Actuator

Spring Actuator

Spring actuator는 애플리케이션 모니터링 및 관리에서 도움을 줄 수 있다.

• 애플리케이션의 상태와 메트릭을 모니터링하고 관리하기 위한 기능을 제공하는 모듈

HTTP 방식과 JMX 방식이 있으며 HTTP 방식이 사용하기 편해서 주로 health check 용도로 endpoint를 사용하는 것 같다.

# dependency
implementation ("org.springframework.boot:spring-boot-starter-actuator")

Actuator 안전하게 사용하기

Actuator는 개발자에게 편의를 주는 기능이지만 IP, 비밀번호와 같은 중요한 정보들이 유출될 수 있다.

예를 들어 env endpoint가 필요하여 해당 endpoint를 expose 시키면 해당 서비스의 환경 변수가 노출 될 것이다.

1. 필요한 endpoint는 화이트리스트 형태로 운영한다.

Actuator는 shut down endpoint를 제외하고 기본으로 enable로 활성화 되어있다.

이런 기본 설정을 따르지 않으려면 management.endpoints.enabled-by-default=false로 설정한다.

또, 운영중에 필요한 endpoint가 있다면management.endpoint.[endpoint name].enable=true 속성을 사용하거나, 여러 endpoint를 지정하려면 management.endpoints.~.include 속성을 사용하면 된다.

• include할 때는 꼭 필요한 정보만 지정하고 asterisk(*) 사용을 지양하자.

2. shutdown endpoint는 절대 enable하지 않는다.

서비스 가용성을 침해할 우려가 있다고 한다.

3. JMX형태로 Actuator 사용이 필요하지 않을 경우, 반드시 disable한다.

JMX는 Default로 expose되어있는 endpoint가 많기 때문에, 사용하지 않음에도 enable 시켜두면 잠재적 위험이 될 수 있다고 한다.

management.endpoints.jmx.exposure.exclude: 속성을 사용한다.

4. Actuator endpoint에 접근할 때는 인증된 사용자와 권한이 존재하는 사용자만이 접근할 수 있도록한다.

# [security 설정]
.antMatchers("/actuator/**").hasRole("ADMIN") // ADMIN만 접근 가능

properties 예시

[설정 yml]

# 모니터링 health check
management:
  health:
    circuitbreakers:
      enabled: true
  endpoint:
    health:   
      enabled: true # health enable을 활성화 시킴
      show-details: always
    metrics:
      enabled: true
    prometheus:
      enabled: true

	# endpoints 사용
  # include에 포함되지 않은 endpoint 들은 노출시키지 않는다.
  endpoints:
    enabled-by-default: false
    web:
      exposure:
        #include: '*' 사용 지양
        include: health, env
    jmx:
      exposure:
        exclude: '*'

• management.endpoints.web.base-path: /management

  • 기본 경로는 /actuactor이다. base-path를 설정하면 바꿀 수 있다.

• endpoints.web.expousre:

  • 뒤에 include, exclude 옵션을 지정할 수 있음.

  • asterisk(*) 사용을 지양

• endpoints.enabled-by-default:

  • true이면 shut down을 제외한 endpoint가 전부 enable 되어있다.

  • false로 하고 include해도 노출되지 않는다. 노출하고 싶으면 manage.endpoint:에서 작성하면 된다.