分布式追踪

流程

1. 进入 Operators → OperatorHub 并搜索 Tempo Operator。

2. 选择 由红帽提供的 Tempo Operator。

   重要

   以下选择是此 Operator 的默认预设置：

   • Update channel → stable
   • Installation mode → All namespaces on the cluster
   • Installed Namespace → openshift-tempo-operator
   • Update approval → Automatic
3. 选择 Enable Operator recommended cluster monitoring on this Namespace 复选框。
4. 选择 Install → Install → View Operator。

流程

1. 运行以下命令，为 Tempo Operator 创建项目：

   $ oc apply -f - << EOF
   apiVersion: project.openshift.io/v1
   kind: Project
   metadata:
     labels:
       kubernetes.io/metadata.name: openshift-tempo-operator
       openshift.io/cluster-monitoring: "true"
     name: openshift-tempo-operator
   EOF

   Copy to Clipboard Toggle word wrap

2. 运行以下命令来创建 Operator 组：

   $ oc apply -f - << EOF
   apiVersion: operators.coreos.com/v1
   kind: OperatorGroup
   metadata:
     name: openshift-tempo-operator
     namespace: openshift-tempo-operator
   spec:
     upgradeStrategy: Default
   EOF

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来创建订阅：

   $ oc apply -f - << EOF
   apiVersion: operators.coreos.com/v1alpha1
   kind: Subscription
   metadata:
     name: tempo-product
     namespace: openshift-tempo-operator
   spec:
     channel: stable
     installPlanApproval: Automatic
     name: tempo-product
     source: redhat-operators
     sourceNamespace: openshift-marketplace
   EOF

   Copy to Clipboard Toggle word wrap

流程

1. 创建 AWS S3 存储桶。

2. 为 AWS Identity and Access Management (AWS IAM) 策略创建以下 trust.json 文件，用于设置 AWS IAM 角色之间的信任关系，您要在下一步中创建的，以及 TempoStack 或 TempoMonolithic 实例的服务帐户：

   trust.json

   {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Federated": "arn:aws:iam::<aws_account_id>:oidc-provider/<oidc_provider>" 

   1

   
           },
           "Action": "sts:AssumeRoleWithWebIdentity",
           "Condition": {
             "StringEquals": {
               "<oidc_provider>:sub": [
                 "system:serviceaccount:<openshift_project_for_tempo>:tempo-<tempo_custom_resource_name>" 

   2

   
                 "system:serviceaccount:<openshift_project_for_tempo>:tempo-<tempo_custom_resource_name>-query-frontend"
              ]
            }
          }
        }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   在 OpenShift Container Platform 上配置的 OpenID Connect (OIDC) 供应商。

   2

   您要在其中创建 TempoStack 或 TempoMonolithic 实例的命名空间。将 <tempo_custom_resource_name> 替换为您在 TempoStack 或 TempoMonolithic 自定义资源中定义的 metadata 名称。

   提示

   您还可以运行以下命令来获取 OIDC 供应商的值：

   $ oc get authentication cluster -o json | jq -r '.spec.serviceAccountIssuer' | sed 's~http[s]*://~~g'

   Copy to Clipboard Toggle word wrap

3. 通过附加创建的 trust.json 策略文件来创建 AWS IAM 角色。您可以运行以下命令来完成此操作：

   $ aws iam create-role \
         --role-name "tempo-s3-access" \
         --assume-role-policy-document "file:///tmp/trust.json" \
         --query Role.Arn \
         --output text

   Copy to Clipboard Toggle word wrap

4. 将 AWS IAM 策略附加到创建的 AWS IAM 角色。您可以运行以下命令来完成此操作：

   $ aws iam attach-role-policy \
         --role-name "tempo-s3-access" \
         --policy-arn "arn:aws:iam::aws:policy/AmazonS3FullAccess"

   Copy to Clipboard Toggle word wrap

5. 如果不使用 CCO，请跳过这一步。如果使用 CCO，请为 Tempo Operator 配置云供应商环境。您可以运行以下命令来完成此操作：

   $ oc patch subscription <tempo_operator_sub> \ 

   1

   
             -n <tempo_operator_namespace> \ 

   2

   
             --type='merge' -p '{"spec": {"config": {"env": [{"name": "ROLEARN", "value": "'"<role_arn>"'"}]}}}' 

   3

   Copy to Clipboard Toggle word wrap

   1

   Tempo Operator 订阅的名称。

   2

   Tempo Operator 的命名空间。

   3

   AWS STS 需要将 ROLEARN 环境变量添加到 Tempo Operator 子系统中。作为 <role_arn> 值，添加在第 3 步中创建的 AWS IAM 角色的 Amazon Resource Name (ARN)。

6. 在 OpenShift Container Platform 中，使用键创建一个对象存储 secret，如下所示：

   apiVersion: v1
   kind: Secret
   metadata:
     name: <secret_name>
   stringData:
     bucket: <s3_bucket_name>
     region: <s3_region>
     role_arn: <s3_role_arn>
   type: Opaque

   Copy to Clipboard Toggle word wrap

7. 创建对象存储 secret 时，按如下所示 Distributed Tracing Platform 实例的相关自定义资源：

   TempoStack 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       secret: 

   1

   
         name: <secret_name>
         type: s3
         credentialMode: token-cco 

   2

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

   2

   如果不使用 CCO，请省略这一行。如果使用 CCO，请使用 token-cco 值添加此参数。

   TempoMonolithic 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoMonolithic
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       traces:
         backend: s3
         s3:
           secret: <secret_name> 

   1

   
           credentialMode: token-cco 

   2

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

   2

   如果不使用 CCO，请省略这一行。如果使用 CCO，请使用 token-cco 值添加此参数。

流程

1. 运行以下命令来创建 Azure 管理的身份：

   $ az identity create \
     --name <identity_name> \ 

   1

   
     --resource-group <resource_group> \ 

   2

   
     --location <region> \ 

   3

   
     --subscription <subscription_id> 

   4

   Copy to Clipboard Toggle word wrap

   1

   为受管身份选择的名称。

   2

   您要创建身份的 Azure 资源组。

   3

   Azure 区域，它必须与资源组相同。

   4

   Azure 订阅 ID。

2. 为 OpenShift Container Platform 服务帐户创建一个联邦身份凭证，供 Distributed Tracing Platform 的所有组件使用，但 Query Frontend 除外。您可以运行以下命令来完成此操作：

   $ az identity federated-credential create \ 

   1

   
     --name <credential_name> \ 

   2

   
     --identity-name <identity_name> \
     --resource-group <resource_group> \
     --issuer <oidc_provider> \ 

   3

   
     --subject <tempo_service_account_subject> \ 

   4

   
     --audiences <audience> 

   5

   Copy to Clipboard Toggle word wrap

   1

   联邦身份凭证允许 OpenShift Container Platform 服务帐户作为 Azure 管理的身份进行身份验证，而无需存储 secret 或使用 Azure 服务主体身份。

   2

   为联邦凭证选择的名称。

   3

   集群的 OpenID Connect (OIDC) 供应商的 URL。

   4

   集群的服务帐户主题，格式为：system:serviceaccount:<namespace>:tempo-<tempostack_instance_name>。

   5

   预期的受众，用于验证为联邦身份凭证发布的令牌。这通常设置为 api://AzureADTokenExchange。

   提示

   您可以运行以下命令来获取集群的 OpenID Connect (OIDC) 签发者的 URL：

   $ oc get authentication cluster -o json | jq -r .spec.serviceAccountIssuer

   Copy to Clipboard Toggle word wrap

3. 为 OpenShift Container Platform 服务帐户创建一个联邦身份凭证，供 Distributed Tracing Platform 的 Query Frontend 组件使用。您可以运行以下命令来完成此操作：

   $ az identity federated-credential create \ 

   1

   
     --name <credential_name>-frontend \ 

   2

   
     --identity-name <identity_name> \
     --resource-group <resource_group> \
     --issuer <cluster_issuer> \
     --subject <tempo_service_account_query_frontend_subject> \ 

   3

   
     --audiences <audience> | jq

   Copy to Clipboard Toggle word wrap

   1

   联邦身份凭证允许 OpenShift Container Platform 服务帐户作为 Azure 管理的身份进行身份验证，而无需存储 secret 或使用 Azure 服务主体身份。

   2

   为前端联邦的身份凭证选择的名称。

   3

   集群的服务帐户主题，格式为：system:serviceaccount:<namespace>:tempo-<tempostack_instance_name>。

4. 将 Storage Blob Data Contributor 角色分配给创建的 Azure 管理身份的 Azure 服务主体身份。您可以运行以下命令来完成此操作：

   $ az role assignment create \
     --assignee <assignee_name> \ 

   1

   
     --role "Storage Blob Data Contributor" \
     --scope "/subscriptions/<subscription_id>

   Copy to Clipboard Toggle word wrap

   1

   您在第 1 步中创建的 Azure 管理身份的 Azure 服务主体身份。

   提示

   您可以运行以下命令来获取 <assignee_name> 值：

   $ az ad sp list --all --filter "servicePrincipalType eq 'ManagedIdentity'" | jq -r --arg idName <identity_name> '.[] | select(.displayName == $idName) | .appId'`

   Copy to Clipboard Toggle word wrap

5. 获取您在第 1 步中创建的 Azure 管理身份的客户端 ID：

   CLIENT_ID=$(az identity show \
     --name <identity_name> \ 

   1

   
     --resource-group <resource_group> \ 

   2

   
     --query clientId \
     -o tsv)

   Copy to Clipboard Toggle word wrap

   1

   复制并粘贴第 1 步中的 <identity_name> 值。

   2

   复制并粘贴第 1 步中的 <resource_group> 值。

6. 为 Azure 工作负载身份联邦 (WIF) 创建 OpenShift Container Platform secret。您可以运行以下命令来完成此操作：

   $ oc create -n <tempo_namespace> secret generic azure-secret \
     --from-literal=container=<azure_storage_azure_container> \ 

   1

   
     --from-literal=account_name=<azure_storage_azure_accountname> \ 

   2

   
     --from-literal=client_id=<client_id> \ 

   3

   
     --from-literal=audience=<audience> \ 

   4

   
     --from-literal=tenant_id=<tenant_id> 

   5

   Copy to Clipboard Toggle word wrap

   1

   Azure Blob Storage 容器的名称。

   2

   Azure Storage 帐户的名称。

   3

   您在上一步中获取的受管身份的客户端 ID。

   4

   可选：默认为 api://AzureADTokenExchange。

   5

   Azure 租户 ID。

7. 创建对象存储 secret 时，按如下所示 Distributed Tracing Platform 实例的相关自定义资源：

   TempoStack 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       secret: 

   1

   
         name: <secret_name>
         type: azure
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

   TempoMonolithic 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoMonolithic
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       traces:
         backend: azure
         azure:
           secret: <secret_name> 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

流程

1. 在 Google Cloud 上创建 GCS 存储桶。

2. 使用 Google Identity and Access Management (IAM) 创建或重复使用服务帐户：

   SERVICE_ACCOUNT_EMAIL=$(gcloud iam service-accounts create <iam_service_account_name> \ 

   1

   
       --display-name="Tempo Account" \
       --project <project_id>  \ 

   2

   
       --format='value(email)' \
       --quiet)

   Copy to Clipboard Toggle word wrap

   1

   Google Cloud 上服务帐户的名称。

   2

   Google Cloud 上服务帐户的项目 ID。

3. 将所需的 Google Cloud 角色绑定到项目级别创建的服务帐户。您可以运行以下命令来完成此操作：

   $ gcloud projects add-iam-policy-binding <project_id> \
       --member "serviceAccount:$SERVICE_ACCOUNT_EMAIL" \
       --role "roles/storage.objectAdmin"

   Copy to Clipboard Toggle word wrap

4. 检索与集群关联的 Google Cloud Workload Identity Pool 的 POOL_ID 值。如何检索这个值取决于您的环境，因此命令只是示例：

   $ OIDC_ISSUER=$(oc get authentication.config cluster -o jsonpath='{.spec.serviceAccountIssuer}') \
   &&
     POOL_ID=$(echo "$OIDC_ISSUER" | awk -F'/' '{print $NF}' | sed 's/-oidc$//')

   Copy to Clipboard Toggle word wrap

5. 添加 IAM 策略绑定。您可以运行以下命令来完成此操作：

   $ gcloud iam service-accounts add-iam-policy-binding "$SERVICE_ACCOUNT_EMAIL" \ 

   1

   
     --role="roles/iam.workloadIdentityUser" \
     --member="principal://iam.googleapis.com/projects/<project_number>/locations/global/workloadIdentityPools/<pool_id>/subject/system:serviceaccount:<tempo_namespace>:tempo-<tempo_name>" \
     --project=<project_id> \
     --quiet \
   &&
     gcloud iam service-accounts add-iam-policy-binding "$SERVICE_ACCOUNT_EMAIL" \
     --role="roles/iam.workloadIdentityUser" \
     --member="principal://iam.googleapis.com/projects/<project_number>/locations/global/workloadIdentityPools/<pool_id>/subject/system:serviceaccount:<tempo_namespace>:tempo-<tempo_name>-query-frontend" \
     --project=<project_id> \
     --quiet
   &&
     gcloud storage buckets add-iam-policy-binding "gs://$BUCKET_NAME" \
     --role="roles/storage.admin" \
     --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" \
     --condition=None

   Copy to Clipboard Toggle word wrap

   1

   $SERVICE_ACCOUNT_EMAIL 是第 2 步中的命令的输出。

6. 为存储 secret 的 key.json 密钥创建一个凭据文件，供 TempoStack 自定义资源使用。您可以运行以下命令来完成此操作：

   $ gcloud iam workload-identity-pools create-cred-config \
       "projects/<project_number>/locations/global/workloadIdentityPools/<pool_id>/providers/<provider_id>" \
       --service-account="$SERVICE_ACCOUNT_EMAIL" \
       --credential-source-file=/var/run/secrets/storage/serviceaccount/token \ 

   1

   
       --credential-source-type=text \
       --output-file=<output_file_path> 

   2

   Copy to Clipboard Toggle word wrap

   1

   credential-source-file 参数必须始终指向 /var/run/secrets/storage/serviceaccount/token 路径，因为 Operator 从这个路径挂载令牌。

   2

   保存输出文件的路径。

7. 运行以下命令来获取正确的受众：

   $ gcloud iam workload-identity-pools providers describe "$PROVIDER_NAME" --format='value(oidc.allowedAudiences[0])'

   Copy to Clipboard Toggle word wrap

8. 运行以下命令，为 Distributed Tracing Platform 创建存储 secret。

   $ oc -n <tempo_namespace> create secret generic gcs-secret \
     --from-literal=bucketname="<bucket_name>" \ 

   1

   
     --from-literal=audience="<audience>" \      

   2

   
     --from-file=key.json=<output_file_path>    

   3

   Copy to Clipboard Toggle word wrap

   1

   Google Cloud Storage 的存储桶名称。

   2

   您在上一步获得的受众。

   3

   您在第 6 步中创建的凭据文件。

9. 创建对象存储 secret 时，按如下所示 Distributed Tracing Platform 实例的相关自定义资源：

   TempoStack 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       secret: 

   1

   
         name: <secret_name>
         type: gcs
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

   TempoMonolithic 自定义资源示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoMonolithic
   metadata:
     name: <name>
     namespace: <namespace>
   spec:
   # ...
     storage:
       traces:
         backend: gcs
         gcs:
           secret: <secret_name> 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的 secret。

流程

1. 在 IBM Cloud 上，创建一个对象存储存储桶。

2. 在 IBM Cloud 中，运行以下命令来创建用于连接到对象存储存储桶的服务密钥：

   $ ibmcloud resource service-key-create <tempo_bucket> Writer \
     --instance-name <tempo_bucket> --parameters '{"HMAC":true}'

   Copy to Clipboard Toggle word wrap

3. 在 IBM Cloud 中，运行以下命令来使用存储桶凭证创建 secret：

   $ oc -n <namespace> create secret generic <ibm_cos_secret> \
     --from-literal=bucket="<tempo_bucket>" \
     --from-literal=endpoint="<ibm_bucket_endpoint>" \
     --from-literal=access_key_id="<ibm_bucket_access_key>" \
     --from-literal=access_key_secret="<ibm_bucket_secret_key>"

   Copy to Clipboard Toggle word wrap

4. 在 OpenShift Container Platform 中，使用键创建一个对象存储 secret，如下所示：

   apiVersion: v1
   kind: Secret
   metadata:
     name: <ibm_cos_secret>
   stringData:
     bucket: <tempo_bucket>
     endpoint: <ibm_bucket_endpoint>
     access_key_id: <ibm_bucket_access_key>
     access_key_secret: <ibm_bucket_secret_key>
   type: Opaque

   Copy to Clipboard Toggle word wrap

5. 在 OpenShift Container Platform 中，设置 TempoStack 自定义资源中的 storage 部分，如下所示：

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   # ...
   spec:
   # ...
     storage:
       secret:
         name: <ibm_cos_secret> 

   1

   
         type: s3
   # ...

   Copy to Clipboard Toggle word wrap

   1

   包含 IBM Cloud Storage 访问和 secret 密钥的 secret 名称。

流程

1. 使用您选择的值添加到 TempoStack 自定义资源 (CR)，通过添加 tenantName 和 tenantId 参数来定义租户：

   TempoStack CR 中的租户示例

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: redmetrics
   spec:
   # ...
     tenants:
       mode: openshift
       authentication:
         - tenantName: dev 

   1

   
           tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

   2

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   用户选择的 tenantName 值。

   2

   用户选择的 tenantId 值。

2. 将租户添加到具有读取(get)权限的集群角色，以读取 trace。

   ClusterRole 资源中的 RBAC 配置示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: tempostack-traces-reader
   rules:
     - apiGroups:
         - 'tempo.grafana.com'
       resources: 

   1

   
         - dev
         - prod
       resourceNames:
         - traces
       verbs:
         - 'get' 

   2

   Copy to Clipboard Toggle word wrap

   1

   在本示例中列出租户 dev 和 prod，这通过上一步中的 tenantName 参数来定义。

   2

   为列出的租户启用读取操作。

3. 通过为上一步中的集群角色定义集群角色绑定，授予经过身份验证的用户对 trace 数据具有读取权限。

   ClusterRoleBinding 资源中的 RBAC 配置示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: tempostack-traces-reader
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tempostack-traces-reader
   subjects:
     - kind: Group
       apiGroup: rbac.authorization.k8s.io
       name: system:authenticated 

   1

   Copy to Clipboard Toggle word wrap

   1

   授予所有经过身份验证的用户的 trace 数据读取权限。

流程

1. 创建用于 OpenTelemetry Collector 的服务帐户。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: otel-collector
     namespace: <project_of_opentelemetry_collector_instance>

   Copy to Clipboard Toggle word wrap

2. 将租户添加到具有 write (create)权限的集群角色中来编写 trace。

   ClusterRole 资源中的 RBAC 配置示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: tempostack-traces-write
   rules:
     - apiGroups:
         - 'tempo.grafana.com'
       resources: 

   1

   
         - dev
       resourceNames:
         - traces
       verbs:
         - 'create' 

   2

   Copy to Clipboard Toggle word wrap

   1

   列出租户。

   2

   启用写入操作。

3. 通过定义集群角色绑定来附加 OpenTelemetry Collector 服务帐户，为 OpenTelemetry Collector 授予写入权限。

   ClusterRoleBinding 资源中的 RBAC 配置示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: tempostack-traces
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: tempostack-traces-write
   subjects:
     - kind: ServiceAccount
       name: otel-collector 

   1

   
       namespace: otel

   Copy to Clipboard Toggle word wrap

   1

   上一步中创建的服务帐户。客户端在导出 trace 数据时使用它。

4. 配置 OpenTelemetryCollector 自定义资源，如下所示：

   • 将 bearertokenauth 扩展和有效令牌添加到追踪管道服务。
   • 在 otlp/otlphttp exporters 中添加租户名称，作为 X-Scope-OrgID 标头。

   • 使用有效的证书颁发机构文件启用 TLS。

     OpenTelemetry CR 配置示例

     apiVersion: opentelemetry.io/v1beta1
     kind: OpenTelemetryCollector
     metadata:
       name: cluster-collector
       namespace: <project_of_tempostack_instance>
     spec:
       mode: deployment
       serviceAccount: otel-collector 

     1

     
       config: |
           extensions:
             bearertokenauth: 

     2

     
               filename: "/var/run/secrets/kubernetes.io/serviceaccount/token" 

     3

     
           exporters:
             otlp/dev: 

     4

     
               endpoint: sample-gateway.tempo.svc.cluster.local:8090
               tls:
                 insecure: false
                 ca_file: "/var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt" 

     5

     
               auth:
                 authenticator: bearertokenauth
               headers:
                 X-Scope-OrgID: "dev" 

     6

     
             otlphttp/dev: 

     7

     
               endpoint: https://sample-gateway.<project_of_tempostack_instance>.svc.cluster.local:8080/api/traces/v1/dev
               tls:
                 insecure: false
                 ca_file: "/var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt"
               auth:
                 authenticator: bearertokenauth
               headers:
                 X-Scope-OrgID: "dev"
           service:
             extensions: [bearertokenauth]
             pipelines:
               traces:
                 exporters: [otlp/dev] 

     8

     
     
     # ...

     Copy to Clipboard Toggle word wrap

     1

     配置具有写入权限的服务帐户。

     2

     Bearer Token 扩展，以使用服务帐户令牌。

     3

     服务帐户令牌。客户端将令牌发送到追踪管道服务，作为 bearer 令牌标头。

     4

     指定 OTLP gRPC Exporter (otlp/dev)或 OTLP HTTP Exporter (otlphttp/dev)。

     5

     使用有效的服务 CA 文件启用 TLS。

     6

     带有租户名称的标头。

     7

     指定 OTLP gRPC Exporter (otlp/dev)或 OTLP HTTP Exporter (otlphttp/dev)。

     8

     您在 CR 的 exporters 部分指定的导出器。

流程

1. 前往 Home → Projects → Create Project，为后续步骤中创建的 TempoStack 实例创建一个您选择的允许项目。不允许以 openshift- 前缀开头的项目名称。

2. 进入 Workloads → Secrets → Create → From YAML，在您为 TempoStack 实例创建的项目中为您的对象存储存储桶创建一个 secret。如需更多信息，请参阅"对象存储设置"。

   Amazon S3 和 MinIO 存储的 secret 示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: minio-test
   stringData:
     endpoint: http://minio.minio.svc:9000
     bucket: tempo
     access_key_id: tempo
     access_key_secret: <secret>
   type: Opaque

   Copy to Clipboard Toggle word wrap

3. 创建 TempoStack 实例。

   注意

   您可以在同一集群上的不同项目中创建多个 TempoStack 实例。

   1. 进入 Operators → Installed Operators。
   2. 选择 TempoStack → Create TempoStack → YAML view。

   3. 在 YAML 视图中，自定义 TempoStack 自定义资源(CR)：

      AWS S3 和 MinIO 存储和两个租户的 TempoStack CR 示例

      apiVersion: tempo.grafana.com/v1alpha1
      kind: TempoStack 

      1

      
      metadata:
        name: simplest
        namespace: <permitted_project_of_tempostack_instance> 

      2

      
      spec: 

      3

      
        storage: 

      4

      
          secret: 

      5

      
            name: <secret_name> 

      6

      
            type: <secret_provider> 

      7

      
        storageSize: <value>Gi 

      8

      
        resources: 

      9

      
          total:
            limits:
              memory: 2Gi
              cpu: 2000m
        tenants:
          mode: openshift 

      10

      
          authentication: 

      11

      
            - tenantName: dev 

      12

      
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

      13

      
            - tenantName: prod
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfb"
        template:
          gateway:
            enabled: true 

      14

      
          queryFrontend:
            jaegerQuery:
              enabled: true 

      15

      Copy to Clipboard Toggle word wrap

      1

      此 CR 创建一个 TempoStack 部署，它被配置为通过 HTTP 和 OpenTelemetry 协议(OTLP)接收 Jaeger Thrift。

      2

      为 TempoStack 部署选择的项目。不允许以 openshift- 前缀开头的项目名称。

      3

      红帽只支持 Red Hat OpenShift distributed Tracing Platform 文档中的提供的自定义资源选项。

      4

      指定用于存储 trace 的存储。

      5

      您在第 2 步中创建的 secret，用于作为其中一个先决条件设置的对象存储。

      6

      secret 的 metadata 部分中的 name 字段的值。例如：minio。

      7

      可接受的值是 azure（Azure Blob Storage），gcs（Google Cloud Storage）和 s3（Amazon S3, MinIO, 或 Red Hat OpenShift Data Foundation）。例如：s3。

      8

      Tempo Write-Ahead Logging (WAL) 的持久性卷声明的大小。默认值为 10Gi。例如：1Gi。

      9

      可选。

      10

      该值必须是 openshift。

      11

      租户列表。

      12

      租户名称，用作 X-Scope-OrgId HTTP 标头的值。

      13

      租户的唯一标识符。在 TempoStack 部署的生命周期内必须是唯一的。Distributed Tracing Platform 使用此 ID 为对象存储中的对象添加前缀。您可以重复使用 UUID 或 tempoName 字段的值。

      14

      启用执行身份验证和授权的网关。

      15

      公开 Jaeger UI，它通过路由 http://<gateway_ingress>/api/traces/v1/<tenant_name>/search 对数据进行视觉化。

   4. 选择 Create。

验证

1. 使用 Project: 下拉列表选择 TempoStack 实例的项目。
2. 进入 Operators → Installed Operators，以验证 TempoStack 实例的 Status 是否为 Condition: Ready。
3. 进入 Workloads → Pods，以验证 TempoStack 实例的所有组件 pod 都在运行。

4. 访问 Tempo 控制台：

   1. 进入 Networking → Routes 和 Ctrl+F，以搜索 tempo。

   2. 在 Location 列中，打开 URL 以访问 Tempo 控制台。

      注意

      Tempo 控制台最初不会在 Tempo 控制台安装后显示 trace 数据。

流程

1. 运行以下命令，为您要在后续步骤中创建的 TempoStack 实例创建您选择的允许项目：

   $ oc apply -f - << EOF
   apiVersion: project.openshift.io/v1
   kind: Project
   metadata:
     name: <permitted_project_of_tempostack_instance> 

   1

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   不允许以 openshift- 前缀开头的项目名称。

2. 在您为 TempoStack 实例创建的项目中，运行以下命令来为您的对象存储桶创建一个 secret：

   $ oc apply -f - << EOF
   <object_storage_secret>
   EOF

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅"对象存储设置"。

   Amazon S3 和 MinIO 存储的 secret 示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: minio-test
   stringData:
     endpoint: http://minio.minio.svc:9000
     bucket: tempo
     access_key_id: tempo
     access_key_secret: <secret>
   type: Opaque

   Copy to Clipboard Toggle word wrap

3. 在您为它创建的项目中创建 TempoStack 实例：

   注意

   您可以在同一集群上的不同项目中创建多个 TempoStack 实例。

   1. 自定义 TempoStack 自定义资源(CR)：

      AWS S3 和 MinIO 存储和两个租户的 TempoStack CR 示例

      apiVersion: tempo.grafana.com/v1alpha1
      kind: TempoStack 

      1

      
      metadata:
        name: simplest
        namespace: <permitted_project_of_tempostack_instance> 

      2

      
      spec: 

      3

      
        storage: 

      4

      
          secret: 

      5

      
            name: <secret_name> 

      6

      
            type: <secret_provider> 

      7

      
        storageSize: <value>Gi 

      8

      
        resources: 

      9

      
          total:
            limits:
              memory: 2Gi
              cpu: 2000m
        tenants:
          mode: openshift 

      10

      
          authentication: 

      11

      
            - tenantName: dev 

      12

      
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

      13

      
            - tenantName: prod
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfb"
        template:
          gateway:
            enabled: true 

      14

      
          queryFrontend:
            jaegerQuery:
              enabled: true 

      15

      Copy to Clipboard Toggle word wrap

      1

      此 CR 创建一个 TempoStack 部署，它被配置为通过 HTTP 和 OpenTelemetry 协议(OTLP)接收 Jaeger Thrift。

      2

      为 TempoStack 部署选择的项目。不允许以 openshift- 前缀开头的项目名称。

      3

      红帽只支持 Red Hat OpenShift distributed Tracing Platform 文档中的提供的自定义资源选项。

      4

      指定用于存储 trace 的存储。

      5

      您在第 2 步中创建的 secret，用于作为其中一个先决条件设置的对象存储。

      6

      secret 的 metadata 部分中的 name 字段的值。例如：minio。

      7

      可接受的值是 azure（Azure Blob Storage），gcs（Google Cloud Storage）和 s3（Amazon S3, MinIO, 或 Red Hat OpenShift Data Foundation）。例如：s3。

      8

      Tempo Write-Ahead Logging (WAL) 的持久性卷声明的大小。默认值为 10Gi。例如：1Gi。

      9

      可选。

      10

      该值必须是 openshift。

      11

      租户列表。

      12

      租户名称，用作 X-Scope-OrgId HTTP 标头的值。

      13

      租户的唯一标识符。在 TempoStack 部署的生命周期内必须是唯一的。Distributed Tracing Platform 使用此 ID 为对象存储中的对象添加前缀。您可以重复使用 UUID 或 tempoName 字段的值。

      14

      启用执行身份验证和授权的网关。

      15

      公开 Jaeger UI，它通过路由 http://<gateway_ingress>/api/traces/v1/<tenant_name>/search 对数据进行视觉化。

   2. 运行以下命令来应用自定义 CR：

      $ oc apply -f - << EOF
      <tempostack_cr>
      EOF

      Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令，验证所有 TempoStack components 的状态是否为 Running，并且 conditions 为 type: Ready：

   $ oc get tempostacks.tempo.grafana.com simplest -o yaml

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，验证所有 TempoStack 组件 pod 是否都在运行：

   $ oc get pods

   Copy to Clipboard Toggle word wrap

3. 访问 Tempo 控制台：

   1. 运行以下命令来查询路由详情：

      $ oc get route

      Copy to Clipboard Toggle word wrap

   2. 在网页浏览器中打开 https://<route_from_previous_step>。

      注意

      Tempo 控制台最初不会在 Tempo 控制台安装后显示 trace 数据。

流程

1. 前往 Home → Projects → Create Project，为后续步骤中创建的 TempoMonolithic 实例创建您选择的允许项目。不允许以 openshift- 前缀开头的项目名称。

2. 决定用于存储 trace 的存储类型：内存中存储、持久性卷或对象存储。

   重要

   对象存储不包括在 Distributed Tracing Platform 中，需要由受支持的供应商设置对象存储： Red Hat OpenShift Data Foundation、MinIO、Amazon S3、Azure Blob Storage 或 Google Cloud Storage。

   另外，选择对象存储需要在您为 TempoMonolithic 实例创建的项目中为您的对象存储桶创建一个 secret。您可以在 Workloads → Secrets → Create → From YAML 中执行此操作。

   如需更多信息，请参阅"对象存储设置"。

   Amazon S3 和 MinIO 存储的 secret 示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: minio-test
   stringData:
     endpoint: http://minio.minio.svc:9000
     bucket: tempo
     access_key_id: tempo
     access_key_secret: <secret>
   type: Opaque

   Copy to Clipboard Toggle word wrap

3. 创建 TempoMonolithic 实例：

   注意

   您可以在同一集群上的不同项目中创建多个 TempoMonolithic 实例。

   1. 进入 Operators → Installed Operators。
   2. 选择 TempoMonolithic → Create TempoMonolithic → YAML view。

   3. 在 YAML 视图中，自定义 TempoMonolithic 自定义资源 (CR)。

      TempoMonolithic CR 示例

      apiVersion: tempo.grafana.com/v1alpha1
      kind: TempoMonolithic 

      1

      
      metadata:
        name: <metadata_name>
        namespace: <permitted_project_of_tempomonolithic_instance> 

      2

      
      spec: 

      3

      
        storage: 

      4

      
          traces:
            backend: <supported_storage_type> 

      5

      
            size: <value>Gi 

      6

      
            s3: 

      7

      
              secret: <secret_name> 

      8

      
          tls: 

      9

      
            enabled: true
            caName: <ca_certificate_configmap_name> 

      10

      
        jaegerui:
          enabled: true 

      11

      
          route:
            enabled: true 

      12

      
        resources: 

      13

      
          total:
            limits:
              memory: <value>Gi
              cpu: <value>m
        multitenancy:
          enabled: true
          mode: openshift
          authentication: 

      14

      
            - tenantName: dev 

      15

      
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

      16

      
            - tenantName: prod
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfb"

      Copy to Clipboard Toggle word wrap

      1

      此 CR 使用 OTLP 协议中的 trace ingestion 创建一个 TempoMonolithic 部署。

      2

      为 TempoMonolithic 部署选择的项目。不允许以 openshift- 前缀开头的项目名称。

      3

      红帽只支持 Red Hat OpenShift distributed Tracing Platform 文档中的提供的自定义资源选项。

      4

      指定用于存储 trace 的存储。

      5

      用于存储 trace 的存储类型：内存存储、持久性卷或对象存储。持久性卷的值是 pv。对象存储接受的值是 s3、gcs 或 azure，具体取决于使用的对象存储类型。tmpfs 内存中存储的默认值为 memory，它仅适用于开发、测试、演示和概念验证环境，因为在 pod 关闭时数据不会被保留。

      6

      内存大小：对于内存存储，这意味着 tmpfs 卷的大小，默认值为 2Gi。对于持久性卷，这意味着持久性卷声明的大小，默认值为 10Gi。对于对象存储，这意味着 Tempo Write-Ahead Logging (WAL)的持久性卷声明的大小，默认值为 10Gi。

      7

      可选： 对于对象存储，对象存储的类型。接受的值包括 s3、gcs 和 azure，具体取决于使用的对象存储类型。

      8

      可选： 对于对象存储，存储 secret 的 metadata 中的 name 值。存储 secret 必须与 TempoMonolithic 实例位于同一个命名空间中，并包含 "Table 1 中指定的字段。"Object storage setup" 部分中所需的 secret 参数"。

      9

      可选。

      10

      可选：包含 CA 证书的 ConfigMap 对象的名称。

      11

      公开 Jaeger UI，它通过路由 http://<gateway_ingress>/api/traces/v1/<tenant_name>/search 对数据进行视觉化。

      12

      启用为 Jaeger UI 创建路由。

      13

      可选。

      14

      列出租户。

      15

      租户名称，用作 X-Scope-OrgId HTTP 标头的值。

      16

      租户的唯一标识符。在 TempoMonolithic 部署的整个生命周期内必须是唯一的。此 ID 将作为前缀添加到对象存储中的对象。您可以重复使用 UUID 或 tempoName 字段的值。

   4. 选择 Create。

验证

1. 使用 Project: 下拉列表选择 TempoMonolithic 实例的项目。
2. 进入 Operators → Installed Operators，以验证 TempoMonolithic 实例的 Status 是否为 Condition: Ready。
3. 进入 Workloads → Pods，验证 TempoMonolithic 实例的 pod 是否正在运行。

4. 访问 Jaeger UI：

   1. 进入 Networking → Routes 和 Ctrl+F，以搜索 jaegerui。

      注意

      Jaeger UI 使用 tempo-<metadata_name_of_TempoMonolithic_CR>-jaegerui 路由。

   2. 在 Location 列中，打开 URL 以访问 Jaeger UI。

5. 当 TempoMonolithic 实例的 pod 就绪时，您可以将 trace 发送到 tempo-<metadata_name_of_TempoMonolithic_CR>:4317 (OTLP/gRPC) 和 tempo-<metadata_name_of_TempoMonolithic_CR>:4318 (OTLP/HTTP) 端点。

   Tempo API 位于集群中的 tempo-<metadata_name_of_TempoMonolithic_CR>:3200 端点。

流程

1. 运行以下命令，为您要在后续步骤中创建的 TempoMonolithic 实例创建您选择的允许项目：

   $ oc apply -f - << EOF
   apiVersion: project.openshift.io/v1
   kind: Project
   metadata:
     name: <permitted_project_of_tempomonolithic_instance> 

   1

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   不允许以 openshift- 前缀开头的项目名称。

2. 决定用于存储 trace 的存储类型：内存中存储、持久性卷或对象存储。

   重要

   对象存储不包括在 Distributed Tracing Platform 中，需要由受支持的供应商设置对象存储： Red Hat OpenShift Data Foundation、MinIO、Amazon S3、Azure Blob Storage 或 Google Cloud Storage。

   另外，选择对象存储需要在您为 TempoMonolithic 实例创建的项目中为您的对象存储桶创建一个 secret。您可以运行以下命令来完成此操作：

   $ oc apply -f - << EOF
   <object_storage_secret>
   EOF

   Copy to Clipboard Toggle word wrap

   如需更多信息，请参阅"对象存储设置"。

   Amazon S3 和 MinIO 存储的 secret 示例

   apiVersion: v1
   kind: Secret
   metadata:
     name: minio-test
   stringData:
     endpoint: http://minio.minio.svc:9000
     bucket: tempo
     access_key_id: tempo
     access_key_secret: <secret>
   type: Opaque

   Copy to Clipboard Toggle word wrap

3. 在您为它创建的项目中创建 TempoMonolithic 实例。

   提示

   您可以在同一集群上的不同项目中创建多个 TempoMonolithic 实例。

   1. 自定义 TempoMonolithic 自定义资源 (CR)。

      TempoMonolithic CR 示例

      apiVersion: tempo.grafana.com/v1alpha1
      kind: TempoMonolithic 

      1

      
      metadata:
        name: <metadata_name>
        namespace: <permitted_project_of_tempomonolithic_instance> 

      2

      
      spec: 

      3

      
        storage: 

      4

      
          traces:
            backend: <supported_storage_type> 

      5

      
            size: <value>Gi 

      6

      
            s3: 

      7

      
              secret: <secret_name> 

      8

      
          tls: 

      9

      
            enabled: true
            caName: <ca_certificate_configmap_name> 

      10

      
        jaegerui:
          enabled: true 

      11

      
          route:
            enabled: true 

      12

      
        resources: 

      13

      
          total:
            limits:
              memory: <value>Gi
              cpu: <value>m
        multitenancy:
          enabled: true
          mode: openshift
          authentication: 

      14

      
            - tenantName: dev 

      15

      
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfa" 

      16

      
            - tenantName: prod
              tenantId: "1610b0c3-c509-4592-a256-a1871353dbfb"

      Copy to Clipboard Toggle word wrap

      1

      此 CR 使用 OTLP 协议中的 trace ingestion 创建一个 TempoMonolithic 部署。

      2

      为 TempoMonolithic 部署选择的项目。不允许以 openshift- 前缀开头的项目名称。

      3

      红帽只支持 Red Hat OpenShift distributed Tracing Platform 文档中的提供的自定义资源选项。

      4

      指定用于存储 trace 的存储。

      5

      用于存储 trace 的存储类型：内存存储、持久性卷或对象存储。持久性卷的值是 pv。对象存储接受的值是 s3、gcs 或 azure，具体取决于使用的对象存储类型。tmpfs 内存中存储的默认值为 memory，它仅适用于开发、测试、演示和概念验证环境，因为在 pod 关闭时数据不会被保留。

      6

      内存大小：对于内存存储，这意味着 tmpfs 卷的大小，默认值为 2Gi。对于持久性卷，这意味着持久性卷声明的大小，默认值为 10Gi。对于对象存储，这意味着 Tempo Write-Ahead Logging (WAL)的持久性卷声明的大小，默认值为 10Gi。

      7

      可选： 对于对象存储，对象存储的类型。接受的值包括 s3、gcs 和 azure，具体取决于使用的对象存储类型。

      8

      可选： 对于对象存储，存储 secret 的 metadata 中的 name 值。存储 secret 必须与 TempoMonolithic 实例位于同一个命名空间中，并包含 "Table 1 中指定的字段。"Object storage setup" 部分中所需的 secret 参数"。

      9

      可选。

      10

      可选：包含 CA 证书的 ConfigMap 对象的名称。

      11

      公开 Jaeger UI，它通过路由 http://<gateway_ingress>/api/traces/v1/<tenant_name>/search 对数据进行视觉化。

      12

      启用为 Jaeger UI 创建路由。

      13

      可选。

      14

      列出租户。

      15

      租户名称，用作 X-Scope-OrgId HTTP 标头的值。

      16

      租户的唯一标识符。在 TempoMonolithic 部署的整个生命周期内必须是唯一的。此 ID 将作为前缀添加到对象存储中的对象。您可以重复使用 UUID 或 tempoName 字段的值。

   2. 运行以下命令来应用自定义 CR：

      $ oc apply -f - << EOF
      <tempomonolithic_cr>
      EOF

      Copy to Clipboard Toggle word wrap

验证

1. 运行以下命令，验证所有 TempoMonolithic components 的状态是否为 Running，并且 conditions 为 type: Ready ：

   $ oc get tempomonolithic.tempo.grafana.com <metadata_name_of_tempomonolithic_cr> -o yaml

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，以验证 TempoMonolithic 实例的 pod 是否正在运行：

   $ oc get pods

   Copy to Clipboard Toggle word wrap

3. 访问 Jaeger UI：

   1. 运行以下命令，查询 tempo-<metadata_name_of_tempomonolithic_cr>-jaegerui 路由的路由详情：

      $ oc get route

      Copy to Clipboard Toggle word wrap
   2. 在网页浏览器中打开 https://<route_from_previous_step>。

4. 当 TempoMonolithic 实例的 pod 就绪时，您可以将 trace 发送到 tempo-<metadata_name_of_tempomonolithic_cr>:4317 (OTLP/gRPC) 和 tempo-<metadata_name_of_tempomonolithic_cr>:4318 (OTLP/HTTP) 端点。

   Tempo API 位于集群中的 tempo-<metadata_name_of_tempomonolithic_cr>:3200 端点。

流程

1. 要启用 TempoStack 实例的指标，请将 spec.observability.metrics.createServiceMonitors 字段设置为 true ：

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: <name>
   spec:
     observability:
       metrics:
         createServiceMonitors: true

   Copy to Clipboard Toggle word wrap

2. 要为 TempoStack 实例启用警报，请将 spec.observability.metrics.createPrometheusRules 字段设置为 true ：

   apiVersion: tempo.grafana.com/v1alpha1
   kind: TempoStack
   metadata:
     name: <name>
   spec:
     observability:
       metrics:
         createPrometheusRules: true

   Copy to Clipboard Toggle word wrap