1. Conecta la consola de AWS Management a la región de tu preferencia.

2. Desde el dashboard de la VPC, en PrivateLink y Lattice, selecciona Endpoints.

3. Haz clic en Create Endpoint (Crear endpoint):

4. Configurar los parámetros del endpoint de la interfaz de la VPC

   1. Opcionalmente, rellena la etiqueta de nombre.
   2. En Tipo, selecciona Servicios de asociados PrivateLink Ready.

5. Detecta y configura el endpoint de la interfaz con compatibilidad entre regiones:

   1. En Nombre de servicio, rellena el nombre de servicio con un nombre de servicio PrivateLink válido de la tabla.
   2. En Región del servicio, haz clic en Enable Cross Region endpoint (Habilitar endpoint entre regiones) y selecciona .
   3. Haz clic en Verificar servicio y espera la notificación Service name verified (Nombre de servicio verificado). Nota: Si no puedes verificar el servicio luego de completar los pasos anteriores, ponte en contacto con el servicio de asistencia de Datadog.

6. En Parámetros de red, selecciona una VPC con la que desplegar el endpoint de la interfaz de la VPC.

7. Asegúrate de que la opción para habilitar el nombre del DNS está marcada.

8. En Subredes, selecciona una o más subredes en tu VPC para el endpoint de la interfaz.

9. En Grupos de seguridad, selecciona un grupo de seguridad para controlar qué puede enviar tráfico al endpoint de la VPC.

   Nota: El grupo de seguridad debe aceptar tráfico entrante en el puerto TCP 443.

10. Opcionalmente, proporciona una etiqueta de nombre y haz clic en Create endpoint (Crear endpoint).

11. Espera a el estado del endpoint cambie de Pending (Pendiente) a Available (Disponible). Esto puede tardar unos 10 minutos. Si tarda más tiempo de lo previsto, ponte en contacto con el servicio de asistencia de Datadog.

Una vez que el estado del endpoint se actualice a Available (Disponible), podrás utilizar este endpoint para enviar telemetría a Datadog utilizando el endpoint AWS PrivateLink entre regiones.

Nombres de servicio PrivateLink

Nota: PrivateLink entre regiones no genera métricas de CloudWatch. Para obtener más información, consulta Métricas de CloudWatch para AWS PrivateLink.

1. Conecta la consola de AWS a la región y crea un endpoint de VPC.

2. Selecciona Find service by name (Buscar servicio por nombre).
3. Rellena el cuadro de texto Service Name (Nombre de servicio) en función del servicio para el que quieres configurar AWS PrivateLink:

4. Haz clic en Verify (Verificar). Si esta acción no devuelve Service name found (Nombre de servicio encontrado), ponte en contacto con el servicio de asistencia de Datadog.

5. Luego, elige la VPC y las subredes que deben emparejarse con el endpoint de servicio de la VPC de Datadog. No selecciones Enable DNS name (Habilitar nombre de DNS), ya que el emparejamiento de VPC requiere que el DNS se configure manualmente.

6. Elige el grupo de seguridad preferido para controlar qué puede enviar tráfico al endpoint de la VPC.

   Nota: El grupo de seguridad debe aceptar tráfico entrante en el puerto TCP 443.

7. Haz clic en Create endpoint (Crear endpoint) en la parte inferior de la pantalla. Si es correcto, se muestra lo siguiente:

8. Haz clic en el ID del endpoint de la VPC para comprobar su estado.
9. Espera unos 10 minutos a que el estado pase de Pending (Pendiente) a Available (Disponible)..
10. Después de crear el endpoint, utiliza el emparejamiento de VPC a fin de que el endpoint de PrivateLink esté disponible en otra región para enviar telemetría a Datadog a través de PrivateLink. Para obtener más información, lee la página Trabajar con conexiones de emparejamiento de VPC en AWS.

Amazon Route53

1. Crea una zona Route53 alojada privada para cada servicio para el que hayas creado un endpoint AWS PrivateLink. Adjunta la zona privada alojada a la VPC en .

Utiliza la siguiente lista para asignar nombres de servicio y DNS a diferentes elementos de Datadog:

También puedes encontrar esta información interrogando a la API AWS, DescribeVpcEndpointServices o utilizando el siguiente comando:

aws ec2 describe-vpc-endpoint-services --service-names <service-name>`

Por ejemplo, en el caso del endpoint de métricas de Datadog para :

aws ec2 describe-vpc-endpoint-services --service-names  | jq '.ServiceDetails[0].PrivateDnsName'

Esto devuelve metrics.agent. el nombre de la zona alojada privada que necesitas para asociar con la VPC en la que se origina el tráfico del Agent. Al anular este registro, se obtienen todos los nombres de host de los consumos relacionados con métricas.

2. Dentro de cada nueva zona alojada privada de Route53, crea un registro A con el mismo nombre. Activa la opción Alias y, a continuación, en Route traffic to (Enrutar el tráfico a**), selecciona Alias to VPC endpoint (Alias para endpoint de la VPC), e introduce el nombre del DNS del endpoint de la VPC asociado al nombre del DNS.

   Notas:

   • Para obtener el nombre de tu DNS, consulta Ver documentación de configuración del nombre del DNS privado para servicios de endpoint.
   • El Agent envía telemetría a endpoints versionados, por ejemplo, [version]-app.agent., que se resuelven como metrics.agent. a través de un alias CNAME. Por lo tanto, solo es necesario configurar una zona alojada privada para metrics.agent..

3. Configura la interconexión de la VPC y el enrutamiento entre la VPC en una que contenga endpoints de Datadog PrivateLink y la VPC en la región donde se ejecutan los Datadog Agents.

4. Si las VPC se encuentran en diferentes cuentas de AWS, la VPC que contiene el Datadog Agent debe estar autorizada para asociarse con las zonas alojadas privadas de Route53 antes de continuar. Crea una autorización de asociación para la VPC en cada zona alojada privada de Route53 utilizando la región y el ID de la VPC donde se ejecuta el Datadog Agent. Esta opción no está disponible en la consola de AWS y debe configurarse con la CLI, el SDK o la API de AWS.

5. Edita la zona alojada de Route53 para añadir las VPC para otras regiones.

6. Las VPC que tienen asociada una zona alojada privada (PHZ) necesitan tener ciertas configuraciones específicas activadas; concretamente, las opciones enableDnsHostnames y enableDnsSupport de las VPC a las que está asociada la PHZ. Consulta las Consideraciones sobre el uso de una zona alojada privada.

7. Reinicia el Agent para enviar datos a Datadog a través de AWS PrivateLink.

Solucionar problemas de resolución y conectividad del DNS

Los nombres del DNS deberían resolverse en direcciones IP contenidas dentro del bloque CIDR de la VPC en la y las conexiones al port 443 deberían funcionar correctamente.

Si el DNS se resuelve en direcciones IP públicas, significa que la zona de Route53 no se ha asociado con la VPC en la región alternativa o que el registro A no existe.

Si el DNS se resuelve correctamente, pero las conexiones al port 443 fallan, es posible que la interconexión o el enrutamiento de la VPC estén mal configurados o que el puerto 443 no tenga permiso para salir del bloque CIDR de la VPC en la .

Las VPC que tienen asociada una zona alojada privada (PHZ) necesitan tener ciertas configuraciones específicas activadas; concretamente, las opciones enableDnsHostnames y enableDnsSupport de las VPC a las que está asociada la PHZ. Consulta la Configuración de la VPC de Amazon.

Datadog Agent

1. Si estás recopilando datos de logs, asegúrate de que tu Agent está configurado para enviar logs a través de HTTPS. Si los datos no están ya ahí, añade lo siguiente en el archivo de configuración datadog.yaml del Agent:

   logs_config:
       force_use_http: true
   

   Si estás utilizando el Agent del contenedor, establece la siguiente variable de entorno en su lugar:

   DD_LOGS_CONFIG_FORCE_USE_HTTP=true
   

   Esta configuración es obligatoria cuando se envían logs a Datadog con AWS PrivateLink y el Datadog Agent, pero no es necesaria para la extensión Lambda. Para obtener más información, consulta la recopilación de logs del Agent.

2. Si tu extensión Lambda carga la clave de API de Datadog desde el administrador de secretos de AWS utilizando el ARN especificado por la variable de entorno DD_API_KEY_SECRET_ARN, es necesario crear un endpoint de la VPC para el administrador de secretos.

3. Reinicia el Agent.