cookbooks/prometheus/recipes/server.rb

   1 #
   2 # Cookbook:: prometheus
   3 # Recipe:: server
   4 #
   5 # Copyright:: 2020, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "apache"
  21 include_recipe "apt"
  22 include_recipe "networking"
  23 include_recipe "timescaledb"
  24
  25 passwords = data_bag_item("prometheus", "passwords")
  26 tokens = data_bag_item("prometheus", "tokens")
  27 admins = data_bag_item("apache", "admins")
  28
  29 prometheus_exporter "fastly" do
  30   port 8080
  31   listen_switch "listen"
  32   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  33 end
  34
  35 prometheus_exporter "fastly_healthcheck" do
  36   port 9696
  37   scrape_interval "1m"
  38   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  39 end
  40
  41 prometheus_exporter "statuscake" do
  42   port 9595
  43   scrape_interval "5m"
  44   scrape_timeout "2m"
  45   environment "STATUSCAKE_APIKEY" => tokens["statuscake"]
  46 end
  47
  48 cache_dir = Chef::Config[:file_cache_path]
  49
  50 prometheus_version = "2.38.0"
  51 alertmanager_version = "0.24.0"
  52 karma_version = "0.108"
  53
  54 directory "/opt/prometheus-server" do
  55   owner "root"
  56   group "root"
  57   mode "755"
  58 end
  59
  60 remote_file "#{cache_dir}/prometheus.linux-amd64.tar.gz" do
  61   source "https://github.com/prometheus/prometheus/releases/download/v#{prometheus_version}/prometheus-#{prometheus_version}.linux-amd64.tar.gz"
  62   owner "root"
  63   group "root"
  64   mode "644"
  65   backup false
  66 end
  67
  68 archive_file "#{cache_dir}/prometheus.linux-amd64.tar.gz" do
  69   action :nothing
  70   destination "/opt/prometheus-server/prometheus"
  71   overwrite true
  72   strip_components 1
  73   owner "root"
  74   group "root"
  75   subscribes :extract, "remote_file[#{cache_dir}/prometheus.linux-amd64.tar.gz]"
  76 end
  77
  78 remote_file "#{cache_dir}/alertmanager.linux-amd64.tar.gz" do
  79   source "https://github.com/prometheus/alertmanager/releases/download/v#{alertmanager_version}/alertmanager-#{alertmanager_version}.linux-amd64.tar.gz"
  80   owner "root"
  81   group "root"
  82   mode "644"
  83   backup false
  84 end
  85
  86 archive_file "#{cache_dir}/alertmanager.linux-amd64.tar.gz" do
  87   action :nothing
  88   destination "/opt/prometheus-server/alertmanager"
  89   overwrite true
  90   strip_components 1
  91   owner "root"
  92   group "root"
  93   subscribes :extract, "remote_file[#{cache_dir}/alertmanager.linux-amd64.tar.gz]"
  94 end
  95
  96 remote_file "#{cache_dir}/karma-linux-amd64.tar.gz" do
  97   source "https://github.com/prymitive/karma/releases/download/v#{karma_version}/karma-linux-amd64.tar.gz"
  98   owner "root"
  99   group "root"
 100   mode "644"
 101   backup false
 102 end
 103
 104 archive_file "#{cache_dir}/karma-linux-amd64.tar.gz" do
 105   action :nothing
 106   destination "/opt/prometheus-server/karma"
 107   overwrite true
 108   owner "root"
 109   group "root"
 110   subscribes :extract, "remote_file[#{cache_dir}/karma-linux-amd64.tar.gz]"
 111 end
 112
 113 promscale_version = "0.14.0"
 114
 115 database_version = node[:timescaledb][:database_version]
 116 database_cluster = "#{database_version}/main"
 117
 118 package %W[
 119   prometheus
 120   prometheus-alertmanager
 121   promscale-extension-postgresql-#{database_version}
 122 ]
 123
 124 postgresql_user "prometheus" do
 125   cluster database_cluster
 126   superuser true
 127 end
 128
 129 postgresql_database "promscale" do
 130   cluster database_cluster
 131   owner "prometheus"
 132 end
 133
 134 directory "/opt/promscale" do
 135   owner "root"
 136   group "root"
 137   mode "755"
 138 end
 139
 140 directory "/opt/promscale/bin" do
 141   owner "root"
 142   group "root"
 143   mode "755"
 144 end
 145
 146 remote_file "/opt/promscale/bin/promscale" do
 147   action :create
 148   source "https://github.com/timescale/promscale/releases/download/#{promscale_version}/promscale_#{promscale_version}_Linux_x86_64"
 149   owner "root"
 150   group "root"
 151   mode "755"
 152 end
 153
 154 systemd_service "promscale" do
 155   description "Promscale Connector"
 156   type "simple"
 157   user "prometheus"
 158   exec_start "/opt/promscale/bin/promscale --db.uri postgresql:///promscale?host=/run/postgresql&port=5432 --db.connections-max 400"
 159   limit_nofile 16384
 160   private_tmp true
 161   protect_system "strict"
 162   protect_home true
 163   no_new_privileges true
 164 end
 165
 166 if node[:prometheus][:promscale]
 167   service "promscale" do
 168     action [:enable, :start]
 169     subscribes :restart, "remote_file[/opt/promscale/bin/promscale]"
 170     subscribes :restart, "systemd_service[promscale]"
 171   end
 172 else
 173   service "promscale" do
 174     action [:disable, :stop]
 175   end
 176 end
 177
 178 search(:node, "roles:gateway") do |gateway|
 179   allowed_ips = gateway.interfaces(:role => :internal).map do |interface|
 180     "#{interface[:network]}/#{interface[:prefix]}"
 181   end
 182
 183   node.default[:networking][:wireguard][:peers] << {
 184     :public_key => gateway[:networking][:wireguard][:public_key],
 185     :allowed_ips => allowed_ips,
 186     :endpoint => "#{gateway.name}:51820"
 187   }
 188 end
 189
 190 jobs = {}
 191 snmp_targets = []
 192
 193 search(:node, "recipes:prometheus\\:\\:default").sort_by(&:name).each do |client|
 194   if client[:prometheus][:mode] == "wireguard"
 195     node.default[:networking][:wireguard][:peers] << {
 196       :public_key => client[:networking][:wireguard][:public_key],
 197       :allowed_ips => client[:networking][:wireguard][:address],
 198       :endpoint => "#{client.name}:51820"
 199     }
 200   end
 201
 202   client[:prometheus][:exporters].each do |key, exporter|
 203     if exporter.is_a?(Hash)
 204       name = exporter[:name]
 205       address = exporter[:address]
 206       sni = exporter[:sni]
 207       scrape_interval = exporter[:scrape_interval]
 208       scrape_timeout = exporter[:scrape_timeout]
 209       metric_relabel = exporter[:metric_relabel] || []
 210     else
 211       name = key
 212       address = exporter
 213       sni = nil
 214       scrape_interval = nil
 215       scrape_timeout = nil
 216       metric_relabel = []
 217     end
 218
 219     jobs[name] ||= []
 220     jobs[name] << {
 221       :address => address,
 222       :sni => sni,
 223       :instance => client.name.split(".").first,
 224       :scrape_interval => scrape_interval,
 225       :scrape_timeout => scrape_timeout,
 226       :metric_relabel => metric_relabel
 227     }
 228   end
 229
 230   Hash(client[:prometheus][:snmp]).each do |instance, details|
 231     snmp_targets << {
 232       :instance => instance,
 233       :target => details[:address],
 234       :modules => details[:modules],
 235       :address => client[:prometheus][:addresses]["snmp"],
 236       :labels => Array(details[:labels])
 237     }
 238   end
 239 end
 240
 241 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 242   n[:letsencrypt][:certificates].each do |name, details|
 243     c[name] ||= details.merge(:nodes => [])
 244
 245     c[name][:nodes] << {
 246       :name => n[:fqdn],
 247       :address => n.external_ipaddress || n.internal_ipaddress
 248     }
 249   end
 250 end
 251
 252 template "/etc/prometheus/ssl.yml" do
 253   source "ssl.yml.erb"
 254   owner "root"
 255   group "root"
 256   mode "644"
 257   variables :certificates => certificates
 258 end
 259
 260 prometheus_exporter "ssl" do
 261   address "127.0.0.1"
 262   port 9219
 263   options "--config.file=/etc/prometheus/ssl.yml"
 264   register_target false
 265 end
 266
 267 systemd_service "prometheus-executable" do
 268   service "prometheus"
 269   dropin "executable"
 270   exec_start "/opt/prometheus-server/prometheus/prometheus --config.file=/etc/prometheus/prometheus.yml --web.external-url=https://prometheus.openstreetmap.org/prometheus --storage.tsdb.path=/var/lib/prometheus/metrics2 --storage.tsdb.retention.time=30d"
 271   timeout_stop_sec 300
 272   notifies :restart, "service[prometheus]"
 273 end
 274
 275 template "/etc/prometheus/prometheus.yml" do
 276   source "prometheus.yml.erb"
 277   owner "root"
 278   group "root"
 279   mode "644"
 280   variables :jobs => jobs, :snmp_targets => snmp_targets, :certificates => certificates
 281 end
 282
 283 template "/etc/prometheus/alert_rules.yml" do
 284   source "alert_rules.yml.erb"
 285   owner "root"
 286   group "root"
 287   mode "644"
 288 end
 289
 290 service "prometheus" do
 291   action [:enable, :start]
 292   subscribes :reload, "template[/etc/prometheus/prometheus.yml]"
 293   subscribes :reload, "template[/etc/prometheus/alert_rules.yml]"
 294   subscribes :restart, "archive_file[#{cache_dir}/prometheus.linux-amd64.tar.gz]"
 295 end
 296
 297 systemd_service "prometheus-alertmanager-executable" do
 298   service "prometheus-alertmanager"
 299   dropin "executable"
 300   exec_start "/opt/prometheus-server/alertmanager/alertmanager --config.file=/etc/prometheus/alertmanager.yml --storage.path=/var/lib/prometheus/alertmanager --web.external-url=https://prometheus.openstreetmap.org/alertmanager"
 301   notifies :restart, "service[prometheus-alertmanager]"
 302 end
 303
 304 template "/etc/prometheus/alertmanager.yml" do
 305   source "alertmanager.yml.erb"
 306   owner "root"
 307   group "root"
 308   mode "644"
 309 end
 310
 311 service "prometheus-alertmanager" do
 312   action [:enable, :start]
 313   subscribes :reload, "template[/etc/prometheus/alertmanager.yml]"
 314   subscribes :restart, "archive_file[#{cache_dir}/alertmanager.linux-amd64.tar.gz]"
 315 end
 316
 317 template "/etc/prometheus/amtool.yml" do
 318   source "amtool.yml.erb"
 319   owner "root"
 320   group "root"
 321   mode "644"
 322 end
 323
 324 template "/etc/prometheus/karma.yml" do
 325   source "karma.yml.erb"
 326   owner "root"
 327   group "root"
 328   mode "644"
 329 end
 330
 331 systemd_service "prometheus-karma" do
 332   description "Alert dashboard for Prometheus Alertmanager"
 333   user "prometheus"
 334   exec_start "/opt/prometheus-server/karma/karma-linux-amd64 --config.file=/etc/prometheus/karma.yml"
 335   private_tmp true
 336   private_devices true
 337   protect_system "full"
 338   protect_home true
 339   no_new_privileges true
 340   restart "on-failure"
 341 end
 342
 343 service "prometheus-karma" do
 344   action [:enable, :start]
 345   subscribes :reload, "template[/etc/prometheus/karma.yml]"
 346   subscribes :restart, "archive_file[#{cache_dir}/karma-linux-amd64.tar.gz]"
 347 end
 348
 349 package "grafana-enterprise"
 350
 351 template "/etc/grafana/grafana.ini" do
 352   source "grafana.ini.erb"
 353   owner "root"
 354   group "grafana"
 355   mode "640"
 356   variables :passwords => passwords
 357 end
 358
 359 service "grafana-server" do
 360   action [:enable, :start]
 361   subscribes :restart, "template[/etc/grafana/grafana.ini]"
 362 end
 363
 364 apache_module "alias"
 365 apache_module "proxy_http"
 366
 367 ssl_certificate "prometheus.openstreetmap.org" do
 368   domains ["prometheus.openstreetmap.org", "prometheus.osm.org"]
 369   notifies :reload, "service[apache2]"
 370 end
 371
 372 apache_site "prometheus.openstreetmap.org" do
 373   template "apache.erb"
 374   variables :admin_hosts => admins["hosts"]
 375 end
 376
 377 template "/etc/cron.daily/prometheus-backup" do
 378   source "backup.cron.erb"
 379   owner "root"
 380   group "root"
 381   mode "750"
 382 end