Мониторинг журналов AWS Lambda в ClickStack с помощью Rotel

Выберите слой Lambda, соответствующий архитектуре среды выполнения вашей Lambda-функции. Поле {version} зависит от региона AWS, в который выполняется развертывание. Актуальные номера версий для вашего региона смотрите на странице релизов.

Доступные регионы:

• us-east-2, us-west-2
• eu-central-1, eu-north-1, eu-west-3
• ca-central-1
• ap-southeast-2, ap-northeast-2
• ap-south-1
• sa-east-1

В этих примерах замените {arch}, {region} и {version} на соответствующие значения, указанные выше.

Вариант 1: консоль AWS

1. Откройте консоль AWS Lambda
2. Перейдите к нужной функции Lambda
3. Прокрутите страницу до раздела Layers и нажмите Add a layer
4. Выберите Specify an ARN
5. Введите ARN слоя Rotel:

   arn:aws:lambda:{region}:418653438961:layer:rotel-extension-{arch}:{version}

6. Нажмите Add

Вариант 2: AWS CLI

aws lambda update-function-configuration \
  --function-name my-function \
  --layers arn:aws:lambda:{region}:418653438961:layer:rotel-extension-{arch}:{version}

Вариант 3: AWS SAM

Resources:
  MyFunction:
    Type: AWS::Serverless::Function
    Properties:
      # ... other configuration ...
      Layers:
        - arn:aws:lambda:{region}:418653438961:layer:rotel-extension-{arch}:{version}

Rotel Lambda Extension настраивается с помощью переменных окружения. Вам нужно настроить конечную точку экспортера OTLP так, чтобы она указывала на ваш экземпляр ClickStack. В примерах предполагается, что ваша функция AWS Lambda может обращаться к экземпляру ClickStack.

Базовая конфигурация (переменные окружения)

Добавьте эти переменные окружения в функцию Lambda:

# Required: ClickStack OTLP endpoint
ROTEL_OTLP_EXPORTER_ENDPOINT=https://clickstack.example.com:4317

# Optional: Authentication headers
ROTEL_OTLP_EXPORTER_CUSTOM_HEADERS="Authorization=<YOUR_INGESTION_API_KEY>"

# Optional: Service name (defaults to Lambda function name)
ROTEL_OTEL_RESOURCE_ATTRIBUTES="service.name=my-lambda-api,service.version=1.0.0"

Расширенная конфигурация (с использованием файла .env)

Для более сложных конфигураций создайте файл rotel.env в пакете вашей функции Lambda:

rotel.env:

ROTEL_OTLP_EXPORTER_ENDPOINT=https://clickstack.example.com:4317
ROTEL_OTLP_EXPORTER_CUSTOM_HEADERS="Authorization=<YOUR_INGESTION_API_KEY>"
ROTEL_OTEL_RESOURCE_ATTRIBUTES="service.name=my-lambda-api,deployment.environment=production"

Затем задайте переменную окружения, указав этот файл:

ROTEL_ENV_FILE=/var/task/rotel.env

Использование AWS Secrets Manager или Parameter Store

Для рабочих развертываний храните конфиденциальные значения, такие как ключи API, в AWS Secrets Manager или Parameter Store:

Пример для AWS Secrets Manager:

ROTEL_OTLP_EXPORTER_ENDPOINT=https://clickstack.example.com:4317
ROTEL_OTLP_EXPORTER_CUSTOM_HEADERS="Authorization=${arn:aws:secretsmanager:us-east-1:123456789012:secret:clickstack-api-key-abc123}"

Пример для AWS Parameter Store:

ROTEL_OTLP_EXPORTER_ENDPOINT=https://clickstack.example.com:4317
ROTEL_OTLP_EXPORTER_CUSTOM_HEADERS="Authorization=${arn:aws:ssm:us-east-1:123456789012:parameter/clickstack-api-key}"

Необходимые разрешения IAM:

Добавьте эти разрешения в роль Lambda:

Для Secrets Manager:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:BatchGetSecretValue"
      ],
      "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:clickstack-api-key-*"
    }
  ]
}

Для Parameter Store:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ssm:GetParameters"
      ],
      "Resource": "arn:aws:ssm:us-east-1:123456789012:parameter/clickstack-api-key"
    }
  ]
}

Вызовите свою Lambda-функцию, чтобы убедиться, что журналы отправляются в ClickStack:

aws lambda invoke \
  --function-name my-function \
  --payload '{"test": "data"}' \
  response.json

Проверьте журналы Lambda на наличие ошибок:

aws logs tail /aws/lambda/my-function --follow

После настройки войдите в HyperDX (интерфейс ClickStack) и убедитесь, что логи поступают:

Проверьте наличие следующих ключевых атрибутов в логах:

• service.name: имя вашей лямбда-функции
• faas.name: имя функции AWS Lambda
• faas.invocation_id: уникальный идентификатор вызова
• cloud.provider: "aws"
• cloud.platform: "aws_lambda"

1. Откройте консоль AWS и перейдите в AWS Lambda
2. Перейдите к нужной функции Lambda
3. Выберите Configuration → Permissions
4. Нажмите на имя роли выполнения, чтобы открыть консоль IAM
5. Измените роль и удалите все действия logs:*:
   • Если используется пользовательская политика, отредактируйте её и удалите logs:CreateLogGroup, logs:CreateLogStream и logs:PutLogEvents
   • Если используется управляемая политика AWS AWSLambdaBasicExecutionRole, удалите её из роли
6. Сохраните роль

Снова вызовите функцию и убедитесь, что:

1. Новые потоки журналов в CloudWatch не создаются
2. Журналы по-прежнему появляются в ClickStack/HyperDX

# После изменения политики здесь не должно быть новых потоков журналов
aws logs describe-log-streams \
  --log-group-name /aws/lambda/my-function \
  --order-by LastEventTime \
  --descending \
  --max-items 5

AWS предоставляет слои автоинструментирования OpenTelemetry для нескольких языков:

Последние версии доступны в репозитории AWS OpenTelemetry Lambda.

Добавьте оба слоя: слой расширения Rotel и слой инструментирования:

aws lambda update-function-configuration \
  --function-name my-function \
  --layers \
    arn:aws:lambda:{region}:418653438961:layer:rotel-extension-{arch}:{version} \
    arn:aws:lambda:{region}:901920570463:layer:aws-otel-nodejs-{arch}-ver-1-30-2:1

Установите переменную окружения AWS_LAMBDA_EXEC_WRAPPER, чтобы включить автоинструментирование:

Для Node.js:

AWS_LAMBDA_EXEC_WRAPPER=/opt/otel-handler

Для Python:

AWS_LAMBDA_EXEC_WRAPPER=/opt/otel-instrument

Для Java:

AWS_LAMBDA_EXEC_WRAPPER=/opt/otel-handler

После вызова функции:

1. Перейдите в представление Traces в HyperDX
2. Вы должны увидеть трейсы со спанами вашей Lambda-функции
3. Трейсы будут коррелироваться с журналами по атрибутам trace_id и span_id