当 SSH/RDP 服务未在 GCE VM 中运行时如何通知/警报

Question

GCP Operation 的套件没有预先构建的指标来监控 GCE VM 中运行的 SSH (Linux) / RDP (Windows) 服务。 我也尝试在 GCP Logging 中找到它，但找不到任何有关在操作系统中运行的服务的日志。

有没有其他方法可以监控 GCE VM 中 SSH / RDP 服务的运行状况？ 如果警报不在运行 state 中，则转发警报。

Answer 1

我更新了我的答案：

您可以使用 Cloud Logging 监控 VM 实例上 SSH 守护程序的状态以及与它的连接：

1. 安装将日志发送到 Cloud Logging（以前称为 Stackdriver）的日志记录代理：

curl -sSO https://dl.google.com/cloudagents/add-logging-agent-repo.sh
sudo bash add-logging-agent-repo.sh
sudo apt-get update
sudo apt-get install google-fluentd
sudo apt-get install -y google-fluentd-catch-all-config

2. 编辑位于/etc/google-fluentd/config.d/syslog.conf的日志代理配置，通过添加以下内容从auth.log收集条目：

<source>
  type tail
 
  # Parse the timestamp, but still collect the entire line as 'message'
  format /^(?<message>(?<time>[^ ]*\s*[^ ]* [^ ]*) .*)$/
 
  path /var/log/auth.log
  pos_file /var/lib/google-fluentd/pos/auth.log.pos
  read_from_head false
  tag auth
</source>

3. 重新启动google-fluentd以应用更新的配置：

sudo service google-fluentd restart

4. go 到Cloud Console -> Logging -> Logs Explorer并查找与 SSH 守护进程相关的事件：

5. 配置警报； 此外，请查看此处和此处的第 3 方示例。

您可以使用相同的方法检查和监控 Windows 上的 RDP：

1. 安装日志代理

2. 编辑位于C:\Program Files (x86)\Stackdriver\LoggingAgent\fluent.conf的日志记录代理配置

3. 重启日志代理

4. go 到Cloud Console -> Logging -> Logs Explorer并查找与 RDP 服务相关的事件。

5. 配置警报

编辑

为了使事件不会自动关闭，您可以创建两个指标：
第一个记录终止信号，第二个记录 SSH 启动。
然后，您应该创建一个警报，当第一个高于零且第二个低于 1 时触发。
这样，事件将持续到 sshd 再次启动。