Para habilitar Cloud Network Monitoring con el Datadog Agent, utiliza las siguientes configuraciones:

1. Si utilizas una versión del Agent anterior a v6.14 o posterior, habilita primero la recopilación de procesos en directo; de lo contrario, omite este paso.

2. Copia la configuración de ejemplo de sonda del sistema:

   sudo -u dd-agent install -m 0640 /etc/datadog-agent/system-probe.yaml.example /etc/datadog-agent/system-probe.yaml
   

3. Edita /etc/datadog-agent/system-probe.yaml para definir el indicador habilitado como true:

   network_config:   # use system_probe_config for Agent's older than 7.24.1
     ## @param enabled - boolean - optional - default: false
     ## Set to true to enable Cloud Network Monitoring.
     #
     enabled: true
   

4. Si estás ejecutando una versión del Agent anterior a v6.18 o v7.18, inicia manualmente la sonda del sistema y habilítala para que se inicie al arrancar (a partir de v6.18 y v7.18, la sonda del sistema se inicia automáticamente al arrancar el Agent):

   sudo systemctl start datadog-agent-sysprobe
   sudo systemctl enable datadog-agent-sysprobe
   

   Nota: Si el comando systemctl no está disponible en tu sistema, inícialo con el siguiente comando: sudo service datadog-agent-sysprobe start y luego configúralo para que se inicie al arrancar, antes de que se inicie datadog-agent.

5. Reinicia el Agent.

   sudo systemctl restart datadog-agent
   

   Nota: Si el comando systemctl no está disponible en tu sistema, ejecuta el siguiente comando: sudo service datadog-agent restart.

Sistemas habilitados por SELinux

En sistemas con SELinux habilitado, el binario de la sonda del sistema necesita permisos especiales para utilizar las funciones de eBPF.

El paquete RPM del Datadog Agent para sistemas basados en CentOS incluye una política SELinux para conceder estos permisos al binario de la sonda del sistema.

Si necesitas utilizar Cloud Network Monitoring en otros sistemas con SELinux activado, haz lo siguiente:

1. Modifica la política SELinux de base para que coincida con tu configuración de SELinux. Dependiendo de tu sistema, algunos tipos o atributos pueden no existir (o pueden tener nombres diferentes).

2. Compila la política en un módulo; suponiendo que el archivo de tu política se llame system_probe_policy.te:

   checkmodule -M -m -o system_probe_policy.mod system_probe_policy.te
   semodule_package -o system_probe_policy.pp -m system_probe_policy.mod
   

3. Aplica el módulo a tu sistema SELinux:

   semodule -v -i system_probe_policy.pp
   

4. Cambia el tipo de binario de la sonda del sistema para utilizar el que está definido en la política; suponiendo que el directorio de instalación de tu Agent sea /opt/datadog-agent:

   semanage fcontext -a -t system_probe_t /opt/datadog-agent/embedded/bin/system-probe
   restorecon -v /opt/datadog-agent/embedded/bin/system-probe
   

5. Reinicia el Agent.

Nota: Estas instrucciones requieren tener algunas funciones de SELinux instaladas en el sistema (checkmodule, semodule, semodule_package, semanage y restorecon), disponibles en la mayoría de las distribuciones estándar (Ubuntu, Debian, RHEL, CentOS, SUSE). Consulta tu distribución para ver más detalles sobre cómo instalarlas.

Si estas funciones no existen en tu distribución, sigue el mismo procedimiento pero en este caso utiliza las funciones proporcionadas por tu distribución.

La recopilación de datos de Windows depende de un controlador de filtro para recopilar los datos de red.

Para habilitar Cloud Network Monitoring para hosts de Windows:

1. Instala el Datadog Agent (versión 7.27.1 o posterior) con el componente del controlador de red habilitado.

   [OBSOLETO] (versión 7.44 o inferior) Durante la instalación, pasa ADDLOCAL="MainApplication,NPM" al comando msiexec, o selecciona “Cloud Network Monitoring” cuando ejecutes la instalación del Agent a través de la GUI.

2. Edita C:\ProgramData\Datadog\system-probe.yaml para definir el indicador habilitado como true:

   network_config:
       enabled: true
   

3. Reinicia el Agent.

   Para PowerShell (powershell.exe):

   restart-service -f datadogagent
   

   Para Command Prompt (cmd.exe):

   net /y stop datadogagent && net start datadogagent
   

Nota: Cloud Network Monitoring monitoriza los hosts de Windows solamente, y no contenedores de Windows.

Para habilitar Cloud Network Monitoring con Kubernetes utilizando Helm, añade lo siguiente a tu archivo values.yaml.
Se requiere Helm chart v2.4.39 o posterior. Para obtener más información, consulta la documentación de Datadog Helm chart.

datadog:
  networkMonitoring:
    enabled: true

Nota: Si recibes un error de permisos al configurar CNM en tu entorno de Kubernetes: Error: error enabling protocol classifier: permission denied, añade lo siguiente a tu values.yaml. (Consulta esta sección en el Helm chart):

agents:
  podSecurity:
    apparmor:
      enabled: true

Si no utilizas Helm, puedes habilitar Cloud Network Monitoring con Kubernetes desde cero:

1. Descarga la plantilla datadog-agent.yaml manifest.

2. Sustituye <DATADOG_API_KEY> por tu clave de API Datadog.

3. (Opcional) Configura tu sitio Datadog. Si utilizas el sitio Datadog EU, configura la variable de entorno DD_SITE como datadoghq.eu en el manifiesto datadog-agent.yaml.

4. Despliega el DaemonSet con el comando:

   kubectl apply -f datadog-agent.yaml
   

Si el Agent ya se ejecuta con un manifiesto:

1. Para las versiones de Kubernetes inferiores a 1.30, añade la anotación container.apparmor.security.beta.kubernetes.io/system-probe: unconfined en la plantilla datadog-agent:

   spec:
       selector:
           matchLabels:
               app: datadog-agent
       template:
           metadata:
               labels:
                   app: datadog-agent
               name: datadog-agent
               annotations:
                   container.apparmor.security.beta.kubernetes.io/system-probe: unconfined
   

   Para las versiones de Kubernetes 1.30+, añade el siguiente securityContext en la plantilla datadog-agent:

   spec:
       selector:
           matchLabels:
               app: datadog-agent
       template:
           metadata:
               labels:
                   app: datadog-agent
               name: datadog-agent
           spec:
               serviceAccountName: datadog-agent
               securityContext:
                 appArmorProfile:
                   type: Unconfined
               containers:
               # (...)
   

2. Habilita el proceso de recopilación y la sonda del sistema con las siguientes variables de entorno en el DaemonSet del Agent. Si estás ejecutando un contenedor por cada proceso del Agent, añade las siguientes variables de entorno al Agent de proceso; de lo contrario, añádelas al contenedor del Agent.

     # (...)
                     env:
                     # (...)
                         - name: DD_PROCESS_AGENT_ENABLED
                           value: 'true'
                         - name: DD_SYSTEM_PROBE_ENABLED
                           value: 'true'
                         - name: DD_SYSTEM_PROBE_EXTERNAL
                           value: 'true'
                         - name: DD_SYSPROBE_SOCKET
                           value: /var/run/sysprobe/sysprobe.sock
                         - name: DD_AUTH_TOKEN_FILE_PATH
                           value: /etc/datadog-agent/auth/token
   

3. Monta los siguientes volúmenes adicionales en el contenedor datadog-agent:

    # (...)
           spec:
               serviceAccountName: datadog-agent
               containers:
                   - name: datadog-agent
                     image: 'gcr.io/datadoghq/agent:latest'
                     # (...)
                 volumeMounts:
                     - name: procdir
                       mountPath: /host/proc
                       readOnly: true
                     - name: cgroups
                       mountPath: /host/sys/fs/cgroup
                       readOnly: true
                     - name: debugfs
                       mountPath: /sys/kernel/debug
                     - name: sysprobe-socket-dir
                       mountPath: /var/run/sysprobe
                     - name: auth-token
                       mountPath: /etc/datadog-agent/auth
                       readOnly: false # needs RW to write auth token
   

4. Añade una nueva sonda del sistema como elemento adicional del Agent:

    # (...)
           spec:
               serviceAccountName: datadog-agent
               containers:
                   - name: datadog-agent
                     image: 'gcr.io/datadoghq/agent:latest'
                   # (...)
                   - name: system-probe
                     image: 'gcr.io/datadoghq/agent:latest'
                     imagePullPolicy: Always
                     securityContext:
                         capabilities:
                             add:
                                 - SYS_ADMIN
                                 - SYS_RESOURCE
                                 - SYS_PTRACE
                                 - NET_ADMIN
                                 - NET_BROADCAST
                                 - NET_RAW
                                 - IPC_LOCK
                                 - CHOWN
                     command:
                         - /opt/datadog-agent/embedded/bin/system-probe
                     env:
                         - name: DD_SYSTEM_PROBE_ENABLED
                           value: 'true'
                         - name: DD_SYSPROBE_SOCKET
                           value: /var/run/sysprobe/sysprobe.sock
                         - name: DD_AUTH_TOKEN_FILE_PATH
                           value: /etc/datadog-agent/auth/token
                     resources:
                         requests:
                             memory: 150Mi
                             cpu: 200m
                         limits:
                             memory: 300Mi
                             cpu: 400m
                     volumeMounts:
                         - name: procdir
                           mountPath: /host/proc
                           readOnly: true
                         - name: cgroups
                           mountPath: /host/sys/fs/cgroup
                           readOnly: true
                         - name: debugfs
                           mountPath: /sys/kernel/debug
                         - name: sysprobe-socket-dir
                           mountPath: /var/run/sysprobe
                         - name: auth-token
                           mountPath: /etc/datadog-agent/auth
                           readOnly: true
   

5. Por último, añada los siguientes volúmenes a tu manifiesto:

               volumes:
                   - name: debugfs
                     hostPath:
                         path: /sys/kernel/debug
                   - name: sysprobe-socket-dir
                     emptyDir: { }
                   - name: auth-token
                     emptyDir: { }
   

El Datadog Operator permite desplegar el Datadog Agent en Kubernetes y OpenShift e informa sobre la situación y los errores de despliegue en el estado de tu recurso personalizado. Además, sus opciones de configuración de nivel superior limitan el riesgo de configuraciones erróneas.

Para habilitar Cloud Network Monitoring en Operator, utiliza la siguiente configuración:

apiVersion: datadoghq.com/v2alpha1
metadata:
  name: placeholder
  namespace: placeholder
spec:
  features:
    npm:
      enabled: true

Para habilitar Cloud Network Monitoring en Docker, utiliza la siguiente configuración al iniciar el Agent de contenedor:

docker run --cgroupns host \
--pid host \
-e DD_API_KEY="<DATADOG_API_KEY>" \
-e DD_SYSTEM_PROBE_NETWORK_ENABLED=true \
-e DD_PROCESS_AGENT_ENABLED=true \
-v /var/run/docker.sock:/var/run/docker.sock:ro \
-v /proc/:/host/proc/:ro \
-v /sys/fs/cgroup/:/host/sys/fs/cgroup:ro \
-v /sys/kernel/debug:/sys/kernel/debug \
--security-opt apparmor:unconfined \
--cap-add=SYS_ADMIN \
--cap-add=SYS_RESOURCE \
--cap-add=SYS_PTRACE \
--cap-add=NET_ADMIN \
--cap-add=NET_BROADCAST \
--cap-add=NET_RAW \
--cap-add=IPC_LOCK \
--cap-add=CHOWN \
gcr.io/datadoghq/agent:latest

Sustituye <DATADOG_API_KEY> por tu clave de API Datadog.

Si utilizas docker-compose, añade lo siguiente al servicio del Datadog Agent.

version: '3'
services:
  datadog:
    image: "gcr.io/datadoghq/agent:latest"
    environment:
      - DD_SYSTEM_PROBE_NETWORK_ENABLED=true
      - DD_PROCESS_AGENT_ENABLED=true
      - DD_API_KEY=<DATADOG_API_KEY>
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - /proc/:/host/proc/:ro
      - /sys/fs/cgroup/:/host/sys/fs/cgroup:ro
      - /sys/kernel/debug:/sys/kernel/debug
    cap_add:
      - SYS_ADMIN
      - SYS_RESOURCE
      - SYS_PTRACE
      - NET_ADMIN
      - NET_BROADCAST
      - NET_RAW
      - IPC_LOCK
      - CHOWN
    security_opt:
      - apparmor:unconfined

Para configurar en Amazon ECS, consulta la página de documentación de Amazon ECS.