Workload Identity Federation (WIF) permite que a New Relic acesse as métricas do GCP usando tokens de curta duração em vez de chaves de longa duração. A conta de serviço é criada e controlada no próprio projeto do GCP, de modo que a New Relic nunca armazena credenciais estáticas.
Este guia aborda a configuração manual por meio da interface da New Relic. Caso prefira infraestrutura como código, consulte Automatizar com Terraform.
Dica
Já há projetos conectados com uma conta de serviço? Adicione novos projetos com WIF junto a eles — ambos os métodos funcionam na mesma conta da New Relic. Basta seguir este guia para adicionar uma conexão baseada em WIF.
Requisitos
Estes são os requisitos para a integração:
Requerimento | Detalhes |
|---|---|
Conta New Relic | É necessária uma conta New Relic com permissões de administrador. Caso ainda não tenha uma, crie uma conta New Relic. |
APIs do GCP | No API & Services Library do projeto do GCP, ative cinco APIs: IAM, Security Token Service, Service Account Credentials, Stackdriver Monitoring e Asset. Para ver a lista completa com os links, consulte Ativar as APIs Necessárias do GCP. |
Permissões do GCP | São necessárias permissões para criar contas de serviço, pools de identidade de workload e vinculações do IAM — normalmente a função Owner ou IAM Admin. |
Conta de serviço | É necessário criar uma conta de serviço com as funções Viewer, Service Usage Consumer, Cloud Asset Viewer e Folder Viewer. O New Relic personifica esta conta para ler as métricas. Para as etapas de configuração, consulte Criar ou selecionar uma conta de serviço. |
Pool de identidade de workload | Um pool WIF com um provedor OIDC configurado para confiar no New Relic. O assistente de configuração orienta durante a criação. Para as etapas de configuração, consulte Criar um Workload Identity Pool até Configurar Atributos do Provedor. |
Importante
Devido a requisitos de segurança e conformidade, a integração do GCP com o New Relic não deve ser usada se as contas ou os dados estiverem sujeitos ao FedRAMP. O uso deste recurso com contas regulamentadas pelo FedRAMP é estritamente proibido.
Integrar manualmente o GCP
Iniciar a integração no New Relic
Vá para Infrastructure > Google Cloud Platform no New Relic.
Selecione Add a GCP account (ou o botão de ação principal se esta for a primeira integração).
Selecione a conta New Relic que deseja usar.
Em Select instrumentation method, escolha Workload Identity Federation.
Em Choose setup method, selecione Manually integrate your GCP project or folder.
Ativar as APIs necessárias do GCP
Ative estas cinco APIs no projeto do GCP. Elas permitem que a New Relic autentique e colete dados:
- IAM API: gerenciar o acesso à conta de serviço
- API Security Token Service: trocar tokens durante a autenticação WIF
- Service Account Credentials API: gerar token de acesso de curta duração
- API de monitoramento do Stackdriver: ler métricas do monitoramento de nuvem do GCP
- Asset API: descobrir recursos e metadados
- Cloud Resource Manager API: obter
displayNameda pasta
Confirme a caixa de seleção assim que todos os cinco estiverem ativados e, em seguida, selecione Continue.
Criar ou selecionar uma conta de serviço
No projeto do GCP, criar uma conta de serviço para o New Relic personificar:
No Console do GCP, acesse IAM & Admin > Service Accounts.
Crie uma nova conta de serviço ou use uma existente.
Atribuir as seguintes funções à conta de serviço:
Viewer
Service Usage Consumer
Cloud Asset Viewer
- Folder Viewer (necessário apenas para integrações configuradas no nível da pasta)
Selecione Save.
Importante
Para monitorar todos os projetos em uma pasta por meio de uma conexão, conceda essas funções na pasta em vez de em um único projeto. Consulte Integrar no nível da pasta.
Criar um pool de identidade de workload
Um pool de identidades de workload é um contêiner para identidades externas (como o New Relic) de confiança.
- No Console do GCP, acesse IAM & Admin > Workload Identity Federation.
- Selecione Get Started (ou Create Pool).
- Insira um nome e uma descrição para o pool e, em seguida, ative o pool.
- Selecione Continue.
Adicione um provedor OIDC ao pool
Isso instrui o GCP a confiar em token assinado pela New Relic.
Em Select a provider, escolha OpenID Connect (OIDC).
Copie esses valores da interface da New Relic para o Console do GCP:
- Provider pool name: exibido na tela de configuração do New Relic.
- Issuer URL: mostrado na tela de configuração do New Relic (por exemplo,
https://oidc.newrelic.com/r/gcp-cmp).
Em Allowed audiences, selecione-o e mantenha o público-alvo padrão desmarcado.
Copiar o Audience URL da interface do New Relic.
Selecione Continue.
Configurar atributos do provedor
Os mapeamentos de atributos informam ao GCP como ler os tokens da New Relic. Adicione estes dois mapeamentos:
| Atributo do Google | Atributo OIDC |
|---|---|
google.subject | assertion.sub |
attribute.nr_account_id | assertion.nr_account_id |
A interface da New Relic mostra o ID da conta pré-preenchido. Copie-o para o campo de condição no GCP.
Importante
A condição de atributo garante que apenas a conta da New Relic possa usar esse pool. Sem ela, qualquer conta da New Relic poderia acessar o projeto do GCP.
Conceder acesso ao pool
Conecte o pool de identidades à conta de serviço para que o New Relic possa representá-la:
Nos detalhes do pool, selecione Grant Access.
Habilite Grant access using service account impersonation.
Selecione a conta de serviço criada na etapa Criar ou selecionar uma conta de serviço.
Em Add principals, selecione Principal with access.
Adicione o atributo de identidade
nr_account_idcom o valor do ID da conta do New Relic.Selecione Save.
Baixe e faça o upload do arquivo de configuração
Esta etapa vincula a configuração do GCP ao New Relic:
No Console do GCP, na seção Connected Service Accounts do pool, selecione a conta de serviço.
Definir estes parâmetros:
- Service Provider: selecione o provedor recém-criado.
- OIDC ID Token Path: selecionar
/ - Format Type: JSON
Selecione Download Config para obter um arquivo JSON.
Retornar à tela de configuração da New Relic e fazer o upload deste arquivo JSON.
A New Relic valida a configuração com uma autenticação de teste. Se for bem-sucedido, uma mensagem Connection succeeded será exibida.
Importante
Não feche a guia do navegador antes de selecionar Continue após o upload. Caso o faça, o progresso será perdido.
Selecionar projetos e serviços
Após a conexão ser verificada:
O New Relic lista os projetos do GCP que a conta de serviço pode acessar.
Expanda um projeto para ver os serviços disponíveis.
Selecione os serviços que deseja monitorar.
Selecione Instrument para começar a coletar dados.
Os serviços se dividem em duas categorias:
Full entity support — métricas, entidades no explorador de entidades e dashboards.
Metrics only — New Relic coleta métricas, mas não cria uma entidade.
Integrar no nível da pasta
Com a Workload Identity Federation, é possível integrar um único projeto ou uma pasta inteira de projetos. No GCP, ao conceder funções do IAM no nível da pasta, todos os projetos dentro dessa pasta as herdam. Portanto, se as funções da conta de serviço forem concedidas em uma pasta em vez de em um projeto, a New Relic poderá monitorar todos os projetos nessa pasta por meio de uma única conexão.
Para fazer isso, em Criar ou Selecionar uma Conta de Serviço, é necessário conceder à conta de serviço as funções Viewer, Service Usage Consumer, Cloud Asset Viewer e Folder Viewer na pasta em vez de em um único projeto. Ao chegar a Selecionar Projetos e Serviços, o New Relic lista todos os projetos nessa pasta para que seja possível escolher quais monitorar.
Ver seus dados do GCP
Após a conclusão da configuração, o New Relic inicia o monitoramento dos dados do GCP em intervalos de sondagem regulares, e os dados aparecem na interface do New Relic após alguns minutos. Para saber como visualizar, consultar e explorar esses dados — incluindo dashboards, alertas e entidades —, consulte Visualizar e consultar os dados do GCP.
Vincule vários projetos do Google
Uma única configuração WIF concede acesso aos projetos do GCP para os quais a conta de serviço tem permissões. Durante a configuração, a New Relic lista todos os projetos acessíveis para que seja possível selecionar quais monitorar.
Para monitorar projetos adicionais do GCP posteriormente:
- Se os novos projetos estiverem na mesma organização do GCP e a conta de serviço já tiver acesso, acesse Infrastructure > GCP > Manage services e adicione-os.
- Se os novos projetos exigirem uma conta de serviço ou pool de identidades diferente, será necessário repetir a configuração para criar uma nova conexão WIF.
Gerenciar serviços
Após a configuração, é possível alterar quais serviços são monitorados para cada projeto:
- Vá para one.newrelic.com > All capabilities > Infrastructure > GCP.
- Selecione Manage services ao lado da conta.
- Ativar ou desativar serviços por projeto.
- Salve suas alterações.
Desative ou desvincule as integrações do GCP
É possível desativar serviços individuais ou desconectar completamente o projeto do GCP da New Relic.
Desativar um ou mais serviços do GCP
- Vá para Infrastructure > GCP > Manage services.
- Desmarque a caixa de seleção de cada serviço a ser desativado.
- Salve suas alterações.
Desconecte a conta do GCP totalmente
- Vá para Infrastructure > GCP > Manage services.
- Selecione Unlink this account.
- Salve suas alterações.
Após a desvinculação na New Relic, faça a limpeza no lado do GCP:
- Abra o console do GCP e acesse IAM & Admin > Workload Identity Federation.
- Exclua o pool de identidades criado para a New Relic ou remova o provedor OIDC dele.
- Opcionalmente, a conta de serviço pode ser excluída se tiver sido criada exclusivamente para o New Relic.