将 Prometheus 指标从虚拟机、规模集或 Kubernetes 群集发送到 Azure Monitor 工作区

使用系统分配的托管标识身份验证进行远程写入

在 Azure VM/VMSS 或 AKS 的情况下，可以使用系统分配的托管标识身份验证。 如果 Prometheus 服务在非 Azure 环境中运行，请使用 Microsoft Entra 应用程序身份验证。

系统分配的托管标识在启用时会自动为 Azure 资源设置。 如果 Prometheus 服务 在 AKS 群集中运行，则需要为群集的基础 VMSS 使用系统分配的托管标识。

按照以下步骤使用系统分配的托管身份用于 Prometheus 远程写入。

将“监视指标发布者”角色分配给应用程序

在工作区的数据收集规则上，为托管标识分配“监视指标发布者”角色：

1. 在 Azure Monitor 工作区，概述页面上，选择“数据收集规则”链接。

   

2. 在数据收集规则的页面中，选择“访问控制 (IAM)”。

3. 选择添加>添加角色分配。

   

4. 搜索并选择“监视指标发布服务器”，然后选择“下一步”。

   

5. 选择“托管标识”。

6. 选择“选择成员”。

7. 在 托管标识 下拉列表中，选择 系统分配的托管标识，然后选择托管 AKS 群集的 VM/VMSS 或 VMSS。

使用用户分配的托管标识身份验证进行远程写入

可在任何 Azure 托管环境中使用用户分配的托管标识身份验证。 如果 Prometheus 服务在非 Azure 环境中运行，则可以使用 Microsoft Entra 应用程序身份验证。

若要为远程写入到 Azure Monitor 工作区配置用户分配的托管标识，请完成以下步骤。

创建用户分配的托管标识

若要创建用于远程写入配置的用户托管标识，请参阅管理用户分配的托管标识。

请记住所创建的托管标识的 clientId 的值。 此 ID 用于 Prometheus 远程写入配置。

将“监视指标发布者”角色分配给应用程序

在工作区的数据收集规则上，为托管标识分配“监视指标发布者”角色：

1. 在 Azure Monitor 工作区，概述页面上，选择“数据收集规则”链接。

   

2. 在数据收集规则的页面中，选择“访问控制 (IAM)”。

3. 选择添加>添加角色分配。

   

4. 搜索并选择“监视指标发布服务器”，然后选择“下一步”。

   

5. 选择“托管标识”。

6. 选择“选择成员”。

7. 在“托管标识”下拉列表中，选择“用户分配的托管标识”。

8. 选择要使用的用户分配的标识，然后选择“选择”。

   

9. 选择“查看 + 分配”以完成角色分配。

将托管标识分配给虚拟机或虚拟机规模集

1. 在 Azure 门户中，转到群集、虚拟机或虚拟机规模集的页面。

2. 选择“身份”。

3. 选择“用户分配”。

4. 选择 并添加。

5. 选择创建的用户分配的托管标识，然后选择“添加”。

   

为 Azure Kubernetes 服务分配托管标识

对于 Azure Kubernetes 服务，必须将托管标识分配给虚拟机规模集。

AKS 将创建包含虚拟机规模集的资源组。 资源组名称的格式为 MC_<resource group name>_<AKS cluster name>_<region>。

对于资源组中的每个虚拟机规模集，请按照上一节（将托管标识分配给虚拟机或虚拟机规模集）中的步骤分配托管标识。

使用 Microsoft Entra 应用程序身份验证进行远程写入

Microsoft Entra ID 应用程序身份验证可在任何环境中使用。 如果 Prometheus 服务在 Azure 托管环境中运行，请考虑使用用户分配的托管身份验证。

若要使用 Microsoft Entra 应用程序配置对 Azure Monitor 工作区的远程写入，请创建一个 Microsoft Entra 应用程序。 在 Azure Monitor 工作区的数据收集规则上，将“监视指标发布者”角色分配给 Microsoft Entra 应用程序。

创建 Microsoft Entra ID 应用程序

若要使用门户创建 Microsoft Entra ID 应用程序，请参阅使用 Microsoft Entra ID 注册应用程序并创建服务主体。

创建 Microsoft Entra 应用程序后，获取客户端 ID 并生成客户端密码：

1. 在应用程序列表中，复制已注册应用程序的“客户端 ID”值。 此值是在 Prometheus 远程写入配置中用作 client_id 的值。

   

2. 选择“证书和机密”。

3. 选择“客户端密码”，然后选择“新建客户端密码”以创建密码。

4. 输入说明，设置到期日期，然后选择“添加”。

   

5. 安全地复制机密值。 该值是在 Prometheus 远程写入配置中用作 client_secret 的值。 客户端密码值仅在创建时可见，并且以后无法检索该值。 如果丢失，则必须创建一个新密码。

   

将“监视指标发布者”角色分配给应用程序

将工作区数据收集规则的“监控指标发布者”角色分配给应用程序：

1. 在 Azure Monitor 工作区，概述页面上，选择“数据收集规则”链接。

   

2. 在数据收集规则的页面中，选择“访问控制 (IAM)”。

3. 选择“添加”，然后选择“添加角色分配”。

   

4. 选择监控指标发布者角色，然后选择下一步。

   

5. 选择“用户、组或服务主体”，然后选择“选择成员”。 选择你创建的应用程序，然后点击“选择”按钮。

6. 若要完成角色分配，请选择“查看 + 分配”。

   

通过 Azure CLI 创建用户分配的标识和 Microsoft Entra ID 应用

创建用户分配的托管标识

按照以下步骤为远程写入创建一个用户分配的托管身份。

请注意所创建的托管标识 clientId 的值。 此 ID 用于 Prometheus 远程写入配置。

1. 使用以下 Azure CLI 命令创建用户分配的托管标识：

   az account set \
   --subscription <subscription id>
   
   az identity create \
   --name <identity name> \
   --resource-group <resource group name>
   

   以下代码是显示输出的示例：

   {
     "clientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
     "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity",
     "location": "chinanorth2",
     "name": "PromRemoteWriteIdentity",
     "principalId": "aaaaaaaa-bbbb-cccc-1111-222222222222",
     "resourceGroup": "rg-001",
     "systemData": null,
     "tags": {},
     "tenantId": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
     "type": "Microsoft.ManagedIdentity/userAssignedIdentities"
   }
   

2. 为托管标识分配针对工作区数据收集规则的“监视指标发布者”角色：

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee <managed identity client ID> \
   --scope <data collection rule resource ID>
   

   例如：

   az role assignment create \
   --role "Monitoring Metrics Publisher" \
   --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 \
   --scope /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_chinanorth_managed/providers/Microsoft.Insights/dataCollectionRules/amw-001
   

3. 将托管标识分配给虚拟机或虚拟机规模集。

   下面是虚拟机的命令：

   az vm identity assign \
   -g <resource group name> \
   -n <virtual machine name> \
   --identities <user assigned identity resource ID>
   

   下面是用于虚拟机规模集的命令：

   az vmss identity assign \
   -g <resource group name> \
   -n <scale set name> \
   --identities <user assigned identity resource ID>
   

   下面的示例显示了用于虚拟机规模集的命令：

   az vm identity assign \
   -g rg-prom-on-vm \
   -n win-vm-prom \
   --identities /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourcegroups/rg-001/providers/Microsoft.ManagedIdentity/userAssignedIdentities/PromRemoteWriteIdentity
   

有关详细信息，请参阅 az identity create和 az role assignment create。

创建 Microsoft Entra 应用程序

若要使用 Azure CLI 创建 Microsoft Entra 应用程序，并分配监视指标发布服务器角色，请运行以下命令：

az ad sp create-for-rbac --name <application name> \
--role "Monitoring Metrics Publisher" \
--scopes <azure monitor workspace data collection rule Id>

例如：

az ad sp create-for-rbac \
--name PromRemoteWriteApp \
--role "Monitoring Metrics Publisher" \
--scopes /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/MA_amw-001_chinanorth_managed/providers/Microsoft.nsights/dataCollectionRules/amw-001

以下代码是显示输出的示例：

{
  "appId": "66667777-aaaa-8888-bbbb-9999cccc0000",
  "displayName": "PromRemoteWriteApp",
  "password": "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2",
  "tenant": "ffff5f5f-aa6a-bb7b-cc8c-dddddd9d9d9d"
}

输出包含 appId 和 password 值。 保存这些值以在 Prometheus 远程写入配置中用作 client_id 和 client_secret 的值。 密码或客户端密码值仅在创建时可见，并且以后无法检索该值。 如果丢失，则必须创建一个新密码。

有关详细信息，请参阅 az ad app create 和 az ad sp create-for-rbac。

若要将数据发送到 Azure Monitor 工作区，请将以下部分添加到自托管 Prometheus 实例的配置文件（prometheus.yml）：

remote_write:   
  - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
# Microsoft Entra ID configuration.
# The Azure cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
    azuread:
      cloud: 'AzurePublic'
      managed_identity:
        client_id: "<client-id of the managed identity>"
      oauth:
        client_id: "<client-id from the Entra app>"
        client_secret: "<client secret from the Entra app>"
        tenant_id: "<Azure subscription tenant Id>"

Prometheus 运算符

如果使用运行 Prometheus Operator 的 Kubernetes 群集，请使用以下步骤将数据发送到 Azure Monitor 工作区：

1. 如果使用 Microsoft Entra 身份验证，请使用 Base64 编码转换机密，然后将机密应用到 Kubernetes 群集。 将以下代码保存到 YAML 文件。 如果使用的是托管标识身份验证，则跳过此步骤。

   apiVersion: v1
   kind: Secret
   metadata:
     name: remote-write-secret
     namespace: monitoring # Replace with the namespace where Prometheus Operator is deployed.
   type: Opaque
   data:
     password: <base64-encoded-secret>
   
   

   应用秘诀：

   # Set context to your cluster 
   az aks get-credentials -g <aks-rg-name> -n <aks-cluster-name> 
   
   kubectl apply -f <remote-write-secret.yaml>
   

2. 在 Prometheus Operator 中更新远程写入节的值。 复制以下 YAML 并将其保存为文件。 有关 Prometheus Operator 中的 Azure Monitor 工作区远程写入规范的详细信息，请参阅 Prometheus Operator 文档。

   prometheus:
     prometheusSpec:
       remoteWrite:
       - url: "<metrics ingestion endpoint for your Azure Monitor workspace>"
         azureAd:
   # Microsoft Entra ID configuration.
   # The Azure cloud. Options are 'AzurePublic', 'AzureChina', or 'AzureGovernment'.
           cloud: 'AzurePublic'
           managedIdentity:
             clientId: "<clientId of the managed identity>"
           oauth:
             clientId: "<clientId of the Entra app>"
             clientSecret:
               name: remote-write-secret
               key: password
             tenantId: "<Azure subscription tenant Id>"
   

3. 使用 Helm，通过上述 YAML 文件更新你的远程写入配置：

   helm upgrade -f <YAML-FILENAME>.yml prometheus prometheus-community/kube-prometheus-stack --namespace <namespace where Prometheus Operator is deployed>