל של הקריאות ל-API באמצעות check_postgres.pl תואם ל-Nagios. אחרי שמתקינים את הסקריפט, מבצעים את הבדיקות הבאות:

  1. בודקים את גודל מסד הנתונים: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -include=apigee -action database_size --warning='800 GB' --critical='900 GB'
  2. בודקים את מספר החיבורים הנכנסים למסד הנתונים ומשווים אותו למספר החיבורים המקסימלי המותר: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action backends
  3. בודקים אם מסד הנתונים פועל וזמין: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action connection
  4. בודקים את המקום בכונן: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action disk_space --warning='80%' --critical='90%'
  5. כדי לבדוק את מספר הארגונים והסביבות שהוגדרו בצומת Postgres: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action=custom_query --query="select count(*) as result from pg_tables where schemaname='analytics' and tablename like '%fact'" --warning='80' --critical='90' --valtype=integer

הרצת בדיקות של מסד הנתונים

אתם יכולים לוודא שהטבלאות המתאימות נוצרו במסד הנתונים של PostgreSQL. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה הבאה:

psql -h /opt/apigee/var/run/apigee-postgresql/ -U apigee -d apigee

ואז מריצים את הפקודה:

\d analytics."org.env.fact"

בדיקת סטטוס התקינות של תהליך postgres

כדי לבצע בדיקות API במכונת Postgres, מפעילים את הפקודה הבאה של curl:

curl -v http://postgres_IP:8084/v1/servers/self/health

הפקודה הזו מחזירה את הסטטוס ACTIVE כשתהליך ה-postgres פעיל. אם תהליך Postgres לא פועל, מוחזר הסטטוס INACTIVE.

משאבים של Postgres

למידע נוסף על מעקב אחרי שירות Postgres:

Apache Cassandra

‫JMX מופעל כברירת מחדל ב-Cassandra, וגישה מרחוק ל-Cassandra באמצעות JMX לא דורשת סיסמה.

הפעלת אימות JMX ל-Cassandra

אתם יכולים להפעיל אימות JMX ל-Cassandra. אחרי שתעשו את זה, תצטרכו להעביר שם משתמש וסיסמה בכל הקריאות לכלי nodetool.

כדי להפעיל אימות JMX ל-Cassandra:

  1. יוצרים ועורכים את הקובץ cassandra.properties:
    1. עורכים את הקובץ /opt/apigee/customer/application/cassandra.properties. אם הקובץ לא קיים, יוצרים אותו.
    2. מוסיפים את הטקסט הבא לקובץ: 
      conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
conf_cassandra-env_com.sun.management.jmxremote.password.file=${APIGEE_ROOT}/data/apigee-cassandra/jmxremote.password
conf_cassandra-env_com.sun.management.jmxremote.access.file=${APIGEE_ROOT}/data/apigee-cassandra/jmxremote.access
    3. שומרים את קובץ ה-cassandra.properties.
    4. משנים את הבעלים של הקובץ ל-apigee:apigee, כמו בדוגמה הבאה: 
      chown apigee:apigee /opt/apigee/customer/application/cassandra.properties

    מידע נוסף על שימוש בקובצי מאפיינים להגדרת טוקנים זמין במאמר איך מגדירים את Edge.

  2. יצירה ועריכה של jmx_auth.sh:
    1. אם הקובץ לא קיים, יוצרים קובץ במיקום הבא: 
      /opt/apigee/customer/application/jmx_auth.sh
    2. מוסיפים לקובץ את המאפיינים הבאים: 
      export CASS_JMX_USERNAME=JMX_USERNAME
export CASS_JMX_PASSWORD=JMX_PASSWORD
    3. שומרים את קובץ ה-jmx_auth.sh.
    4. מפעילים את הקובץ: 
      source /opt/apigee/customer/application/jmx_auth.sh
  3. מעתיקים ועורכים את הקובץ jmxremote.password:
    1. מעתיקים את הקובץ הבא מהספרייה $JAVA_HOME אל /opt/apigee/data/apigee-cassandra/: 
      cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/data/apigee-cassandra/jmxremote.password
    2. עורכים את הקובץ jmxremote.password ומוסיפים את שם המשתמש והסיסמה של JMX באמצעות התחביר הבא: 
      JMX_USERNAME JMX_PASSWORD

      כאשר JMX_USERNAME ו-JMX_PASSWORD הם שם המשתמש והסיסמה של JMX שהגדרתם קודם.

    3. מוודאים שהקובץ בבעלות של apigee ושהמצב של הקובץ הוא 400: 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/jmxremote.password
chmod 400 /opt/apigee/data/apigee-cassandra/jmxremote.password
  4. מעתיקים ועורכים את הקובץ jmxremote.access:
    1. מעתיקים את הקובץ הבא מהספרייה $JAVA_HOME אל /opt/apigee/data/apigee-cassandra/: 
      cp ${JAVA_HOME}/lib/management/jmxremote.access $APIGEE_ROOT/data/apigee-cassandra/jmxremote.access
    2. עורכים את הקובץ jmxremote.access ומוסיפים את התפקיד הבא: 
      JMX_USERNAME readwrite
    3. מוודאים שהקובץ בבעלות של apigee ושהמצב של הקובץ הוא 400: 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/jmxremote.access
chmod 400 /opt/apigee/data/apigee-cassandra/jmxremote.access
  5. מריצים את configure ב-Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
  6. מפעילים מחדש את Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  7. חוזרים על התהליך הזה בכל שאר הצמתים של Cassandra.

הפעלת הצפנת סיסמאות JMX

כדי להפעיל הצפנת סיסמאות ב-JMX, מבצעים את הפעולות הבאות:

  1. פותחים את הקובץ source/conf/casssandra-env.sh.
  2. מבטלים את הסימון של השורות הבאות בקובץ:
    • JVM_OPTS="$JVM_OPTS -Djava.security.auth.login.config={T}conf_cassandra-env_java.security.auth.login.config{/T}"
    • JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.login.config=ApigeeSecureFileLoginModule"
  3. בשורת הפקודה, יוצרים גיבוב SHA1 של הסיסמאות הרצויות על ידי הזנת echo -n 'Secret' | openssl dgst -sha1
  4. מגדירים את הסיסמאות לשם המשתמש ב-jmxremote.password.
  5. אחרי העדכון, משנים את הקובץ cassandra-env.sh בחזרה למצב קריאה בלבד.

הפעלת JMX עם SSL ל-Cassandra

הפעלת JMX עם SSL מספקת אבטחה והצפנה נוספות לתקשורת מבוססת-JMX עם Cassandra. כדי להפעיל JMX עם SSL, צריך לספק ל-Cassandra מפתח ואישור כדי לקבל חיבורי JMX שמבוססים על SSL. צריך גם להגדיר את nodetool (וכל כלי אחר שמתקשר עם Cassandra באמצעות JMX) ל-SSL.

‫JMX עם SSL תומך בסיסמאות JMX מוצפנות ובסיסמאות בטקסט פשוט.

כדי להפעיל JMX עם SSL ל-Cassandra, מבצעים את הפעולות הבאות:

  1. הפעלת JMX. אם צריך, מפעילים את הצפנת הסיסמה.
  2. הפעלת אימות JMX ל-Cassandra. כפי שמתואר למעלה. מוודאים ש-nodetool פועל עם שם המשתמש והסיסמה שהוגדרו. 
    /opt/apigee/apigee-cassandra/bin/nodetool -u <JMX_USER> -pw <JMX_PASS> ring

  3. מכינים את מאגר המפתחות ואת ה-truststore.

    • מאגר המפתחות צריך להכיל מפתח ואישור, והוא משמש להגדרת שרת Cassandra. אם מאגר המפתחות מכיל כמה זוגות מפתחות, Cassandra משתמשת בזוג המפתחות הראשון כדי להפעיל את SSL.

      חשוב לזכור שהסיסמאות של מאגר המפתחות ושל המפתח צריכות להיות זהות (ברירת המחדל כשיוצרים את המפתח באמצעות keytool).

    • ה-truststore צריך להכיל רק את האישור, והלקוחות משתמשים בו (פקודות שמבוססות על apigee-service או nodetool) כדי להתחבר דרך JMX.

    אחרי שמוודאים שהדרישות שלמעלה מתקיימות:

    1. מציבים את קובץ מאגר המפתחות ב-/opt/apigee/data/apigee-cassandra.
    2. כדי לוודא שרק משתמש Apigee יכול לקרוא את קובץ מאגר המפתחות, מזינים את הפקודה הבאה: 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/keystore.node1
chmod 400 /opt/apigee/data/apigee-cassandra/keystore.node1
  4. כדי להגדיר את Cassandra ל-JMX עם SSL:
    1. מזינים את הפקודה הבאה כדי לעצור את הצומת של Cassandra: 
      apigee-service apigee-cassandra stop
    2. מפעילים את SSL ב-Cassandra על ידי פתיחת הקובץ /opt/apigee/customer/application/cassandra.properties והוספת השורה הבאה: 
      conf_cassandra-env_com.sun.management.jmxremote.ssl=true

      הקובץ צריך להיות בבעלות של apigee:apigee.

    3. מפעילים את ההגדרות שקשורות ל-SSL ב-Cassandra באופן הבא: פותחים את הקובץ /opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh ומבטלים את ההערה בשורות הבאות, משנים את הנתיב /opt/apigee/data/apigee-cassandra/keystore.node1 ואת הסיסמה של מאגר המפתחות לפי הצורך. 
      JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node1"
JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keystore-password"
JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true"
       מוודאים שהקובץ נמצא בבעלות של apigee:apigee.
    4. מפעילים את צומת Cassandra באמצעות הפקודה הבאה: 
      apigee-service apigee-cassandra start
  5. מגדירים את פקודות Cassandra של apigee-service. צריך להגדיר משתני סביבה מסוימים כשמריצים פקודות apigee-service, כולל הפקודות הבאות: 
    apigee-service apigee-cassandra stop
apigee-service apigee-cassandra wait_for_ready
apigee-service apigee-cassandra ring
apigee-service apigee-cassandra backup

    יש כמה אפשרויות להגדרת apigee-service לאימות JMX ול-SSL. בוחרים אפשרות על סמך נוחות השימוש ונוהלי האבטחה שלכם.

    אפשרות 1 (הארגומנטים של SSL מאוחסנים בקובץ)

    מגדירים את משתני הסביבה הבאים:

    export CASS_JMX_USERNAME=ADMIN
# Provide encrypted password here if you have setup JMX password encryption
export CASS_JMX_PASSWORD=PASSWORD
export CASS_JMX_SSL=Y

    יוצרים קובץ בספריית הבית של המשתמש ב-Apigee‏ (/opt/apigee). 

    $HOME/.cassandra/nodetool-ssl.properties

    עורכים את הקובץ ומוסיפים את השורות הבאות:

    -Djavax.net.ssl.trustStore=<path-to-truststore.node1>
-Djavax.net.ssl.trustStorePassword=<truststore-password>
-Dcom.sun.management.jmxremote.registry.ssl=true

    מוודאים שמשתמש Apigee יכול לקרוא את קובץ מאגר האמון.

    מריצים את הפקודה הבאה ב-apigee-service. אם הוא פועל בלי שגיאות, ההגדרות נכונות.

    apigee-service apigee-cassandra ring

    אפשרות 2 (ארגומנטים של SSL שמאוחסנים במשתני סביבה)

    מגדירים את משתני הסביבה הבאים:

    export CASS_JMX_USERNAME=ADMIN
# Provide encrypted password here if you have setup JMX password encryption
export CASS_JMX_PASSWORD=PASSWORD
export CASS_JMX_SSL=Y
# Ensure the truststore file is accessible by Apigee user.
export CASS_JMX_TRUSTSTORE=<path-to-trustore.node1>
export CASS_JMX_TRUSTSTORE_PASSWORD=<truststore-password>

    מריצים את הפקודה הבאה ב-apigee-service. אם הוא פועל בלי שגיאות, ההגדרות נכונות. 

    apigee-service apigee-cassandra ring

    אפשרות 3 (ארגומנטים של SSL שמועברים ישירות אל apigee-service)

    מריצים פקודת apigee-service כמו זו שבהמשך. אתם לא צריכים להגדיר משתני סביבה.

    CASS_JMX_USERNAME=ADMIN CASS_JMX_PASSWORD=PASSWORD CASS_JMX_SSL=Y CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> CASS_JMX_TRUSTSTORE_PASSWORD=<trustore-password> /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra ring

  6. מגדירים את nodetool. כדי להשתמש ב-Nodetool צריך להעביר אליו פרמטרים של JMX. יש שתי דרכים להגדיר את nodetool כך שיפעל עם JMX שמופעל בו SSL, כפי שמתואר באפשרויות ההגדרה הבאות:

    האפשרויות שונות באופן שבו הגדרות שקשורות ל-SSL מועברות ל-nodetool. בשני המקרים, למשתמש שמפעיל את nodetool צריכות להיות הרשאות קריאה בקובץ ה-truststore. בוחרים באפשרות המתאימה לפי נוחות השימוש ונוהלי האבטחה שלכם.

    מידע נוסף על הפרמטרים של nodetool זמין ב מסמכי התיעוד של DataStax.

    אפשרות הגדרה 1

    יוצרים קובץ בספריית הבית של המשתמש שמפעיל את nodetool.

    $HOME/.cassandra/nodetool-ssl.properties

    מוסיפים לקובץ את השורות הבאות:

    -Djavax.net.ssl.trustStore=<path-to-truststore.node1>
-Djavax.net.ssl.trustStorePassword=<truststore-password>
-Dcom.sun.management.jmxremote.registry.ssl=true

    הנתיב של מאגר האישורים שצוין למעלה צריך להיות נגיש לכל משתמש שמפעיל את nodetool.

    מריצים את הפקודה nodetool עם האפשרות --ssl.

    /opt/apigee/apigee-cassandra/bin/nodetool --ssl -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring

    אפשרות הגדרה 2

    מריצים את nodetool כפקודה אחת עם הפרמטרים הנוספים שמפורטים בהמשך.

    /opt/apigee/apigee-cassandra/bin/nodetool -Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true -Dssl.enable=true -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring

חזרה להגדרות ה-SSL הקודמות

אם אתם צריכים לבטל את הגדרות ה-SSL שמתוארות בתהליך שלמעלה, בצעו את השלבים הבאים:

  1. כדי להפסיק את apigee-cassandra, צריך להזין 
    apigee-service apigee-cassandra stop
  2. מסירים את השורה conf_cassandra-env_com.sun.management.jmxremote.ssl=true מהקובץ /opt/apigee/customer/application/cassandra.properties.
  3. מסמנים כהערה את השורות הבאות בקובץ /opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh 
    # JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node0"
# JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keypass"
# JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true”
  4. כדי להפעיל את apigee-cassandra, צריך להזין
    5. apigee-service apigee-cassandra start
  5. מסירים את משתנה הסביבה CASS_JMX_SSL אם הוא הוגדר.

    unset CASS_JMX_SSL
  6. בודקים שפקודות שמבוססות על apigee-service, כמו ring, stop, backup וכו', פועלות.
  7. מפסיקים להשתמש במתג --ssl עם nodetool

השבתת אימות JMX ל-Cassandra

כדי להשבית את אימות JMX ב-Cassandra:

  1. עריכה של /opt/apigee/customer/application/cassandra.properties.
  2. מסירים את השורה הבאה בקובץ: 
    conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
  3. מריצים את הפקודה configure ב-Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
  4. מפעילים מחדש את Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  5. חוזרים על התהליך הזה בכל שאר הצמתים של Cassandra.

שימוש ב-JConsole: מעקב אחרי נתונים סטטיסטיים של משימות

כדי לעקוב אחרי מאפייני JMX‏ (MBeans) שמוצעים דרך JMX, משתמשים ב-JConsole ובכתובת ה-URL הבאה של השירות:

service:jmx:rmi:///jndi/rmi://IP_address:7199/jmxrmi

כאשר IP_address היא כתובת ה-IP של שרת Cassandra.

נתונים סטטיסטיים של Cassandra JMX

JMX MBeans מאפייני JMX

ColumnFamilies/apprepo/environments

ColumnFamilies/apprepo/organizations

ColumnFamilies/apprepo/apiproxy_revisions

ColumnFamilies/apprepo/apiproxies

ColumnFamilies/audit/audits

ColumnFamilies/audit/audits_ref

PendingTasks

MemtableColumnsCount

MemtableDataSize

ReadCount

RecentReadLatencyMicros

TotalReadLatencyMicros

WriteCount

RecentWriteLatencyMicros

TotalWriteLatencyMicros

TotalDiskSpaceUsed

LiveDiskSpaceUsed

LiveSSTableCount

BloomFilterFalsePositives

RecentBloomFilterFalseRatio

BloomFilterFalseRatio

שימוש ב-nodetool לניהול צומתי אשכולות

כלי השירות nodetool הוא ממשק שורת פקודה ל-Cassandra שמנהל צמתים באשכול. הכלי נמצא בכתובת /opt/apigee/apigee-cassandra/bin.

אפשר לבצע את הקריאות הבאות בכל הצמתים של אשכול Cassandra:

  1. מידע כללי על הטבעת (אפשר גם לצומת Cassandra יחיד): מחפשים את המילים Up ו-Normal לכל הצמתים. 
    nodetool [-u username -pw password] -h localhost ring

    צריך להעביר את שם המשתמש והסיסמה רק אם הפעלתם אימות JMX ל-Cassandra.

    הפלט של הפקודה שלמעלה אמור להיראות כך: 

    Datacenter: dc-1
==========
Address            Rack     Status State   Load    Owns    Token
192.168.124.201    ra1      Up     Normal  1.67 MB 33,33%  0
192.168.124.202    ra1      Up     Normal  1.68 MB 33,33%  5671...5242
192.168.124.203    ra1      Up     Normal  1.67 MB 33,33%  1134...0484
  2. מידע כללי על צמתים (קריאה לכל צומת) 
    nodetool [-u username -pw password]  -h localhost info

    הפלט של הפקודה שלמעלה נראה כך:

    ID                     : e2e42793-4242-4e82-bcf0-oicu812
Gossip active          : true
Thrift active          : true
Native Transport active: true
Load                   : 273.71 KB
Generation No          : 1234567890
Uptime (seconds)       : 687194
Heap Memory (MB)       : 314.62 / 3680.00
Off Heap Memory (MB)   : 0.14
Data Center            : dc-1
Rack                   : ra-1
Exceptions             : 0
Key Cache              : entries 150, size 13.52 KB, capacity 100 MB, 1520781 hits, 1520923 requests, 1.000 recent hit rate, 14400 save period in seconds
Row Cache              : entries 0, size 0 bytes, capacity 0 bytes, 0 hits, 0 requests, NaN recent hit rate, 0 save period in seconds
Counter Cache          : entries 0, size 0 bytes, capacity 50 MB, 0 hits, 0 requests, NaN recent hit rate, 7200 save period in seconds
Token                  : 0
  3. סטטוס שרת ה-thrift (משרת את ה-API של הלקוח) 
    nodetool [-u username -pw password] -h localhost statusthrift

    הפלט של הפקודה שלמעלה נראה כך:

    running
  4. סטטוס של פעולות סטרימינג של נתונים: צפייה בתנועה של צומתי Cassandra: 
    nodetool [-u username -pw password] -h localhost netstats

    הפלט של הפקודה שלמעלה נראה כך:

    Mode: NORMAL
Not sending any streams.
Read Repair Statistics:
Attempted: 151612
Mismatch (Blocking): 0
Mismatch (Background): 0
Pool Name                    Active   Pending      Completed   Dropped
Commands                        n/a         0              0         0
Responses                       n/a         0              0       n/a

מידע נוסף על nodetool זמין במאמר מידע על כלי השירות nodetool.

משאב Cassandra

אפשר לעיין בכתובת ה-URL הבאה: http://www.datastax.com/docs/1.0/operations/monitoring.

Apache ZooKeeper

בדיקת הסטטוס של ZooKeeper

  1. מוודאים שתהליך ZooKeeper פועל. ‫ZooKeeper כותב קובץ PID ב-opt/apigee/var/run/apigee-zookeeper/apigee-zookeeper.pid.
  2. בודקים את היציאות של ZooKeeper כדי לוודא שאפשר ליצור חיבור TCP ליציאות 2181 ו-3888 בכל שרת ZooKeeper.
  3. מוודאים שאפשר לקרוא ערכים ממסד הנתונים של ZooKeeper. מתחברים באמצעות ספריית לקוח של ZooKeeper (או /opt/apigee/apigee-zookeeper/bin/zkCli.sh) וקוראים ערך ממסד הנתונים.
  4. בודקים את הסטטוס: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-zookeeper status

שימוש במילים בנות ארבע אותיות של ZooKeeper

אפשר לעקוב אחרי ZooKeeper באמצעות קבוצה קטנה של פקודות (מילים בנות ארבע אותיות) שנשלחות ליציאה 2181 באמצעות netcat‏ (nc) או telnet.

מידע נוסף על פקודות ZooKeeper זמין בחומר העזר בנושא פקודות Apache ZooKeeper.

לדוגמה:

  • ‫srvr: הצגת הפרטים המלאים של השרת.
  • ‫stat: הצגת פרטים קצרים על השרת ועל הלקוחות המחוברים.

אפשר להנפיק את הפקודות הבאות ליציאת ZooKeeper:

  1. מריצים את הפקודה ruok בת ארבע האותיות כדי לבדוק אם השרת פועל במצב ללא שגיאות. אם הפעולה בוצעה ללא שגיאות, תוחזר התשובה "imok". 
    echo ruok | nc host 2181

    החזרות:

    imok
  2. מריצים את הפקודה בת ארבע האותיות stat כדי להציג את ביצועי השרת ואת הנתונים הסטטיסטיים של הלקוחות המחוברים: 
    echo stat | nc host 2181

    החזרות:

    Zookeeper version: 3.4.5-1392090, built on 09/30/2012 17:52 GMT
Clients:
/0:0:0:0:0:0:0:1:33467[0](queued=0,recved=1,sent=0)
/192.168.124.201:42388[1](queued=0,recved=8433,sent=8433)
/192.168.124.202:42185[1](queued=0,recved=1339,sent=1347)
/192.168.124.204:39296[1](queued=0,recved=7688,sent=7692)
Latency min/avg/max: 0/0/128
Received: 26144
Sent: 26160
Connections: 4
Outstanding: 0
Zxid: 0x2000002c2
Mode: follower
Node count: 283
  3. אם netcat (nc) לא זמין, אפשר להשתמש ב-Python כחלופה. יוצרים קובץ בשם zookeeper.py שמכיל את הפרטים הבאים: 
    import time, socket,
sys c = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
c.connect((sys.argv[1], 2181))
c.send(sys.argv[2])
time.sleep(0.1)
print c.recv(512)

    עכשיו מריצים את שורות הקוד הבאות ב-Python:

    python zookeeper.py 192.168.124.201 ruok
python zookeeper.py 192.168.124.201 stat

בדיקה ברמת LDAP

אתם יכולים לעקוב אחרי OpenLDAP כדי לראות אם הבקשות הספציפיות מטופלות כמו שצריך. במילים אחרות, בודקים אם חיפוש ספציפי מחזיר את התוצאה הנכונה.

  1. משתמשים ב-ldapsearch (yum install openldap-clients) כדי לשלוח שאילתה לגבי הרשומה של האדמין במערכת. הרשומה הזו משמשת לאימות של כל הקריאות ל-API. 
    ldapsearch -b "uid=admin,ou=users,ou=global,dc=apigee,dc=com" -x -W -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -LLL

    לאחר מכן תתבקשו להזין את סיסמת האדמין של LDAP:

    Enter LDAP Password:

    אחרי שמזינים את הסיסמה, מתקבלת תשובה בפורמט הבא:

    dn:
uid=admin,ou=users,ou=global,dc=apigee,dc=com
objectClass: organizationalPerson
objectClass: person
objectClass: inetOrgPerson
objectClass: top
uid: admin
cn: admin
sn: admin
userPassword:: e1NTSEF9bS9xbS9RbVNXSFFtUWVsU1F0c3BGL3BQMkhObFp2eDFKUytmZVE9PQ=
 =
mail: opdk@google.com
  2. כדי לבדוק אם שרת הניהול עדיין מחובר ל-LDAP, מריצים את הפקודה הבאה: 
    curl -u userEMail:password http://localhost:8080/v1/users/ADMIN

    החזרות:

    {
  "emailId" : ADMIN,
  "firstName" : "admin",
  "lastName" : "admin"
}

אפשר גם לעקוב אחרי המטמונים של OpenLDAP, שעוזרים לצמצם את מספר הגישות לדיסק וכך לשפר את ביצועי המערכת. מעקב אחרי גודל המטמון בשרת OpenLDAP וכוונון שלו יכולים להשפיע מאוד על הביצועים של שרת הגילוי. אפשר לראות את קובצי היומן (opt/apigee/var/log) כדי לקבל מידע על המטמון.