使用 Helm OTel Container Insights

添加 Helm 存储库

1. 运行以下命令以添加存储库。

   helm repo add aws-observability \
     https://aws-observability.github.io/helm-charts

2. 更新存储库以获取最新的图表版本。

   helm repo update

为 CloudWatch 代理创建 IAM 角色

1. 检索集群的 OIDC 发布者 URL。将 cluster-name 替换为 Amazon EKS 集群的名称。

   aws eks describe-cluster \
     --name cluster-name \
     --query "cluster.identity.oidc.issuer" \
     --output text

2. 为 IRSA 创建带有信任策略的 IAM 角色。将 account-id 替换为 AWS 账户 ID，并将 oidc-id 替换为上述步骤中的 OIDC 提供者 ID（https://oidc.eks.region.amazonaws.com/id/ 之后的部分）。

   aws iam create-role \
     --role-name EKS-CW-Observability-Role \
     --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [{
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::account-id:oidc-provider/oidc.eks.region.amazonaws.com/id/oidc-id"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "oidc.eks.region.amazonaws.com/id/oidc-id:sub": "system:serviceaccount:amazon-cloudwatch:cloudwatch-agent"
           }
         }
       }]
     }'

3. 将 CloudWatchAgentServerPolicy 托管式策略附加到角色。

   aws iam attach-role-policy \
     --role-name EKS-CW-Observability-Role \
     --policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy

安装 Helm 图表

• 运行如下命令。将 cluster-name 替换为 Amazon EKS 集群名称，将 region 替换为您的 AWS 区域，并将 account-id 替换为您的 AWS 账户 ID。

  helm install amazon-cloudwatch-observability \
    aws-observability/amazon-cloudwatch-observability \
    --namespace amazon-cloudwatch \
    --create-namespace \
    --set clusterName=cluster-name \
    --set region=region \
    --set agent.serviceAccount.name=cloudwatch-agent \
    --set "agent.serviceAccount.annotations.eks\\.amazonaws\\.com/role-arn=arn:aws:iam::account-id:role/EKS-CW-Observability-Role" \
    --set otelContainerInsights.enabled=true

  重要

  otelContainerInsights.enabled 参数是必需的。默认情况下，OTel Container Insights 未启用。

验证 Helm 安装

1. 确认 Helm 版本状态是否显示 deployed。

   helm list -n amazon-cloudwatch

2. 确认 Operator 容器组（pod）是否在运行。

   kubectl get pods -n amazon-cloudwatch -l app.kubernetes.io/name=amazon-cloudwatch-observability

3. 确认 CloudWatch 代理容器组（pod）是否在所有节点上运行。

   kubectl get pods -n amazon-cloudwatch -l app.kubernetes.io/name=cloudwatch-agent

   所有代理容器组（pod）都必须显示 Running 状态。

配置 cert-manager 集成

1. 确认集群中是否安装了 cert-manager。

   kubectl get pods -n cert-manager

2. 安装启用了 cert-manager 的 Helm 图表。将 cluster-name 替换为 Amazon EKS 集群名称，将 region 替换为您的 AWS 区域，并将 account-id 替换为您的 AWS 账户 ID。

   helm install amazon-cloudwatch-observability \
     aws-observability/amazon-cloudwatch-observability \
     --namespace amazon-cloudwatch \
     --create-namespace \
     --set clusterName=cluster-name \
     --set region=region \
     --set agent.serviceAccount.name=cloudwatch-agent \
     --set "agent.serviceAccount.annotations.eks\\.amazonaws\\.com/role-arn=arn:aws:iam::account-id:role/EKS-CW-Observability-Role" \
     --set otelContainerInsights.enabled=true \
     --set admissionWebhooks.certManager.enabled=true

升级 Helm 图表

1. 更新 Helm 存储库以获取最新的图表版本。

   helm repo update

2. 使用所需值运行升级命令。将 cluster-name 替换为 Amazon EKS 集群名称，将 region 替换为您的 AWS 区域，并将 account-id 替换为您的 AWS 账户 ID。

   helm upgrade amazon-cloudwatch-observability \
     aws-observability/amazon-cloudwatch-observability \
     --namespace amazon-cloudwatch \
     --set clusterName=cluster-name \
     --set region=region \
     --set agent.serviceAccount.name=cloudwatch-agent \
     --set "agent.serviceAccount.annotations.eks\\.amazonaws\\.com/role-arn=arn:aws:iam::account-id:role/EKS-CW-Observability-Role" \
     --set otelContainerInsights.enabled=true

3. 确认升级已成功完成。

   helm list -n amazon-cloudwatch

   修订号必须递增且状态必须显示为 deployed。

卸载 Helm 图表

1. 运行以下命令卸载相关版本。

   helm uninstall amazon-cloudwatch-observability \
     --namespace amazon-cloudwatch

2. （可选）可删除不再需要的命名空间。

   kubectl delete namespace amazon-cloudwatch

在 CloudWatch 中检查指标

1. 通过 https://console.aws.amazon.com/cloudwatch/ 打开 CloudWatch 控制台。

2. 在导航窗格中，选择 Container Insights。

3. 确认集群显示在集群列表中，并且基础设施指标已在填充。