1단계: AWS 계정과 New Relic 계정 연결

이것은 New Relic의 AWS Lambda 모니터링을 활성화 하는 첫 번째 단계입니다.

AWS 계정을 New Relic에 연결하면 AWS 계정의 인벤토리를 생성하고 Lambda 함수에 대한 CloudWatch 지표를 수집할 수 있는 권한을 New Relic에 부여하는 것입니다. 그러면 AWS 계정의 리소스가 구성 정보로 장식된 탐색기 에 엔터티로 표시됩니다.

Lambda 서버리스 기능 모니터링이 작동하려면 API 폴링 또는 Metric Streams 통합이 필요합니다. 이 계정 연결을 시작하기 전에 통합 선택 항목을 설정하거나 CLI가 API 폴링 통합을 설치하도록 할 수 있습니다.

Resource: "*"
Action:
  "cloudwatch:GetMetricStatistics"
  "cloudwatch:ListMetrics"
  "cloudwatch:GetMetricData"
  "lambda:GetAccountSettings"
  "lambda:ListFunctions"
  "lambda:ListAliases"
  "lambda:ListTags"
  "lambda:ListEventSourceMappings"

이 통합 단계에서는 New Relic 라이선스 키도 AWS Secrets Manager 서비스에 저장하여 원격 분석을 New Relic 계정으로 보낼 수 있습니다.

권장 방법: newrelic-lambda CLI

요구 사항

Lambda 계층을 사용하여 서버리스 모니터링을 활성화하려면 다음이 필요합니다.

• AWS CLI v2 는 aws configure 을 사용하여 설치 및 구성되었습니다.
• Python 버전 3.3 이상이 설치되어 있습니다.
• newrelic-lambda CLI , pip3 install newrelic-lambda-cli 를 실행하여 설치할 수 있습니다.
• New Relic 계정. 관리자 역할이 있거나 인프라 관리자 추가 기능 역할이 있어야 합니다.
• 사용자 키 .
• IAM 리소스, 관리형 암호 및 Lambda를 생성할 수 있는 권한이 있는 AWS 계정. CloudFormation 스택 및 S3 버킷을 생성하기 위한 권한도 필요합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CLIAccessPolicy",
            "Action": [
                "cloudformation:CreateChangeSet",
                "cloudformation:CreateStack",
                "cloudformation:DescribeStacks",
                "cloudformation:ExecuteChangeSets",
                "iam:AttachRolePolicy",
                "iam:CreateRole",
                "iam:GetRole",
                "iam:PassRole",
                "lambda:AddPermission",
                "lambda:CreateFunction",
                "lambda:GetFunction",
                "logs:DeleteSubscriptionFilter",
                "logs:DescribeSubscriptionFilters",
                "logs:PutSubscriptionFilter",
                "s3:GetObject",
                "serverlessrepo:CreateCloudFormationChangeSet",
                "secretsmanager:CreateSecret"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Sid": "NRLogAccessPolicy",
            "Effect": "Allow",
            "Action": [
                "serverlessrepo:CreateCloudFormationTemplate",
                "serverlessrepo:GetCloudFormationTemplate"
            ],
            "Resource": "arn:aws:serverlessrepo:us-east-1:463657938898:applications/NewRelic-log-ingestion"
        }
    ]
}

CLI와 통합

Lambda 서버리스 기능 모니터링에는 API 폴링 또는 Metric Streams 통합이 필요하므로 통합이 표시되지 않으면 CLI가 API 폴링을 자동으로 설치합니다. Metric Streams를 선호하는 경우 CLI를 실행하기 전에 지금 설치하십시오.

모든 요구 사항 이 충족되면 사용자 키 를 사용하여 다음 명령을 실행하여 AWS 계정을 New Relic 계정과 연결합니다( 강조 표시된 값 모두 교체).

export AWS_DEFAULT_REGION=MY_REGION # us-west-2, for example

export AWS_PROFILE=MY_PROFILE

newrelic-lambda integrations install --nr-account-id YOUR_NR_ACCOUNT_ID \
    --nr-api-key YOUR_NEW_RELIC_USER_KEY

newrelic-lambda CLI는 보안 강화를 위해 AWS Secret Manager 의 보안 비밀로 New Relic 라이선스 키를 추가합니다.

대체 방법

문제점 해결

AWS Secrets Manager를 사용할 수 없음

조직에서 AWS Secrets Manager 사용을 허용하지 않는 경우 New Relic Lambda Extension은 NEW_RELIC_LICENSE_KEY 환경 변수를 수락합니다. newrelic-lambda integrations install 명령에서 --disable-license-key-secret 플래그를 추가합니다. 그런 다음 이 환경 변수를 Lambda 함수 구성의 New Relic 라이선스 키로 설정합니다.

여러 AWS 리전 및 계정

newrelic-lambda CLI는 --aws-region 매개변수를 사용하여 리전당 한 번 실행해야 합니다. 동일한 연결된 계정 이름을 사용하면 도구가 계정 연결이 이미 생성되었음을 감지합니다. 라이선스 키 암호는 각 지역에서 생성해야 합니다.

마찬가지로 여러 AWS 계정을 New Relic 계정에 연결할 수 있습니다. 각 계정에 서로 다른 연결 계정 이름을 지정합니다. CLI 도구에 대한 --aws-profile 인수는 명명된 프로필을 선택합니다. 이 도구는 AWS CLI와 동일한 구성을 사용합니다.

라이센스 키 검색 실패 AccessDeniedException

람다 코드에는 AWS Secrets Manager를 읽을 수 있는 권한이 있는 실행 역할이 필요합니다. 다음과 같은 로그를 찾으면 실행 역할의 정책에 적절한 권한을 추가하십시오. 이 예에서 이 권한을 부여하는 쉬운 방법을 보려면 template.yaml 파일을 확인하세요.

Failed to retrieve license key AccessDeniedException: User: <ARN> is not authorized to perform: secretsmanager:GetSecretValue on resource: <ARN>