Définissez les variables d’environnement suivantes lors de l’installation ou de l’exécution de l’Agent. Sur le host, les paramètres du runner utilisent le préfixe DD_PRIVATE_ACTION_RUNNER_* :

DD_API_KEY=<API_KEY> \
DD_APP_KEY=<APP_KEY> \
DD_SITE="<span class="js-region-param region-param" data-region-param="dd_site"></span>" \
DD_PRIVATE_ACTION_RUNNER_ENABLED=true \
DD_PRIVATE_ACTION_RUNNER_ACTIONS_ALLOWLIST=com.datadoghq.kubernetes.*,com.datadoghq.remoteaction.* \
bash -c "$(curl -L https://install.datadoghq.com/scripts/install_script_agent7.sh)"

DD_APP_KEY enrôle le runner comme détenu, tout comme Fleet Automation. La clé d’application nécessite le périmètre on_prem_runner_write. DD_PRIVATE_ACTION_RUNNER_ACTIONS_ALLOWLIST accepte une liste séparée par des virgules. Utilisez des caractères génériques de bundle pour autoriser les actions qu’un runner dans le Datadog Agent peut exécuter : com.datadoghq.kubernetes.* et com.datadoghq.remoteaction.*. Pour utiliser plutôt les actions par défaut intégrées du runner (actions Remote Action en lecture seule, ainsi qu’un ensemble d’actions Kubernetes en lecture seule sur le Cluster Agent), laissez la liste d’autorisation non définie.

Après l’installation, accédez à Private Action Runners pour vérifier que votre runner apparaît dans la liste.

Installez ou mettez à niveau vers le Datadog Agent 7.81.0 ou une version ultérieure, puis modifiez C:\ProgramData\Datadog\datadog.yaml :

app_key: <YOUR_APP_KEY>

private_action_runner:
  enabled: true
  self_enroll: true
  actions_allowlist:
    - "com.datadoghq.kubernetes.*"
    - "com.datadoghq.remoteaction.*"

app_key enrôle le runner comme détenu, de la même manière que Fleet Automation ci-dessus ; la clé d’application nécessite le périmètre on_prem_runner_write.

Redémarrez l’Agent pour appliquer la configuration :

Restart-Service -Force datadogagent

Une fois l’Agent redémarré, accédez à Private Action Runners pour vérifier que votre runner apparaît dans la liste.

Le processus du host exécute le runner node Agent. Pour exécuter un runner dans le Cluster Agent, utilisez l’onglet Kubernetes (Helm) ou Kubernetes (Operator).

Le Datadog Helm chart peut activer le runner à deux endroits :

• Le runner node Agent, en tant que conteneur sidecar. Le runner node Agent est uniquement disponible sur Linux.
• Le runner Cluster Agent, en cours d’exécution. Le runner Cluster Agent est disponible uniquement via Helm ou l’Operator (il n’existe pas de binaire autonome), et il nécessite une élection de leader afin que l’identité soit coordonnée entre les réplicas du Cluster Agent.

Créez une clé d’API avec la fonctionnalité Private Action Runner dans Organization Settings, puis stockez-la dans un secret Kubernetes que le chart lit via apiKeyExistingSecret :

kubectl create secret generic datadog-secret \
  --from-literal api-key=<DD_API_KEY>

Cet exemple enrôle le runner comme sans propriétaire (apiKeyOnlyEnrollment: true, en utilisant uniquement la clé d’API), ce qui l’autorise avec des politiques d’exécution. Pour d’autres options d’enrôlement et pour savoir comment fonctionne la propriété, consultez Enrollment and ownership.

Les paramètres Helm utilisent la clé privateActionRunner.* en camelCase. Créez un values.yaml :

datadog:
  apiKeyExistingSecret: datadog-secret
  site: <span class="js-region-param region-param" data-region-param="dd_site"></span>
  clusterName: <YOUR_CLUSTER_NAME>
  remoteConfiguration:
    enabled: true
  privateActionRunner:
    enabled: true
    apiKeyOnlyEnrollment: true
    actionsAllowlist:
      - "com.datadoghq.remoteaction.*"
      - "com.datadoghq.script.*"
clusterAgent:
  enabled: true
  privateActionRunner:
    enabled: true
    apiKeyOnlyEnrollment: true
    actionsAllowlist:
      - "com.datadoghq.kubernetes.*"
      - "com.datadoghq.script.*"

Pour toutes les options de configuration disponibles du runner, consultez datadog.privateActionRunner et clusterAgent.privateActionRunner dans le Datadog Helm chart. Installez le chart :

helm repo add datadog https://helm.datadoghq.com
helm repo update
helm install datadog-agent datadog/datadog -f values.yaml

Après l’installation, accédez à Private Action Runners pour vérifier que votre runner apparaît dans la liste.

Le Datadog Operator active le runner via des annotations sur la ressource DatadogAgent. La configuration du runner dans l’annotation -configdata utilise la clé private_action_runner.* en snake_case. L’Operator peut activer à la fois le node Agent runner et le Cluster Agent runner.

Créez une clé d’API avec la fonctionnalité Private Action Runner dans Organization Settings, puis stockez-la dans un secret Kubernetes que la ressource DatadogAgent lit via son credentials :

kubectl create secret generic datadog-secret \
  --from-literal api-key=<DD_API_KEY>

Cet exemple enrôle le runner comme sans propriétaire (api_key_only_enrollment: true, en utilisant uniquement la clé d’API), ce qui l’autorise avec des [politiques d’exécution][5]. Pour d’autres options d’enrôlement et pour savoir comment fonctionne la propriété, consultez Enrollment and ownership.

apiVersion: datadoghq.com/v2alpha1
kind: DatadogAgent
metadata:
  name: datadog
  annotations:
    agent.datadoghq.com/private-action-runner-enabled: "true"
    agent.datadoghq.com/private-action-runner-configdata: |
      private_action_runner:
        enabled: true
        api_key_only_enrollment: true
        actions_allowlist:
          - "com.datadoghq.remoteaction.*"
          - "com.datadoghq.script.*"
    cluster-agent.datadoghq.com/private-action-runner-enabled: "true"
    cluster-agent.datadoghq.com/private-action-runner-configdata: |
      private_action_runner:
        enabled: true
        api_key_only_enrollment: true
        actions_allowlist:
          - "com.datadoghq.kubernetes.*"
          - "com.datadoghq.script.*"
spec:
  global:
    clusterName: <YOUR_CLUSTER_NAME>
    site: <span class="js-region-param region-param" data-region-param="dd_site"></span>
    credentials:
      apiSecret:
        secretName: datadog-secret
        keyName: api-key

Appliquez le manifeste :

kubectl apply -f datadog-agent.yaml

Comme pour Helm, le Cluster Agent runner nécessite une élection de leader, et le node Agent runner est réservé à Linux. Après avoir appliqué le manifeste, accédez à Private Action Runners pour vérifier que votre runner apparaît dans la liste.

1. Modifiez la section private_action_runner.actions_allowlist dans /etc/datadog-agent/datadog.yaml.
2. Redémarrez l’Agent : sudo systemctl restart datadog-agent.

1. Modifiez la section private_action_runner.actions_allowlist dans C:\ProgramData\Datadog\datadog.yaml.
2. Redémarrez l’Agent : Restart-Service -Force datadogagent.

1. Mettez à jour actions_allowlist dans les deux annotations du manifeste DatadogAgent : agent.datadoghq.com/private-action-runner-configdata et cluster-agent.datadoghq.com/private-action-runner-configdata.
2. Appliquez le manifeste mis à jour : kubectl apply -f datadog-agent.yaml.

1. Mettez à jour privateActionRunner.actionsAllowlist (node Agent) ou clusterAgent.privateActionRunner.actionsAllowlist (Cluster Agent) dans values.yaml.
2. Appliquez le chart mis à jour : helm upgrade datadog-agent datadog/datadog -f values.yaml.

Mettez à niveau le Datadog Agent vers la dernière version. Le runner est fourni avec l’Agent.

sudo apt-get update && sudo apt-get install datadog-agent

Ou pour RHEL/CentOS :

sudo yum update datadog-agent

Redémarrez l’Agent après la mise à niveau :

sudo systemctl restart datadog-agent

Pour des instructions de mise à niveau détaillées, consultez Mise à niveau vers l’Agent v7.

Téléchargez le dernier programme d’installation MSI de l’Agent depuis la page de téléchargement du Datadog Agent et exécutez-le, ou utilisez PowerShell :

# Download the latest installer
Invoke-WebRequest -Uri "https://s3.amazonaws.com/ddagent-windows-stable/ddagent-cli-latest.msi" -OutFile ddagent-cli-latest.msi

# Run the installer
Start-Process -Wait -PassThru msiexec -ArgumentList '/qn /i ddagent-cli-latest.msi'

Redémarrez l’Agent après la mise à niveau :

Restart-Service -Force datadogagent

Mettez à jour les versions de l’image du Datadog Operator et de l’Agent dans votre manifeste DatadogAgent.

1. Mettez à jour le Datadog Operator :

   helm repo update
   helm upgrade datadog-operator datadog/datadog-operator \
       --set image.repository=registry.datadoghq.com/operator \
       --set image.tag=latest
   

   Vous pouvez fixer une version spécifique. Pour parcourir les tags disponibles, utilisez Docker Hub.

2. Mettez à jour les versions de l’image de l’Agent dans votre manifeste datadog-agent.yaml :

   override:
     nodeAgent:
       image:
         name: registry.datadoghq.com/agent:<NEW_AGENT_VERSION>
     clusterAgent:
       image:
         name: registry.datadoghq.com/cluster-agent:<NEW_AGENT_VERSION>
   

3. Appliquez le manifeste mis à jour : kubectl apply -f datadog-agent.yaml.

4. Vérifiez la mise à jour :

   kubectl get pods
   kubectl logs -l app.kubernetes.io/component=cluster-agent --tail=100 | grep private
   

Le Cluster Agent runner conserve son identité lors de la mise à jour, car il la stocke dans un secret Kubernetes partagé. Le node Agent runner stocke son identité dans un fichier : si ce chemin n’est pas supporté par un volume persistant, une mise à jour peut effacer l’identité et forcer le runner à se réinscrire. Consultez Stockage de l’identité sur Kubernetes.

La mise à jour du runner fait partie du processus standard de mise à niveau du Datadog Agent Helm chart.

helm repo update
helm upgrade datadog-agent datadog/datadog -f values.yaml

Pour des instructions de mise à niveau détaillées, consultez Mise à niveau de Datadog Helm.

Mettez à jour les variables de version dans votre configuration Terraform :

locals {
  helm_operator_version = "<NEW_OPERATOR_VERSION>"
  agent_version         = "<NEW_AGENT_VERSION>"
  # ...
}

Appliquez les changements :

terraform plan
terraform apply -var="datadog_api_key=<YOUR_API_KEY>" -var="datadog_app_key=<YOUR_APP_KEY>"