cookbooks/prometheus/recipes/server.rb

   1 #
   2 # Cookbook:: prometheus
   3 # Recipe:: server
   4 #
   5 # Copyright:: 2020, OpenStreetMap Foundation
   6 #
   7 # Licensed under the Apache License, Version 2.0 (the "License");
   8 # you may not use this file except in compliance with the License.
   9 # You may obtain a copy of the License at
  10 #
  11 #     https://www.apache.org/licenses/LICENSE-2.0
  12 #
  13 # Unless required by applicable law or agreed to in writing, software
  14 # distributed under the License is distributed on an "AS IS" BASIS,
  15 # WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  16 # See the License for the specific language governing permissions and
  17 # limitations under the License.
  18 #
  19
  20 include_recipe "apache"
  21 include_recipe "apt::grafana"
  22 include_recipe "awscli"
  23 include_recipe "networking"
  24
  25 passwords = data_bag_item("prometheus", "passwords")
  26 tokens = data_bag_item("prometheus", "tokens")
  27 admins = data_bag_item("apache", "admins")
  28
  29 prometheus_exporter "fastly" do
  30   port 8080
  31   listen_switch "listen"
  32   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  33 end
  34
  35 prometheus_exporter "fastly_healthcheck" do
  36   port 9696
  37   scrape_interval "1m"
  38   environment "FASTLY_API_TOKEN" => tokens["fastly"]
  39 end
  40
  41 prometheus_exporter "statuscake" do
  42   port 9595
  43   scrape_interval "5m"
  44   scrape_timeout "2m"
  45   environment "STATUSCAKE_APIKEY" => tokens["statuscake"]
  46 end
  47
  48 template "/etc/prometheus/cloudwatch.yml" do
  49   source "cloudwatch.yml.erb"
  50   owner "root"
  51   group "root"
  52   mode "644"
  53 end
  54
  55 prometheus_exporter "cloudwatch" do
  56   address "127.0.0.1"
  57   port 5000
  58   listen_switch "listen-address"
  59   options %w[
  60     --config.file=/etc/prometheus/cloudwatch.yml
  61     --enable-feature=aws-sdk-v2
  62     --enable-feature=always-return-info-metrics
  63   ]
  64   environment "AWS_ACCESS_KEY_ID" => "AKIASQUXHPE7JHG37EA6",
  65               "AWS_SECRET_ACCESS_KEY" => tokens["cloudwatch"]
  66   subscribes :restart, "template[/etc/prometheus/cloudwatch.yml]"
  67 end
  68
  69 cache_dir = Chef::Config[:file_cache_path]
  70
  71 prometheus_version = "2.45.0"
  72 alertmanager_version = "0.25.0"
  73 karma_version = "0.114"
  74
  75 directory "/opt/prometheus-server" do
  76   owner "root"
  77   group "root"
  78   mode "755"
  79 end
  80
  81 prometheus_arch = if arm?
  82                     "arm64"
  83                   else
  84                     "amd64"
  85                   end
  86
  87 remote_file "#{cache_dir}/prometheus.linux.tar.gz" do
  88   source "https://github.com/prometheus/prometheus/releases/download/v#{prometheus_version}/prometheus-#{prometheus_version}.linux-#{prometheus_arch}.tar.gz"
  89   owner "root"
  90   group "root"
  91   mode "644"
  92   backup false
  93 end
  94
  95 archive_file "#{cache_dir}/prometheus.linux.tar.gz" do
  96   action :nothing
  97   destination "/opt/prometheus-server/prometheus"
  98   overwrite true
  99   strip_components 1
 100   owner "root"
 101   group "root"
 102   subscribes :extract, "remote_file[#{cache_dir}/prometheus.linux.tar.gz]", :immediately
 103 end
 104
 105 remote_file "#{cache_dir}/alertmanager.linux.tar.gz" do
 106   source "https://github.com/prometheus/alertmanager/releases/download/v#{alertmanager_version}/alertmanager-#{alertmanager_version}.linux-#{prometheus_arch}.tar.gz"
 107   owner "root"
 108   group "root"
 109   mode "644"
 110   backup false
 111 end
 112
 113 archive_file "#{cache_dir}/alertmanager.linux.tar.gz" do
 114   action :nothing
 115   destination "/opt/prometheus-server/alertmanager"
 116   overwrite true
 117   strip_components 1
 118   owner "root"
 119   group "root"
 120   subscribes :extract, "remote_file[#{cache_dir}/alertmanager.linux.tar.gz]", :immediately
 121 end
 122
 123 remote_file "#{cache_dir}/karma-linux.tar.gz" do
 124   source "https://github.com/prymitive/karma/releases/download/v#{karma_version}/karma-linux-#{prometheus_arch}.tar.gz"
 125   owner "root"
 126   group "root"
 127   mode "644"
 128   backup false
 129 end
 130
 131 archive_file "#{cache_dir}/karma-linux.tar.gz" do
 132   action :nothing
 133   destination "/opt/prometheus-server/karma"
 134   overwrite true
 135   owner "root"
 136   group "root"
 137   subscribes :extract, "remote_file[#{cache_dir}/karma-linux.tar.gz]", :immediately
 138 end
 139
 140 search(:node, "roles:gateway") do |gateway|
 141   allowed_ips = gateway.ipaddresses(:role => :internal).map(&:subnet)
 142
 143   node.default[:networking][:wireguard][:peers] << {
 144     :public_key => gateway[:networking][:wireguard][:public_key],
 145     :allowed_ips => allowed_ips,
 146     :endpoint => "#{gateway.name}:51820"
 147   }
 148 end
 149
 150 jobs = {}
 151 junos_targets = []
 152 snmp_targets = []
 153
 154 search(:node, "recipes:prometheus\\:\\:default").sort_by(&:name).each do |client|
 155   if client[:prometheus][:mode] == "wireguard"
 156     node.default[:networking][:wireguard][:peers] << {
 157       :public_key => client[:networking][:wireguard][:public_key],
 158       :allowed_ips => client[:networking][:wireguard][:address],
 159       :endpoint => "#{client.name}:51820"
 160     }
 161   end
 162
 163   client[:prometheus][:exporters].each do |key, exporter|
 164     if exporter.is_a?(Hash)
 165       name = exporter[:name]
 166       address = exporter[:address]
 167       sni = exporter[:sni]
 168       labels = Array(exporter[:labels])
 169       scrape_interval = exporter[:scrape_interval]
 170       scrape_timeout = exporter[:scrape_timeout]
 171       metric_relabel = exporter[:metric_relabel] || []
 172     else
 173       name = key
 174       address = exporter
 175       sni = nil
 176       labels = []
 177       scrape_interval = nil
 178       scrape_timeout = nil
 179       metric_relabel = []
 180     end
 181
 182     jobs[name] ||= []
 183     jobs[name] << {
 184       :address => address,
 185       :sni => sni,
 186       :instance => client.name.split(".").first,
 187       :labels => labels,
 188       :scrape_interval => scrape_interval,
 189       :scrape_timeout => scrape_timeout,
 190       :metric_relabel => metric_relabel
 191     }
 192   end
 193
 194   Hash(client[:prometheus][:junos]).each do |instance, details|
 195     junos_targets << {
 196       :instance => instance,
 197       :target => details[:address],
 198       :address => client[:prometheus][:addresses]["junos"],
 199       :labels => Array(details[:labels])
 200     }
 201   end
 202
 203   Hash(client[:prometheus][:snmp]).each do |instance, details|
 204     snmp_targets << {
 205       :instance => instance,
 206       :target => details[:address],
 207       :modules => details[:modules],
 208       :address => client[:prometheus][:addresses]["snmp"],
 209       :labels => Array(details[:labels])
 210     }
 211   end
 212 end
 213
 214 certificates = search(:node, "letsencrypt:certificates").each_with_object({}) do |n, c|
 215   n[:letsencrypt][:certificates].each do |name, details|
 216     c[name] ||= details.merge(:nodes => [])
 217
 218     c[name][:nodes] << {
 219       :name => n[:fqdn],
 220       :address => n.external_ipaddress || n.internal_ipaddress
 221     }
 222   end
 223 end
 224
 225 template "/etc/prometheus/ssl.yml" do
 226   source "ssl.yml.erb"
 227   owner "root"
 228   group "root"
 229   mode "644"
 230   variables :certificates => certificates
 231 end
 232
 233 prometheus_exporter "ssl" do
 234   address "127.0.0.1"
 235   port 9219
 236   options "--config.file=/etc/prometheus/ssl.yml"
 237   register_target false
 238 end
 239
 240 package "prometheus"
 241
 242 systemd_service "prometheus-executable" do
 243   service "prometheus"
 244   dropin "executable"
 245   exec_start "/opt/prometheus-server/prometheus/prometheus --config.file=/etc/prometheus/prometheus.yml --web.enable-admin-api --web.external-url=https://prometheus.openstreetmap.org/prometheus --storage.tsdb.path=/var/lib/prometheus/metrics2 --storage.tsdb.retention.time=540d"
 246   timeout_stop_sec 300
 247   notifies :restart, "service[prometheus]"
 248 end
 249
 250 template "/etc/prometheus/prometheus.yml" do
 251   source "prometheus.yml.erb"
 252   owner "root"
 253   group "root"
 254   mode "644"
 255   variables :jobs => jobs, :junos_targets => junos_targets, :snmp_targets => snmp_targets, :certificates => certificates
 256 end
 257
 258 template "/etc/prometheus/alert_rules.yml" do
 259   source "alert_rules.yml.erb"
 260   owner "root"
 261   group "root"
 262   mode "644"
 263 end
 264
 265 service "prometheus" do
 266   action [:enable, :start]
 267   subscribes :reload, "template[/etc/prometheus/prometheus.yml]"
 268   subscribes :reload, "template[/etc/prometheus/alert_rules.yml]"
 269   subscribes :restart, "archive_file[#{cache_dir}/prometheus.linux.tar.gz]"
 270 end
 271
 272 systemd_service "prometheus-alertmanager" do
 273   description "Prometheus alert manager"
 274   type "simple"
 275   user "prometheus"
 276   exec_start "/opt/prometheus-server/alertmanager/alertmanager --config.file=/etc/prometheus/alertmanager.yml --storage.path=/var/lib/prometheus/alertmanager --web.external-url=https://prometheus.openstreetmap.org/alertmanager"
 277   exec_reload "/bin/kill -HUP $MAINPID"
 278   timeout_stop_sec 20
 279   restart "on-failure"
 280   notifies :restart, "service[prometheus-alertmanager]"
 281 end
 282
 283 link "/usr/local/bin/promtool" do
 284   to "/opt/prometheus-server/prometheus/promtool"
 285 end
 286
 287 template "/etc/prometheus/alertmanager.yml" do
 288   source "alertmanager.yml.erb"
 289   owner "root"
 290   group "root"
 291   mode "644"
 292 end
 293
 294 directory "/var/lib/prometheus/alertmanager" do
 295   owner "prometheus"
 296   group "prometheus"
 297   mode "755"
 298 end
 299
 300 service "prometheus-alertmanager" do
 301   action [:enable, :start]
 302   subscribes :reload, "template[/etc/prometheus/alertmanager.yml]"
 303   subscribes :restart, "systemd_service[prometheus-alertmanager]"
 304   subscribes :restart, "archive_file[#{cache_dir}/alertmanager.linux.tar.gz]"
 305 end
 306
 307 directory "/etc/amtool" do
 308   owner "root"
 309   group "root"
 310   mode "755"
 311 end
 312
 313 template "/etc/amtool/config.yml" do
 314   source "amtool.yml.erb"
 315   owner "root"
 316   group "root"
 317   mode "644"
 318 end
 319
 320 link "/usr/local/bin/amtool" do
 321   to "/opt/prometheus-server/alertmanager/amtool"
 322 end
 323
 324 template "/etc/prometheus/karma.yml" do
 325   source "karma.yml.erb"
 326   owner "root"
 327   group "root"
 328   mode "644"
 329 end
 330
 331 systemd_service "prometheus-karma" do
 332   description "Alert dashboard for Prometheus Alertmanager"
 333   user "prometheus"
 334   exec_start "/opt/prometheus-server/karma/karma-linux-#{prometheus_arch} --config.file=/etc/prometheus/karma.yml"
 335   sandbox :enable_network => true
 336   restart "on-failure"
 337 end
 338
 339 service "prometheus-karma" do
 340   action [:enable, :start]
 341   subscribes :restart, "template[/etc/prometheus/karma.yml]"
 342   subscribes :restart, "archive_file[#{cache_dir}/karma-linux.tar.gz]"
 343   subscribes :restart, "systemd_service[prometheus-karma]"
 344 end
 345
 346 package "grafana-enterprise"
 347
 348 template "/etc/grafana/grafana.ini" do
 349   source "grafana.ini.erb"
 350   owner "root"
 351   group "grafana"
 352   mode "640"
 353   variables :passwords => passwords
 354 end
 355
 356 service "grafana-server" do
 357   action [:enable, :start]
 358   subscribes :restart, "template[/etc/grafana/grafana.ini]"
 359 end
 360
 361 apache_module "alias"
 362 apache_module "proxy_http"
 363 apache_module "proxy_wstunnel"
 364
 365 ssl_certificate "prometheus.openstreetmap.org" do
 366   domains ["prometheus.openstreetmap.org", "prometheus.osm.org"]
 367   notifies :reload, "service[apache2]"
 368 end
 369
 370 apache_site "prometheus.openstreetmap.org" do
 371   template "apache.erb"
 372   variables :admin_hosts => admins["hosts"]
 373 end
 374
 375 template "/etc/cron.daily/prometheus-backup" do
 376   source "backup.cron.erb"
 377   owner "root"
 378   group "root"
 379   mode "750"
 380 end
 381
 382 package %w[
 383   curl
 384   jq
 385 ]
 386
 387 directory "/var/lib/prometheus/.aws" do
 388   user "prometheus"
 389   group "prometheus"
 390   mode "755"
 391 end
 392
 393 template "/var/lib/prometheus/.aws/credentials" do
 394   source "aws-credentials.erb"
 395   user "prometheus"
 396   group "prometheus"
 397   mode "600"
 398   variables :passwords => passwords
 399 end
 400
 401 template "/usr/local/bin/prometheus-backup-data" do
 402   source "backup-data.erb"
 403   owner "root"
 404   group "root"
 405   mode "755"
 406 end
 407
 408 systemd_service "prometheus-backup-data" do
 409   description "Backup prometheus data to S3"
 410   user "prometheus"
 411   exec_start "/usr/local/bin/prometheus-backup-data"
 412   read_write_paths %w[
 413     /var/lib/prometheus/.aws
 414     /var/lib/prometheus/metrics2/snapshots
 415   ]
 416   sandbox :enable_network => true
 417 end
 418
 419 systemd_timer "prometheus-backup-data" do
 420   description "Backup prometheus data to S3"
 421   on_calendar "03:11"
 422 end
 423
 424 service "prometheus-backup-data.timer" do
 425   action [:enable, :start]
 426 end