Projetando a observabilidade para servidores virtuais d IBM Cloud VPC

Saiba como implementar a observabilidade para instâncias de servidores virtuais no IBM Cloud VPC, garantindo visibilidade e insights sobre métricas, logs e rastreamentos, o que permite a detecção proativa de problemas e uma análise mais rápida da causa raiz.

A observabilidade em IBM Cloud® fornece a visibilidade e os insights necessários para monitorar, solucionar problemas e otimizar aplicativos e infraestrutura em ambientes híbridos e multinuvem. Ele vai além do monitoramento tradicional, oferecendo visibilidade de ponta a ponta em métricas, registros e rastreamentos, permitindo a detecção proativa de problemas e uma análise mais rápida da causa raiz.

IBM Cloud as soluções de observabilidade, incluindo IBM Cloud Monitoring e IBM Cloud Logs, oferecem uma visão abrangente da integridade e do desempenho do sistema. Esses serviços ajudam as organizações a garantir a confiabilidade dos aplicativos, manter a conformidade com a segurança e melhorar a eficiência operacional por meio de painéis de controle em tempo real, alertas e análises avançadas. O diagrama a seguir mostra os principais elementos da arquitetura de observabilidade.

IBM Cloud VPC Observabilidade do VSI Observabilidade do VSI Observabilidade do VSI
IBM Cloud VPC

IBM Cloud Security and Compliance Center Workload Protection

IBM Cloud Security and Compliance Center Workload Protection oferece monitoramento de segurança e detecção de ameaças para cargas de trabalho no IBM Cloud, incluindo máquinas virtuais (VMs) nos ambientes de virtualização da Nuvem Privada Virtual (VPC) e do Red Hat OpenShift.

O agente de proteção de carga de trabalho descobre e prioriza vulnerabilidades de software, detecta e responde a ameaças de tempo de execução e gerencia configurações, permissões e requisitos de conformidade para máquinas virtuais hospedadas e cargas de trabalho em contêineres. Para obter mais informações, consulte Primeiros passos com IBM Cloud Security and Compliance Center Workload Protection

Implantação e recursos

Para ativar a proteção da carga de trabalho, provisione uma instância do serviço IBM Cloud Security and Compliance Center Workload Protection em IBM Cloud. Após o provisionamento, implante o agente para coletar dados de segurança e conformidade em sua infraestrutura. A tabela a seguir detalha os recursos que o agente oferece.

IBM Cloud Security and Compliance Center Workload Protection recursos
Recursos Descrição
Varredura de Vulnerabilidade Identificar vulnerabilidades de segurança em imagens, pacotes e aplicativos
Detecção de intrusão Detectar ameaças de tempo de execução e comportamentos anômalos
Gerenciamento de postura Validar as configurações de segurança e as políticas de conformidade
Resposta de incidente Investigar e responder a eventos de segurança com dados forenses
Validação de conformidade Avalie a conformidade com as estruturas regulatórias e os padrões do setor

Essa abordagem unificada permite que as organizações acelerem a adoção da nuvem híbrida e, ao mesmo tempo, atendam aos requisitos de segurança e conformidade normativa em ambientes de nuvem, locais, máquinas virtuais, contêineres e Kubernetes.

Consulte “Gerenciamento do agente de Proteção de Carga de Trabalho no Linux ” em Power Virtual Server e “Gerenciamento do agente de Proteção de Carga de Trabalho em servidores Windows ”.

Para uma instância de servidor virtual d IBM Cloud VPC, com uma imagem do sistema operacional Linux fornecida pelo IBM®, siga o guia em “Gerenciando o agente de proteção de carga de trabalho” em Linux no site Power Virtual Server para instalar e implantar o agente de proteção de carga de trabalho e conectá-lo à instância de proteção de carga de trabalho.

Para a instância do servidor virtual IBM Cloud VPC com uma imagem do sistema operacional Windows fornecida pela IBM, siga o guia em Gerenciamento do agente de proteção de carga de trabalho em servidores Windows para concluir a instalação. No entanto, algumas imagens de sistema operacional fornecidas pela instância do servidor virtual IBM Cloud VPC têm limitações. Talvez você precise seguir as práticas recomendadas ou soluções alternativas para facilitar a implementação do agente. Para imagens não abordadas nas seções a seguir, o guia geral funciona como esperado.

Para uma imagem personalizada fornecida pelo cliente que é carregada na plataforma de instância de servidor virtual IBM Cloud VPC, primeiro siga as etapas padrão do guia e, em seguida, resolva as lacunas individualmente. Se necessário, abra um tíquete de suporte para a instância de proteção da carga de trabalho.

ibm-centos-stream-9-amd64-13

A versão padrão do kernel do sistema operacional CentOS com essa imagem não tem um pacote kernel-devel correspondente. Como resultado, a etapa de instalação no guia, sudo yum -y install kernel-devel-$(uname -r), falha. Use a seguinte solução alternativa:

  • Execute sudo dnf list --showduplicates kernel-devel para listar as versões do patch do kernel para a versão atual do CentOS. Em seguida, execute sudo yum install kernel-<LATEST_KERNEL_PATCH_VERSION> para atualizar a versão do kernel (por exemplo, a partir de fevereiro de 2026, use 5.14.0-665.el9.x86_64, e o comando para executá-lo é sudo yum install kernel-5.14.0-665.el9). Em seguida, reinicie a instância do servidor virtual.
  • Execute uname -r para verificar se a versão do kernel está atualizada. Siga o guia geral para instalar o pacote kernel-devel e, em seguida, faça o download e instale o agente na instância do servidor virtual, que deve ser aprovado sem problemas.

ibm-centos-stream-10-amd64-5

O mesmo problema que afeta o CentOS 9 também se aplica à imagem do CentOS 10. Além da solução descrita anteriormente, um problema adicional afeta a instalação do agente do sistema operacional CentOS 10: o pacote dkms necessário tem uma chave GPG incompatível com o CentOS 10 e nenhuma versão mais recente fornece uma chave compatível. Antes de seguir o guia geral para fazer download e instalar o agente, execute sudo dnf install --nogpgcheck dkms para instalar o dkms sem uma verificação GPG.

ibm-debian-13-2-minimal-amd64-1

O guia geral funciona principalmente para a imagem do sistema operacional Debian 13. No entanto, você deve executar o site sudo apt-get update para atualizar os pacotes para as versões mais recentes e evitar falhas na obtenção do repositório, como:

E: Failed to fetch http://mirrors.adn.networklayer.com/debian-security/pool/updates/main/c/curl/libcurl4_7.74.0-1.3%2bdeb11u15_amd64.deb  404  Not Found [IP: 161.26.0.6 80]
E: Failed to fetch http://mirrors.adn.networklayer.com/debian-security/pool/updates/main/c/curl/curl_7.74.0-1.3%2bdeb11u15_amd64.deb  404  Not Found [IP: 161.26.0.6 80]
E: Unable to fetch some archives, mightbe run apt-get update or try with --fix-missing?

ibm-debian-12-12-minimal-amd64-1

O guia geral funciona principalmente para a imagem do sistema operacional Debian 12. No entanto, você deve executar sudo apt install curl para instalar o pacote curl, que é necessário para fazer o download do instalador do agente.

ibm-debian-11-11-minimal-amd64-5

O problema que afeta Debian 13 e Debian 12 também se aplica à imagem do sistema operacional Debian 11. Antes de seguir o guia geral, execute sudo apt-get update e sudo apt install curl para solucionar essas lacunas.

ibm-fedora-coreos-43-testing-1 e ibm-fedora-coreos-43-stable-1

As imagens do Fedora CoreOS que são oferecidas pela instância do servidor virtual IBM Cloud VPC usam um sistema Fedora Bootc (imutável) somente de leitura. De acordo com o site Fedora CoreOS Perguntas frequentes.

O Fedora CoreOS é voltado principalmente para contêineres e não incentiva a instalação adicional no sistema operacional básico. Como resultado, não há suporte para as integrações do SCC em instâncias de servidores virtuais que usam essas imagens.

ibm-redhat-ai-nvidia-1-5-2-amd64-1 e ibm-redhat-ai-intel-1-5-1-amd64-1

Ambas as imagens do sistema operacional Red Hat AI não são registradas em um servidor de repositório autorizado porque as versões atuais do Red Hat não incluem a infraestrutura interna necessária. Elas são oferecidas como imagens CoreOS e não oferecem suporte à instalação de aplicativos personalizados, semelhante ao Fedora CoreOS.

O método atual de instalação do agente requer um repositório registrado, que não está disponível para essas imagens do sistema operacional. Cloud Security and Compliance Center A injeção de agente não é compatível com essas imagens do sistema operacional até que um repositório seja registrado.

ibm-rocky-linux-9-6-minimal-amd64-3

Os problemas que afetam o CentOS 9 também se aplicam ao Rocky Linux 9. Use a mesma solução alternativa executando sudo dnf list --showduplicates kernel-devel para obter a versão mais recente do patch e, em seguida, executando sudo dnf install kernel-<LATEST_KERNEL_PATCH_VERSION> para atualizar o kernel (por exemplo, até fevereiro de 2026, a versão mais recente do patch é 5.14.0-611.27.1.el9_7 e o comando a ser emitido é sudo dnf install kernel-5.14.0-611.27.1.el9_7). Após a atualização do kernel, reinicie a instância do servidor virtual.

ibm-rocky-linux-10-minimal-amd64-3

Os problemas que afetam o CentOS 10 também se aplicam ao Rocky Linux 10. Depois de atualizar o kernel para a versão mais recente do patch (por exemplo, 6.12.0-124.31.1.el10_1 a partir de fevereiro de 2026, e o comando a ser emitido é sudo dnf install kernel-6.12.0-124.31.1.el10_1), reinicie a instância do servidor virtual. Em seguida, instale o pacote dkms executando sudo dnf install --nogpgcheck dkms antes de fazer o download e implantar o agente.

ibm-sles-16-amd64-1

Problemas semelhantes que afetam o CentOS 9 também se aplicam à imagem SUSE Linux Enterprise Server 16. Siga estas etapas como uma solução alternativa:

  • Execute sudo zypper search -s kernel-*-devel para listar e obter a versão mais recente do patch do kernel (por exemplo, 6.12.0-160000.9.1 a partir de fevereiro de 2026).
  • Execute sudo zypper install kernel-<LATEST_KERNEL_PATCH_VERSION> para atualizar o kernel (por exemplo, o comando é sudo zypper install kernel-default-6.12.0-160000.9.1 a partir de fevereiro de 2026).
  • Reinicie a instância do servidor virtual.
  • Execute uname -r para ter certeza de que o kernel foi atualizado.
  • Execute sudo zypper install kernel-devel para instalar o pacote kernel-devel como um substituto para a primeira etapa do guia geral.

Em seguida, siga as etapas restantes.

ibm-sles-15-7-amd64-3

Os problemas que afetam SUSE Linux Enterprise Server 16 também se aplicam à imagem SUSE Linux Enterprise Server 15.7. Além das etapas anteriores (até fevereiro de 2026, a versão do patch do kernel para atualizar para 6.4.0-150700.53.31.1), um outro problema deve ser resolvido: a imagem atual do SLES 15 não inclui os repositórios locais necessários para o pacote kernel-syms, o que causa falha na instalação do agente. Antes de fazer o download e instalar o agente, execute a seguinte etapa:

  • Execute os seguintes comandos para configurar dois repositórios locais que contêm o pacote kernel-syms:
sudo SUSEConnect -p sle-module-desktop-applications/15.7/x86_64
sudo SUSEConnect -p sle-module-development-tools/15.7/x86_64

ibm-sles-15-6-amd64-6

Os mesmos problemas que afetam a imagem SUSE Linux Enterprise Server 15.7 também se aplicam à imagem SLES 15.6. Siga as mesmas etapas para resolver as lacunas. Considere as diferenças a seguir:

  • A versão do patch do kernel a ser atualizada para o fluxo de patches 15.6. Por exemplo, até fevereiro de 2026, a versão recomendada é 6.4.0-150600.23.81.3.
  • Até fevereiro de 2026, a versão do pacote kernel-devel deverá ser atualizada para a versão 6.4.0-150600.23.81.2 e a mesma versão de correção do kernel não estará disponível no momento. Ele pode se tornar consistente novamente em uma versão posterior.
  • Os dois comandos a serem executados para instalar o pacote kernel-syms são:
sudo SUSEConnect -p sle-module-desktop-applications/15.6/x86_64
sudo SUSEConnect -p sle-module-development-tools/15.6/x86_64

ibm-sles-15-7-amd64-sap-hana-3 e ibm-sles-15-7-amd64-sap-applications-3

Os aplicativos SUSE Linux Enterprise Server 15.7 para SAP Hana e SUSE Linux Enterprise Server 15.7 para SAP compartilham exatamente a mesma solução alternativa com o SLES 15.7, conforme descrito anteriormente.

ibm-sles-15-6-amd64-sap-hana-6 e ibm-sles-15-6-amd64-sap-applications-6

As imagens de SUSE Linux Enterprise Server 15.6 para SAP Hana e SUSE Linux Enterprise Server 15.6 para SAP Applications usam uma solução semelhante à descrita para o SLES 15.6. No entanto, existem as seguintes diferenças importantes:

  • Essas duas imagens de sistema operacional contêm repositórios locais adicionais para os pacotes SAP. Como resultado, a última versão disponível do patch do kernel é diferente da imagem geral do SLES 15.6. Por exemplo, até fevereiro de 2026, a versão do patch de atualização é 6.4.0-150600.23.87.1.
  • Os repositórios locais adicionais também incluem o pacote kernel-syms, portanto, não são necessários comandos adicionais para instalar os repositórios locais.

ibm-sles-15-5-amd64-sap-hana-11 e ibm-sles-15-5-amd64-sap-applications-11

As imagens para SUSE Linux Enterprise Server 15.5 para SAP Hana e SUSE Linux Enterprise Server 15.5 para SAP Applications usam uma solução semelhante à descrita para SLES 15.6, com pequenas diferenças:

  • Atualmente, as imagens fornecem a versão mais recente do fluxo de patches 15.5 (por exemplo, até fevereiro de 2026, é 5.14.21-150500.55.136.1).
  • Você não precisa atualizar a versão do kernel.
  • Você pode instalar o pacote kernel-devel diretamente antes de executar os comandos para instalar e implantar o agente SCC.

ibm-sles-15-4-amd64-sap-hana-16 e ibm-sles-15-4-amd64-sap-applications-16

As imagens para SUSE Linux Enterprise Server 15.4 para SAP Hana e SUSE Linux Enterprise Server 15.4 para SAP Applications usam uma solução semelhante à descrita para SLES 15.6, com pequenas diferenças:

  • Atualmente, as imagens fornecem a versão mais recente do fluxo de patches 15.4 (por exemplo, até fevereiro de 2026, é 5.14.21-150400.24.194.1).
  • Você não precisa atualizar a versão do kernel.
  • Você pode instalar o pacote kernel-devel diretamente antes de executar os comandos para instalar e implantar o agente SCC.

ibm-sles-15-3-amd64-sap-hana-14 e ibm-sles-15-3-amd64-sap-applications-15

Os aplicativos SUSE Linux Enterprise Server 15.3 para SAP Hana e SUSE Linux Enterprise Server 15.3 para SAP compartilham uma solução semelhante à descrita para o SLES 15.6 para SAP, com pequenas diferenças:

  • Use o patch do kernel mais recente do fluxo de versão 15.3. Por exemplo, até fevereiro de 2026, a versão é 5.3.18-150300.59.229.3.
The description for Event ID <ID> from source SysdigHostShield cannot be found. Either the component that raises this event is not installed on your local computer or the installation is corrupted. You can install or repair the component on the local computer.
If the event originated on another computer, the display information had to be saved with the event.
The following information was included with the event:
unable to load the configuration: sysdig_endpoint.api_url: '<SCC_API_HOST>' is not valid 'uri'
The message resource is present but the message was not found in the message table.

IBM Cloud Monitoring e registros

IBM Cloud Monitoring e Logs fornecem observabilidade nativa da nuvem para aplicativos e infraestrutura em execução no site IBM Cloud, incluindo máquinas virtuais em VPC e virtualização Red Hat OpenShift.

IBM Cloud Monitoring e IBM Cloud Logs detalhes
Serviço Descrição Coleta de métricas de implantação de agentes
IBM Cloud Monitoring IBM Cloud Monitoring é um sistema de gerenciamento de inteligência de contêineres nativo da nuvem que oferece visibilidade operacional do desempenho e da integridade de aplicativos, serviços e plataformas. Ele oferece aos administradores, equipes do DevOps e desenvolvedores uma telemetria de pilha completa com recursos avançados para monitoramento, solução de problemas, alertas e criação de painéis personalizados. Para monitorar a infraestrutura, as redes e os aplicativos, implemente agentes de monitoramento em hosts compatíveis. O tipo de agente depende da plataforma do host e determina quais métricas são coletadas automaticamente. Quando um agente de monitoramento é configurado, as métricas padrão são coletadas automaticamente, incluindo metadados para rotulagem, segmentação e filtragem. Não é necessária nenhuma instrumentação adicional para obter insights dessas métricas coletadas automaticamente. Para obter mais informações, consulte Introdução ao IBM Cloud Monitoring, Monitoramento de um ambiente Windows e Monitoramento de uma instância de servidor VPC Ubuntu Linux.
IBM Cloud Logs IBM Cloud Logs é um serviço de observabilidade projetado para ajudar as organizações a monitorar, solucionar problemas, analisar e alertar sobre o desempenho de aplicativos e infraestrutura em tempo real e por períodos prolongados. Ao coletar e analisar logs de aplicativos, servidores, bancos de dados e sistemas de TI nativos da nuvem, o IBM Cloud Logs fornece insights acionáveis sobre o comportamento do sistema. IBM Cloud Logs Oferece suporte à coleta de logs de:

  • Serviços e recursos de IBM Cloud
  • Infraestrutura local
  • Provedores de nuvem de terceiros
  • Logs de segurança e auditoria gerados em IBM Cloud

Para coletar logs, implante o agente IBM Cloud Logs em hosts compatíveis. O tipo de agente depende da plataforma do host e determina quais logs são coletados automaticamente. Quando um agente do IBM Cloud Logs é configurado, os registros são coletados automaticamente e enviados à sua instância do IBM Cloud Logs para análise e geração de alertas.

Para obter mais informações, consulte “Introdução ao IBM Cloud Logs ” e “Configuração do agente IBM Cloud Logs ”.

Para instâncias de servidores virtuais do IBM Cloud Linux e instâncias de servidores virtuais do Windows do IBM Cloud, o agente utilizado com o IBM Cloud Logs oferece suporte tanto à chave da interface de programação de aplicativos (API) do Service ID quanto aos métodos de autenticação por Perfis Confiáveis.

Benefícios combinados de observabilidade

IBM Cloud usa um único agente unificado que coleta dados de segurança (para proteção da carga de trabalho) e dados de métricas (para IBM Cloud Monitoring ). Tenha em mente os seguintes pontos-chave:

  • Não implemente várias instâncias do agente no mesmo host. No entanto, ao conectar as instâncias, um único agente pode coletar dados de segurança e de métricas.
  • Você pode conectar apenas uma instância de monitoramento a uma instância de proteção de carga de trabalho, e ambas devem estar na mesma região.

A tabela a seguir lista os componentes do agente unificado.

Componentes do agente unificado
Componente Descrição
Para monitoramento (métricas)
  • Agente: Coleta métricas de contêineres, pods, nós e recursos Kubernetes
  • Integração Prometheus: Coleta de métricas personalizadas
  • Metadados do cluster: Marcação automática com nome e contexto do cluster
Para proteção da carga de trabalho (segurança)
  • Analisador Node: Inclui o Host Scanner e o analisador Kubernetes Security Posture Management (KSPM)
  • Host Scanner: Detecta vulnerabilidades e identifica a prioridade de correção com base nas versões corrigidas disponíveis e na gravidade
  • Analisador KSPM: Kubernetes Security Posture Management para análise de conformidade e configuração
  • Cluster Shield: Componente de segurança em tempo de execução

A tabela a seguir descreve os recursos de observabilidade disponíveis quando você implanta o agente unificado (para IBM Cloud Monitoring e proteção de carga de trabalho) e o agente IBM Cloud Logs em instâncias de servidor virtual VPC.

Observabilidade fornecida pelo agente unificado
Observabilidade Descrição
Visibilidade de pilha completa Monitorar desde a infraestrutura até as camadas de aplicativos
Insights correlacionados Correlacione métricas e registros para uma análise mais rápida da causa raiz
Painéis unificados Visualize métricas e registros no console integrado IBM Cloud
Alerta personalizado Configure alertas com base em limites de métricas e padrões de registro
Retenção de longo prazo Armazenar dados históricos para análise de tendências e conformidade
Gerenciamento centralizado Gerencie a observabilidade em ambientes híbridos e multinuvem a partir de uma única plataforma
Varredura de Vulnerabilidade Identificar vulnerabilidades de segurança em imagens, pacotes e aplicativos
Detecção de intrusão Detectar ameaças de tempo de execução e comportamentos anômalos
Gerenciamento de postura Validar as configurações de segurança e as políticas de conformidade
Resposta de incidente Investigar e responder a eventos de segurança com dados forenses
Validação de conformidade Avalie a conformidade com as estruturas regulatórias e os padrões do setor

Próximas etapas

Agora que você entende o design de observabilidade para instâncias de servidor virtual VPC, explore estes tópicos relacionados: