1. Connectez l’AWS Management Console à la région de votre choix.

2. Depuis le tableau de bord VPC, sous PrivateLink and Lattice, sélectionnez Endpoints.

3. Cliquez sur Create Endpoint:

4. Configurez les paramètres de l’endpoint d’interface VPC

   1. Facultativement, remplissez le Name tag.
   2. Sous Type, sélectionnez PrivateLink Ready partner services.

5. Découvrir et configurer l’endpoint d’interface avec la prise en charge interrégions :

   1. Sous Service name, renseignez le nom du service avec un nom de service PrivateLink valide issu du tableau ci-dessous.
   2. Sous Service region, cliquez sur Enable Cross Region endpoint et sélectionnez .
   3. Cliquez sur Verify service et attendez la notification Service name verified. Remarque : si vous ne parvenez pas à vérifier le service après avoir suivi les étapes ci-dessus, contactez l’assistance Datadog.

6. Sous Network Settings, sélectionnez un VPC avec lequel déployer l’endpoint d’interface VPC.

7. Vérifiez que l’option Enable DNS name est cochée.

8. Sous Subnets, sélectionnez un ou plusieurs sous-réseaux dans votre VPC pour l’endpoint d’interface.

9. Sous Security Groups, sélectionnez un groupe de sécurité pour contrôler ce qui peut envoyer du trafic vers l’endpoint VPC.

   Remarque : le groupe de sécurité doit accepter le trafic entrant sur le port TCP 443.

10. Facultativement, indiquez un Name tag et cliquez sur Create endpoint.

11. Attendez quelques minutes que le statut de l’endpoint passe de Pending à Available. Cela peut prendre jusqu’à 10 minutes. Si cela prend plus de temps que prévu, contactez l’assistance Datadog.

Une fois que le statut de l’endpoint est mis à jour sur Available, vous pouvez utiliser cet endpoint pour envoyer des données de télémétrie à Datadog via l’endpoint AWS PrivateLink interrégions.

Noms de service PrivateLink

Remarque : le PrivateLink interrégions n’émet pas de métriques CloudWatch. Consultez la section Métriques CloudWatch pour AWS PrivateLink pour plus d’informations.

1. Connectez l’AWS Console à la région et créez un endpoint VPC.

2. Sélectionnez Find service by name.
3. Remplissez la zone de texte Service Name en fonction du service pour lequel vous souhaitez établir AWS PrivateLink :

4. Cliquez sur Verify. Si cela ne renvoie pas Service name found, contactez l’assistance Datadog.

5. Ensuite, choisissez le VPC et les sous-réseaux devant être appairés avec l’endpoint de service VPC de Datadog. Ne sélectionnez pas Enable DNS name, car le VPC peering nécessite une configuration manuelle du DNS.

6. Choisissez le groupe de sécurité de votre choix pour contrôler ce qui peut envoyer du trafic vers cet endpoint VPC.

   Remarque : le groupe de sécurité doit accepter le trafic entrant sur le port TCP 443.

7. Cliquez sur Create endpoint en bas de l’écran. En cas de réussite, l’élément suivant s’affiche :

8. Cliquez sur l’ID de l’endpoint VPC pour vérifier son statut.
9. Attendez que le statut passe de Pending à Available. Cela peut prendre jusqu’à 10 minutes.
10. Après avoir créé l’endpoint, utilisez le VPC peering pour rendre l’endpoint PrivateLink disponible dans une autre région afin d’envoyer des données de télémétrie à Datadog via PrivateLink. Pour plus d’informations, consultez la page Travailler avec les connexions VPC Peering dans AWS.

Amazon Route53

1. Créez une zone hébergée privée Route53 pour chaque service pour lequel vous avez créé un endpoint AWS PrivateLink. Attachez la zone hébergée privée au VPC dans .

Utilisez la liste ci-dessous pour faire correspondre le service et le nom DNS aux différentes parties de Datadog :

Vous pouvez également obtenir ces informations en interrogeant l’API AWS, DescribeVpcEndpointServices, ou en utilisant la commande suivante :

aws ec2 describe-vpc-endpoint-services --service-names <service-name>`

Par exemple, dans le cas de l’endpoint de métriques Datadog pour :

aws ec2 describe-vpc-endpoint-services --service-names  | jq '.ServiceDetails[0].PrivateDnsName'

Cette commande renvoie metrics.agent., à savoir le nom de la zone hébergée privée requis pour associer le VPC à l’origine du trafic de l’Agent. Si vous remplacez cette entrée, tous les hostnames d’admission liés aux métriques sont récupérés.

2. Pour chaque nouvelle zone hébergée privée Route 53, créez un enregistrement A du même nom. Activez l’option Alias, puis, dans la section Route traffic to, sélectionnez Alias to VPC endpoint, . Saisissez ensuite le nom DNS de l’endpoint de VPC associé au nom DNS.

   Remarques :

   • Pour récupérer votre nom DNS, consultez la documentation relative à l’affichage de la configuration du nom DNS privé du service d’endpoint (en anglais).
   • L’Agent envoie les données de télémétrie aux endpoints versionnés, par exemple [version]-app.agent.  qui renvoie vers metrics.agent. via un alias CNAME. Ainsi, vous devez uniquement configurer une zone hébergée privée pour metrics.agent..

3. Configurez l’appairage et le routage de VPC entre le VPC dans la région qui comprend les endpoints PrivateLink Datadog et le VPC dans la région où les Agents Datadog s’exécutent.

4. Si les VPC se trouvent dans plusieurs comptes AWS, le VPC contenant l’Agent Datadog doit être autorisé à s’associer avec les zones hébergées privées Route 53 avant de poursuivre. Créez une autorisation d’association de VPC pour chaque zone hébergée privée Route 53 à l’aide de la région et de l’ID du VPC sur lequel l’Agent Datadog s’exécute. Il n’est pas possible d’utiliser la console AWS pour réaliser cette opération : servez-vous plutôt de la CLI, du SDK ou de l’API AWS.

5. Modifiez la zone hébergée privée Route 53 afin d’ajouter des VPC pour les autres régions.

6. Certains paramètres, notamment enableDnsHostnames et enableDnsSupport, doivent être activés pour les VPC qui sont associés à la zone hébergée privée. Consultez la section Remarque sur l’utilisation des zones hébergées privées pour en savoir plus.

7. Redémarrez l’Agent pour envoyer des données à Datadog via AWS PrivateLink.

Dépannage des problèmes de connectivité et de résolution DNS

Les noms DNS doivent correspondre à des adresses IP contenues dans le bloc CIDR du VPC dans la région . De plus, les connexions sur le port 443 ne doivent pas échouer.

Si le DNS correspond à des adresses IP publiques, la zone Route 53 n’est pas associée au VPC dans l’autre région, ou l’enregistrement A n’existe pas.

Si le DNS est résolu correctement, mais que les connexions au port 443 échouent, il est possible que l’appairage ou le routage de VPC soient mal configurés, ou que le port 443 n’autorise pas de connexion sortante vers le bloc CIDR du VPC dans la région .

Certains paramètres, notamment enableDnsHostnames et enableDnsSupport, doivent être activés pour les VPC qui sont associés à la zone hébergée privée. Consultez les paramètres VPC Amazon pour en savoir plus.

Agent Datadog

1. Si vous recueillez les données de vos logs, vérifiez que votre Agent est configuré de façon à envoyer les logs via HTTPS. Si les données ne sont pas déjà disponibles, ajoutez ce qui suit au fichier de configuration datadog.yaml de l’Agent :

   logs_config:
       force_use_http: true
   

   Si vous utilisez l’Agent de conteneur, définissez plutôt les variables d’environnement ci-dessous :

   DD_LOGS_CONFIG_FORCE_USE_HTTP=true
   

   Cette configuration est requise pour envoyer des logs à Datadog avec AWS PrivateLink et l’Agent Datadog. Elle est toutefois facultative si vous utilisez l’extension Lambda. Pour en savoir plus, consultez la section relative à la collecte de logs de l’Agent.

2. Si votre extension Lambda charge la clé d’API Datadog depuis AWS Secrets Manager en utilisant l’ARN spécifié via la variable d’environnement DD_API_KEY_SECRET_ARN, vous devez créer un endpoint de VPC pour Secrets Manager.

3. Redémarrez l’Agent.