当 SSH/RDP 服务未在 GCE VM 中运行时如何通知/警报

Question

GCP Operation 的套件没有预先构建的指标来监控 GCE VM 中运行的 SSH (Linux) / RDP (Windows) 服务。我也尝试在 GCP Logging 中找到它，但找不到有关在操作系统中运行的服务的任何日志。

还有其他方法可以监控 GCE 虚拟机中 SSH/RDP 服务的运行状况吗？并在未处于运行状态时转发警报。

Answer 1

我更新了我的答案：

您可以使用 Cloud Logging 监控 SSH 守护程序的状态以及与您的 VM 实例上的连接：

1. 安装logging agent，它将日志发送到 Cloud Logging（以前称为 Stackdriver）：

curl -sSO https://dl.google.com/cloudagents/add-logging-agent-repo.sh
sudo bash add-logging-agent-repo.sh
sudo apt-get update
sudo apt-get install google-fluentd
sudo apt-get install -y google-fluentd-catch-all-config

1. edit logging agent configuration 位于/etc/google-fluentd/config.d/syslog.conf 收集来自auth.log 的条目，添加：

<source>
  type tail
 
  # Parse the timestamp, but still collect the entire line as 'message'
  format /^(?<message>(?<time>[^ ]*\s*[^ ]* [^ ]*) .*)$/
 
  path /var/log/auth.log
  pos_file /var/lib/google-fluentd/pos/auth.log.pos
  read_from_head false
  tag auth
</source>

1. 重启google-fluentd以应用更新的配置：

sudo service google-fluentd restart

4. 转到Cloud Console -> Logging -> Logs Explorer 并查找与 SSH 守护进程相关的事件：

5. configure alerts;此外，请查看第 3 方示例here 和 here。

您可以使用相同的方法在 Windows 上检查和监控 RDP：

1. 安装logging agent

2. edit logging agent configuration 位于C:\Program Files (x86)\Stackdriver\LoggingAgent\fluent.conf

3. 重启日志代理

4. 转到Cloud Console -> Logging -> Logs Explorer 并查找与 RDP 服务相关的事件。

5. configure alerts

编辑

为了使事件不会自动关闭，您可以创建两个指标：
第一个记录终止信号，第二个记录 SSH 启动。
然后，您应该创建一个警报，当第一个高于零且第二个低于 1 时触发。
这样，事件会一直持续到 sshd 再次启动。