Déploiement de Agentless Scanning
Ce produit n'est pas pris en charge par le
site Datadog que vous avez sélectionné. (
).
Ce guide vous aide à choisir la topologie de déploiement adaptée à Agentless Scanning en fonction de votre environnement cloud. Pour les instructions de configuration, consultez Activation de Agentless Scanning.
Présentation
Datadog recommande les directives suivantes :
- Utilisez un compte de scanner dédié pour les environnements multi-comptes.
- Déployez un scanner dans chaque région contenant plus de 150 hôtes.
- Si vous utilisez Cloud Storage Scanning, déployez un scanner dans chaque région contenant un magasin de données (par exemple, des compartiments S3).
Les scanners envoient uniquement la liste collectée des paquets et les métadonnées des host (noms d'hôte, identifiants d'instance EC2/VM/Compute Engine) à Datadog. Toutes les données analysées restent dans votre infrastructure.
Configuration du compte cloud et de la région
La topologie de déploiement que vous utilisez dépend du nombre de comptes cloud (comptes AWS, abonnements Azure ou projets GCP) que vous devez analyser et des régions qu’ils couvrent.
- Comptes cloud : Si vous n’avez besoin d’analyser qu’un seul compte, déployez un ou plusieurs scanners directement dans ce compte. Sinon, utilisez un compte de scanner dédié et utilisez des rôles délégués pour lui accorder l’accès à l’analyse d’autres comptes. C’est ce qu’on appelle l’analyse inter-comptes.
- Régions : Un seul scanner peut analyser des hôtes dans n’importe quelle région, y compris des régions autres que la sienne. Cependant, l’analyse inter-régions entraîne des coûts de transfert de données. Le déploiement de scanners supplémentaires dépend du nombre d’hôtes dont vous disposez dans chaque région.
Ces onglets contiennent des informations sur la façon de configurer votre topologie de déploiement. Sélectionnez l’onglet qui décrit le nombre de comptes que vous devez analyser, puis apprenez-en davantage en fonction du nombre de régions que vous devez couvrir.
Si vous n’avez besoin d’analyser qu’un seul compte, déployez un ou plusieurs scanners directement dans ce compte.
Décidez du nombre de scanners à déployer
Un seul scanner peut analyser des hôtes dans n’importe quelle région, y compris des régions autres que la sienne. L’analyse inter-régions entraîne des coûts de transfert de données ; la décision de déployer des scanners supplémentaires dépend donc du nombre d’hôtes dont vous disposez dans chaque région.
- Moins de ~150 hôtes au total dans toutes les régions : un seul scanner dans une région est la configuration la plus rentable. Les coûts de transfert de données inter-régions pour l’analyse d’hôtes distants sont inférieurs au coût fixe d’exécution d’un scanner supplémentaire.
- Plus de ~150 hôtes dans une région spécifique : déployez un scanner dédié dans cette région. À ce seuil, les économies de sortie réalisées grâce à une analyse locale l’emportent sur le coût d’exécution du scanner.
- Plusieurs régions au-dessus du seuil : déployez un scanner dans chaque région dépassant ~150 hôtes. Les régions en dessous du seuil peuvent être analysées de manière inter-régionale à partir du scanner le plus proche.
Datadog achemine automatiquement les analyses vers le scanner régional approprié afin de minimiser les coûts inter-régions.
Limites de capacité du scanner
Chaque scanner possède des limites de débit régies par les quotas d’API du fournisseur cloud :
| Limite | Valeur |
|---|
| Nombre maximal de scanners par compte et par région | 4 (plafond strict ; les fournisseurs cloud comme AWS limitent les instantanés simultanés à 100 par compte et par région) |
| Intervalle d’analyse | Toutes les 12 heures |
N'augmentez pas le nombre souhaité du groupe Autoscaling (ASG) au-delà de quatre scanners par région. Des scanners supplémentaires ne peuvent pas créer d'instantanés en raison de la limite d'instantanés simultanés des fournisseurs cloud.
Décidez dans quels comptes déployer les scanners
Datadog recommande d’utiliser un compte de scanner dédié pour déployer les scanners, et d’utiliser des rôles de délégation inter-comptes pour accorder aux scanners l’accès aux comptes cibles (y compris le compte de scanner).
Pour AWS Organizations, utilisez un CloudFormation StackSet pour déployer un rôle de délégation dans tous les comptes membres, automatisant ainsi l’intégration pour l’analyse inter-comptes.
Le diagramme suivant illustre l’analyse inter-comptes à partir d’un compte central (Compte 4) :
Si vous ne souhaitez pas accorder d’autorisations inter-comptes, déployez plutôt un scanner dans chaque compte. Cela entraîne des coûts plus élevés car chaque scanner effectue des analyses inter-régions au sein de son compte.
Décidez du nombre de scanners à déployer
Un seul scanner peut analyser des hôtes dans n’importe quelle région, y compris des régions autres que la sienne. L’analyse inter-régions entraîne des coûts de transfert de données ; la décision de déployer des scanners supplémentaires dépend donc du nombre d’hôtes dont vous disposez dans chaque région.
- Moins de ~150 hôtes au total dans toutes les régions : un seul scanner dans une région est la configuration la plus rentable. Les coûts de transfert de données inter-régions pour l’analyse d’hôtes distants sont inférieurs au coût fixe d’exécution d’un scanner supplémentaire.
- Plus de ~150 hôtes dans une région spécifique : déployez un scanner dédié dans cette région. À ce seuil, les économies de sortie réalisées grâce à une analyse locale l’emportent sur le coût d’exécution du scanner.
- Plusieurs régions au-dessus du seuil : déployez un scanner dans chaque région dépassant ~150 hôtes. Les régions en dessous du seuil peuvent être analysées de manière inter-régionale à partir du scanner le plus proche.
Datadog achemine automatiquement les analyses vers le scanner régional approprié afin de minimiser les coûts inter-régions.
Limites de capacité du scanner
Chaque scanner possède des limites de débit régies par les quotas d’API du fournisseur cloud :
| Limite | Valeur |
|---|
| Nombre maximal de scanners par compte et par région | 4 (plafond strict ; les fournisseurs cloud comme AWS limitent les instantanés simultanés à 100 par compte et par région) |
| Intervalle d’analyse | Toutes les 12 heures |
N'augmentez pas le nombre souhaité du groupe Autoscaling (ASG) au-delà de quatre scanners par région. Des scanners supplémentaires ne peuvent pas créer d'instantanés en raison de la limite d'instantanés simultanés des fournisseurs cloud.
Considérations sur le réseau d’entreprise
Par défaut, le scanner crée un nouveau VPC lors du déploiement. Si votre organisation utilise Terraform et dispose de politiques de contrôle de service (SCP) qui restreignent la création de VPC, utilisez l’option custom VPC lors de la configuration pour utiliser un VPC existant au lieu d’en créer un nouveau.
Lectures complémentaires
Documentation, liens et articles supplémentaires utiles:
