このドキュメントでは、Apigee Edge for Private Cloud のオンプレミス デプロイでサポートされているコンポーネントのモニタリング手法について説明します。
概要
Edge では、いくつかの方法でサービスの詳細を取得したり、サービスのステータスを確認したりできます。次の表に、対象となるサービスごとに実行できるチェックの種類を示します。
管理 API | |||||||
コンポーネント | メモリ使用量 [JMX*] | サービスのチェック | ユーザー/組織/ デプロイのステータス | axstatus | データベースのチェック | apigee-service のステータス |
apigee-monit ** |
管理サーバー | |||||||
Message Processor | |||||||
ルーター | |||||||
Qpid | |||||||
Postgres | |||||||
詳細 | 詳細 | 詳細 | 詳細 | 詳細 | 詳細 | 詳細 | |
* JMX を使用するには、JMX を有効にするの説明に従って JMX を有効にする必要があります。 ** |
ポートと構成ファイルのモニタリング
各コンポーネントは、異なるポートでの Java Management Extensions(JMX)と Management API のモニタリング呼び出しをサポートしています。次の表に、各サーバーの JMX ポートと Management API ポート、および構成ファイルの場所を示します。
コンポーネント | JMX ポート | Management API ポート | 構成ファイルの場所 |
---|---|---|---|
管理サーバー | 1099 | 8080 | $APIGEE_ROOT/customer/application/management-server.properties |
Message Processor | 1101 | 8082 | $APIGEE_ROOT/customer/application/message-processor.properties |
ルーター | 1100 | 8081 | $APIGEE_ROOT/customer/application/router.properties |
Qpid | 1102 | 8083 | $APIGEE_ROOT/customer/application/qpid-server.properties |
Postgres | 1103 | 8084 | $APIGEE_ROOT/customer/application/postgres-server.properties |
JMX を使用してコンポーネントをモニタリングする
以降のセクションでは、JMX を使用して Edge コンポーネントをモニタリングする方法について説明します。
JMX を有効にする
認証または SSL ベースの通信を使用せずに JMX を有効にするには、次の手順を行います。注: 本番環境システムでは、セキュリティのために暗号化認証と SSL の両方を有効にする必要があります。
- 適切な構成ファイルを編集します(
構成ファイルのリファレンスをご覧ください)。構成ファイルが存在しない場合は作成します。
conf_system_jmxremote_enable=true
- 構成ファイルを保存し、そのファイルの所有者が
apigee:apigee
であることを確認します。 - 適切な Edge コンポーネントを再起動します。
apigee-service edge-management-server restart
JMX を無効にするには、プロパティ conf_system_jmxremote_enable
を削除するか、値を false
に変更します。次に、適切な Edge コンポーネントを再起動します。
JMX での認証
Edge for Private Cloud は、ファイルに保存されている詳細情報を使用したパスワード ベースの認証をサポートしています。セキュリティを強化するために、パスワードをハッシュとして保存できます。
- Edge-* コンポーネントで JMX 認証を有効にするには、適切な構成ファイルを編集します(
構成ファイルのリファレンスをご覧ください)。構成ファイルが存在しない場合は作成します。
conf_system_jmxremote_enable=true conf_system_jmxremote_authenticate=true conf_system_jmxremote_encrypted_auth=true conf_system_jmxremote_access_file=/opt/apigee/customer/application/management-server/jmxremote.access conf_system_jmxremote_password_file=/opt/apigee/customer/application/management-server/jmxremote.password
構成ファイルを保存して、このファイルの所有者がapigee:apigee
であることを確認します。 - パスワードの SHA256 ハッシュを作成します。
echo -n '
' | openssl dgst -sha256 - JMX ユーザー認証情報を使用して
jmxremote.password
ファイルを作成します。- 次のファイルを
$JAVA_HOME
ディレクトリからディレクトリ/opt/apigee/customer/application/<component>/
にコピーします。cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/customer/application/management-server/jmxremote.password
- ファイルを編集し、次の構文を使用して JMX のユーザー名とパスワードを追加します。
USERNAME <HASH-PASSWORD>
- ファイルの所有者が
apigee
であり、ファイルモードが 400 であることを確認します。chown apigee:apigee $APIGEE_ROOT/customer/application/management-server/jmxremote.password chmod 400 $APIGEE_ROOT/customer/application/management-server/jmxremote.password
- 次のファイルを
- JMX ユーザー権限を持つ
jmxremote.access
ファイルを作成します。- 次のファイルを $JAVA_HOME ディレクトリからディレクトリ
/opt/apigee/customer/application/<component>/
にコピーします。cp ${JAVA_HOME}/lib/management/jmxremote.access$APIGEE_ROOT/customer/application/management-server/jmxremote.password/jmxremote.access
- ファイルを編集し、JMX ユーザー名に続けて権限(READONLY/READWRITE)を追加します。
USERNAME READONLY
- ファイルの所有者が
apigee
であり、ファイルモードが 400 であることを確認します。chown apigee:apigee $APIGEE_ROOT/customer/application/management-server/jmxremote.password chmod 400 $APIGEE_ROOT/customer/application/management-server/jmxremote.access
- 次のファイルを $JAVA_HOME ディレクトリからディレクトリ
- 適切な Edge コンポーネントを再起動します。
apigee-service edge-management-server restart
JMX 認証を無効にするには、プロパティ conf_system_jmxremote_authenticate
を削除するか、値を false
に変更して、適切な Edge コンポーネントを再起動します。
JMX での SSL
Edge-* コンポーネントで SSL ベースの JMX を有効にするには:
- 適切な構成ファイルを編集します(
構成ファイルのリファレンスをご覧ください)。構成ファイルが存在しない場合は作成します。
conf_system_jmxremote_enable=true conf_system_jmxremote_ssl=true conf_system_javax_net_ssl_keystore=/opt/apigee/customer/application/management-server/jmxremote.keystore conf_system_javax_net_ssl_keystorepassword=<keystore-password>
構成ファイルを保存して、このファイルの所有者がapigee:apigee
であることを確認します。 - サーバーキーを含むキーストアを準備し、上記の構成
conf_system_javax_net_ssl_keystore
で指定されたパスに配置します。キーストア ファイルがapigee:apigee
で読み取り可能であることを確認します。 - 適切な Edge コンポーネントを再起動します。
apigee-service edge-management-server restart
SSL ベースの JMX を無効にするには、プロパティ conf_system_jmxremote_ssl
を削除するか、値を false
に変更します。適切な Edge コンポーネントを再起動します。
Jconsole を介したモニタリング
jconsole を使用したモニタリング手順は、https://docs.apigee.com/private-cloud/v4.52.01/how-monitor#jconsole で説明されている手順と同じです。
「JMX で SSL が有効になっている場合は、トラストストアとトラストストアのパスワードを使用して jconsole を起動する必要がある」という 1 行を追加できます。参照: https://docs.oracle.com/javase/8/docs/technotes/guides/management/jconsole.htmlJConsole でモニタリングする
JConsole(JMX 準拠ツール)を使用して、ヘルスチェックとプロセス統計情報を管理およびモニタリングします。JConsole を使用すると、サーバーで公開されている JMX 統計情報をグラフィカル インターフェースで表示できます。詳細については、JConsole の使用をご覧ください。
JMX で SSL が有効になっている場合は、トラストストアとトラストストアのパスワードを使用して JConsole を起動する必要があります。 JConsole の使用をご覧ください。
JConsole では、次のサービス URL を使用して、JMX 経由で提供される JMX 属性(MBeans)をモニタリングします。
service:jmx:rmi:///jndi/rmi://IP_address:port_number/jmxrmi
ここで
- IP_address は、モニタリングするサーバーの IP アドレスです。
- port_number は、モニタリングするサーバーの JMX ポート番号です。
たとえば、Management Server をモニタリングするには、次のようなコマンドを実行します(サーバーの IP アドレスが 216.3.128.12 であると仮定)。
service:jmx:rmi:///jndi/rmi://216.3.128.12:1099/jmxrmi
この例では、ポート 1099(Management Server の JMX ポート)を指定しています。他のポートについては、JMX と Management API のモニタリング ポートをご覧ください。
次の表に、一般的な JMX 統計情報を示します。
JMX MBean | JMX 属性 |
---|---|
メモリ |
HeapMemoryUsage |
NonHeapMemoryUsage |
|
用途 |
|
構成ファイルのリファレンス
以降のセクションでは、JMX 関連の構成のために Edge コンポーネント構成ファイルに加える必要がある変更について説明します。詳細については、ポートと構成ファイルのモニタリングをご覧ください。
適切なコンポーネントの構成ファイルに追加する JMX 構成
- エッジ コンポーネントで JMX エージェントを有効にします。デフォルトは False です。
conf_system_jmxremote_enable=true
パスワード ベースの認証の構成
- パスワード ベースの認証を有効にする。デフォルトは False です。
conf_system_jmxremote_authenticate=true
- アクセスするファイルのパス。Apigee ユーザーのみが所有し、読み取り可能です。
conf_system_jmxremote_access_file=/opt/apigee/customer/application/management-server/jmxremote.access
- パスワード ファイルのパス。Apigee ユーザーのみが所有し、読み取り可能です。
conf_system_jmxremote_password_file=/opt/apigee/customer/application/management-server/jmxremote.password
- 暗号化された形式でのパスワードの保存を有効にします。デフォルトは False です。
conf_system_jmxremote_encrypted_auth=true
SSL ベースの JMX の構成
- JMX 通信で SSL を有効にします。デフォルトは False です。
conf_system_jmxremote_ssl=true
- キーストアへのパス。Apigee ユーザーのみが所有し、読み取り可能です。
conf_system_javax_net_ssl_keystore=/opt/apigee/customer/application/management-server/jmxremote.keystore
- キーストアのパスワード:
conf_system_javax_net_ssl_keystorepassword=changeme
オプションの JMX 構成
記載されている値はデフォルト値であり、変更できます。
- JMX ポート。次の表に、デフォルト値を示します。
conf_system_jmxremote_port=
- JMX RMI ポート。デフォルトでは、Java プロセスはランダムなポートを選択します。
conf_system_jmxremote_rmi_port=
- リモートスタブのホスト名。localhost のデフォルトの IP アドレス。
conf_system_java_rmi_server_hostname=
- JMX レジストリを SSL で保護する。デフォルトは false です。SSL が有効な場合にのみ適用されます。
conf_system_jmxremote_registry_ssl=false
Management API でモニタリングする
Edge には、サーバーのサービス チェックや、ユーザー、組織、デプロイメントのチェックに使用できる API がいくつかあります。このセクションでは、これらの API について説明します。
サービス チェックを実行する
Management API には、サービスの問題をモニタリングし、診断するためのエンドポイントがいくつか用意されています。これらのエンドポイントには次のものがあります。
エンドポイント | 説明 |
---|---|
/servers/self/up |
サービスが実行されているかどうかを確認します。この API 呼び出しでは認証は必要ありません。 サービスが実行されている場合、このエンドポイントは次のレスポンスを返します。 <ServerField> <Up>true</Up> </ServerField> サービスが実行されていない場合は、次のようなレスポンスが返されます(実行されているサービスとチェック方法によって異なります)。 curl: Failed connect to localhost:port_number; Connection refused |
/servers/self |
次のような、サービスに関する情報を返します。
この API 呼び出しでは、Apigee 管理者の認証情報で認証する必要があります。 |
これらのエンドポイントを使用するには、次の構文を使用して curl
などのユーティリティを呼び出します。
curl http://host:port_number/v1/servers/self/up -H "Accept: [application/json|application/xml]"
curl http://host:port_number/v1/servers/self -u username:password -H "Accept: [application/json|application/xml]"
ここで
- host は、確認するサーバーの IP アドレスです。サーバーにログインしている場合は、「localhost」を使用できます。ログインしていない場合は、サーバーの IP アドレスとユーザー名とパスワードを指定します。
- port_number は、確認するサーバーの Management API ポートです。これは、コンポーネントのタイプごとに異なるポートです。たとえば、Management Server の Management API ポートは 8080 です。使用する Management API のポート番号の一覧については、JMX と Management API のモニタリング ポートをご覧ください。
レスポンスの形式を変更するには、Accept
ヘッダーに application/json または application/xml を指定します。
次の例では、localhost(ポート 8081)上の Router のステータスを取得します。
curl http://localhost:8081/v1/servers/self/up -H "Accept: application/xml"
次の例では、216.3.128.12(ポート 8082)の Message Processor に関する情報を取得します。
curl http://216.3.128.12:8082/v1/servers/self -u sysAdminEmail:password -H "Accept: application/xml"
ユーザー、組織、デプロイのステータスをモニタリングする
Management API を使用して次のコマンドを実行すると、Management Server と Message Processor 上のプロキシのユーザー、組織、デプロイ ステータスをモニタリングできます。
curl http://host:port_number/v1/users -u sysAdminEmail:passwordcurl http://host:port_number/v1/organizations -u sysAdminEmail:password
curl http://host:port_number/v1/organizations/orgname/deployments -u sysAdminEmail:password
ここで、port_number は、Management Server の場合は 8080、Message Processor の場合は 8082 です。
この呼び出しでは、システム管理のユーザー名とパスワードで認証を行う必要があります。
すべての呼び出しに対して、サーバーから「deployed」ステータスが返されます。問題が解決しない場合は、次の操作を行います。
- サーバーログでエラーを確認します。ログは次の場所にあります。
- 管理サーバー:
opt/apigee/var/log/edge-management-server
- Message Processor:
opt/apigee/var/log/edge-message-processor
- 管理サーバー:
- サーバーに対して呼び出しを行い、正常に機能しているかどうかを確認します。
- サーバーを ELB から削除して再起動します。
/opt/apigee/apigee-service/bin/apigee-service service_name restart
ここで、service_name は次のようになります。
edge-management-server
edge-message-processor
apigee-service
コマンドを使用してステータスを確認する
Edge サービスのトラブルシューティングを行うには、サービスを実行しているサーバーにログインした状態で apigee-service
コマンドを使用します。
apigee-service
でサービスのステータスを確認するには:
- サーバーにログインして、
/opt/apigee/apigee-service/bin/apigee-service service_name status
コマンドを実行します。ここで、service_name は次のいずれかです。
- 管理サーバー:
edge-management-server
- Message Processor:
edge-message-processor
- Postgres:
edge-postgres-server
- Qpid:
edge-qpid-server
- ルーター:
edge-router
次に例を示します。
/opt/apigee/apigee-service/bin/apigee-service edge-message-processor status
- 管理サーバー:
- サービスが実行されていない場合は、サービスを開始します。
/opt/apigee/apigee-service/bin/apigee-service service_name start
- サービスを再起動したら、前に使用した
apigee-service status
コマンドを使用するか、Management API でモニタリングするで説明されている Management API を使用して、サービスが機能していることを確認します。次に例を示します。
curl -v http://localhost:port_number/v1/servers/self/up
ここで、port_number はサービスの Management API ポートです。
この例では、サーバーにログインしていることを前提としており、ホスト名として「localhost」を使用できます。Management API を使用してリモートでステータスを確認するには、サーバーの IP アドレスを指定し、API 呼び出しにシステム管理者のユーザー名とパスワードを含める必要があります。
Postgres のモニタリング
Postgres は、ステータスの確認に使用できるいくつかのユーティリティをサポートしています。以降のセクションでは、これらのユーティリティについて説明します。
Postgres で組織と環境を確認する
次の curl
コマンドを実行すると、Postgres サーバーにオンボーディングされている組織名と環境名を確認できます。
curl -v http://postgres_IP:8084/v1/servers/self/organizations
システムに組織名と環境名が表示されます。
分析のステータスを確認する
Postgres と Qpid の分析サーバーのステータスを確認するには、次の curl
コマンドを実行します。
curl -u userEmail:password http://host:port_number/v1/organizations/orgname/environments/envname/provisioning/axstatus
次の例のように、すべての分析サーバーの成功ステータスが表示されます。
{ "environments" : [ { "components" : [ { "message" : "success at Thu Feb 28 10:27:38 CET 2013", "name" : "pg", "status" : "SUCCESS", "uuid" : "[c678d16c-7990-4a5a-ae19-a99f925fcb93]" }, { "message" : "success at Thu Feb 28 10:29:03 CET 2013", "name" : "qs", "status" : "SUCCESS", "uuid" : "[ee9f0db7-a9d3-4d21-96c5-1a15b0bf0adf]" } ], "message" : "", "name" : "prod" } ], "organization" : "acme", "status" : "SUCCESS" }
PostgreSQL データベース
このセクションでは、特に Postgres データベースのモニタリングに使用できる手法について説明します。
check_postgres.pl
スクリプトを使用する
PostgreSQL データベースをモニタリングするには、標準のモニタリング スクリプトである check_postgres.pl
を使用します。詳細については、http://bucardo.org/wiki/Check_postgres をご覧ください。
スクリプトを実行する前に:
- 各 Postgres ノードに check_postgres.pl スクリプトをインストールする必要があります。
perl-Time-HiRes.x86_64
がインストールされていることを確認します。これは、高精度のアラーム、スリープ、gettimeofday、インターバル タイマーを実装する Perl モジュールです。たとえば、次のコマンドを使用してインストールできます。
yum install perl-Time-HiRes.x86_64
- CentOS 7: CentOS v7 で check_postgres.pl を使用する前に、
perl-Data-Dumper.x86_64
RPM をインストールします。
check_postgres.pl の出力
check_postgres.pl
を使用した API 呼び出しのデフォルトの出力は、Nagios と互換性があります。スクリプトをインストールしたら、次のチェックを行います。
- データベースのサイズを確認します。
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -include=apigee -action database_size --warning='800 GB' --critical='900 GB'
- データベースへの受信接続数を確認し、最大許容接続数と比較します。
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action backends
- データベースが実行中で使用可能かどうかを確認します。
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action connection
- ディスク空き容量を確認します。
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action disk_space --warning='80%' --critical='90%'
- Postgres ノードにオンボーディングされている組織と環境の数を確認します。
check_postgres.pl -H 10.176.218.202 -db apigee -u apigee -dbpass postgres -action=custom_query --query="select count(*) as result from pg_tables where schemaname='analytics' and tablename like '%fact'" --warning='80' --critical='90' --valtype=integer
データベース チェックを実行する
PostgreSQL データベースに適切なテーブルが作成されていることを確認できます。次のコマンドを使用して、PostgreSQL データベースにログインします。
psql -h /opt/apigee/var/run/apigee-postgresql/ -U apigee -d apigee
次のコマンドを実行します。
\d analytics."org.env.fact"
Postgres プロセスのヘルス ステータスを確認する
Postgres マシンで API チェックを行うには、次の curl
コマンドを実行します。
curl -v http://postgres_IP:8084/v1/servers/self/health
postgres プロセスがアクティブな場合、このコマンドは ACTIVE
ステータスを返します。Postgres プロセスが稼働していない場合は、INACTIVE
ステータスを返します。
Postgres リソース
Postgres サービスのモニタリングの詳細については、以下をご覧ください。
- http://www.postgresql.org/docs/9.0/static/monitoring.html
- http://www.postgresql.org/docs/9.0/static/diskusage.html
- http://bucardo.org/check_postgres/check_postgres.pl.html
Apache Cassandra
Cassandra では JMX がデフォルトで有効になっており、Cassandra へのリモート JMX アクセスにパスワードは必要ありません。
Cassandra の JMX 認証を有効にする
Cassandra に対して JMX 認証を有効にできます。その後は、nodetool ユーティリティを呼び出すたびにユーザー名とパスワードを渡す必要があります。
Cassandra の JMX 認証を有効にするには:
cassandra.properties
ファイルを作成して編集します。/opt/apigee/customer/application/cassandra.properties
ファイルを編集します。ファイルが存在しない場合は作成します。- 次のコードをファイルに追加します。
conf_cassandra_env_com.sun.management.jmxremote.authenticate=true conf_cassandra_env_com.sun.management.jmxremote.password.file=${APIGEE_ROOT}/customer/application/apigee-cassandra/jmxremote.password conf_cassandra_env_com.sun.management.jmxremote.access.file=${APIGEE_ROOT}/customer/application/apigee-cassandra/jmxremote.access
cassandra.properties
ファイルを保存します。- 次の例のように、ファイルのオーナーを
apigee:apigee
に変更します。chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
プロパティ ファイルを使用してトークンを設定する方法については、Edge の構成方法をご覧ください。
jmx_auth.sh
を作成および編集します。- 存在しない場合は、次の場所にファイルを作成します。
/opt/apigee/customer/application/jmx_auth.sh
- 次のプロパティをファイルに追加します。
export CASS_JMX_USERNAME=JMX_USERNAME export CASS_JMX_PASSWORD=JMX_PASSWORD
jmx_auth.sh
ファイルを保存します。- ファイルのソースを指定します。
source /opt/apigee/customer/application/jmx_auth.sh
- 存在しない場合は、次の場所にファイルを作成します。
jmxremote.password
ファイルをコピーして編集します。- 次のファイルを
$JAVA_HOME
ディレクトリから/opt/apigee/customer/application/apigee-cassandra/
にコピーします。cp ${JAVA_HOME}/lib/management/jmxremote.password.template $APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.password
jmxremote.password
ファイルを編集し、次の構文を使用して JMX のユーザー名とパスワードを追加します。JMX_USERNAME JMX_PASSWORD
ここで、JMX_USERNAME と JMX_PASSWORD は、以前に設定した JMX のユーザー名とパスワードです。
- ファイルの所有者が「apigee」で、ファイルモードが 400 であることを確認します。
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/jmxremote.password
chmod 400 /opt/apigee/customer/application/apigee-cassandra/jmxremote.password
- 次のファイルを
jmxremote.access
ファイルをコピーして編集します。- 次のファイルを
$JAVA_HOME
ディレクトリから/opt/apigee/customer/application/apigee-cassandra/
にコピーします。cp ${JAVA_HOME}/lib/management/jmxremote.access
$APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.access
jmxremote.access
ファイルを編集して、次のロールを追加します。JMX_USERNAME readwrite
- ファイルの所有者が「apigee」で、ファイルモードが 400 であることを確認します。
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/jmxremote.access
chmod 400 /opt/apigee/customer/application/apigee-cassandra/jmxremote.access
- 次のファイルを
- Cassandra で
configure
を実行します。/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- Cassandra を再起動します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 他のすべての Cassandra ノードでこの手順を繰り返します。
JMX パスワード暗号化を有効にする
JMX パスワード暗号化を有効にする手順は次のとおりです。
source/conf/casssandra-env.sh
ファイルを開きます。cassandra.properties
ファイルを作成して編集します。/opt/apigee/customer/application/cassandra.properties
ファイルを編集します。ファイルが存在しない場合は作成します。- 次のコードをファイルに追加します。
conf_cassandra_env_com.sun.management.jmxremote.encrypted.authenticate=true
- cassandra.properties ファイルを保存します。
- 次の例のように、ファイルのオーナーを apigee:apigee に変更します。
chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
- コマンドラインで「
echo -n 'Secret' | openssl dgst -sha1
」と入力して、目的のパスワードの SHA1 ハッシュを生成します。 - 前のセクションで作成した
$APIGEE_ROOT/customer/application/apigee-cassandra/jmxremote.password
のユーザー名にパスワードを設定します。 - Cassandra で configure を実行します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- Cassandra を再起動します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 他のすべての Cassandra ノードでこの手順を繰り返します。
Cassandra に対して SSL を使用する JMX を有効にする
SSL で JMX を有効にすると、Cassandra との JMX ベースの通信にセキュリティと暗号化が追加されます。SSL を使用する JMX を有効にするには、Cassandra に鍵と証明書を提供して、SSL ベースの JMX 接続を受け入れる必要があります。また、nodetool(および JMX を介して Cassandra と通信するその他のツール)を SSL 用に構成する必要があります。
SSL 対応の JMX では、平文と暗号化された JMX パスワードの両方がサポートされています。
Cassandra で SSL を使用する JMX を有効にするには、次の操作を行います。
- JMX を有効にします。必要に応じてパスワードの暗号化を有効にします。
- Cassandra の JMX 認証を有効にします。使用できます。構成したユーザー名とパスワードで nodetool の動作を確認します。
/opt/apigee/apigee-cassandra/bin/nodetool -u <JMX_USER> -pw <JMX_PASS> ring
キーストアとトラストストアを準備します。
キーストアには鍵と証明書が含まれている必要があります。これは、Cassandra サーバーの構成に使用されます。キーストアに複数の鍵ペアが含まれている場合、Cassandra は最初の鍵ペアを使用して SSL を有効にします。
キーストアと鍵のパスワードは同じである必要があります(keytool を使用して鍵を生成したときのデフォルト)。
- トラストストアには証明書のみを含める必要があります。クライアント(apigee-service ベースのコマンドまたは nodetool)が JMX 経由で接続するために使用します。
上記の要件を確認したら、次の操作を行います。
- キーストア ファイルを
/opt/apigee/customer/application/apigee-cassandra/
に配置します。 - 「
chown apigee:apigee /opt/apigee/customer/application/apigee-cassandra/keystore.node1
」と入力して、Apigee ユーザーのみがキーストア ファイルを読み取れるようにします。chmod 400 /opt/apigee/customer/application/apigee-cassandra/keystore.node1
- 次の手順に沿って、SSL を使用する JMX 用に Cassandra を構成します。
- 「
apigee-service apigee-cassandra stop
」と入力して Cassandra ノードを停止します。 - Cassandra で SSL を有効にするには、
/opt/apigee/customer/application/cassandra.properties
ファイルを開いて次の行を追加します。conf_cassandra_env_com.sun.management.jmxremote.ssl=true conf_cassandra_env_javax.net.ssl.keyStore=/opt/apigee/customer/application/apigee-cassandra/keystore.node1 conf_cassandra_env_javax.net.ssl.keyStorePassword=keystore-password
- 次の例のように、ファイルのオーナーを apigee:apigee に変更します。
chown apigee:apigee /opt/apigee/customer/application/cassandra.properties
- Cassandra で configure を実行します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- Cassandra を再起動します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 他のすべての Cassandra ノードでこの手順を繰り返します。
- 「
apigee-service apigee-cassandra start
」と入力して Cassandra ノードを起動します。
- 「
apigee-service
Cassandra コマンドを構成します。apigee-service
コマンドを実行するときに、次のような特定の環境変数を設定する必要があります。apigee-service apigee-cassandra stop apigee-service apigee-cassandra wait_for_ready apigee-service apigee-cassandra ring apigee-service apigee-cassandra backup
JMX 認証と SSL 用に
apigee-service
を構成するには、いくつかのオプションがあります。ユーザビリティとセキュリティの方針に基づいて、適切なオプションを選択します。オプション 1(SSL 引数をファイルに保存する)
次の環境変数を設定します。
export CASS_JMX_USERNAME=ADMIN # Provide encrypted password here if you have setup JMX password encryption export CASS_JMX_PASSWORD=PASSWORD export CASS_JMX_SSL=Y
Apigee ユーザーのホーム ディレクトリ(
/opt/apigee
)にファイルを作成します。$HOME/.cassandra/nodetool-ssl.properties
ファイルを編集して次の行を追加します。
-Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true
Apigee ユーザーがトラストストア ファイルを読み取ることができることを確認します。
次の
apigee-service
コマンドを実行します。エラーなしで実行されていれば、構成は正しいです。apigee-service apigee-cassandra ring
オプション 2(環境変数に格納された SSL 引数)
次の環境変数を設定します。
export CASS_JMX_USERNAME=ADMIN # Provide encrypted password here if you have setup JMX password encryption export CASS_JMX_PASSWORD=PASSWORD export CASS_JMX_SSL=Y # Ensure the truststore file is accessible by Apigee user. export CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> export CASS_JMX_TRUSTSTORE_PASSWORD=<truststore-password>
次の
apigee-service
コマンドを実行します。エラーなしで実行されている場合、構成は正しいです。apigee-service apigee-cassandra ring
オプション 3(SSL 引数を
apigee-service
に直接渡す)次のような
apigee-service
コマンドを実行します。環境変数を構成する必要はありません。CASS_JMX_USERNAME=ADMIN CASS_JMX_PASSWORD=PASSWORD CASS_JMX_SSL=Y CASS_JMX_TRUSTSTORE=<path-to-trustore.node1> CASS_JMX_TRUSTSTORE_PASSWORD=<trustore-password> /opt/apigee/apigee-service/bin/apigee-service apigee-cassandra ring
nodetool のセットアップ。Nodetool には JMX パラメータを渡す必要があります。以下の構成オプションで説明するように、SSL 対応 JMX で実行されるように nodetool を構成するには、次の 2 つの方法があります。
これらのオプションは、SSL 関連の構成を nodetool に渡す方法が異なります。どちらの場合も、nodetool を実行するユーザーには、トラストストア ファイルに対する読み取り権限が必要です。ユーザビリティとセキュリティの方針に基づいて、適切なオプションを選択します。
nodetool パラメータの詳細については、 DataStax のドキュメントをご覧ください。
構成オプション 1
nodetool を実行するユーザーのホーム ディレクトリにファイルを作成します。
$HOME/.cassandra/nodetool-ssl.properties
このファイルに次の行を追加します。
-Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true
nodetool を実行するすべてのユーザーが、上で指定したトラストストア パスにアクセスできる必要があります。
--ssl
オプションを指定してnodetool
を実行します。/opt/apigee/apigee-cassandra/bin/nodetool --ssl -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring
構成オプション 2
以下に示す追加のパラメータを使用して、
nodetool
を 1 つのコマンドとして実行します。/opt/apigee/apigee-cassandra/bin/nodetool -Djavax.net.ssl.trustStore=<path-to-truststore.node1> -Djavax.net.ssl.trustStorePassword=<truststore-password> -Dcom.sun.management.jmxremote.registry.ssl=true -Dssl.enable=true -u <jmx-user-name> -pw <jmx-user-password> -h localhost ring
SSL 構成を元に戻す
上記の手順で説明した SSL 構成を元に戻す必要がある場合は、次の操作を行います。
- 「
apigee-service apigee-cassandra stop
」と入力してapigee-cassandra
を停止します。 /opt/apigee/customer/application/cassandra.properties
ファイルからconf_cassandra-env_com.sun.management.jmxremote.ssl=true
行を削除します。/opt/apigee/apigee-cassandra/source/conf/cassandra-env.sh
で次の行をコメントアウトします。# JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStore=/opt/apigee/data/apigee-cassandra/keystore.node0" # JVM_OPTS="$JVM_OPTS -Djavax.net.ssl.keyStorePassword=keypass" # JVM_OPTS="$JVM_OPTS -Dcom.sun.management.jmxremote.registry.ssl=true”
- 次のコマンドを入力して
apigee-cassandra
を開始します。 - 環境変数
CASS_JMX_SSL
が設定されている場合は、それを削除します。unset CASS_JMX_SSL
ring
、stop
、backup
などのapigee-service
ベースのコマンドが機能していることを確認します。- nodetool での
--ssl
スイッチの使用を停止する
apigee-service apigee-cassandra start
Cassandra の JMX 認証を無効にする
Cassandra の JMX 認証を無効にするには:
/opt/apigee/customer/application/cassandra.properties
を編集します。- ファイルから次の行を削除します。
conf_cassandra-env_com.sun.management.jmxremote.authenticate=true
- Cassandra で configure を実行します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra configure
- Cassandra を再起動します。
/opt/apigee/apigee-service/bin/apigee-service apigee-cassandra restart
- 他のすべての Cassandra ノードでこの手順を繰り返します。
JConsole の使用: タスク統計情報をモニタリングする
JConsole と次のサービス URL を使用して、JMX 経由で提供される JMX 属性(MBeans)をモニタリングします。
service:jmx:rmi:///jndi/rmi://IP_address:7199/jmxrmi
ここで、IP_address は Cassandra サーバーの IP です。
Cassandra JMX 統計情報
JMX MBean | JMX 属性 |
---|---|
ColumnFamilies/apprepo/environments ColumnFamilies/apprepo/organizations ColumnFamilies/apprepo/apiproxy_revisions ColumnFamilies/apprepo/apiproxies ColumnFamilies/監査/監査 ColumnFamilies/audit/audits_ref |
PendingTasks |
MemtableColumnsCount |
|
MemtableDataSize |
|
ReadCount |
|
RecentReadLatencyMicros |
|
TotalReadLatencyMicros |
|
WriteCount |
|
RecentWriteLatencyMicros |
|
TotalWriteLatencyMicros |
|
TotalDiskSpaceUsed |
|
LiveDiskSpaceUsed |
|
LiveSSTableCount |
|
BloomFilterFalsePositives |
|
RecentBloomFilterFalseRatio |
|
BloomFilterFalseRatio |
nodetool を使用してクラスタノードを管理する
nodetool ユーティリティは、クラスタノードを管理する Cassandra のコマンドライン インターフェースです。このユーティリティは /opt/apigee/apigee-cassandra/bin
にあります。
すべての Cassandra クラスタノードで、次の呼び出しを行うことができます。
- 一般的なリング情報(単一の Cassandra ノードでも可能): すべてのノードで「Up」と「Normal」を探します。
nodetool [-u username -pw password] -h localhost ring
ユーザー名とパスワードを渡す必要があるのは、Cassandra の JMX 認証を有効にした場合のみです。
上記のコマンドの出力は次のようになります。
Datacenter: dc-1 ========== Address Rack Status State Load Owns Token 192.168.124.201 ra1 Up Normal 1.67 MB 33,33% 0 192.168.124.202 ra1 Up Normal 1.68 MB 33,33% 5671...5242 192.168.124.203 ra1 Up Normal 1.67 MB 33,33% 1134...0484
- ノードに関する一般的な情報(ノードあたりの呼び出し数)
nodetool [-u username -pw password] -h localhost info
上記のコマンドの出力は次のようになります。
ID : e2e42793-4242-4e82-bcf0-oicu812 Gossip active : true Thrift active : true Native Transport active: true Load : 273.71 KB Generation No : 1234567890 Uptime (seconds) : 687194 Heap Memory (MB) : 314.62 / 3680.00 Off Heap Memory (MB) : 0.14 Data Center : dc-1 Rack : ra-1 Exceptions : 0 Key Cache : entries 150, size 13.52 KB, capacity 100 MB, 1520781 hits, 1520923 requests, 1.000 recent hit rate, 14400 save period in seconds Row Cache : entries 0, size 0 bytes, capacity 0 bytes, 0 hits, 0 requests, NaN recent hit rate, 0 save period in seconds Counter Cache : entries 0, size 0 bytes, capacity 50 MB, 0 hits, 0 requests, NaN recent hit rate, 7200 save period in seconds Token : 0
- Thrift サーバーのステータス(クライアント API を提供)
nodetool [-u username -pw password] -h localhost statusthrift
上記のコマンドの出力は次のようになります。
running
- データ ストリーミング オペレーションのステータス: Cassandra ノードのトラフィックを確認します。
nodetool [-u username -pw password] -h localhost netstats
上記のコマンドの出力は次のようになります。
Mode: NORMAL Not sending any streams. Read Repair Statistics: Attempted: 151612 Mismatch (Blocking): 0 Mismatch (Background): 0 Pool Name Active Pending Completed Dropped Commands n/a 0 0 0 Responses n/a 0 0 n/a
nodetool の詳細については、nodetool ユーティリティについてをご覧ください。
Cassandra リソース
http://www.datastax.com/docs/1.0/operations/monitoring をご覧ください。
Apache Qpid Broker-J のモニタリング
Qpid Broker-J は Qpid 管理コンソールからモニタリングできます。このセクションでは、コンソールにアクセスし、コンソールを使用して基本的なモニタリング機能を実行する方法について説明します。管理コンソールの使用の詳細については、Apache Qpid ドキュメントの ウェブ管理コンソールをご覧ください。
管理コンソールにアクセスする
管理コンソールのデフォルトのポートは 8090 です。このデフォルト ポートでコンソールにアクセスするには、ウェブブラウザで以下を指定します。
http://QPID_NODE_IP:8090
コンソールにログインするには、Apigee によって設定されたデフォルトの認証情報または Edge 構成ファイルに設定された認証情報を使用します。詳細については、Edge 構成ファイルのリファレンスをご覧ください。
キューとメッセージをモニタリングする
左側のナビゲーション パネルで、[Java-Broker] > [virtualhosts] > [queues] に移動します。キューを選択すると、UI のメイン部分にその詳細が表示されます。詳細ビューには、配信されたメッセージ、エンキューされたメッセージ、メッセージ率など、キューの属性と統計情報が表示されます。
ログファイルの表示とダウンロード
左側のナビゲーション パネルで、[Java-Broker] > [brokerloggers] > [logfile] に移動します。メインの UI の詳細ビューでは、ログファイルの詳細を表示したり、ログファイルをダウンロードしたりできます。
Qpid Management API の使用
Apache Qpid Broker-J REST API を使用すると、管理タスクを自動化し、ブローカーをモニタリングできます。詳細については、 Apache Qpid Broker REST API のドキュメントをご覧ください。
コマンドライン ツールを使用してブローカーをモニタリングすることもできます。次に例を示します。
curl "QPID_NODE_IP":"8090"/api/latest/broker -u "USERNAME":"PASSWORD"
Apache ZooKeeper
ZooKeeper のステータスを確認する
- ZooKeeper プロセスが実行されていることを確認します。ZooKeeper は PID ファイルを
opt/apigee/var/run/apigee-zookeeper/apigee-zookeeper.pid
に書き込みます。 - ZooKeeper ポートをテストして、すべての ZooKeeper サーバーのポート 2181 と 3888 への TCP 接続を確立できることを確認します。
- ZooKeeper データベースから値を読み取れることを確認します。ZooKeeper クライアント ライブラリ(
/opt/apigee/apigee-zookeeper/bin/zkCli.sh
)を使用して接続し、データベースから値を読み取ります。 - ステータスを確認します。
/opt/apigee/apigee-service/bin/apigee-service apigee-zookeeper status
ZooKeeper の 4 文字単語を使用する
netcat(nc)または telnet を使用してポート 2181 に少数のコマンドセット(4 文字のワード)を送信することで、ZooKeeper をモニタリングできます。
ZooKeeper コマンドの詳細については、Apache ZooKeeper コマンド リファレンスをご覧ください。
次に例を示します。
srvr
: サーバーの完全な詳細を一覧表示します。stat
: サーバーと接続されているクライアントの概要をリストします。
ZooKeeper ポートに対して次のコマンドを実行できます。
- 4 文字のコマンド ruok を実行して、サーバーがエラーなしで実行されているかどうかをテストします。成功すると「imok」が返されます。
echo ruok | nc host 2181
戻り値:
imok
- 4 文字コマンド
stat
を実行して、サーバーのパフォーマンスと接続クライアントの統計情報を一覧表示します。echo stat | nc host 2181
戻り値:
Zookeeper version: 3.4.5-1392090, built on 09/30/2012 17:52 GMT Clients: /0:0:0:0:0:0:0:1:33467[0](queued=0,recved=1,sent=0) /192.168.124.201:42388[1](queued=0,recved=8433,sent=8433) /192.168.124.202:42185[1](queued=0,recved=1339,sent=1347) /192.168.124.204:39296[1](queued=0,recved=7688,sent=7692) Latency min/avg/max: 0/0/128 Received: 26144 Sent: 26160 Connections: 4 Outstanding: 0 Zxid: 0x2000002c2 Mode: follower Node count: 283
- netcat(nc)が使用できない場合は、代わりに Python を使用できます。次の内容を含む、
zookeeper.py
という名前のファイルを作成します。import time, socket, sys c = socket.socket(socket.AF_INET, socket.SOCK_STREAM) c.connect((sys.argv[1], 2181)) c.send(sys.argv[2]) time.sleep(0.1) print c.recv(512)
次の Python 行を実行します。
python zookeeper.py 192.168.124.201 ruok
python zookeeper.py 192.168.124.201 stat
LDAP レベルのテスト
OpenLDAP をモニタリングして、特定のリクエストが適切に処理されているかどうかを確認できます。つまり、適切な結果を返す特定の検索を確認します。
ldapsearch
(yum install openldap-clients
)を使用して、システム管理者のエントリをクエリします。このエントリは、すべての API 呼び出しの認証に使用されます。ldapsearch -b "uid=admin,ou=users,ou=global,dc=apigee,dc=com" -x -W -D "cn=manager,dc=apigee,dc=com" -H ldap://localhost:10389 -LLL
LDAP 管理者パスワードの入力を求められます。
Enter LDAP Password:
パスワードを入力すると、次の形式のレスポンスが表示されます。
dn: uid=admin,ou=users,ou=global,dc=apigee,dc=com objectClass: organizationalPerson objectClass: person objectClass: inetOrgPerson objectClass: top uid: admin cn: admin sn: admin userPassword:: e1NTSEF9bS9xbS9RbVNXSFFtUWVsU1F0c3BGL3BQMkhObFp2eDFKUytmZVE9PQ= = mail: opdk@google.com
- 次のコマンドを使用して、Management Server が LDAP に接続しているかどうかを確認します。
curl -u userEMail:password http://localhost:8080/v1/users/ADMIN
戻り値:
{ "emailId" : ADMIN, "firstName" : "admin", "lastName" : "admin" }
OpenLDAP のキャッシュをモニタリングすることもできます。キャッシュはディスク アクセスの回数を減らし、システムのパフォーマンスを向上させるのに役立ちます。OpenLDAP サーバーでキャッシュをモニタリングしてキャッシュ サイズを調整すると、ディレクトリ サーバーのパフォーマンスに大きく影響する可能性があります。キャッシュに関する情報は、ログファイル(opt/apigee/var/log
)で確認できます。