Si ce n’est pas déjà fait, configurez l’intégration AWS pour le compte AWS associé à votre compartiment S3.

• En général, il est nécessaire de créer un rôle pouvant être utilisé par Datadog pour l’intégration à AWS S3.
• Pour les comptes AWS GovCloud ou China uniquement, utilisez les clés d’accès comme alternative à la délégation de rôles.

Si vous ne l’avez pas encore fait, configurez l’intégration Azure pour l’abonnement associé à votre compte de stockage. Vous devrez créer une inscription d’application utilisable par Datadog afin de procéder à l’intégration.

Remarque : il n’est pas possible d’archiver des logs vers Azure ChinaCloud, GermanyCloud et GovCloud.

Si vous ne l’avez pas encore fait, configurez l’intégration Google Cloud pour le projet qui comporte votre compartiment de stockage GCS. Vous devrez créer un compte de service Google Cloud utilisable par Datadog afin de procéder à l’intégration.

Accédez à votre console AWS et créez un compartiment S3 vers lequel vos archives seront envoyées.

Remarques :

• Assurez-vous que votre compartiment n’est pas accessible au public.
• Pour les sites US1, US3 et US5, consultez les tarifs AWS pour découvrir les frais applicables aux transferts de données d’une région à une autre ainsi que l’incidence de tels transferts sur les coûts de votre stockage dans le cloud. Envisagez de créer votre compartiment de stockage dans la région us-east-1 afin de mieux gérer ces frais.

• Accédez à votre portail Azure et créez un compte de stockage vers lequel vous souhaitez envoyer vos archives. Attribuez un nom à votre compte, sélectionnez les performances standard ou le type de compte payant Block blobs, puis sélectionnez le niveau d’accès hot ou cool.
• Créez un service de conteneur dans ce compte de stockage. Prenez note du nom du conteneur, car vous devrez l’indiquer dans la page d’archive Datadog.

Remarque : ne définissez pas de stratégie d’immuabilité, car il arrive dans de rares cas (généralement après une expiration) que les dernières données doivent être réécrites.

Accédez à votre compte Google Cloud et créez un compartiment GCS vers lequel vos archives seront envoyées. Sous Choose how to control access to objects, sélectionnez Set object-level and bucket-level permissions.

Remarque : n’ajoutez pas de règle de conservation, car il arrive dans de rares cas (généralement après une expiration) que les dernières données doivent être réécrites.

1. Créez une stratégie avec les instructions d’autorisation suivantes :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "DatadogUploadAndRehydrateLogArchives",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:GetObject"],
         "Resource": [
           "arn:aws:s3:::<MY_BUCKET_NAME_1_/_MY_OPTIONAL_BUCKET_PATH_1>/*",
           "arn:aws:s3:::<MY_BUCKET_NAME_2_/_MY_OPTIONAL_BUCKET_PATH_2>/*"
         ]
       },
       {
         "Sid": "DatadogRehydrateLogArchivesListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket",
         "Resource": [
           "arn:aws:s3:::<MY_BUCKET_NAME_1>",
           "arn:aws:s3:::<MY_BUCKET_NAME_2>"
         ]
       }
     ]
   }
   

   • Les autorisations GetObject et ListBucket permettent la réintégration des logs à partir des archives.
   • L’autorisation PutObject est suffisante pour l’importation d’archives.
   • Vérifiez que la valeur de ressource sous les actions s3:PutObject et s3:GetObject se termine par /*, car ces autorisations sont appliquées aux objets des compartiments.

2. Modifiez le nom des compartiments.

3. Vous pouvez également spécifier les chemins vers vos archives de logs.

4. Associez la nouvelle stratégie au rôle de l’intégration Datadog.

   • Accédez à Roles depuis la console IAM d’AWS.
   • Repérez le rôle utilisé par l’intégration Datadog. Il est intitulé DatadogIntegrationRole par défaut, mais il est possible que votre organisation l’ait renommé. Cliquez sur le nom du rôle pour ouvrir une page de synthèse.
   • Cliquez sur Add permissions, puis sur Attach policies.
   • Saisissez le nom de la stratégie créée précédemment.
   • Cliquez sur Attach policies.

1. Autorisez l’application Datadog à écrire dans votre compte de stockage et effectuer une réintégration à partir de celui-ci.
2. Sélectionnez votre compte de stockage depuis la page Storage Accounts, accédez à Access Control (IAM) et sélectionnez Add -> Add Role Assignment.
3. Ajoutez le rôle Storage Blob Data Contributor, sélectionnez l’application Datadog que vous avez créée pour l’intégration Azure, puis enregistrez.

1. Autorisez votre compte de service Google Cloud Datadog à écrire vos archives dans votre compartiment.

2. Sélectionnez le service principal de votre compte de service Google Cloud Datadog à partir de la page d’administration Google Cloud IAM, puis sélectionnez Edit principal.

3. Cliquez sur ADD ANOTHER ROLE, sélectionnez le rôle Storage Object Admin, puis enregistrez.

Sélectionnez le compte AWS et le rôle appropriés pour votre compartiment S3.

Indiquez le nom de votre compartiment. Facultatif : ajoutez un répertoire comme préfixe vers lequel l’ensemble de vos archives de logs sera envoyé.

Sélectionnez le type d’archive Azure Storage, ainsi que le locataire et le client Azure pour l’application Datadog disposant du rôle Storage Blob Data Contributor sur votre compte de stockage.

Indiquez le nom de votre compte de stockage et un nom de conteneur pour votre archive. Facultatif : ajoutez un répertoire comme préfixe vers lequel l’ensemble du contenu de vos archives de logs sera envoyé.

Sélectionnez le type d’archive GCS, puis le compte de service GCS doté des autorisations d’écriture dans votre compte de stockage.

Indiquez le nom de votre compartiment. Facultatif : ajoutez un répertoire comme préfixe vers lequel l’ensemble de vos archives de logs sera envoyé.

Vous pouvez définir une configuration de cycle de vie sur votre compartiment S3 pour transférer automatiquement vos archives de logs vers les classes de stockage optimales.

La fonctionnalité de réintégration de logs prend uniquement en charge les classes de stockage suivantes :

• S3 Standard
• S3 Standard-IA
• S3 One Zone-IA
• S3 Glacier Instant Retrieval

Si vous souhaitez réintégrer des logs à partir d’archives dans une autre classe de stockage, vous devez au préalable les déplacer vers l’une des classes de stockage prises en charge, comme indiqué ci-dessus.

Les fonctionnalités d’archivage et de réintégration de logs prennent uniquement en charge les niveaux d’accès suivants :

• Hot
• Cool

Si vous souhaitez réintégrer des logs à partir d’archives dans un niveau d’accès, vous devez au préalable les déplacer vers l’un des niveaux d’accès pris en charge, comme indiqué ci-dessus.

SSE-S3

Par défaut, les compartiments Amazon S3 sont chiffrés côté serveur avec des clés de gestion Amazon S3 (SSE-S3).

Pour vérifier si votre compartiment S3 est chiffré de cette manière, procédez comme suit :

1. Accédez à votre compartiment S3.
2. Cliquez sur l’onglet Properties.
3. Depuis la section Default Encryption, vérifiez que l’option Encryption key type est définie sur Amazon S3 managed keys (SSE-S3).

SSE-KMS

Datadog prend également en charge le chiffrement côté serveur à l’aide d’une clé CMK AWS KMS. Pour l’activer, suivez les étapes ci-dessous :

1. Créez votre CMK.
2. Associez une stratégie CMK à votre CMK avec le contenu suivant, en remplaçant le numéro de compte AWS et le nom de rôle IAM Datadog de façon appropriée :

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<NUMÉRO_COMPTE_AWS>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<NUMÉRO_COMPTE_AWS>:role/<NOM_RÔLE_IAM_DATADOG>"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow attachment of persistent resources",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<NUMÉRO_COMPTE_AWS>:role/<NOM_RÔLE_IAM_DATADOG>"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        }
    ]
}

3. Accédez à l’onglet Properties dans votre compartiment S3 et sélectionnez Default Encryption. Choisissez l’option “AWS-KMS”, sélectionnez l’ARN de votre CMK et cliquez sur Save.

Si vous souhaitez apporter des modifications à des clés KSM existantes, contactez l’assistance Datadog afin d’obtenir de l’aide.