ステップ1: AWSとNew Relicのアカウントをリンクする

これは、 NewRelicのAWSLambdaモニタリングを有効にするための最初のステップです。

AWS アカウントを New Relic にリンクさせると、New Relic に AWS アカウントのインベントリを作成したり、Lambda 関数の CloudWatch メトリクスを収集したりする権限が与えられます。AWSアカウントのリソースは、 エクスプローラー にエンティティとして表示され、設定情報が表示されます。

Lambdaサーバーレス関数モニタリングが機能するには、 APIポーリングまたはメトリックストリームの統合が必要です。このアカウントのリンクを開始する前に、統合の選択を設定するか、CLIにAPIポーリング統合をインストールさせることができます。

Resource: "*"
Action:
  "cloudwatch:GetMetricStatistics"
  "cloudwatch:ListMetrics"
  "cloudwatch:GetMetricData"
  "lambda:GetAccountSettings"
  "lambda:ListFunctions"
  "lambda:ListAliases"
  "lambda:ListTags"
  "lambda:ListEventSourceMappings"

また、この統合ステップでは、New Relic のライセンスキーを AWS Secrets Manager サービスに保存し、遠隔測定結果を New Relic アカウントに送信できるようにします。

推奨される方法： newrelic-lambda CLI

要件

当社のLambdaレイヤーを使ってサーバーレス監視を実現するには、以下のものが必要です。

• AWS CLI v2は、 aws configureを使用してインストールおよび構成されています。
• Python バージョン3.3以上がインストールされていること。
• newrelic-lambdaCLI 。 pip3 install newrelic-lambda-cliを実行してインストールできます。
• New Relic のアカウントです。admin ロールを持っているか、 Infrastructure manager アドオンロール を持っている必要があります。
• A ユーザーキー.
• IAMリソース、マネージドシークレット、Lambdasを作成するパーミッションを持つAWSアカウント。また、CloudFormationスタックやS3バケットを作成するための権限も必要です。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CLIAccessPolicy",
            "Action": [
                "cloudformation:CreateChangeSet",
                "cloudformation:CreateStack",
                "cloudformation:DescribeStacks",
                "cloudformation:ExecuteChangeSets",
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:GetRole",
                "iam:PassRole",
                "lambda:AddPermission",
                "lambda:CreateFunction",
                "lambda:GetFunction",
                "logs:DeleteSubscriptionFilter",
                "logs:DescribeSubscriptionFilters",
                "logs:PutSubscriptionFilter",
                "s3:GetObject",
                "serverlessrepo:CreateCloudFormationChangeSet",
                "secretsmanager:CreateSecret"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Sid": "NRLogAccessPolicy",
            "Effect": "Allow",
            "Action": [
                "serverlessrepo:CreateCloudFormationTemplate",
                "serverlessrepo:GetCloudFormationTemplate"
            ],
            "Resource": "arn:aws:serverlessrepo:us-east-1:463657938898:applications/NewRelic-log-ingestion"
        }
    ]
}

CLIとの統合

Lambdaサーバーレス関数のモニタリングにはAPIポーリングまたはメトリックストリームの統合が必要なため、統合が検出されない場合、CLIはAPIポーリングを自動的にインストールします。メトリックストリームが必要な場合は、CLIを実行する前に今すぐインストールしてください。

要件 がすべて揃ったら、 ユーザーキー を使って以下のコマンドを実行し、AWS アカウントと New Relic アカウントをリンクさせます（ ハイライトされた の値はすべて置き換えてください）。

export AWS_DEFAULT_REGION=MY_REGION # us-west-2, for example

export AWS_PROFILE=MY_PROFILE

newrelic-lambda integrations install --nr-account-id YOUR_NR_ACCOUNT_ID \
    --nr-api-key YOUR_NEW_RELIC_USER_KEY

newrelic-lambda CLIは、セキュリティを強化するために、 AWSSecretManagerのシークレットとしてNewRelicライセンスキーを追加します。

代替方法

トラブルシューティング

AWSのシークレットマネージャーが使えない

組織がAWSSecretsManagerの使用を許可していない場合、New RelicLambdaExtensionはNEW_RELIC_LICENSE_KEY環境変数を受け入れます。 newrelic-lambda integrations installコマンドから--disable-license-key-secretフラグを追加します。次に、この環境変数をLambda関数構成のNewRelicライセンスキーに設定します。

複数のAWSリージョンとアカウント

newrelic-lambda CLIは、 --aws-regionパラメーターを使用してリージョンごとに1回実行する必要があります。同じリンクされたアカウント名を使用すると、ツールはアカウントリンクがすでに作成されていることを検出します。ライセンスキーシークレットは、各リージョンで作成する必要があります。

同様に、複数のAWSアカウントをNewRelicアカウントにリンクできます。各アカウントに異なるリンクされたアカウント名を付けます。 CLIツールの--aws-profile引数は、名前付きプロファイルを選択します。このツールは、AWSCLIと同じ設定を使用します。

ライセンスキーの取得に失敗しました AccessDeniedException

ラムダコードには、AWSSecretsManagerを読み取る権限を持つ実行ロールが必要です。次のようなログが見つかった場合は、実行ロールのポリシーに適切な権限を追加してください。この例では、 template.yamlファイルをチェックして、この権限を付与する簡単な方法を確認してください。

Failed to retrieve license key AccessDeniedException: User: <ARN> is not authorized to perform: secretsmanager:GetSecretValue on resource: <ARN>