1. Conecte la Consola de Administración de AWS a la región de su elección.

2. Desde el Panel de VPC, bajo PrivateLink and Lattice, seleccione Endpoints.

3. Haga clic en Create Endpoint:

4. Configure la configuración del punto final de la interfaz de VPC

   1. Opcionalmente, complete el Name tag.
   2. Bajo Type, seleccione PrivateLink Ready partner services.

5. Descubra y configure el punto de conexión de la interfaz con soporte entre regiones:

   1. Bajo Service name, complete el nombre del servicio con un nombre de servicio de PrivateLink válido de la tabla a continuación.
   2. Bajo Service region, haga clic en Enable Cross Region endpoint y seleccione .
   3. Haga clic en Verify service y espere una notificación de Nombre del servicio verificado. Nota: Si no puedes verificar el servicio después de completar los pasos anteriores, contacta a Soporte de Datadog.

6. En Network Settings, selecciona una VPC para desplegar el punto de conexión de interfaz de VPC.

7. Asegúrate de que la opción Enable DNS name esté marcada.

8. En Subnets, selecciona una o más subredes en tu VPC para el punto de conexión de interfaz.

9. En Security Groups, selecciona un grupo de seguridad para controlar quién puede enviar tráfico al punto de conexión de VPC.

   Nota: El grupo de seguridad debe aceptar tráfico entrante en el puerto TCP 443.

10. Opcionalmente, proporciona un Name tag y haz clic en Create endpoint.

11. Permite unos minutos para que el estado del punto de conexión se actualice de Pending a Available. Esto puede tardar hasta 10 minutos. Si está tardando más de lo esperado, contacta a Soporte de Datadog.

Después de que el estado del punto de conexión se actualice a Available, puedes usar este punto de conexión para enviar telemetría a Datadog utilizando el punto de conexión de AWS PrivateLink entre regiones.

Nombres de servicio de PrivateLink

Nota: PrivateLink entre regiones no emite métricas de CloudWatch. Consulta métricas de CloudWatch para AWS PrivateLink para más información.

1. Conecta la Consola de AWS a la región y crea un punto final de VPC.

2. Selecciona Find service by name.
3. Llena el cuadro de texto Nombre del servicio de acuerdo al servicio para el cual deseas establecer AWS PrivateLink:

4. Haga clic Verify. Si esto no devuelve Nombre del servicio encontrado, contacte a soporte de Datadog.

5. A continuación, elija la VPC y las subredes que deben estar conectadas con el punto final del servicio de VPC de Datadog. No seleccione Enable DNS name ya que el emparejamiento de VPC requiere que el DNS se configure manualmente.

6. Elija el grupo de seguridad de su elección para controlar qué puede enviar tráfico a este punto final de VPC.

   Nota: El grupo de seguridad debe aceptar tráfico entrante en el puerto TCP 443.

7. Haga clic en Create endpoint en la parte inferior de la pantalla. Si tiene éxito, se mostrará lo siguiente:

8. Haga clic en el ID del punto final de VPC para verificar su estado.
9. Espere a que el estado cambie de Pendiente a Disponible. Esto puede tardar hasta 10 minutos.
10. Después de crear el punto final, utilice el emparejamiento de VPC para hacer que el punto final de PrivateLink esté disponible en otra región para enviar telemetría a Datadog a través de PrivateLink. Para más información, consulte la página de Trabajar con conexiones de VPC Peering en AWS.

Amazon Route53

1. Cree una zona hospedada privada de Route53 para cada servicio para el cual ha creado un punto final de AWS PrivateLink. Adjunte la zona hospedada privada a la VPC en .

Utilice la lista a continuación para mapear el servicio y el nombre DNS a diferentes partes de Datadog:

También puede encontrar esta información interrogando la API de AWS, DescribeVpcEndpointServices, o utilizando el siguiente comando:

aws ec2 describe-vpc-endpoint-services --service-names <service-name>`

Por ejemplo, en el caso del punto de conexión de métricas de Datadog para :

aws ec2 describe-vpc-endpoint-services --service-names  | jq '.ServiceDetails[0].PrivateDnsName'

Esto devuelve metrics.agent., el nombre de la zona privada alojada que necesita para asociar con la VPC de donde proviene el tráfico del Agente. Sobrescribir este registro captura todos los nombres de host relacionados con las métricas.

2. Dentro de cada nueva zona privada alojada de Route53, cree un registro A con el mismo nombre. Active la opción Alias, luego, en Route traffic to, elija Alias to VPC endpoint, , y escriba el nombre DNS del punto de conexión de la VPC asociado con el nombre DNS.Notas:
   • Para recuperar su nombre DNS, consulte la documentación de configuración del nombre DNS privado del servicio de endpoint.
   • El Agente envía telemetría a endpoints versionados, por ejemplo, [version]-app.agent. que se resuelve a metrics.agent. a través de un alias CNAME. Por lo tanto, solo necesita configurar una zona privada alojada para metrics.agent..

3. Configure el emparejamiento de VPC y el enrutamiento entre la VPC en que contiene los puntos de conexión de Datadog PrivateLink y la VPC en la región donde se ejecutan los Agentes de Datadog.

4. Si las VPC están en diferentes cuentas de AWS, la VPC que contiene el Agente de Datadog debe estar autorizada para asociarse con las zonas privadas alojadas de Route53 antes de continuar. Cree una autorización de asociación de VPC para cada zona privada alojada de Route53 utilizando la región y el ID de la VPC donde se ejecuta el Agente de Datadog. Esta opción no está disponible en la Consola de AWS. Debe configurarse utilizando la AWS CLI, SDK o API.

5. Edite la zona alojada de Route53 para agregar VPCs de otras regiones.

6. Las VPCs que tienen la zona hospedada privada (PHZ) adjunta deben tener ciertas configuraciones activadas, específicamente enableDnsHostnames y enableDnsSupport en las VPCs con las que está asociada la PHZ. Consulte Consideraciones al trabajar con una zona alojada privada.

7. Reinicie el Agente para enviar datos a Datadog a través de AWS PrivateLink.

Resolución de problemas de DNS y conectividad

Los nombres de DNS deben resolverse a direcciones IP contenidas dentro del bloque CIDR de la VPC en , y las conexiones a port 443 deben tener éxito.

Si DNS se resuelve a direcciones IP públicas, entonces la zona de Route53 no ha sido asociada con la VPC en la región alternativa, o el registro A no existe.

Si DNS se resuelve correctamente, pero las conexiones a port 443 están fallando, entonces el emparejamiento de VPC o el enrutamiento pueden estar mal configurados, o el puerto 443 puede no estar permitido hacia el bloque CIDR de la VPC en .

Las VPCs con la zona hospedada privada (PHZ) adjunta deben tener un par de configuraciones activadas. Específicamente, enableDnsHostnames y enableDnsSupport deben estar activados en las VPCs con las que está asociada la PHZ. Consulte Configuraciones de Amazon VPC.

Agente de Datadog

1. Si está recopilando datos de registros, asegúrese de que su Agente esté configurado para enviar registros a través de HTTPS. Si los datos no están ya allí, agregue lo siguiente al archivo de configuración del Agente datadog.yaml:

   logs_config:
       force_use_http: true
   

   If you are using the container Agent, set the following environment variable instead:

   DD_LOGS_CONFIG_FORCE_USE_HTTP=true
   

   This configuration is required when sending logs to Datadog with AWS PrivateLink and the Datadog Agent, and is not required for the Lambda Extension. For more details, see Agent log collection.

2. Si su Lambda Extension carga la clave de API de Datadog desde AWS Secrets Manager utilizando el ARN especificado por la variable de entorno DD_API_KEY_SECRET_ARN, necesita crear un punto de conexión de VPC para Secrets Manager.

3. Reinicie el Agente.