Datadog と閉域接続で連携：AWS PrivateLink を使った監視環境

はじめに

この記事では、閉域接続でDatadog へ監視データを送るためにAWS 上で行った検証内容を記載しています。
構成は図1 の通りです。

図1 構成図

これまでDatadog はUS リージョンなど日本以外のサイトを使う必要がありましたが、2023年4月から日本リージョンが利用可能となっています。
これにより日本国内でデータの保存、処理が可能になり、各種規制に対応可能となっています。
本記事においてもAWS、Datadog 共に日本リージョンを用いて検証を行っています。

準備

今回の検証に必要な環境です。

1. Datadog アカウントの準備
   AP1-Japanリージョンに対応した有効なDatadog アカウントが必要です。
   Datadog は14日間の無料トライアルが利用可能であり、無料アカウントでも今回の構成を試すことが可能です。
2. AWS 環境の準備
   インターネット接続のない環境を模した閉域ネットワークでDatadog Agent をインストールし、監視データを送る仕組みを構築します。
   詳細は後述しますが、VPC の作成、インターネット接続のない環境でのDatadog Agent のインストール、PrivateLink の設定などを行っていきます。

手順

PrivateLink を設定し、Datadog に閉域で監視データを送るまでの大まかな手順は以下の通りです。

1. Private Subnet にEC2 インスタンスを作成
2. Datadog Agent インストール
3. VPC エンドポイントの作成
4. Datadog に送信されたデータの確認

Private Subnet にEC2 インスタンスを作成

EC2 作成前準備

VPC、サブネット、セキュリティグループ、EC2 インスタンスへSSM セッションマネージャーを使ってアクセスするためのVPCエンドポイントを作成します。
VPC 作成時はDNS ホスト名とDNS 解決の有効化を行ってください。

図1 の通り、サブネットはインターネットゲートウェイ へのルートは作らずPrivate サブネットとして作成します。
また、セキュリティグループでは443/TCP インバウントを受け入れる必要がある点に注意してください。

図2 サブネットの作成

今回は容易に検証を行いたいため、EC2 インスタンスはDatadog Agent をインストールするインスタンス1台のみで構築します。
Private サブネット内のEC2 インスタンスへのアクセスは通常パブリックサブネットに配置された踏み台ホストからアクセスすることが多いと思いますが、今回はSSM セッションマネージャーを使いマネージメントコンソールからアクセスします。
そのため、EC2 インスタンス作成前にセッションマネージャーからアクセスするためのVPC エンドポイントの作成も行っておきます。

さらに、Session Manager の前提条件を満たす に記載されたVPC エンドポイントに加え、後述のDatadog Agent のインストール時にS3 もアクセスしたいので、S3 接続用のVPC エンドポイントの作成も行います。