איך לעקוב

במסמך הזה מתוארות שיטות המעקב אחר רכיבים שנתמכים בפריסה מקומית של Apigee Edge.

סקירה כללית

ב-Edge יש כמה דרכים לקבל פרטים על שירותים ולבדוק את הסטטוסים שלהם. בטבלה הבאה מפורטים סוגי הבדיקות שאפשר לבצע בכל שירות שעומד בדרישות:

Mgmt API
שירות שימוש בזיכרון [JMX*] בדיקת שירות סטטוס משתמש/ארגון/ פריסה axstatus בדיקת מסד הנתונים סטטוס apigee-service apigee-monit**
שרת ניהול
מעבד בקשות
Postgres
Qpid
נתב
מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף מידע נוסף

* לפני שמשתמשים ב-JMX, צריך להפעיל אותו, כמו שמתואר במאמר הפעלת JMX.

** השירות apigee-monit בודק אם רכיב מסוים עומד בדרישות, ואם לא יתברר שהרכיב לא פעיל, הוא ינסה להפעיל אותו מחדש. מידע נוסף זמין במאמר תיקון עצמי באמצעות apigee-monit.

יציאות לניטור של JMX ו-Management API

כל רכיב תומך בקריאות מעקב של JMX ו-Management API ביציאות שונות. בטבלה הבאה מפורטים יציאות ה-JMX וה-Management API לכל סוג שרת:

רכיב יציאת JMX יציאת ממשק ה-API לניהול
שרת ניהול 1099 8080
נתב 1100 8081
מעבד בקשות 1101 8082
Qpid 1102 8083
Postgres 1103 8084

שימוש ב-JMX למעקב

תהליכי המעקב של שרת הניהול, מעבד ההודעות, ה-Qpid וה-Postgres משתמשים ב-JMX. עם זאת, JMX מופעל כברירת מחדל רק ב-Cassandra, ומושבת כברירת מחדל בכל שאר הרכיבים של Edge. לכן, צריך להפעיל את JMX בנפרד לכל רכיב כדי שתוכלו לעקוב אחריו.

אימות JMX לא מופעל כברירת מחדל. אפשר להפעיל אימות JMX לכל הרכיבים. ב-Cassandra, פועלים לפי ההוראות במאמר הפעלת אימות JMX ב-Cassandra.

הפעלת JMX

כברירת מחדל, JMX מופעל רק ב-Cassandra ומושבת בכל שאר הרכיבים של Edge. בקטע הזה נסביר איך מפעילים את JMX ברכיבי Edge האחרים.

כדי להפעיל את JMX:

  1. עורכים את קובץ התצורה של הרכיב. הקובץ הזה נמצא ב-opt/apigee/edge-component_name/bin/start. בסביבות ייצור, קובצי התצורה האלו יהיו במכונות שונות.

    בוחרים מבין מיקומי הקבצים הבאים בכל שרת:

    • שרת ניהול: /opt/apigee/edge-management-server/bin/start
    • מעבד הודעות: /opt/apigee/edge-message-processor/bin/start
    • Postgres: ‏ /opt/apigee/edge-postgres-server/bin/start
    • Qpid: ‏ /opt/apigee/edge-qpid-server/bin/start
    • נתב: /opt/apigee/edge-router/bin/start

    לדוגמה, קובץ התצורה של שרת הניהול נמצא בשרת שלו בכתובת /opt/apigee/edge-management-server/bin/start.

  2. מוסיפים את האפשרויות הבאות של com.sun.management.jmxremote לשורה exec שמתחילה את הרכיב: 
    -Dcom.sun.management.jmxremote \
  -Dcom.sun.management.jmxremote.port=port_number \
  -Dcom.sun.management.jmxremote.local.only=false \
  -Dcom.sun.management.jmxremote.authenticate=false \
  -Dcom.sun.management.jmxremote.ssl=false

    כאשר port_number הוא יציאת ה-JMX של השירות. במאמר יציאות למעקב אחרי JMX ו-Management API מוסבר איך למצוא את מספר היציאה של ה-JMX בשירות.

    לדוגמה, כדי להפעיל את JMX בשרת הניהול, מוסיפים את הקטע הבא לקובץ התצורה של שרת הניהול:

    exec $JAVA -classpath "$classpath" -Xms$min_mem -Xmx$max_mem $xx_opts \
  -Djava.security.auth.login.config=$conf_path/jaas.config \
  -Dinstallation.dir=$install_dir $sys_props -Dconf.dir=$conf_path \
  -Ddata.dir=$data_dir \
  -Dcom.sun.management.jmxremote \
  -Dcom.sun.management.jmxremote.port=1099 \
  -Dcom.sun.management.jmxremote.local.only=false \
  -Dcom.sun.management.jmxremote.authenticate=false \
  -Dcom.sun.management.jmxremote.ssl=false \
   $* $debug_options com.apigee.kernel.MicroKernel

    בדוגמה הזו מצוין יציאה 1099 לשרת הניהול. כפי שצוין קודם, לכל שירות יש מספר יציאה משלו.

    השורה הערוכה בקובץ התצורה נראית כך:

    exec $JAVA -classpath "$classpath" -Xms$min_mem -Xmx$max_mem $xx_opts -Djava.security.auth.login.config=$conf_path/jaas.config -Dinstallation.dir=$install_dir $sys_props -Dconf.dir=$conf_path -Ddata.dir=$data_dir -Dcom.sun.management.jmxremote -Dcom.sun.management.jmxremote.port=1099 -Dcom.sun.management.jmxremote.local.only=false -Dcom.sun.management.jmxremote.authenticate=false -Dcom.sun.management.jmxremote.ssl=false $* $debug_options com.apigee.kernel.MicroKernel
  3. שומרים את קובץ התצורה.
  4. מפעילים מחדש את הרכיב באמצעות הפקודה restart.

    לדוגמה, כדי להפעיל מחדש את שרת הניהול, מריצים את הפקודה הבאה:

    /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

האימות של JMX לא מופעל כברירת מחדל. תוכלו להפעיל אימות JMX לכל הרכיבים, כפי שמתואר במאמר הפעלת אימות JMX. כדי להפעיל אימות JMX עבור Cassandra, ראו הפעלת אימות JMX עבור Cassandra.

הפעלת אימות JMX

אימות JMX לא מופעל כברירת מחדל. אפשר להפעיל אימות JMX לכל הרכיבים. ב-Cassandra, פועלים לפי ההוראות במאמר הפעלת אימות JMX ב-Cassandra

כדי להפעיל אימות JMX, מריצים את הפעולה change_jmx_auth הבאה בכל הצמתים:

/opt/apigee/apigee-service/bin/apigee-service component_name change_jmx_auth [options|-f config_file]

כאשר:

  • ‫component הוא אחד מהבאים:
    • edge-management-server
    • edge-message-processor
    • edge-postgres-server
    • edge-qpid-server
    • edge-router
  • options מציין את הנתונים הבאים:
    • -u username
    • -p password
    • -e [y|n] (הפעלה או השבתה)
  • config_file מציין את המיקום של קובץ תצורה שבו מגדירים את הפרטים הבאים:
    • JMX_USERNAME=username
    • JMX_ENABLED=y|n
    • JMX_PASSWORD=password (אם לא מוגדר או לא מועבר באמצעות -p, תופיע בקשה)

תוכלו להשתמש באפשרויות של שורת הפקודה או בקובץ התצורה כדי להגדיר את שם המשתמש, הסיסמה, וכדי להפעיל או להשבית את המצב. לא מציינים גם קבוצת אפשרויות וגם קובץ תצורה.

בדוגמה הבאה מופעל אימות JMX בשרת הניהול באמצעות האפשרויות של שורת הפקודה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -u foo -p bar -e y

בדוגמה הבאה נעשה שימוש בקובץ תצורה במקום באפשרויות של שורת הפקודה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -f /tmp/my-config-file

אם מריצים את Edge בכמה צמתים, מריצים את הפקודה בכל הצמתים ומציינים את אותו שם משתמש ואותה סיסמה.

כדי להשבית את אימות ה-JMX בשורת הפקודה, משתמשים באפשרות '-e n', כפי שמתואר בדוגמה הבאה:

/opt/apigee/apigee-service/bin/apigee-service edge-management-server
    change_jmx_auth -e n

מעקב באמצעות JConsole

שימוש ב-JConsole (כלי תואם ל-JMX) לניהול ולמעקב אחרי בדיקות תקינות וסטטיסטיקות של תהליכים. באמצעות JConsole אפשר לצרוך נתונים סטטיסטיים של JMX שנחשפו על ידי השרתים ולהציג אותם בממשק גרפי. מידע נוסף זמין במאמר שימוש ב-JConsole.

JConsole משתמשת בכתובת ה-URL הבאה של השירות כדי לעקוב אחרי מאפייני ה-JMX (MBeans) שמוצעים דרך JMX:

service:jmx:rmi:///jndi/rmi://IP_address:port_number/jmxrmi

כאשר:

  • IP_address היא כתובת ה-IP של השרת שרוצים לעקוב אחריו.
  • port_number הוא מספר היציאה של JMX של השרת שרוצים לעקוב אחריו.

לדוגמה, כדי לעקוב אחרי שרת הניהול, מריצים פקודה כמו זו (בהנחה שכתובת ה-IP של השרת היא 216.3.128.12):

service:jmx:rmi:///jndi/rmi://216.3.128.12:1099/jmxrmi

הערה: בדוגמה הזו מצוין יציאה 1099, שהיא יציאת ה-JMX של שרת הניהול. למידע על יציאות אחרות, ראו יציאות לניטור של JMX ו-Management API.

בטבלה הבאה מוצגים הנתונים הסטטיסטיים הכלליים של JMX:

JMX MBeans מאפייני JMX

זיכרון

HeapMemoryUsage

NonHeapMemoryUsage

שימוש

מעקב באמצעות Management API

‏Edge כולל כמה ממשקי API שאפשר להשתמש בהם כדי לבצע בדיקות שירות בשרתים, וגם כדי לבדוק את המשתמשים, הארגונים והפריסות שלכם. בקטע הזה מתוארים ממשקי ה-API האלה.

ביצוע בדיקות שירות

ה-Management API מספק מספר נקודות קצה למעקב אחרי הבעיות בשירותים שלכם ולאבחון שלהן. נקודות הקצה האלה כוללות:

נקודת קצה תיאור
/servers/self/up

בדיקה אם שירות פועל. קריאת ה-API הזו לא מחייבת אימות.

אם השירות פועל, נקודת הקצה הזו מחזירה את התגובה הבאה:

<ServerField>
  <Up>true</Up>
</ServerField>

אם השירות לא פועל, תקבלו תגובה דומה לזו (בהתאם לשירות ולדרך שבה בדקתם אותו):

curl: Failed connect to localhost:port_number; Connection refused
/servers/self

הפונקציה מחזירה מידע על השירות, כולל:

  • מאפייני הגדרה אישית
  • שעת ההתחלה וזמן הפעולה
  • פרטי build,‏ RPM ו-UUID
  • שם מארח וכתובת IP פנימיים וחיצוניים
  • אזור ו-Pod
  • המאפיין <isUp>, שמציין אם השירות פועל

הקריאה הזו ל-API מחייבת אימות באמצעות פרטי כניסה של אדמין ב-Apigee.

כדי להשתמש בנקודות הקצה האלה, צריך להפעיל כלי שירות כמו curl עם פקודות שמשתמשות בתחביר הבא:

curl http://host:port_number/v1/servers/self/up -H "Accept: [application/json|application/xml]"
curl http://host:port_number/v1/servers/self -u username:password -H "Accept: [application/json|application/xml]"

כאשר:

  • host הוא כתובת ה-IP של השרת שרוצים לבדוק. אם אתם מחוברים לשרת, תוכלו להשתמש ב-'localhost'. אחרת, עליכם לציין את כתובת ה-IP של השרת, וגם את שם המשתמש והסיסמה.
  • port_number היא יציאת ה-Management API של השרת שרוצים לבדוק. זהו יציאה שונה לכל סוג של רכיב. לדוגמה, היציאה של Management API בשרת הניהול היא 8080. רשימה של מספרי יציאות ל-Management API לשימוש מפורטת במאמר יציאות למעקב אחרי JMX ו-Management API.

כדי לשנות את הפורמט של התגובה, אפשר לציין את הכותרת Accept בתור 'application/json' או 'application/xml'.

בדוגמה הבאה מקבלים את הסטטוס של הנתב ב-localhost (יציאה 8081):

curl http://localhost:8081/v1/servers/self/up -H "Accept: application/xml"

בדוגמה הבאה מוצגת קבלת מידע על Message Processor בכתובת 216.3.128.12 (יציאה 8082):

curl http://216.3.128.12:8082/v1/servers/self -u sysAdminEmail:password
  -H "Accept: application/xml"

מעקב אחר סטטוס המשתמשים, הארגון והפריסה

אפשר להשתמש ב-Management API כדי לעקוב אחרי סטטוס המשתמשים, הארגון והפריסה של שרת ה-proxy שלכם בשרתי ניהול ובמעבדי הודעות. לשם כך, מריצים את הפקודות הבאות:

curl http://host:port_number/v1/users -u sysAdminEmail:password
curl http://host:port_number/v1/organizations -u sysAdminEmail:password
curl http://host:port_number/v1/organizations/orgname/deployments -u sysAdminEmail:password

כאשר port_number הוא 8080 בשרת הניהול או 8082 במעבד ההודעות.

הקריאה הזו מחייבת אימות באמצעות שם המשתמש והסיסמה של ניהול המערכת.

השרת אמור להחזיר את הסטטוס 'פרוס' לכל הקריאות. אם הפעולות האלה נכשלות, מבצעים את הפעולות הבאות:

  1. צריך לבדוק אם יש שגיאות ביומני השרת. היומנים נמצאים בכתובת:
    • שרת ניהול: opt/apigee/var/log/edge-management-server
    • מעבד הודעות: opt/apigee/var/log/edge-message-processor
  2. מבצעים קריאה לשרת כדי לבדוק אם הוא פועל כראוי.
  3. מסירים את השרת מה-ELB ואז מפעילים אותו מחדש: 
    /opt/apigee/apigee-service/bin/apigee-service service_name restart

    כאשר service_name הוא:

    • edge-management-server
    • edge-message-processor

בדיקת הסטטוס באמצעות הפקודה apigee-service

כדי לפתור בעיות בשירותי Edge, אפשר להשתמש בפקודה apigee-service כשנכנסים לשרת שבו פועל השירות.

כדי לבדוק את הסטטוס של שירות באמצעות apigee-service:

  1. מתחברים לשרת ומריצים את הפקודה הבאה: 
    /opt/apigee/apigee-service/bin/apigee-service service_name status

    כאשר service_name הוא אחד מהתנאים הבאים:

    • שרת ניהול: edge-management-server
    • מעבד בקשות: edge-message-processor
    • Postgres: ‏ edge-postgres-server
    • Qpid: edge-qpid-server
    • נתב: edge-router

    לדוגמה:

    /opt/apigee/apigee-service/bin/apigee-service edge-message-processor status
  2. אם השירות לא פועל, מפעילים אותו: 
    /opt/apigee/apigee-service/bin/apigee-service service_name start
  3. אחרי שמפעילים מחדש את השירות, מומלץ לוודא שהוא פועל באמצעות הפקודה apigee-service status שבה השתמשתם בעבר או באמצעות ה-Management API שמתואר במעקב באמצעות ה-Management API.

    לדוגמה:

    curl -v http://localhost:port_number/v1/servers/self/up

    כאשר port_number הוא יציאת ה-Management API של השירות.

    בדוגמה הזו, נניח שאתם מחוברים לשרת ויכולים להשתמש ב-'localhost' בתור שם המארח. כדי לבדוק את הסטטוס מרחוק באמצעות Management API, צריך לציין את כתובת ה-IP של השרת ולכלול את שם המשתמש והסיסמה של האדמין בקריאת ה-API.

ניטור של Postgres

ב-Postgres יש כמה כלי עזר שאפשר להשתמש בהם כדי לבדוק את הסטטוס שלו. השירותים האלה מתוארים בקטעים הבאים.

בדיקת ארגונים וסביבות ב-Postgres

כדי לבדוק את שמות הארגון והסביבה שצורפו לשרת Postgres, תוכלו להריץ את הפקודה curl הבאה:

curl -v http://postgres_IP:8084/v1/servers/self/organizations

המערכת אמורה להציג את שם הארגון והסביבה.

אימות סטטוס ניתוח הנתונים

כדי לבדוק את הסטטוס של שרתי הניתוח של Postgres ו-Qpid, מריצים את הפקודה הבאה:curl

curl -u userEmail:password http://host:port_number/v1/organizations/orgname/environments/envname/provisioning/axstatus

המערכת צריכה להציג סטטוס הצלחה לכל שרתי ניתוח הנתונים, כמו בדוגמה הבאה:

{
  "environments" : [ {
    "components" : [ {
      "message" : "success at Thu Feb 28 10:27:38 CET 2013",
      "name" : "pg",
      "status" : "SUCCESS",
      "uuid" : "[c678d16c-7990-4a5a-ae19-a99f925fcb93]"
     }, {
      "message" : "success at Thu Feb 28 10:29:03 CET 2013",
      "name" : "qs",
      "status" : "SUCCESS",
      "uuid" : "[ee9f0db7-a9d3-4d21-96c5-1a15b0bf0adf]"
     } ],
    "message" : "",
    "name" : "prod"
   } ],
  "organization" : "acme",
  "status" : "SUCCESS"
}

מסד נתונים של PostgreSQL

בקטע הזה מתוארות שיטות שאפשר להשתמש בהן במיוחד למעקב אחרי מסד הנתונים של Postgres.

שימוש בסקריפט check_postgres.pl

כדי לעקוב אחרי מסד הנתונים של PostgreSQL, אפשר להשתמש בסקריפט מעקב רגיל, check_postgres.pl. מידע נוסף זמין בכתובת http://bucardo.org/wiki/Check_postgres.

לפני שמריצים את הסקריפט:

  1. צריך להתקין את הסקריפט check_postgres.pl בכל צומת של Postgres.
  2. מוודאים ש-perl-Time-HiRes.x86_64 מותקן. זהו מודול Perl שמטמיע שעונים מסוג 'התראה ברזולוציה גבוהה', 'שינה', gettimeofday ו-interval. לדוגמה, כדי להתקין אותו באמצעות הפקודה הבאה:
    yum install perl-Time-HiRes.x86_64
  3. CentOS 7: לפני שמשתמשים ב-check_postgres.pl ב-CentOS v7, צריך להתקין את ה-RPM‏ perl-Data-Dumper.x86_64.

פלט של check_postgres.pl

פלט ברירת המחדל של הקריאות ל-API באמצעות check_postgres.pl תואם ל-Nagios. אחרי שמתקינים את הסקריפט, מבצעים את הבדיקות הבאות:

  1. בודקים את גודל מסד הנתונים: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -include=apigee -action database_size --warning='800 GB' --critical='900 GB'
  2. בודקים את מספר החיבורים הנכנסים למסד הנתונים ומשווים אותם למספר החיבורים המקסימלי המותר: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action backends
  3. בודקים אם מסד הנתונים פועל וזמין: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action connection
  4. בודקים את המקום בדיסק: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action disk_space --warning='80%' --critical='90%'
  5. בודקים את מספר הארגון והסביבה שמוכנסים בצומת Postgres: 
    check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action=custom_query --query="select count(*) as result from pg_tables where schemaname='analytics' and tablename like '%fact'" --warning='80' --critical='90' --valtype=integer

הרצת בדיקות של מסדי נתונים

אפשר לוודא שהטבלאות המתאימות נוצרו במסד הנתונים של PostgreSQL. מתחברים למסד הנתונים של PostgreSQL באמצעות הפקודה הבאה:

psql -h /opt/apigee/var/run/apigee-postgresql/ -U apigee -d apigee

לאחר מכן מריצים את הפקודה:

\d analytics."org.env.fact"

בדיקת סטטוס התקינות של תהליך postgres

כדי לבצע בדיקות API במכונה של Postgres, מריצים את הפקודה הבאה curl:

curl -v http://postgres_IP:8084/v1/servers/self/health

הפקודה הזו מחזירה את הסטטוס ACTIVE כשתהליך postgres פעיל. אם תהליך Postgres לא פועל, הפונקציה מחזירה את הסטטוס INACTIVE.

משאבים של Postgres

בקישורים הבאים תוכלו למצוא מידע נוסף על מעקב אחרי שירות Postgres:

אפאצ'י קסנדרה

JMX מופעל כברירת מחדל בשביל Cassandra, וגישת JMX מרחוק אל Cassandra לא מחייבת סיסמה.

הפעלת אימות JMX עבור Cassandra

אפשר להפעיל אימות JMX ב-Cassandra. לאחר מכן תצטרכו להעביר שם משתמש וסיסמה לכל הקריאות לכלי nodetool.

כדי להפעיל אימות JMX ב-Cassandra:

  1. יוצרים ועורכים את הקובץ cassandra.properties:
    1. עורכים את הקובץ /opt/apigee/customer/application/cassandra.properties. אם הקובץ לא קיים, יוצרים אותו.
    2. מוסיפים את הפרטים הבאים לקובץ: 
      conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
conf_cassandra-env_com.sun.management.jmxremote.password.file=${APIGEE_ROOT}/data/apigee-cassandra/jmxremote.password
conf_cassandra-env_com.sun.management.jmxremote.access.file=${APIGEE_ROOT}/data/apigee-cassandra/jmxremote.access
    3. שומרים את קובץ ה-cassandra.properties.
    4. משנים את הבעלים של הקובץ ל-apigee:apigee, כפי שמתואר בדוגמה הבאה: 
      chown apigee:apigee /opt/apigee/customer/application/cassandra.properties

    למידע נוסף על השימוש בקובצי מאפיינים להגדרת אסימונים, ראו איך להגדיר את Edge.

  2. ליצור ולערוך את jmx_auth.sh:
    1. יוצרים קובץ במיקום הבא, אם הוא לא קיים: 
      /opt/apigee/customer/application/jmx_auth.sh
    2. מוסיפים לקובץ את המאפיינים הבאים: 
      export CASS_JMX_USERNAME=JMX_USERNAME
export CASS_JMX_PASSWORD=JMX_PASSWORD
    3. שומרים את קובץ ה-jmx_auth.sh.
    4. מקור הקובץ: 
      source /opt/apigee/customer/application/jmx_auth.sh
  3. מעתיקים את הקובץ jmxremote.password ועורכים אותו:
    1. מעתיקים את הקובץ הבא מהספרייה $JAVA_HOME אל /opt/apigee/data/apigee-cassandra/: 
      cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/data/apigee-cassandra/jmxremote.password
    2. עורכים את הקובץ jmxremote.password ומוסיפים את שם המשתמש והסיסמה של JMX באמצעות התחביר הבא: 
      JMX_USERNAME JMX_PASSWORD

      כאשר JMX_USERNAME ו-JMX_PASSWORD הם שם המשתמש והסיסמה של JMX שהגדרתם קודם.

    3. מוודאים שהקובץ בבעלות apigee ושמצב הקובץ הוא 400: 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/jmxremote.password
chmod 400 /opt/apigee/data/apigee-cassandra/jmxremote.password
  4. מעתיקים את הקובץ jmxremote.access ועורכים אותו:
    1. מעתיקים את הקובץ הבא מהספרייה $JAVA_HOME אל /opt/apigee/data/apigee-cassandra/: 
      cp ${JAVA_HOME}/lib/management/jmxremote.access $APIGEE_ROOT/data/apigee-cassandra/jmxremote.access
    2. עורכים את הקובץ jmxremote.access ומוסיפים את התפקיד הבא: 
      JMX_USERNAME readwrite
    3. מוודאים שהקובץ בבעלות apigee ושמצב הקובץ הוא 400: 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/jmxremote.access
chmod 400 /opt/apigee/data/apigee-cassandra/jmxremote.access
  5. מריצים את configure ב-Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
  6. הפעלה מחדש של Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  7. חוזרים על התהליך בכל צמתים אחרים של Cassandra.

הפעלת הצפנה של סיסמאות JMX

כדי להפעיל את ההצפנה של סיסמה ב-JMX:

  1. פותחים את הקובץ source/conf/casssandra-env.sh.
  2. מסירים את ההערות מהשורות הבאות בקובץ:
    • JVM_OPTS="$JVM_OPTS -Djava.security.auth.login.config={T}conf_cassandra-env_java.security.auth.login.config{/T}"
    • JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.login.config=ApigeeSecureFileLoginModule"
  3. בשורת הפקודה, יוצרים גיבובי SHA1 של הסיסמאות הרצויות על ידי הזנת הפקודה echo -n 'Secret' | openssl dgst -sha1.
  4. מגדירים את הסיסמאות מול שם המשתמש ב-jmxremote.password.
  5. צריך לשנות את הקובץ cassandra-env.sh חזרה לקריאה בלבד אחרי העדכון.

הפעלת JMX עם SSL ל-Cassandra

הפעלת JMX עם SSL מספקת אבטחה והצפנה נוספות לתקשורת מבוססת-JMX עם Cassandra. כדי להפעיל את JMX עם SSL, צריך לספק מפתח ואישור ל-Cassandra כדי לקבל חיבורי JMX מבוססי-SSL. צריך גם להגדיר את nodetool (וכלים אחרים שמתקשרים עם Cassandra דרך JMX) ל-SSL.

JMX עם תמיכה ב-SSL תומך גם בסיסמה של JMX בטקסט ללא הצפנה וגם בסיסמה של JMX מוצפנת.

כדי להפעיל את JMX עם SSL ב-Cassandra, פועלים לפי השלבים הבאים:

  1. מפעילים את JMX. אם צריך, מפעילים את הצפנת הסיסמה.
  2. הפעלת אימות JMX ל-Cassandra. כפי שמתואר למעלה. מוודאים ש-nodetool פועל עם שם המשתמש והסיסמה שהוגדרו. 
    /opt/apigee/apigee-cassandra/bin/nodetool -u <JMX_USER> -pw <JMX_PASS> ring

  3. הכנת מאגר המפתחות ומאגר האמון.

    • מאגר המפתחות צריך להכיל מפתח ואישור, ומשמש להגדרה של שרת Cassandra. אם מאגר המפתחות מכיל כמה זוגות מפתחות, Cassandra משתמשת בזוג המפתחות הראשון כדי להפעיל SSL.

      שימו לב שצריך להשתמש באותה סיסמה למאגר המפתחות ולמפתח (ברירת המחדל כשיוצרים את המפתח באמצעות keytool).

    • Truststore צריך להכיל את האישור בלבד, ומשמש את הלקוחות (פקודות מבוססות-apigee-service אוNodetool) כדי להתחבר דרך JMX.

    אחרי שתבדקו את הדרישות שלמעלה:

    1. מעבירים את קובץ מאגר המפתחות אל /opt/apigee/data/apigee-cassandra.
    2. כדי לוודא שמשתמש Apigee בלבד יוכל לקרוא את קובץ מאגר המפתחות, מזינים את הערך 
      chown apigee:apigee /opt/apigee/data/apigee-cassandra/keystore.node1
chmod 400 /opt/apigee/data/apigee-cassandra/keystore.node1
  4. כדי להגדיר את Cassandra ל-JMX עם SSL:
    1. כדי להפסיק את צומת Cassandra על ידי הזנת 
      apigee-service apigee-cassandra stop
    2. כדי להפעיל את SSL ב-Cassandra, פותחים את הקובץ /opt/apigee/customer/application/cassandra.properties ומוסיפים את השורה הבאה: 
      conf_cassandra-env_com.sun.management.jmxremote.ssl=true

      הקובץ צריך להיות בבעלות apigee:apigee.

    3. מפעילים את ההגדרות שקשורות ל-SSL ב-Cassandra באופן הבא. פותחים את הקובץ /opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh ומבטלים את ההערות בשורות הבאות, משנים את הנתיב /opt/apigee/data/apigee-cassandra/keystore.node1 ואת הסיסמה של מאגר המפתחות לפי הצורך. 
      JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node1"
JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keystore-password"
JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true"
      מוודאים שהקובץ בבעלות apigee:apigee.
    4. מפעילים את צומת Cassandra באמצעות הקלדה של 
      apigee-service apigee-cassandra start
  5. מגדירים את הפקודות של apigee-service Cassandra. צריך להגדיר משתני סביבה מסוימים בזמן הרצת הפקודות של apigee-service, כולל אלה שמפורטים בהמשך: 
    apigee-service apigee-cassandra stop
apigee-service apigee-cassandra wait_for_ready
apigee-service apigee-cassandra ring
apigee-service apigee-cassandra backup

    יש כמה אפשרויות להגדרת apigee-service לאימות JMX ול-SSL. בחרו אפשרות בהתאם לנוחות השימוש ולנוהלי האבטחה שלכם.

    אפשרות 1 (ארגומנטים של SSL שמאוחסנים בקובץ)

    מגדירים את משתני הסביבה הבאים:

    export CASS_JMX_USERNAME=ADMIN
# Provide encrypted password here if you have setup JMX password encryption
export CASS_JMX_PASSWORD=PASSWORD
export CASS_JMX_SSL=Y

    יוצרים קובץ בספריית הבית של משתמש Apigee‏ (/opt/apigee). 

    $HOME/.cassandra/nodetool-ssl.properties

    עורכים את הקובץ ומוסיפים את השורות הבאות:

    -Djavax.net.ssl.trustStore=<path-to-truststore.node1>
-Djavax.net.ssl.trustStorePassword=<truststore-password>
-Dcom.sun.management.jmxremote.registry.ssl=true

    מוודאים שמשתמש Apigee יכול לקרוא את קובץ trustore.

    מריצים את הפקודה הבאה של apigee-service. אם הוא פועל ללא שגיאות, ההגדרות שלכם נכונות.

    apigee-service apigee-cassandra ring

    אפשרות 2 (ארגומנטים מסוג SSL שמאוחסנים במשתני סביבה)

    מגדירים את משתני הסביבה הבאים:

    export CASS_JMX_USERNAME=ADMIN
# Provide encrypted password here if you have setup JMX password encryption
export CASS_JMX_PASSWORD=PASSWORD
export CASS_JMX_SSL=Y
# Ensure the truststore file is accessible by Apigee user.
export CASS_JMX_TRUSTSTORE=<path-to-trustore.node1>
export CASS_JMX_TRUSTSTORE_PASSWORD=<truststore-password>

    מריצים את הפקודה apigee-service הבאה. אם הוא פועל ללא שגיאות, ההגדרות שלכם נכונות. 

    apigee-service apigee-cassandra ring

    אפשרות 3 (ארגומנטים של SSL מועברים ישירות אל apigee-service)

    מריצים כל פקודה של apigee-service כמו זו שבהמשך. אתם לא צריכים להגדיר משתני סביבה.

    CASS_JMX_USERNAME=ADMIN CASS_JMX_PASSWORD=PASSWORD CASS_JMX_SSL=Y CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> CASS_JMX_TRUSTSTORE_PASSWORD=<trustore-password> /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra ring

  6. מגדירים את nodetool. כדי להשתמש ב-Nodetool, צריך להעביר אליו פרמטרים של JMX. יש שתי דרכים להגדיר את nodetool כך שיפעל עם JMX עם תמיכה ב-SSL, כפי שמתואר באפשרויות ההגדרה הבאות:

    ההבדל בין האפשרויות הוא באופן שבו ההגדרות שקשורות ל-SSL מועברות אל nodetool. בשני המקרים, למשתמש שמפעיל את nodetool צריכות להיות הרשאות קריאה בקובץ truststore. בוחרים אפשרות מתאימה על סמך נוחות השימוש ושיטות האבטחה שלכם.

    מידע נוסף על הפרמטרים של nodetool זמין ב מסמכי התיעוד של DataStax.

    אפשרות 1 להגדרה

    יוצרים קובץ בספריית הבית של המשתמש שמריץ את nodetool.

    $HOME/.cassandra/nodetool-ssl.properties

    מוסיפים את השורות הבאות לקובץ:

    -Djavax.net.ssl.trustStore=<path-to-truststore.node1>
-Djavax.net.ssl.trustStorePassword=<truststore-password>
-Dcom.sun.management.jmxremote.registry.ssl=true

    כל משתמש שמריץ את nodetool צריך להיות מסוגל לגשת לנתיב של מאגר האמון שצוין למעלה.

    מריצים את nodetool עם האפשרות --ssl.

    /opt/apigee/apigee-cassandra/bin/nodetool --ssl -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring

    אפשרות הגדרה 2

    מריצים את nodetool כפקודה אחת עם הפרמטרים הנוספים שמפורטים בהמשך.

    /opt/apigee/apigee-cassandra/bin/nodetool -Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true -Dssl.enable=true -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring

החזרה של הגדרות ה-SSL לגרסה הקודמת

אם צריך לשנות את הגדרות ה-SSL שמתוארות בתהליך שלמעלה, מבצעים את הפעולות הבאות:

  1. כדי להפסיק את apigee-cassandra, מזינים את הערך 
    apigee-service apigee-cassandra stop
  2. מסירים את השורה conf_cassandra-env_com.sun.management.jmxremote.ssl=true מהקובץ /opt/apigee/customer/application/cassandra.properties.
  3. מסמנים את השורות הבאות ב-/opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh כ'הערה' 
    # JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node0"
# JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keypass"
# JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true”
  4. כדי להפעיל את apigee-cassandra, מזינים
    5. apigee-service apigee-cassandra start
  5. מסירים את משתנה הסביבה CASS_JMX_SSL, אם הוא מוגדר.

    unset CASS_JMX_SSL
  6. בודקים אם פקודות שמבוססות על apigee-service, כמו ring, ‏ stop, ‏ backup וכו', פועלות.
  7. הפסקת השימוש במתג --ssl עם nodetool

השבתת אימות JMX של Cassandra

כדי להשבית אימות JMX של Cassandra:

  1. עורכים את /opt/apigee/customer/application/cassandra.properties.
  2. מסירים את השורה הבאה מהקובץ: 
    conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
  3. מריצים את configure ב-Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
  4. מפעילים מחדש את Cassandra: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
  5. חוזרים על התהליך הזה בכל הצמתים האחרים של Cassandra.

שימוש ב-JConsole: מעקב אחר נתונים סטטיסטיים של משימות

כדי לעקוב אחרי מאפייני ה-JMX (MBeans) שמוצעים דרך JMX, משתמשים ב-JConsole ובכתובת ה-URL הבאה של השירות:

service:jmx:rmi:///jndi/rmi://IP_address:7199/jmxrmi

כאשר IP_address היא כתובת ה-IP של שרת Cassandra.

נתונים סטטיסטיים של JMX ב-Cassandra

JMX MBeans מאפייני JMX

ColumnFamilies/apprepo/environments

ColumnFamilies/apprepo/organizations

ColumnFamilies/apprepo/apiproxy_revisions

ColumnFamilies/apprepo/apiproxies

ColumnFamilies/audit/audits

ColumnFamilies/audit/audits_ref

PendingTasks

MemtableColumnsCount

MemtableDataSize

ReadCount

RecentReadLatencyMicros

TotalReadLatencyMicros

WriteCount

RecentWriteLatencyMicros

TotalWriteLatencyMicros

TotalDiskSpaceUsed

LiveDiskSpaceUsed

LiveSSTableCount

BloomFilterFalsePositives

RecentBloomFilterFalseRatio

BloomFilterFalseRatio

שימוש ב-nodetool לניהול צמתים באשכול

הכלי nodetool הוא ממשק שורת פקודה ל-Cassandra שמנהל את צמתים באשכול. הכלי נמצא בכתובת /opt/apigee/apigee-cassandra/bin.

אפשר לבצע את הקריאות הבאות בכל צמתים של אשכול Cassandra:

  1. מידע כללי על הטבעת (אפשר גם לבדוק צומת יחיד של Cassandra): מחפשים את הערכים 'פעיל' ו'תקין' לכל הצמתים. 
    nodetool [-u username -pw password] -h localhost ring

    צריך להעביר את שם המשתמש והסיסמה רק אם הפעלתם אימות JMX ב-Cassandra.

    הפלט של הפקודה שלמעלה נראה כך: 

    Datacenter: dc-1
==========
Address            Rack     Status State   Load    Owns    Token
192.168.124.201    ra1      Up     Normal  1.67 MB 33,33%  0
192.168.124.202    ra1      Up     Normal  1.68 MB 33,33%  5671...5242
192.168.124.203    ra1      Up     Normal  1.67 MB 33,33%  1134...0484

  2. מידע כללי על צמתים (קריאה לכל צומת) 
    nodetool [-u username -pw password]  -h localhost info

    הפלט של הפקודה שלמעלה נראה כך:

    ID                     : e2e42793-4242-4e82-bcf0-oicu812
Gossip active          : true
Thrift active          : true
Native Transport active: true
Load                   : 273.71 KB
Generation No          : 1234567890
Uptime (seconds)       : 687194
Heap Memory (MB)       : 314.62 / 3680.00
Off Heap Memory (MB)   : 0.14
Data Center            : dc-1
Rack                   : ra-1
Exceptions             : 0
Key Cache              : entries 150, size 13.52 KB, capacity 100 MB, 1520781 hits, 1520923 requests, 1.000 recent hit rate, 14400 save period in seconds
Row Cache              : entries 0, size 0 bytes, capacity 0 bytes, 0 hits, 0 requests, NaN recent hit rate, 0 save period in seconds
Counter Cache          : entries 0, size 0 bytes, capacity 50 MB, 0 hits, 0 requests, NaN recent hit rate, 7200 save period in seconds
Token                  : 0
  3. סטטוס שרת ה-thrift (הצגת API של לקוח) 
    nodetool [-u username -pw password] -h localhost statusthrift

    הפלט של הפקודה שלמעלה נראה כך:

    running

  4. סטטוס של פעולות סטרימינג של נתונים: מעקב אחר התנועה בצמתים של Cassandra: 
    nodetool [-u username -pw password] -h localhost netstats

    הפלט של הפקודה שלמעלה נראה כך:

    Mode: NORMAL
Not sending any streams.
Read Repair Statistics:
Attempted: 151612
Mismatch (Blocking): 0
Mismatch (Background): 0
Pool Name                    Active   Pending      Completed   Dropped
Commands                        n/a         0              0         0
Responses                       n/a         0              0       n/a

למידע נוסף על nodetool, ראו מידע על הכלי nodetool.

מקור מידע של Cassandra

אפשר לעיין בכתובת ה-URL הבאה: http://www.datastax.com/docs/1.0/operations/monitoring.

Apache ZooKeeper

בדיקת הסטטוס של ZooKeeper

  1. מוודאים שתהליך ZooKeeper פועל. ‏ZooKeeper כותב קובץ PID אל opt/apigee/var/run/apigee-zookeeper/apigee-zookeeper.pid.
  2. בודקים את יציאות ZooKeeper כדי לוודא שאפשר ליצור חיבור TCP ליציאות 2181 ו-3888 בכל שרת ZooKeeper.
  3. מוודאים שאפשר לקרוא ערכים ממסד הנתונים של ZooKeeper. מתחברים באמצעות ספריית לקוח של ZooKeeper (או /opt/apigee/apigee-zookeeper/bin/zkCli.sh) וקוראים ערך מהמסד נתונים.
  4. בודקים את הסטטוס: 
    /opt/apigee/apigee-service/bin/apigee-service apigee-zookeeper status

שימוש במילים של ארבע אותיות ב-ZooKeeper

אפשר לעקוב אחרי ZooKeeper באמצעות קבוצה קטנה של פקודות (מילים של ארבע אותיות) שנשלחות ליציאה 2181 באמצעות netcat‏ (nc) או telnet.

מידע נוסף על פקודות ZoKeeper זמין במאמר קובץ עזר של פקודת ApachezoKeeper.

לדוגמה:

  • srvr: מציין את הפרטים המלאים של השרת.
  • stat: פרטים קצרים על השרת ועל הלקוחות המחוברים.

אפשר להריץ את הפקודות הבאות ביציאה של ZooKeeper:

  1. מריצים את הפקודה ruok בת ארבע האותיות כדי לבדוק אם השרת פועל במצב ללא שגיאות. תשובה מוצלחת מחזירה 'imok'. 
    echo ruok | nc host 2181

    החזרות:

    imok
  2. מריצים את הפקודה stat בת ארבע האותיות כדי להציג את נתוני הסטטיסטיקה של ביצועי השרת והלקוחות המחוברים: 
    echo stat | nc host 2181

    החזרות:

    Zookeeper version: 3.4.5-1392090, built on 09/30/2012 17:52 GMT
Clients:
/0:0:0:0:0:0:0:1:33467[0](queued=0,recved=1,sent=0)
/192.168.124.201:42388[1](queued=0,recved=8433,sent=8433)
/192.168.124.202:42185[1](queued=0,recved=1339,sent=1347)
/192.168.124.204:39296[1](queued=0,recved=7688,sent=7692)
Latency min/avg/max: 0/0/128
Received: 26144
Sent: 26160
Connections: 4
Outstanding: 0
Zxid: 0x2000002c2
Mode: follower
Node count: 283
  3. אם netcat (nc) אינו זמין, אפשר להשתמש ב-python במקום זאת. יוצרים קובץ בשם zookeeper.py שמכיל את הדברים הבאים: 
          import time, socket, sys
      c = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
      c.connect((sys.argv[1], 2181))
      c.send(sys.argv[2])
      time.sleep(0.1)
      print c.recv(512)

    עכשיו מריצים את שורות ה-Python הבאות:

    python zookeeper.py 192.168.124.201 ruok
python zookeeper.py 192.168.124.201 stat

בדיקה ברמת LDAP

אתם יכולים לעקוב אחרי OpenLDAP כדי לראות אם הבקשות הספציפיות מוצגות כראוי. במילים אחרות, צריך לבדוק אם חיפוש ספציפי מחזיר את התוצאה הנכונה.

  1. משתמשים ב-ldapsearch (yum install openldap-clients) כדי לשלוח שאילתה לגבי הרשאת האדמין במערכת. רשומה זו משמשת לאימות כל הקריאות ל-API. 
    ldapsearch -b "uid=admin,ou=users,ou=global,dc=apigee,dc=com" -x -W -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -LLL

    לאחר מכן תתבקשו להזין את סיסמת האדמין של LDAP:

    Enter LDAP Password:

    אחרי שמזינים את הסיסמה, מופיעה תגובה בטופס:

    dn:
uid=admin,ou=users,ou=global,dc=apigee,dc=com
objectClass: organizationalPerson
objectClass: person
objectClass: inetOrgPerson
objectClass: top
uid: admin
cn: admin
sn: admin
userPassword:: e1NTSEF9bS9xbS9RbVNXSFFtUWVsU1F0c3BGL3BQMkhObFp2eDFKUytmZVE9PQ=
 =
mail: opdk@google.com
  2. בודקים אם שרת הניהול עדיין מחובר ל-LDAP באמצעות הפקודה הבאה: 
    curl -u userEMail:password http://localhost:8080/v1/users/ADMIN

    החזרות:

    {
  "emailId" : ADMIN,
  "firstName" : "admin",
  "lastName" : "admin"
}

אפשר גם לעקוב אחרי המטמון של OpenLDAP, שעוזר לצמצם את מספר הגישה לדיסק וכך לשפר את הביצועים של המערכת. מעקב אחרי גודל המטמון בשרת OpenLDAP ואז שינוי שלו יכול להשפיע מאוד על הביצועים של שרת הספרייה. אפשר להציג את קובצי היומן (opt/apigee/var/log) כדי לקבל מידע על המטמון.