Log Insight for vCenter: Installation des kostenlosen Logging-Tools für vSphere

Was kann LogInsight?

Wie Splunk kann Log Insight Systemverwalter darin unterstützen, Störfälle schneller zu erkennen und zu analysieren, wozu die Log-Daten der angeschlossenen Systeme und Komponenten intelligent korreliert werden. Optional arbeitet Log Insight dazu auch mit vRealize Operations Manager zusammen. Administratoren sind damit sogar in der Lage, Risikoanalysen durchzuführen oder Empfehlungen des Systems umzusetzen.

Da sich die Arbeitsweise nicht mehr klassisch am komfortablen Durchsuchen einzelner Logs- und Events orientiert, wozu man ja immer noch wissen muss, was wo steht, sondern mit Hilfe moderner analytischer Verfahren nach Mustern im aggregierten Repository stattfindet, kann Log Insight mit Hilfe so genannter Content Packs gezielt an spezielle Szenarien angepasst werden.

Eines der herausragendsten Merkmale von Log Insight ist daher der Content-Pack-Marketplace mit eine Vielzahl an Angeboten. Ein Content-Pack für vSphere wird übrigens bei Log Insight for vCenter standardmäßig eingerichtet.

Installation von Log Insight als Linux-Appliance

Log Insight für vCenter ist seit Frühjahr 2016 in Form einer virtuellen Linux-Appliance verfügbar und lässt sich sehr einfach aus dem vCenter oder vSphere-Client heraus als OVA-Datei ausrollen. Das Ausrollen von OVAs im Web-Client erfordert, dass das Java Client Integration Pluging (CIP) installiert ist.

Das Verfahren an sich sollte vSphere-Admins bekannt sein. Die Appliance basiert wie bei VMware inzwischen üblich auf Suse Linux Enterprise Server 11. Bei der Konfiguration der Appliance-Größe im vierten Schritt des Deployments führt die Default-Auswahl Small zu einer VM mit 4 vCPUs, 8GB RAM und 510 GB Speicherplatz. Thin provisioniert kann man aber bedenkenlos mit wenigen KB starten. Mit einer solchen Umgebungen lassen sich rund 200 ESXi-Host überwachen. Die ebenfalls verfügbare Auswahl Extra Small empfiehlt VMware ausdrücklich nur für experimentelle Zwecke.

Erste Konfiguration von Log Insight

Lässt man im Schritt Network-Properties sämtliche Einstellungen frei, wird das System via DHCP in die eigene Umgebung integriert. Das komplette Deployment ist ausführlich im Installation and Administration Guide der Version 1.0 (PDF) beschrieben. Wurde die Appliance ausgerollt, muss das System initial konfiguriert werden, wozu folgende Schritte notwendig sind:

1. Das Webinterface von Log Insight ist nach dem Deployment unter https://<log_insight-host> verfügbar. Beim ersten Aufruf startet automatisch ein initialer Erstkonfigurationsassistent, in dessen Verlauf der Nutzer das Passwort für den User admin festlegt, optional eine E-Mail-Adresse für den Empfang von Benachrichtigungen einrichtet und den Lizenzschlüssel einspielt. Am Customer Experience Improvement Program muss man nicht zwingend teilnehmen. Schließlich widmet man sich noch der Konfiguration eines Zeitservers und schließt den Erstkonfigurationsassistenten mit Click Save and Continue ab.
2. Nach dem zweiten, nunmehr regulären Login klickt man im Menü rechts oben neben admin auf Configuration und navigiert dann in der Menüstruktur links zum Bereich Integration und markiert dort vSphere. Hier haben Admins die Möglichkeit, sich mit Add vCenter Server mit dem gewünschten vCenter zu verbinden, wozu die entsprechenden Account-Daten eingetragen werden müssen. Als Ergebnis werden Events, Tasks und Alarme des angegebenen vCenters abgegriffen und an die Log-Insight-Maschine übermittelt. Die Log-Dateien des vCenter Servers hingegen müssen gegebenenfalls separat an den Log-Insight-Agenten übermittelt werden, wie in Schritt 5 beschrieben.
3. An dieser Stelle kann mit dem Häkchen bei Configure ESXi hosts to send logs to Log Insight außerdem dafür gesorgt werden, dass die im Folgenden bei Advanced Options mit Configure all ESXi hosts hinzuzufügenden ESXi-Host ihre Log-Dateien an Log Insight übermitteln. Diese Einstellung hat zur Folge, dass das System automatisch für jeden angegeben Host den Eintrag syslog.global.LogHost=udp://<LogInsight-Host>:514 in den erweiterten Einstellungen des jeweiligen Hosts vornimmt.
4. Möchte man, dass auch die vCenter-Logs an Log Insight übertragen werden, wechselt man zum vCenter Web Client, markiert im Menü Administration unter System Configuration den Eintrag Services und wählt den Dienst VMware Syslog Service aus. Dann markiert man auf der rechten Seite den Reiter Manage, klickt auf Edit und trägt wie bereits im dritten Schritt gezeigt analog die Daten des Log-Insight-Hosts ein.
5. Die im vierten Schritt getroffenen Einstellungen zum Weiterleiten der Log-Dateien betreffen allerdings nicht die Datei vpxd.log. Um auch diese zentrale Log-Datei des vCenter-Daemons weiterzuleiten, markiert man das vCenter-Server-Objekt im Inventory und navigiert zu Manage/Settings/Advanced Settings. Der Parameter, um den es geht, heißt config.alert.log.outputToSyslog und muss von False (Default) auf True gesetzt werden. Dies erfordert allerdings (im Gegensatz zum vierten Schritt) einen Reboot des vCenter-Servers.

An dieser Stelle ist Log Insight für vCenter jetzt ausgerollt und für den Ersteinsatz konfiguriert. Im nächsten Schritt geht es darum, sich mit Dashboards, interaktiven Analysen und Content Packs auseinanderzusetzen.

Folgen Sie SearchDataCenter.de auch auf Twitter, Google+, Xing und Facebook!