Workload Identity Federation (WIF) 뉴렐릭이 수명이 긴 키 대신 수명이 짧은 토큰을 사용하여 GCP 메트릭에 액세스할 수 있도록 합니다. 사용자 고유의 GCP 프로젝트에서 서비스 계정을 생성하고 제어하므로 뉴렐릭은 정적 자격 증명을 절대 저장하지 않습니다.
이 가이드에서는 뉴렐릭 UI를 통한 수동 설정에 대해 다룹니다. 코드형 인프라를 선호하는 경우 Terraform으로 자동화를 참조하십시오.
팁
이미 서비스 계정과 연결된 프로젝트가 있습니까? WIF를 사용하여 새 프로젝트를 함께 추가하십시오 ― 두 방법 모두 동일한 뉴렐릭 계정에서 작동합니다. 이 가이드에 따라 WIF 기반 연결을 추가하십시오.
요구 사항
통합을 위한 요구 사항은 다음과 같습니다:
요구 사항 | 세부 |
|---|---|
New Relic 계정 | 관리자 권한이 있는 뉴렐릭 계정이 필요합니다. 아직 계정이 없으시면, 뉴렐릭 계정을 생성하십시오. |
GCP API | GCP 프로젝트의 API & Services Library에서 5개의 API를 활성화하십시오: IAM, Security Token Service, Service Account Credentials, Stackdriver 모니터링, Asset. 링크가 포함된 전체 목록은 필수 GCP API 활성화를 참조하십시오. |
GCP permissions | 서비스 계정, 워크로드 아이덴티티 풀, IAM 바인딩을 생성할 수 있는 권한이 필요합니다 ― 일반적으로 Owner 또는 IAM Admin 역할입니다. |
서비스 계정 | Viewer, Service Usage Consumer, Cloud Asset Viewer, Folder Viewer 역할이 있는 서비스 계정을 생성합니다. 뉴렐릭은 메트릭을 읽기 위해 이 계정을 가장합니다. 설정 단계는 서비스 계정 생성 또는 선택을 참조하십시오. |
워크로드 Identity Pool | 뉴렐릭을 신뢰하도록 설정된 OIDC 공급자가 있는 WIF 풀입니다. 설정 마법사에서 이를 생성하는 방법을 안내합니다. 설정 단계는 워크로드 아이덴티티 풀 생성 부터 공급자 속성 설정까지를 참조하십시오. |
중요
보안 및 규정 준수 요구 사항으로 인해 계정이나 데이터가 FedRAMP에 해당하는 경우 뉴렐릭 GCP 통합을 사용해서는 안 됩니다. FedRAMP 규제 계정에서 이 기능을 사용하는 것은 엄격히 금지됩니다.
GCP 수동 통합
뉴렐릭에서 통합을 시작하십시오.
뉴렐릭의 Infrastructure > Google Cloud Platform (으)로 이동하십시오.
Add a GCP account (또는 첫 번째 통합인 경우 기본 작업 버튼)을 선택하십시오.
사용할 뉴렐릭 계정을 선택하십시오.
Select instrumentation method 아래에서 Workload Identity Federation 선택합니다.
Choose setup method 아래에서 Manually integrate your GCP project or folder 선택합니다.
필수 GCP API를 활성화하십시오.
GCP 프로젝트에서 이 5개의 API를 활성화하십시오. 이를 통해 뉴렐릭이 인증하고 데이터를 수집할 수 있습니다:
- IAM API: 서비스 계정 액세스 관리
- Security Token Service API: WIF 인증 중 토큰 교환
- 서비스 계정 자격 증명 API: 수명이 짧은 액세스 토큰 생성
- Stackdriver 모니터링 API: GCP 클라우드 모니터링에서 메트릭 읽기
- Asset API: 리소스 및 메타데이터 검색
- Cloud Resource Manager API: 폴더의
displayName가져오기
5개가 모두 활성화되면 확인란을 확인한 다음 Continue을(를) 선택하십시오.
서비스 계정을 생성하거나 선택합니다.
GCP 프로젝트에서 뉴렐릭이 가장할 서비스 계정을 생성하십시오:
GCP 콘솔에서 IAM & Admin > Service Accounts(으)로 이동하십시오.
새 서비스 계정을 생성하거나 기존 계정을 사용하십시오.
서비스 계정에 다음 역할을 할당하십시오:
Viewer
Service Usage Consumer
Cloud Asset Viewer
- Folder Viewer (폴더 수준에서 구성된 통합에만 필요)
Save 선택합니다.
중요
단일 연결을 통해 폴더의 모든 프로젝트를 모니터하려면 단일 프로젝트 대신 폴더에 이러한 역할을 부여하십시오. 폴더 수준에서 통합을 참조하십시오.
워크로드 아이덴티티 풀 생성
워크로드 아이덴티티 풀은 신뢰하는 외부 아이덴티티(예: 뉴렐릭)를 위한 컨테이너입니다.
- GCP 콘솔에서 IAM & Admin > Workload Identity Federation(으)로 이동하십시오.
- Get Started (또는 Create Pool)을 선택합니다.
- 풀 이름과 설명을 입력한 다음 풀을 활성화하십시오.
- Continue 선택합니다.
풀에 OIDC 공급자를 추가하십시오
이는 GCP가 뉴렐릭이 서명한 토큰을 신뢰하도록 지시합니다.
Select a provider 아래에서 OpenID Connect (OIDC) 선택합니다.
뉴렐릭 UI에서 GCP Console로 이 값들을 복사하십시오:
- Provider pool name: 뉴렐릭 설정 화면에 표시됩니다.
- Issuer URL: 뉴렐릭 설정 화면에 표시됩니다(예:
https://oidc.newrelic.com/r/gcp-cmp).
Allowed audiences에서 해당 항목을 선택하고 기본 대상은 선택하지 않은 상태로 유지하십시오.
뉴렐릭 UI에서 Audience URL 을(를) 복사하십시오.
Continue 선택합니다.
공급자 속성 구성
속성 매핑은 GCP에 뉴렐릭의 토큰을 읽는 방법을 알려줍니다. 이 두 가지 매핑을 추가하십시오:
| Google 속성 | OIDC 속성 |
|---|---|
google.subject | assertion.sub |
attribute.nr_account_id | assertion.nr_account_id |
뉴렐릭 UI에 계정 ID가 미리 채워져 표시됩니다. 이를 GCP의 조건 필드에 복사하십시오.
중요
속성 조건은 해당 뉴렐릭 계정만 이 풀을 사용할 수 있도록 보장합니다. 이 조건이 없으면 모든 뉴렐릭 계정이 GCP 프로젝트에 잠재적으로 액세스할 수 있습니다.
풀에 대한 액세스 권한을 부여하십시오.
뉴렐릭이 가장할 수 있도록 ID 풀을 서비스 계정에 연결하십시오:
풀 세부 정보에서 Grant Access을(를) 선택하십시오.
Grant access using service account impersonation을(를) 활성화하십시오.
서비스 계정 생성 또는 선택 단계에서 생성한 서비스 계정을 선택하십시오.
Add principals 아래에서 Principal with access 선택합니다.
뉴렐릭 계정 ID 값으로 ID 속성
nr_account_id을(를) 추가하십시오.Save 선택합니다.
설정 파일 다운로드 및 업로드
이 단계는 GCP 설정을 뉴렐릭에 연결합니다:
GCP 콘솔의 풀 Connected Service Accounts 섹션에서 서비스 계정을 선택하십시오.
다음 파라미터를 설정합니다:
- Service Provider: 방금 생성한 공급자를 선택하십시오.
- OIDC ID Token Path: 선택
/ - Format Type: JSON
JSON 파일을 가져오려면 Download Config 을 선택합니다.
뉴렐릭 설정 화면으로 돌아가 이 JSON 파일을 업로드합니다.
뉴렐릭은 테스트 인증을 통해 설정을 검증합니다. 성공하면 Connection succeeded 메시지가 표시됩니다.
중요
업로드 후 Continue 을(를) 선택하기 전에 브라우저 탭을 닫지 마십시오. 그렇게 하면 진행 상황이 손실됩니다.
프로젝트 및 서비스 선택
연결이 확인된 후:
뉴렐릭은 서비스 계정이 액세스할 수 있는 GCP 프로젝트를 나열합니다.
사용 가능한 서비스를 보려면 프로젝트를 확장하십시오.
모니터링할 서비스를 선택합니다.
데이터 수집을 시작하려면 Instrument 을(를) 선택하십시오.
서비스는 두 가지 범주로 나뉩니다:
Full entity support ― 메트릭, 엔티티 탐색기의 엔티티 및 대시보드.
Metrics only ― 뉴렐릭은 메트릭을 수집하지만 엔티티를 생성하지는 않습니다.
폴더 수준에서 통합
워크로드 아이덴티티 페더레이션을 사용하면 단일 프로젝트 또는 프로젝트의 전체 폴더를 통합할 수 있습니다. GCP에서는 폴더 수준에서 IAM 역할을 부여하면 해당 폴더 내의 모든 프로젝트가 이를 상속합니다. 따라서 단일 프로젝트 대신 폴더에 서비스 계정의 역할을 부여하면 뉴렐릭은 단일 연결을 통해 해당 폴더의 모든 프로젝트를 모니터할 수 있습니다.
이를 수행하려면 서비스 계정 생성 또는 선택 에서 단일 프로젝트가 아닌 폴더의 서비스 계정에 Viewer, Service Usage Consumer, Cloud Asset Viewer 및 Folder Viewer 역할을 부여하십시오. 프로젝트 및 서비스 선택에 도달하면 뉴렐릭은 해당 폴더의 모든 프로젝트를 나열하므로 모니터할 프로젝트를 선택할 수 있습니다.
GCP 데이터 보기
설정을 완료하면 뉴렐릭이 정기적인 폴링 간격으로 GCP 데이터 모니터링을 시작하며, 몇 분 후에 뉴렐릭 UI에 데이터가 표시됩니다. 데이터를 보고, 쿼리하고, 탐색하는 방법을 알아보려면 ― 대시보드, 알림 및 엔티티 포함 ― GCP 데이터 보기 및 쿼리를 참조하십시오.
여러 Google 프로젝트 연결
단일 WIF 설정은 서비스 계정에 권한이 있는 GCP 프로젝트에 대한 액세스 권한을 부여합니다. 설정 중에 뉴렐릭은 액세스 가능한 모든 프로젝트를 나열하므로 모니터할 프로젝트를 선택할 수 있습니다.
나중에 추가 GCP 프로젝트를 모니터하려면:
- 새 프로젝트가 동일한 GCP 조직에 있고 서비스 계정에 이미 액세스 권한이 있는 경우, Infrastructure > GCP > Manage services (으)로 이동하여 추가하십시오.
- 새 프로젝트에 다른 서비스 계정이나 ID 풀이 필요한 경우, 설정을 반복하여 새 WIF 연결을 생성하십시오.
서비스 관리
설정 후 각 프로젝트에 대해 모니터되는 서비스를 변경할 수 있습니다:
- one.newrelic.com > All capabilities > Infrastructure > GCP 으)로 이동합니다.
- 계정 옆의 Manage services 을(를) 선택하십시오.
- 프로젝트별로 서비스를 켜거나 끄십시오.
- 변경 사항을 저장합니다.
GCP 통합 비활성화 또는 연결 해제
개별 서비스를 비활성화하거나 뉴렐릭에서 GCP 프로젝트의 연결을 완전히 해제할 수 있습니다.
하나 이상의 GCP 서비스 비활성화
- Infrastructure > GCP > Manage services 으)로 이동합니다.
- 비활성화하려는 각 서비스의 확인란을 선택 취소하십시오.
- 변경 사항을 저장합니다.
GCP 계정을 완전히 연결 해제하십시오.
- Infrastructure > GCP > Manage services 으)로 이동합니다.
- Unlink this account 선택합니다.
- 변경 사항을 저장합니다.
뉴렐릭에서 연결을 해제한 후 GCP 측에서 다음을 정리하십시오:
- GCP 콘솔을 열고 IAM & Admin > Workload Identity Federation(으)로 이동하십시오.
- 뉴렐릭을 위해 생성한 ID 풀을 삭제하거나 해당 풀에서 OIDC 공급자를 제거하십시오.
- 서비스 계정이 오직 뉴렐릭만을 위해 생성된 경우 선택적으로 삭제하십시오.