cookbooks/prometheus/recipes/server.rb

   1 #
   2 # Cookbook:: prometheus
   3 # Recipe:: server
   4 #
   5 # Copyright:: 2020, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "apache"
  21 include_recipe "apt::grafana"
  22 include_recipe "awscli"
  23 include_recipe "networking"
  24
  25 passwords = data_bag_item("prometheus", "passwords")
  26 tokens = data_bag_item("prometheus", "tokens")
  27 aws_credentials = data_bag_item("prometheus", "aws")
  28 admins = data_bag_item("apache", "admins")
  29
  30 prometheus_exporter "fastly" do
  31   port 8080
  32   listen_switch "listen"
  33   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  34 end
  35
  36 prometheus_exporter "fastly_healthcheck" do
  37   port 9696
  38   scrape_interval "1m"
  39   scrape_timeout "1m"
  40   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  41 end
  42
  43 prometheus_exporter "statuscake" do
  44   port 9595
  45   scrape_interval "5m"
  46   scrape_timeout "2m"
  47   environment "STATUSCAKE_APIKEY" => tokens["statuscake"]
  48 end
  49
  50 template "/etc/prometheus/cloudwatch.yml" do
  51   source "cloudwatch.yml.erb"
  52   owner "root"
  53   group "root"
  54   mode "644"
  55 end
  56
  57 prometheus_exporter "cloudwatch" do
  58   address "127.0.0.1"
  59   port 5000
  60   listen_switch "listen-address"
  61   options %w[
  62     --config.file=/etc/prometheus/cloudwatch.yml
  63     --enable-feature=aws-sdk-v2
  64     --enable-feature=always-return-info-metrics
  65   ]
  66   environment "AWS_ACCESS_KEY_ID" => aws_credentials["cloudwatch_access_key_id"],
  67               "AWS_SECRET_ACCESS_KEY" => aws_credentials["cloudwatch_secret_access_key"]
  68   subscribes :restart, "template[/etc/prometheus/cloudwatch.yml]"
  69 end
  70
  71 cache_dir = Chef::Config[:file_cache_path]
  72
  73 prometheus_version = "3.15.0"
  74 alertmanager_version = "0.34.1"
  75 karma_version = "0.133"
  76
  77 directory "/opt/prometheus-server" do
  78   owner "root"
  79   group "root"
  80   mode "755"
  81 end
  82
  83 prometheus_arch = if arm?
  84                     "arm64"
  85                   else
  86                     "amd64"
  87                   end
  88
  89 remote_file "#{cache_dir}/prometheus.linux.tar.gz" do
  90   source "https://github.com/prometheus/prometheus/releases/download/v#{prometheus_version}/prometheus-#{prometheus_version}.linux-#{prometheus_arch}.tar.gz"
  91   owner "root"
  92   group "root"
  93   mode "644"
  94   backup false
  95 end
  96
  97 archive_file "#{cache_dir}/prometheus.linux.tar.gz" do
  98   action :nothing
  99   destination "/opt/prometheus-server/prometheus"
 100   overwrite true
 101   strip_components 1
 102   owner "root"
 103   group "root"
 104   subscribes :extract, "remote_file[#{cache_dir}/prometheus.linux.tar.gz]", :immediately
 105 end
 106
 107 remote_file "#{cache_dir}/alertmanager.linux.tar.gz" do
 108   source "https://github.com/prometheus/alertmanager/releases/download/v#{alertmanager_version}/alertmanager-#{alertmanager_version}.linux-#{prometheus_arch}.tar.gz"
 109   owner "root"
 110   group "root"
 111   mode "644"
 112   backup false
 113 end
 114
 115 archive_file "#{cache_dir}/alertmanager.linux.tar.gz" do
 116   action :nothing
 117   destination "/opt/prometheus-server/alertmanager"
 118   overwrite true
 119   strip_components 1
 120   owner "root"
 121   group "root"
 122   subscribes :extract, "remote_file[#{cache_dir}/alertmanager.linux.tar.gz]", :immediately
 123 end
 124
 125 remote_file "#{cache_dir}/karma-linux.tar.gz" do
 126   source "https://github.com/prymitive/karma/releases/download/v#{karma_version}/karma-linux-#{prometheus_arch}.tar.gz"
 127   owner "root"
 128   group "root"
 129   mode "644"
 130   backup false
 131 end
 132
 133 archive_file "#{cache_dir}/karma-linux.tar.gz" do
 134   action :nothing
 135   destination "/opt/prometheus-server/karma"
 136   overwrite true
 137   owner "root"
 138   group "root"
 139   subscribes :extract, "remote_file[#{cache_dir}/karma-linux.tar.gz]", :immediately
 140 end
 141
 142 search(:node, "roles:gateway") do |gateway|
 143   allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 144
 145   node.default[:networking][:wireguard][:peers] << {
 146     :public_key => gateway[:networking][:wireguard][:public_key],
 147     :allowed_ips => allowed_ips,
 148     :endpoint => "#{gateway.name}:51820"
 149   }
 150 end
 151
 152 jobs = {}
 153 junos_targets = []
 154 snmp_targets = []
 155
 156 search(:node, "recipes:prometheus\\:\\:default").sort_by(&:name).each do |client|
 157   if client[:prometheus][:mode] == "wireguard"
 158     node.default[:networking][:wireguard][:peers] << {
 159       :public_key => client[:networking][:wireguard][:public_key],
 160       :allowed_ips => client[:networking][:wireguard][:address],
 161       :endpoint => "#{client.name}:51820"
 162     }
 163   end
 164
 165   client[:prometheus][:exporters].each do |key, exporter|
 166     if exporter.is_a?(Hash)
 167       name = exporter[:name]
 168       address = exporter[:address]
 169       sni = exporter[:sni]
 170       labels = Array(exporter[:labels])
 171       scrape_interval = exporter[:scrape_interval]
 172       scrape_timeout = exporter[:scrape_timeout]
 173       metric_relabel = exporter[:metric_relabel] || []
 174     else
 175       name = key
 176       address = exporter
 177       sni = nil
 178       labels = []
 179       scrape_interval = nil
 180       scrape_timeout = nil
 181       metric_relabel = []
 182     end
 183
 184     jobs[name] ||= []
 185     jobs[name] << {
 186       :address => address,
 187       :sni => sni,
 188       :instance => client.name.split(".").first,
 189       :labels => labels,
 190       :scrape_interval => scrape_interval,
 191       :scrape_timeout => scrape_timeout,
 192       :metric_relabel => metric_relabel
 193     }
 194   end
 195
 196   Hash(client[:prometheus][:junos]).each do |instance, details|
 197     junos_targets << {
 198       :instance => instance,
 199       :target => details[:address],
 200       :address => client[:prometheus][:addresses]["junos"],
 201       :labels => Array(details[:labels])
 202     }
 203   end
 204
 205   Hash(client[:prometheus][:snmp]).each do |instance, details|
 206     snmp_targets << {
 207       :instance => instance,
 208       :target => details[:address],
 209       :modules => details[:modules],
 210       :address => client[:prometheus][:addresses]["snmp"],
 211       :labels => Array(details[:labels])
 212     }
 213   end
 214 end
 215
 216 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 217   n[:letsencrypt][:certificates].each do |name, details|
 218     c[name] ||= details.merge(:nodes => [])
 219
 220     c[name][:nodes] << {
 221       :name => n[:fqdn],
 222       :address => n.external_ipaddress || n.internal_ipaddress
 223     }
 224   end
 225 end
 226
 227 template "/etc/prometheus/ssl.yml" do
 228   source "ssl.yml.erb"
 229   owner "root"
 230   group "root"
 231   mode "644"
 232   variables :certificates => certificates
 233 end
 234
 235 prometheus_exporter "ssl" do
 236   address "127.0.0.1"
 237   port 9219
 238   options "--config.file=/etc/prometheus/ssl.yml"
 239   register_target false
 240 end
 241
 242 package "prometheus"
 243
 244 systemd_service "prometheus-executable" do
 245   service "prometheus"
 246   dropin "executable"
 247   exec_start "/opt/prometheus-server/prometheus/prometheus --config.file=/etc/prometheus/prometheus.yml --web.enable-admin-api --web.external-url=https://prometheus.openstreetmap.org/prometheus --storage.tsdb.path=/var/lib/prometheus/metrics2 --storage.tsdb.retention.time=540d --config.auto-reload"
 248   timeout_stop_sec 300
 249   notifies :restart, "service[prometheus]"
 250 end
 251
 252 template "/etc/prometheus/prometheus.yml" do
 253   source "prometheus.yml.erb"
 254   owner "root"
 255   group "root"
 256   mode "644"
 257   variables :jobs => jobs, :junos_targets => junos_targets, :snmp_targets => snmp_targets, :certificates => certificates
 258 end
 259
 260 template "/etc/prometheus/alert_rules.yml" do
 261   source "alert_rules.yml.erb"
 262   owner "root"
 263   group "root"
 264   mode "644"
 265 end
 266
 267 service "prometheus" do
 268   action [:enable, :start]
 269   subscribes :restart, "archive_file[#{cache_dir}/prometheus.linux.tar.gz]"
 270 end
 271
 272 systemd_service "prometheus-alertmanager" do
 273   description "Prometheus alert manager"
 274   type "simple"
 275   user "prometheus"
 276   exec_start "/opt/prometheus-server/alertmanager/alertmanager --config.file=/etc/prometheus/alertmanager.yml --storage.path=/var/lib/prometheus/alertmanager --web.external-url=https://prometheus.openstreetmap.org/alertmanager"
 277   exec_reload "/bin/kill -HUP $MAINPID"
 278   timeout_stop_sec 20
 279   restart "on-failure"
 280   notifies :restart, "service[prometheus-alertmanager]"
 281 end
 282
 283 link "/usr/local/bin/promtool" do
 284   to "/opt/prometheus-server/prometheus/promtool"
 285 end
 286
 287 template "/etc/prometheus/alertmanager.yml" do
 288   source "alertmanager.yml.erb"
 289   owner "root"
 290   group "root"
 291   mode "644"
 292 end
 293
 294 directory "/var/lib/prometheus/alertmanager" do
 295   owner "prometheus"
 296   group "prometheus"
 297   mode "755"
 298 end
 299
 300 service "prometheus-alertmanager" do
 301   action [:enable, :start]
 302   subscribes :reload, "template[/etc/prometheus/alertmanager.yml]"
 303   subscribes :restart, "systemd_service[prometheus-alertmanager]"
 304   subscribes :restart, "archive_file[#{cache_dir}/alertmanager.linux.tar.gz]"
 305 end
 306
 307 directory "/etc/amtool" do
 308   owner "root"
 309   group "root"
 310   mode "755"
 311 end
 312
 313 template "/etc/amtool/config.yml" do
 314   source "amtool.yml.erb"
 315   owner "root"
 316   group "root"
 317   mode "644"
 318 end
 319
 320 link "/usr/local/bin/amtool" do
 321   to "/opt/prometheus-server/alertmanager/amtool"
 322 end
 323
 324 template "/etc/prometheus/karma.yml" do
 325   source "karma.yml.erb"
 326   owner "root"
 327   group "root"
 328   mode "644"
 329 end
 330
 331 systemd_service "prometheus-karma" do
 332   description "Alert dashboard for Prometheus Alertmanager"
 333   user "prometheus"
 334   exec_start "/opt/prometheus-server/karma/karma-linux-#{prometheus_arch} --config.file=/etc/prometheus/karma.yml"
 335   sandbox :enable_network => true
 336   restart "on-failure"
 337 end
 338
 339 service "prometheus-karma" do
 340   action [:enable, :start]
 341   subscribes :restart, "template[/etc/prometheus/karma.yml]"
 342   subscribes :restart, "archive_file[#{cache_dir}/karma-linux.tar.gz]"
 343   subscribes :restart, "systemd_service[prometheus-karma]"
 344 end
 345
 346 package "grafana-enterprise"
 347
 348 template "/etc/grafana/grafana.ini" do
 349   source "grafana.ini.erb"
 350   owner "root"
 351   group "grafana"
 352   mode "640"
 353   variables :passwords => passwords
 354 end
 355
 356 systemd_service "grafana-server-wait-for-port" do
 357   service "grafana-server"
 358   dropin "wait-for-port"
 359   type "notify"
 360 end
 361
 362 service "grafana-server" do
 363   action [:enable, :start]
 364   subscribes :restart, "template[/etc/grafana/grafana.ini]"
 365 end
 366
 367 apache_module "alias"
 368 apache_module "proxy_http"
 369 apache_module "proxy_wstunnel"
 370
 371 ssl_certificate "prometheus.openstreetmap.org" do
 372   domains ["prometheus.openstreetmap.org", "prometheus.osm.org", "munin.openstreetmap.org", "munin.osm.org"]
 373   notifies :reload, "service[apache2]"
 374 end
 375
 376 apache_site "prometheus.openstreetmap.org" do
 377   template "apache.erb"
 378   variables :admin_hosts => admins["hosts"]
 379 end
 380
 381 template "/etc/cron.daily/prometheus-backup" do
 382   source "backup.cron.erb"
 383   owner "root"
 384   group "root"
 385   mode "750"
 386 end
 387
 388 package %w[
 389   curl
 390   jq
 391 ]
 392
 393 directory "/var/lib/prometheus/.aws" do
 394   user "prometheus"
 395   group "prometheus"
 396   mode "755"
 397 end
 398
 399 template "/var/lib/prometheus/.aws/credentials" do
 400   source "aws-credentials.erb"
 401   user "prometheus"
 402   group "prometheus"
 403   mode "600"
 404   variables :aws_credentials => aws_credentials
 405   sensitive true
 406 end
 407
 408 template "/usr/local/bin/prometheus-backup-data" do
 409   source "backup-data.erb"
 410   owner "root"
 411   group "root"
 412   mode "755"
 413 end
 414
 415 systemd_service "prometheus-backup-data" do
 416   description "Backup prometheus data to S3"
 417   user "prometheus"
 418   exec_start "/usr/local/bin/prometheus-backup-data"
 419   read_write_paths %w[
 420     /var/lib/prometheus/.aws
 421     /var/lib/prometheus/metrics2/snapshots
 422   ]
 423   sandbox :enable_network => true
 424 end
 425
 426 systemd_timer "prometheus-backup-data" do
 427   description "Backup prometheus data to S3"
 428   on_calendar "03:11"
 429 end
 430
 431 service "prometheus-backup-data.timer" do
 432   action [:enable, :start]
 433 end