将 Prometheus 指标从虚拟机、规模集或 Kubernetes 群集发送到 Azure Monitor 工作区

使用用户分配的托管标识身份验证进行远程写入

可在任何 Azure 托管环境中使用用户分配的托管标识身份验证。 如果 Prometheus 服务在非 Azure 环境中运行，则可以使用 Microsoft Entra ID 应用程序身份验证。

若要为远程写入到 Azure Monitor 工作区配置用户分配的托管标识，请完成以下步骤。

创建用户分配的托管标识

若要创建用于远程写入配置的用户托管标识，请参阅“管理用户分配的托管标识”。

请注意所创建的托管标识 clientId 的值。 此 ID 用于 Prometheus 远程写入配置。

将“监视指标发布者”角色分配给应用程序

在工作区的数据收集规则上，将 Monitoring Metrics Publisher 角色分配给托管标识。

1. 在 Azure Monitor 工作区概述页面上，选择“数据收集规则”链接。

   

2. 在数据收集规则页上，选择“访问控制 (IAM)”。

3. 选择“添加”和“添加角色分配”。

4. 搜索并选择“监视指标发布服务器”，然后选择“下一步”。

5. 选择“托管标识”。

6. 选择“选择成员”。

7. 在“托管实体”下拉列表中，用户分配的托管标识。

8. 选择要使用的用户分配的标识，然后单击“选择”。

9. 选择“查看 + 分配”以完成角色分配。

   

将托管标识分配给虚拟机或虚拟机规模集

1. 在 Azure 门户中，转到群集、虚拟机或虚拟机规模集的页面。

2. 选择“标识”。

3. 选择“用户分配”。

4. 选择 添加 。

5. 选择创建的用户分配的托管标识，然后选择“添加”。

   

为 Azure Kubernetes 服务分配托管标识

对于 Azure Kubernetes 服务 (AKS)，必须将托管标识分配给虚拟机规模集。

AKS 创建包含虚拟机规模集的资源组。 资源组名称的格式为 MC_<resource group name>_<AKS cluster name>_<region>。 对于资源组中的每个虚拟机规模集，请按照上一节（将托管标识分配给虚拟机或虚拟机规模集）中的步骤分配托管标识。

使用 Microsoft Entra ID 应用程序身份验证进行远程写入

Microsoft Entra ID 应用程序身份验证可在任何环境中使用。 如果 Prometheus 服务在 Azure 托管环境中运行，请考虑使用用户分配的托管身份验证。

若要使用 Microsoft Entra ID 应用程序配置对 Azure Monitor 工作区的远程写入，请创建一个 Entra 应用程序。 在 Azure Monitor 工作区的数据收集规则上，将 Monitoring Metrics Publisher 角色分配给 Entra 应用程序。

创建 Microsoft Entra ID 应用程序

若要使用门户创建 Microsoft Entra ID 应用程序，请参阅 创建可以访问资源的 Microsoft Entra ID 应用程序和服务主体。

创建 Entra 应用程序后，获取客户端 ID 并生成客户端密码。

1. 在应用程序列表中，复制已注册应用程序的“应用程序(客户端) ID”值。 此值是在 Prometheus 远程写入配置中用作 client_id 的值。

   

2. 选择“证书和机密”

3. 选择“客户端密码”，然后选择“新建客户端密码”以创建新的密码

4. 输入说明，设置到期日期，然后选择“添加”。

   

5. 安全地复制机密的值。 该值是在 Prometheus 远程写入配置中用作 client_secret 的值。 客户端密码值仅在创建时可见，并且在以后无法检索。 如果丢失，则必须创建新的客户端密码。

   

将“监视指标发布者”角色分配给应用程序

将工作区数据收集规则上的 Monitoring Metrics Publisher 角色分配给应用程序。

1. 在 Azure Monitor 工作区，概述页面上，选择“数据收集规则”链接。

   

2. 在数据收集规则概述页面中，选择“访问控制 (IAM)”。

3. 依次选择“添加”、“添加角色分配”。

   

4. 选择“监视指标发布者”角色，然后选择“下一步”。

   

5. 选择“用户、组或服务主体”，然后选择“选择成员”。 选择你创建的应用程序，然后选择“选择”。

   

6. 若要完成角色分配，请选择“查看 + 分配”。

使用 CLI 创建用户分配的标识和 Microsoft Entra ID 应用

创建用户分配的托管标识

使用以下步骤为远程写入创建用户分配的托管标识：

1. 创建用户分配的托管标识
2. 将工作区数据收集规则上的 Monitoring Metrics Publisher 角色分配给托管标识
3. 将托管标识分配给虚拟机或虚拟机规模集。

请注意创建的托管标识 clientId 的值。 此 ID 用于 Prometheus 远程写入配置。

1. 使用以下 CLI 命令创建用户分配的托管标识：

   az account set \
   --subscription <subscription id>
   
   az identity create \
   --name <identity name> \
   --resource-group <resource group name>
   

   下面是显示的输出示例：

   {
     "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
     "location": "chinanorth",
     "name": "PromRemoteWriteIdentity",
     "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
     "resourceGroup": "rg-001",
     "systemData": null,
     "tags": {},
     "tenantId": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. 将工作区数据收集规则上的 Monitoring Metrics Publisher 角色分配给托管标识。

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee <managed identity client ID> \
   --scope <data collection rule resource ID>
   

   例如，

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
   --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_chinanorth_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001
   

3. 将托管标识分配给虚拟机或虚拟机规模集。

   对于虚拟机：

   az vm identity assign \
   -g <resource group name> \
   -n <virtual machine name> \
   --identities <user assigned identity resource ID>
   

   对于虚拟机规模集：

   az vmss identity assign \
   -g <resource group name> \
   -n <VSS name> \
   --identities <user assigned identity resource ID>
   

   例如，对于虚拟机规模集：

   az vm identity assign \
   -g rg-prom-on-vm \
   -n win-vm-prom \
   --identities /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity
   

有关详细信息，请参阅 az identity create和 az role assignment create。

创建 Microsoft Entra ID 应用程序

若要使用 CLI 创建 Microsoft Entra ID 应用程序并分配 Monitoring Metrics Publisher 角色，请运行以下命令：

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

例如，

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_chinanorth_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

下面是显示的输出示例：

{
  "appId": "66667777-aaaa-8888-bbbb-9999cccc0000",
  "displayName": "PromRemoteWriteApp",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d"
}

输出包含 appId 和 password 值。 保存这些值以在 Prometheus 远程写入配置中用作 client_id 和 client_secret 的值。密码或客户端密码值仅在创建时可见，并且在以后无法检索。 如果丢失，则必须创建新的客户端密码。

有关详细信息，请参阅 az ad app create 和 az ad sp create-for-rbac。

如果在 Kubernetes 群集上运行 Prometheus Operator，请按照以下步骤将数据发送到 Azure Monitor 工作区。

1. 如果使用 Microsoft Entra ID 身份验证，请使用 base64 编码转换机密，然后将机密应用到 Kubernetes 群集。 将以下内容保存到 yaml 文件。 如果使用的是托管标识身份验证，则跳过此步骤。

apiVersion: v1
kind: Secret
metadata:
  name: remote-write-secret
  namespace: monitoring # Replace with namespace where Prometheus Operator is deployed. 
type: Opaque
data:
  password: <base64-encoded-secret>

应用机密。

# set context to your cluster 
az aks get-credentials -g <aks-rg-name> -n <aks-cluster-name> 

kubectl apply -f <remote-write-secret.yaml>

2. 需要在 Prometheus Operator 中更新远程写入节的值。 复制以下内容并将其保存为 yaml 文件。 有关 yaml 文件的值，请参阅以下部分。 若要更详细地了解 Prometheus Operator 中的 Azure Monitor 工作区远程写入规范，请参阅 Prometheus Operator 文档。

prometheus:
  prometheusSpec:
    remoteWrite:
    - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
      azureAd:
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
        cloud: 'AzurePublic'
        managedIdentity:
          clientId: "<clientId of the managed identity>"
        oauth:
          clientId: "<clientId of the Entra app>"
          clientSecret:
            name: remote-write-secret
            key: password
          tenantId: "<Azure subscription tenant Id>"

3. 使用 helm 通过上述 yaml 文件更新远程写入配置。

helm upgrade -f <YAML-FILENAME>.yml prometheus prometheus-community/kube-prometheus-stack --namespace <namespace where Prometheus Operator is deployed>

若要将数据发送到 Azure Monitor 工作区，请将以下部分添加到自托管 Prometheus 实例的配置文件 (prometheus.yml)。

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# AzureAD configuration.
# The Azure Cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
  azuread:
    cloud: 'AzureChina'
    managed_identity:
      client_id: "<client-id of the managed identity>"
    oauth:
      client_id: "<client-id from the Entra app>"
      client_secret: "<client secret from the Entra app>"
      tenant_id: "<Azure subscription tenant Id>"