當 SSH/RDP 服務未在 GCE VM 中運行時如何通知/警報

Question

GCP Operation 的套件沒有預先構建的指標來監控 GCE VM 中運行的 SSH (Linux) / RDP (Windows) 服務。 我也嘗試在 GCP Logging 中找到它，但找不到任何有關在操作系統中運行的服務的日志。

有沒有其他方法可以監控 GCE VM 中 SSH / RDP 服務的運行狀況？ 如果警報不在運行 state 中，則轉發警報。

Answer 1

我更新了我的答案：

您可以使用 Cloud Logging 監控 VM 實例上 SSH 守護程序的狀態以及與它的連接：

1. 安裝將日志發送到 Cloud Logging（以前稱為 Stackdriver）的日志記錄代理：

curl -sSO https://dl.google.com/cloudagents/add-logging-agent-repo.sh
sudo bash add-logging-agent-repo.sh
sudo apt-get update
sudo apt-get install google-fluentd
sudo apt-get install -y google-fluentd-catch-all-config

2. 編輯位於/etc/google-fluentd/config.d/syslog.conf的日志代理配置，通過添加以下內容從auth.log收集條目：

<source>
  type tail
 
  # Parse the timestamp, but still collect the entire line as 'message'
  format /^(?<message>(?<time>[^ ]*\s*[^ ]* [^ ]*) .*)$/
 
  path /var/log/auth.log
  pos_file /var/lib/google-fluentd/pos/auth.log.pos
  read_from_head false
  tag auth
</source>

3. 重新啟動google-fluentd以應用更新的配置：

sudo service google-fluentd restart

4. go 到Cloud Console -> Logging -> Logs Explorer並查找與 SSH 守護進程相關的事件：

5. 配置警報； 此外，請查看此處和此處的第 3 方示例。

您可以使用相同的方法檢查和監控 Windows 上的 RDP：

1. 安裝日志代理

2. 編輯位於C:\Program Files (x86)\Stackdriver\LoggingAgent\fluent.conf的日志記錄代理配置

3. 重啟日志代理

4. go 到Cloud Console -> Logging -> Logs Explorer並查找與 RDP 服務相關的事件。

5. 配置警報

編輯

為了使事件不會自動關閉，您可以創建兩個指標：
第一個記錄終止信號，第二個記錄 SSH 啟動。
然后，您應該創建一個警報，當第一個高於零且第二個低於 1 時觸發。
這樣，事件將持續到 sshd 再次啟動。