Les emplacements privés sont des conteneurs Docker que vous pouvez installer n’importe où à l’intérieur de votre réseau privé. Vous pouvez accéder à l’image du travailleur d’emplacement privé sur Docker hub. Il peut fonctionner sur un système d’exploitation basé sur Linux ou Windows si le moteur Docker est disponible sur votre hôte et peut fonctionner en mode conteneurs Linux.*

* L’utilisation et le fonctionnement de ce logiciel sont régis par le contrat de licence utilisateur final disponible ici.

Les emplacements privés sont des déploiements Kubernetes que vous pouvez installer sur votre cluster Kubernetes avec Helm. Le helm chart peut fonctionner sur Kubernetes basé sur Linux.

Remarque : L’utilisation et le fonctionnement de ce logiciel sont régis par le contrat de licence utilisateur final.

Les emplacements privés sont des services Windows que vous pouvez installer n’importe où dans votre réseau privé en utilisant un fichier MSI. Exécutez ce fichier depuis la machine virtuelle ou physique sur laquelle vous souhaitez installer l’emplacement privé.*

* L’utilisation et le fonctionnement de ce logiciel sont régis par le contrat de licence utilisateur final disponible ici.

Les exigences de cette machine sont listées dans le tableau ci-dessous. Le scripting PowerShell doit être activé sur la machine où vous installez le travailleur d’emplacement privé.

Remarque : Pour que les emplacements privés Windows exécutent des tests de navigateur, les navigateurs (par exemple, Chrome, Edge ou Firefox) doivent être installés sur l’ordinateur Windows.

Vous devez installer la version 4.7.2 ou ultérieure de .NET sur votre ordinateur avant de pouvoir utiliser le programme dʼinstallation de MSI.

Activer le mode cryptographique FIPS 140-2 :
Activer les modules cryptographiques conformes à FIPS pour des communications sécurisées. L’hôte Windows doit fonctionner en mode FIPS pour utiliser cette option. Disponible dans l’emplacement privé v1.63.0 et supérieur.

Exécutez cette commande pour démarrer votre travailleur d’emplacement privé en montant votre fichier de configuration dans le conteneur. Assurez-vous que votre fichier <MY_WORKER_CONFIG_FILE_NAME>.json est dans /etc/docker, et non dans le dossier racine :

docker run -d --restart unless-stopped -v $PWD/<MY_WORKER_CONFIG_FILE_NAME>.json:/etc/datadog/synthetics-check-runner.json datadog/synthetics-private-location-worker:latest

Remarque : Si vous avez bloqué des IP réservées, ajoutez les NET_ADMIN capacités Linux à votre conteneur d’emplacement privé.

Cette commande démarre un conteneur Docker et prépare votre emplacement privé à exécuter des tests. Datadog recommande d’exécuter le conteneur en mode détaché avec une politique de redémarrage appropriée.

1. Créez un fichier docker-compose.yml avec :

   version: "3"
   services:
       synthetics-private-location-worker:
           image: datadog/synthetics-private-location-worker:latest
           volumes:
               - PATH_TO_PRIVATE_LOCATION_CONFIG_FILE:/etc/datadog/synthetics-check-runner.json
   

   Note: If you have blocked reserved IPs, add the NET_ADMIN Linux capabilities to your private location container.

2. Démarrez votre conteneur avec :

   docker-compose -f docker-compose.yml up
   

La configuration de Podman est très similaire à celle de Docker, cependant, vous devez définir NET_RAW comme une capacité supplémentaire pour prendre en charge les tests ICMP.

1. Exécutez sysctl -w "net.ipv4.ping_group_range = 0 2147483647" depuis l’hôte où le conteneur s’exécute.

2. Exécutez cette commande pour démarrer votre worker d’emplacement privé en montant votre fichier de configuration dans le conteneur. Assurez-vous que votre <MY_WORKER_CONFIG_FILE_NAME>.json fichier est accessible pour le monter dans le conteneur :

   podman run --cap-add=NET_RAW --rm -it -v $PWD/<MY_WORKER_CONFIG_FILE_NAME>.json:/etc/datadog/synthetics-check-runner.json gcr.io/datadoghq/synthetics-private-location-worker:latest
   

   Si vous avez configuré des adresses IP réservées bloquées, ajoutez les NET_ADMIN capacités Linux à votre conteneur d’emplacement privé.

Cette commande démarre un conteneur Podman et prépare votre emplacement privé à exécuter des tests. Datadog recommande d’exécuter le conteneur en mode détaché avec une politique de redémarrage appropriée.

Pour déployer le worker des emplacements privés de manière sécurisée, configurez et montez une ressource Secret Kubernetes dans le conteneur sous /etc/datadog/synthetics-check-runner.json.

1. Créez un Secret Kubernetes avec le fichier JSON précédemment créé en exécutant ce qui suit :

   kubectl create secret generic private-location-worker-config --from-file=<MY_WORKER_CONFIG_FILE_NAME>.json
   

2. Utilisez des déploiements pour décrire l’état souhaité associé à vos emplacements privés. Créez le private-location-worker-deployment.yaml fichier suivant :

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: datadog-private-location-worker
     namespace: default
   spec:
     selector:
       matchLabels:
         app: private-location
     template:
       metadata:
         name: datadog-private-location-worker
         labels:
           app: private-location
       spec:
         containers:
         - name: datadog-private-location-worker
           image: datadog/synthetics-private-location-worker
           volumeMounts:
           - mountPath: /etc/datadog/synthetics-check-runner.json
             name: worker-config
             subPath: <MY_WORKER_CONFIG_FILE_NAME>
         volumes:
         - name: worker-config
           secret:
             secretName: private-location-worker-config
   

   Note: If you have blocked reserved IPs, add the NET_ADMIN Linux capabilities to your private location container.

3. Appliquez la configuration :

   kubectl apply -f private-location-worker-deployment.yaml
   

Pour OpenShift, exécutez l’emplacement privé avec le anyuid SCC. Ceci est requis pour que votre test de navigateur s’exécute.

Vous pouvez définir des variables d’environnement dans vos paramètres de configuration qui pointent vers des secrets que vous avez déjà configurés. Pour créer des variables d’environnement avec des secrets, consultez la documentation Kubernetes.

Méthode alternative :

1. Ajoutez le Datadog Synthetics Private Location à vos dépôts Helm :

   helm repo add datadog https://helm.datadoghq.com
   helm repo update
   

2. Installez le chart avec le nom de version <RELEASE_NAME> en utilisant le fichier JSON précédemment créé :

   helm install <RELEASE_NAME> datadog/synthetics-private-location --set-file configFile=<MY_WORKER_CONFIG_FILE_NAME>.json
   

Remarque : Si vous avez bloqué des IP réservées, ajoutez les NET_ADMIN capacités Linux à votre conteneur d’emplacement privé.

Créez une nouvelle définition de tâche EC2 qui correspond à ce qui suit. Remplacez chaque paramètre par la valeur correspondante trouvée dans votre fichier de configuration d’emplacement privé généré précédemment :

{
    ...
    "containerDefinitions": [
        {
            "command": [
                "--site='...'",
                "--locationID='...'",
                "--accessKey='...'",
                "--datadogApiKey='...'",
                "--secretAccessKey='...'",
                "--privateKey='-----BEGIN RSA PRIVATE KEY-----XXXXXXXX-----END RSA PRIVATE KEY-----'",
                "--publicKey.pem='-----BEGIN PUBLIC KEY-----XXXXXXXX-----END PUBLIC KEY-----'",
                "--publicKey.fingerprint='...'"
            ],
            ...
            "image": "datadog/synthetics-private-location-worker:latest",
            ...
        }
    ],
    ...
    "compatibilities": [
        "EC2"
    ],
    ...
}

Remarques :

• Si vous avez bloqué des IP réservées, configurez un linuxParameters pour accorder NET_ADMIN capacités à vos conteneurs d’emplacement privé.
• Si vous utilisez les variables d’environnement DATADOG_API_KEY, DATADOG_ACCESS_KEY, DATADOG_SECRET_ACCESS_KEY, DATADOG_PUBLIC_KEY_PEM et DATADOG_PRIVATE_KEY, vous n’avez pas besoin de les inclure dans la section "command": [ ].

Créez une nouvelle définition de tâche Fargate qui correspond à ce qui suit. Remplacez chaque paramètre par la valeur correspondante trouvée dans votre fichier de configuration d’emplacement privé généré précédemment :

{
    ...
    "containerDefinitions": [
        {
            "command": [
                "--site='...'",
                "--locationID='...'",
                "--accessKey='...'",
                "--datadogApiKey='...'",
                "--secretAccessKey='...'",
                "--privateKey='-----BEGIN RSA PRIVATE KEY-----XXXXXXXX-----END RSA PRIVATE KEY-----'",
                "--publicKey.pem='-----BEGIN PUBLIC KEY-----XXXXXXXX-----END PUBLIC KEY-----'",
                "--publicKey.fingerprint='...'"
            ],
            ...
            "image": "datadog/synthetics-private-location-worker:latest",
            ...
        }
    ],
    ...
    "compatibilities": [
        "EC2",
        "FARGATE"
    ],
    ...
}

Remarque : Étant donné que l’option de pare-feu de localisation privée n’est pas prise en charge sur AWS Fargate, le enableDefaultBlockedIpRanges paramètre ne peut pas être défini sur true.

Créez un secret dans AWS Secrets Manager pour stocker tout ou partie de la configuration de localisation privée générée précédemment. Gardez à l’esprit que le publicKey ne peut pas être conservé tel quel dans le fichier de configuration. Exemple :

{
    "datadogApiKey": "...",
    "id": "...",
    "site": "...",
    "accessKey": "...",
    "secretAccessKey": "...",
    "privateKey": "...",
    "pem": "...",
    "fingerprint": "..."
}

Des autorisations sont nécessaires pour permettre à la définition de tâche et à l’instance AWS Fargate de lire à partir du Secrets Manager. Voir Specifying sensitive data using Secrets Manager secrets in Amazon ECS pour plus d’informations.

Créez une définition de tâche Fargate qui correspond à l’exemple suivant, en remplaçant les valeurs de la liste des secrets par l’ARN du secret que vous avez créé à l’étape précédente. Par exemple : arn:aws:secretsmanager:<region>:<account-id>:secret:<secret_arn>:<secret_key>::.

Si vous n’avez pas enregistré toute la configuration dans AWS Secrets Manager, vous pouvez toujours passer la valeur en tant qu’arguments de chaîne codés en dur.

{
    ...
    "containerDefinitions": [
        {
            "entryPoint": [
                "/bin/bash",
                "-c"
            ],
            "command": [
                "/home/dog/scripts/entrypoint.sh --locationID=$locationID --publicKey.fingerprint=$fingerprint"
            ],
            "secrets": [
              {
                "name": "DATADOG_ACCESS_KEY",
                "valueFrom": "..."
              },
              {
                "name": "DATADOG_API_KEY",
                "valueFrom": "...",
              },
              {
                "name": "fingerprint",
                "valueFrom": "...",
              },
              {
                "name": "locationID",
                "valueFrom": "...",
              },
              {
                "name": "DATADOG_PUBLIC_KEY_PEM",
                "valueFrom": "...",
              },
              {
                "name": "DATADOG_PRIVATE_KEY",
                "valueFrom": "...",
              },
              {
                "name": "DATADOG_SECRET_ACCESS_KEY",
                "valueFrom": "...",
              },
              {
                "name": "DATADOG_SITE",
                "valueFrom": "...",
              }
            ],
            ...
            "image": "datadog/synthetics-private-location-worker:latest",
            ...
        }
    ],
    ...
    "compatibilities": [
        "EC2",
        "FARGATE"
    ],
    ...
}

Remarque : Étant donné que l’option de pare-feu de localisation privée n’est pas prise en charge sur AWS Fargate, le enableDefaultBlockedIpRanges paramètre ne peut pas être défini sur true.

Étant donné que Datadog s’intègre déjà à Kubernetes et AWS, la plateforme est prête pour la surveillance de EKS.

1. Créez un secret Kubernetes avec le fichier JSON précédemment créé en exécutant ce qui suit :

   kubectl create secret generic private-location-worker-config --from-file=<MY_WORKER_CONFIG_FILE_NAME>.json
   

2. Utilisez des déploiements pour décrire l’état souhaité associé à vos emplacements privés. Créez le private-location-worker-deployment.yaml fichier suivant :

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: datadog-private-location-worker
     namespace: default
   spec:
     selector:
       matchLabels:
         app: private-location
     template:
       metadata:
         name: datadog-private-location-worker
         labels:
           app: private-location
       spec:
         containers:
         - name: datadog-private-location-worker
           image: datadog/synthetics-private-location-worker
           volumeMounts:
           - mountPath: /etc/datadog/synthetics-check-runner.json
             name: worker-config
             subPath: <MY_WORKER_CONFIG_FILE_NAME>
         volumes:
         - name: worker-config
           configMap:
             name: private-location-worker-config
   

   Note: If you have blocked reserved IPs, configure a security context to grant NET_ADMIN Linux capabilities to your private location containers.

3. Appliquez la configuration :

   kubectl apply -f private-location-worker-deployment.yaml
   

1. Téléchargez le fichier datadog-synthetics-worker-1.71.0.amd64.msi et exécutez ce fichier depuis la machine sur laquelle vous souhaitez installer la localisation privée.

2. Cliquez sur Suivant sur la page d’accueil, lisez l’EULA et acceptez les termes et conditions. Cliquez sur Suivant.

3. Modifiez l’emplacement où l’application sera installée, ou laissez les paramètres par défaut. Cliquez sur Suivant.

4. Pour configurer votre localisation privée Windows, vous pouvez soit :

   • Coller et entrer une configuration JSON pour votre Datadog Synthetics Private Location Worker. Ce fichier est généré par Datadog lorsque vous créez une localisation privée.

   • Parcourez ou saisissez un chemin de fichier vers un fichier contenant une configuration JSON pour votre Datadog Synthetics Private Location Worker.

   • Vous pouvez laisser ce champ vide et exécuter C:\\Program Files\Datadog-Synthetics\Synthetics\synthetics-pl-worker.exe --config=<PathToYourConfiguration> dans l’invite de commande Windows une fois l’installation terminée.

5. Vous pouvez appliquer les options de configuration suivantes :

   Appliquer les règles du pare-feu nécessitées par ce programme au pare-feu Windows

   Autorisez le programme dʼinstallation à appliquer les règles du pare-feu lors de lʼinstallation et à les supprimer lors de la désinstallation.

   Appliquer des règles pour bloquer les IP réservées dans le pare-feu Windows

   Configurez des règles pour bloquer Chrome, Firefox et Edge (si installés) et ajoutez des règles pour bloquer des plages dʼadresses IP réservées sortantes dans le pare-feu Windows.

   Activer la journalisation de fichier

   Autorisez le worker dʼemplacement privé Synthetics à logguer des fichiers dans le répertoire dʼinstallation.

   Jours de rotation des logs

   indique le nombre de jours pendant lesquels les logs sont conservés avant leur suppression du système local.

   Verbosité des logs

   indique la verbosité de la console et du logging de fichiers pour le worker de lʼemplacement privé Synthetics.

   Activer le mode cryptographique FIPS 140-2

   Activer les modules cryptographiques conformes à FIPS pour des communications sécurisées. L’hôte Windows doit fonctionner en mode FIPS Windows pour utiliser cette option. Disponible dans la version 1.63.0 de Private Location et supérieure.

6. Cliquez sur Suivant et Installer pour commencer le processus d’installation.

Une fois le processus terminé, cliquez sur Terminer sur la page de fin d’installation.

1. Téléchargez le fichier datadog-synthetics-worker-1.71.0.amd64.msi et exécutez ce fichier depuis la machine sur laquelle vous souhaitez installer la localisation privée.

2. Exécutez l’une des commandes suivantes dans le répertoire où vous avez téléchargé l’installateur :

   • Dans un terminal PowerShell :

     Start-Process msiexec "/i datadog-synthetics-worker-1.71.0.amd64.msi /quiet /qn CONFIG_FILEPATH=<chemin_vers_votre_fichier_de_configuration_worker>";
     

   • Ou dans un terminal de commande :

     msiexec /i datadog-synthetics-worker-1.71.0.amd64.msi /quiet /qn CONFIG_FILEPATH=<chemin_vers_votre_fichier_de_configuration_worker>
     

Dʼautres paramètres peuvent être ajoutés :

Pour activer le mode cryptographique FIPS 140-2, définissez la variable d’environnement ENABLE_FIPS=1 avant d’exécuter l’exécutable du worker. L’hôte Windows doit fonctionner en mode FIPS Windows pour utiliser cette option. Disponible dans la version 1.63.0 de Private Location et supérieure :

Exemple :

set ENABLE_FIPS=1 && .\synthetics-pl-worker.exe --config "<PathToYourConfiguration>"

Lors de la création de vos conteneurs d’emplacement privé, montez les fichiers de certificat pertinents .pem à /etc/datadog/certs de la même manière que vous montez votre fichier de configuration d’emplacement privé. Ces certificats sont considérés comme des CA de confiance et sont utilisés lors de l’exécution des tests.

Pour installer des certificats racine pour des emplacements privés sur un service Windows, suivez les étapes suivantes :

1. Ouvrez l’application Éditeur de registre.
2. Naviguez jusqu’à l’entrée Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\synthetics-private-location.
3. Créez une clé de registre nommée Environment avec le type de valeur Multi-string.

4. Définissez la valeur NODE_EXTRA_CA_CERTS=C:\Program Files\Datadog-Synthetics\Synthetics\CACert.pem

5. Ouvrez l’application Services et rechargez le service d’emplacement privé de Surveillance Synthétique Datadog.

Pour installer des certificats racine pour des emplacements privés sur un processus Windows autonome avec synthetics-private-location.exe, suivez les étapes suivantes :

1. Ouvrez votre invite de commande Windows ou PowerShell.

2. Définissez la variable d’environnement et appelez l’exécutable.

Exemple :

set NODE_EXTRA_CA_CERTS=C:\Program Files\Datadog-Synthetics\Synthetics\CACert.pem && .\synthetics-private-location.exe --config "C:\ProgramData\Datadog-Synthetics\Synthetics\worker-config.json"

Pour activer le mode cryptographique FIPS 140-2, incluez ENABLE_FIPS=1 :

set ENABLE_FIPS=1 && set NODE_EXTRA_CA_CERTS=C:\Program Files\Datadog-Synthetics\Synthetics\CACert.pem && .\synthetics-private-location.exe --config "C:\ProgramData\Datadog-Synthetics\Synthetics\worker-config.json"

L’hôte Windows doit fonctionner en mode FIPS Windows pour utiliser cette option. Disponible dans la version 1.63.0 de Private Location et supérieure.