Ops Agent 的虚拟机扩展程序管理器政策概览

借助虚拟机扩展程序管理器政策，您可以在整个 Compute Engine 舰队中自动部署、配置和管理 Ops Agent 的版本。您可以全局应用政策，也可以针对特定可用区和带标签的虚拟机子集应用政策，还可以发布自定义配置，并使代理保持最新状态或固定到特定版本。您还可以在Google Cloud 资源层次结构的不同级别定义虚拟机扩展程序政策：项目，以及文件夹或组织（预览版）。

Ops Agent 的扩展程序政策简介

借助虚拟机扩展程序管理器，您可以创建政策，声明要在虚拟机上安装哪些扩展程序。Ops Agent 是受支持的扩展程序之一。创建扩展程序政策时，您需要描述如何在符合政策条件的任何虚拟机上安装和维护 Ops Agent 或其他受支持的扩展程序。

您可以使用 Ops Agent 的扩展程序政策来执行以下任务：

  • 整组安装：在项目、文件夹和组织级层安装 Ops Agent：

    • 一个或多个可用区中的所有虚拟机。
    • 全球范围内的所有虚拟机。
    • 可用区中带有标签的虚拟机子集。
    • 跨可用区的一组带标签的虚拟机。

  • 版本控制：

    • 将 Ops Agent 更新到最新版本。
    • 将 Ops Agent 版本固定到特定版本。

  • 配置管理：将自定义配置应用和更新到由政策管理的所有虚拟机上的 Ops Agent。

如果 Ops Agent 是通过扩展程序政策安装的，则虚拟机扩展程序管理器支持 Ops Agent 2.58.0 或更高版本。 虚拟机扩展程序管理器无法管理早期版本的 Ops Agent、通过其他方式安装的 Ops Agent 实例，或旧版 Monitoring 代理或 Logging 代理。

资源层次结构范围

除了创建项目级政策之外，您还可以在组织和文件夹级层（预览版中提供）创建政策，以管理多个项目中的扩展程序。下表比较了可用的资源层次结构范围：

范围 定义级别 政策评估
项目级政策 您需要在 Google Cloud 项目级层定义政策。 虚拟机扩展程序管理器会针对单个项目中的虚拟机评估政策。
文件夹级政策（预览版） 您在 Google Cloud 文件夹级层定义政策。 虚拟机扩展程序管理器会根据该文件夹中的所有后代项目和虚拟机评估政策。
组织级政策（预览版） 您可以在 Google Cloud 组织级层定义政策。 虚拟机扩展程序管理器会根据整个组织中的所有下级项目和虚拟机评估该政策。

在组织或文件夹级层定义扩展程序政策可集中管理整个舰队，让您无需干预单个项目即可大规模强制执行软件配置。组织级和文件夹级政策支持以下主要应用场景：

  • 在整个舰队中强制执行政策：在整个组织或特定文件夹中建立强制性基准配置，例如部署 Ops Agent。
  • 组织安全基准：在层次结构内的所有项目中强制执行安全扩展程序和监控工具，以保持合规性。
  • 标准化环境：为生产或业务单元工作负载维护一致的软件环境，而无需在单个项目中进行手动干预。

可用区级和全球级范围

在组织、文件夹或项目中，您可以将虚拟机扩展程序政策配置为可用区级或全球级：

  • 可用区级政策：您可以在特定可用区中定义和管理政策。可用区级政策仅影响指定可用区中的虚拟机。如需了解可用区级扩展程序政策的一般信息，请参阅可用区级虚拟机扩展程序政策。
  • 全局政策：您在组织、文件夹或项目级层定义一次政策，虚拟机扩展程序管理器会根据您的发布计划（FAST 或 SLOW）自动将其复制到所有目标可用区中的相应可用区级政策。根据您选择的发布计划，缓慢发布可能需要几天时间才能在所有可用区中完成。如需了解全局扩展程序政策的一般信息，请参阅全局虚拟机扩展程序政策。

接口支持

您可以使用 gcloud CLI、Compute Engine API 或 Google Cloud 控制台与项目级政策（可用区级和全球级）进行交互。只有 gcloud CLI 和 Compute Engine API 支持文件夹级和组织级政策（处于预览版阶段）。

下表总结了支持的接口：

  项目
 文件夹
（预览版）		 组织
（预览版）

Zonal
  		gcloud
Compute Engine API
Google Cloud 控制台 		gcloud
Compute Engine API
  		gcloud
Compute Engine API
 
 
全球
  		gcloud
Compute Engine API
Google Cloud 控制台 		gcloud
Compute Engine API
  		gcloud
Compute Engine API
 

Ops Agent 扩展程序政策的文档不涵盖使用 Compute Engine API 的内容。如需了解如何使用 Compute Engine API 创建和管理扩展程序政策，请参阅虚拟机扩展程序管理器文档。

通过只读 API 实现可见性和审核

虚拟机扩展程序管理器提供全局和可用区级只读 API，以便您检查已注册的扩展程序及其在虚拟机实例上的运行时状态。

您可以使用只读 Compute Engine API 和相应的 Google Cloud CLI 命令来执行以下审核和问题排查任务：

  • 验证虚拟机上的有效扩展程序状态。检索虚拟机实例上每个扩展程序的运行时强制执行状态 (enforcementState) 和健康状态 (healthStatus)。当多个可用区级或全球级扩展政策定位到同一实例时，您可以检查 policyId 和 version 字段，以审核优先级解析后的最终有效配置。
  • 排查意外或失败的扩展程序。列出特定实例上的所有活跃扩展程序，以调查未经授权的扩展程序，或在扩展程序安装失败或崩溃时检查诊断出错提示（enforcementMsg 和 healthMsg）。
  • 在部署前审核扩展程序支持级别。在您的项目中发现所有可用的全局和可用区级虚拟机扩展程序，并在整个舰队中发布扩展程序政策之前验证其稳定性合规性（PREVIEW 或 GA）。

如需了解详情，请参阅查看虚拟机上扩展程序的状态。

支持的操作系统

在尝试使用虚拟机扩展程序管理器政策管理 Ops Agent 之前，请验证您的目标操作系统是否与 Ops Agent 和虚拟机扩展程序管理器兼容。

虚拟机扩展程序管理器支持 Ops Agent 支持的所有操作系统，但 SUSE Linux Enterprise Server (SLES) 和 Ubuntu 除外。 如需详细了解 Ops Agent 支持的操作系统，请参阅操作系统。

如果您的操作系统同时受 Ops Agent 和虚拟机扩展程序管理器支持，则您可以使用扩展程序政策来管理 Ops Agent。

配额

如需了解您可以在 Google Cloud 项目中创建的扩展程序政策数量，请参阅Quota。

价格

如需了解与使用虚拟机扩展程序管理器相关的费用，请参阅价格。

如果您安装 Ops Agent，则可能需要为代理发送到您的 Google Cloud 项目的指标、日志或跟踪记录付费。如需了解价格信息，请参阅 Google Cloud Observability 价格。

后续步骤