API キーとアプリケーションキー

API キー

API キーは組織に固有のものです。Datadog Agent でメトリクスとイベントを Datadog に送信するには、API キーが必要です。

アプリケーションキー

アプリケーションキーは、組織の API キーとの連携により、Datadog のプログラムで利用する API へのアクセスをユーザーに提供します。アプリケーションキーは、それを作成したユーザーアカウントに関連付けられており、デフォルトではそれを作成したユーザーの権限を付与されています。

1 回限り読み取りモード

1 回限り読み取り (OTR) モードは、アプリケーションキーのシークレットの可視性を、作成時のみに制限するセキュリティ機能です。OTR モードが有効になっている場合、アプリケーションキーのシークレットは作成時に一度表示されるだけであり、セキュリティ上の理由から後で取得することはできません。

新しい組織の場合

2025 年 8 月 20 日より後に作成された新しい親組織 (およびその子組織) のすべてのアプリケーションキーでは、デフォルトでOTRモードが有効になっています。この設定は恒久的であり、変更できません。

既存の組織の場合

組織の管理者は、組織設定 > アプリケーションキー から、OTR モードを有効または無効にすることができます。OTR モードを有効にした後:

アプリケーションキーのシークレットは、作成時に一度表示されるだけです
それらを UI または API を通じて再取得することはできません
この設定は、有効にした後 3 か月の間、組織の管理者によってオンまたはオフに切り替えることができます
連続して 3 か月間有効の状態が継続すると、OTR モードは恒久的になり、トグルは削除されます。

権限: ユーザーが自分の組織の OTR モードを有効または無効にするには、org_app_keys_write と org_management の両方の権限を付与されている必要があります。

スコープ

アプリケーションをより良く保護し、安全性を確保するには、アプリケーションキーにスコープを指定して、より詳細な権限を定義し、アプリケーションから Datadog データへのアクセスを最小限に抑えることができます。これにより、アプリケーションに対する細かいアクセス制御が可能になり、余分なアクセスを制限することでセキュリティの脆弱性を最小限に抑えることができます。たとえば、ダッシュボードを読み取るだけのアプリケーションの場合、ユーザーを管理したり組織のデータを削除したりするための管理者権限は不要です。

アプリケーションキーのスコープ設定に関して推奨されるベストプラクティスは、アプリケーションが意図通りに機能するために必要な最小限の特権と権限をキーに付与することです。スコープ設定したアプリケーションキーに付与されるスコープは、ユーザーによって指定されるものだけであり、他の追加の権限は付与されません。アプリケーションキーの認証スコープはいつでも変更できますが、その変更がアプリケーションの既存の機能やアクセスにどのように影響するかを考慮してください。

注:

アプリケーションキーを作成または編集する権限を付与されているユーザーまたはサービスアカウントは、アプリケーションキーのスコープを設定できます。ユーザーが自分のアプリケーションキーのスコープを設定するには、user_app_keys の権限が必要です。または、ユーザーが組織内の任意のユーザーが所有するアプリケーションキーのスコープを設定するには、org_app_keys_write の権限が必要です。ユーザーがサービスアカウントのアプリケーションキーのスコープを設定するには、service_account_write の権限が必要です。
アプリケーションの所有者は、必要な権限が不足している場合、自分が持っていない認可スコープでアプリケーションキーをスコープしても、アプリケーションを認可することができません。
アプリケーションキー作成時やアプリケーション認証時に権限が不足しているためにエラーが発生した場合、403 Forbidden エラーが表示されます。さまざまなエラー応答について詳しくは、Datadog API のドキュメントに記載されています。
ユーザーのロールや権限が変更されても、アプリケーションキーに指定された認可スコープは変更されません。

アクション API アクセス

アクション API には以下のものが含まれます。

これらの API でアプリケーションキーを使用するには、アプリケーションキーに対するアクション API アクセスを有効にする必要があります。これは、UI により、または API により設定できます。デフォルトの場合、アプリケーションキーをこれらの API で使用することはできません。

注: Last used セクションが表示されるのは、アカウントで Audit Trail が有効になっていて、かつ Audit Trail Read の権限が付与されている場合だけです。

クライアントトークン

セキュリティ上の理由から、API キーはクライアント側で公開されるため、ブラウザ、モバイル、TV アプリからのデータ送信には使用できません。その代わりに、エンドユーザー向けのアプリケーションでは、クライアントトークンを使用して Datadog にデータを送信します。

以下の例を含む、いくつかのタイプのクライアントが、クライアントトークンを必要とするデータを送信します。

Web ブラウザ、Android、iOS、React Native、Flutter、Roku のログコレクターがログを送信します。
Real User Monitoringアプリケーションがイベントとログを送信します。

クライアントトークンは、組織ごとに固有です。クライアントトークンを管理するには、Organization Settings に移動して、Client Tokens タブをクリックします。

注: クライアントトークンを作成したユーザーが非アクティブ化されても、クライアントトークンはアクティブなままです。

API キーまたはクライアントトークンを追加する

Datadog API キーまたはクライアントトークンを追加するには

組織の設定に移動し、API keys または Client Tokens タブをクリックします。
何を作成するかに応じて、New Key または New Client Token のボタンをクリックします。
キーまたはトークンの名前を入力します。
Create API key または Create Client Token をクリックします。

注:

組織には、少なくとも最低 1 つ、最大 50 の API キーが必要です。
キー名は、組織全体で一意である必要があります。

API キーまたはクライアントトークンを削除する

Datadog API キーまたはクライアントトークンを削除するには、キーまたはトークンのリストに移動し、削除するキーまたはトークンの横にある Delete アイコンをクリックします。

アプリケーションキーを追加する

Datadog アプリケーションキーを追加するには、組織の設定 > アプリケーションキー に移動します。アプリケーションキーを作成する権限がある場合は、New Keyをクリックします。

組織で 1 回限り読み取り (OTR) モードが有効になっている場合、アプリケーションキーは、作成後すぐに、安全性が確保される方法で保管してください。シークレットを後で取得することはできません。

注:

アプリケーションキー名を空白にすることはできません。

アプリケーションキーを削除する

Datadog アプリケーションキーを削除するには、組織の設定 > アプリケーションキー に移動します。アプリケーションキーを作成および管理する権限が付与されている場合は、自分のキーが表示され、取り消すキーの横にある Revoke をクリックできます。組織アプリケーションキーのすべてを管理する権限が付与されている場合は、取り消すキーを検索し、その横にある Revoke をクリックできます。

キーの伝播遅延と最終整合性

Datadog の API とアプリケーションキーは、最終整合性モデルに従います。Datadog は分散型のシステムなので、キーの作成や取り消しなどの更新が完全に伝播するまでに数秒かかる場合があります。

その結果として、以下のようになります。

重要なワークフローでは、新しい API またはアプリケーションキーをすぐに使用しないようにしてください。伝播の時間を考慮して数秒間待ってください。伝播時間枠内での一時的なエラーを処理するために、短い指数関数的バックオフを伴う再試行戦略を実装できます。
API キーがアクティブで使用可能かどうかを検証するには、/api/v1/validate エンドポイントを呼び出してください。
アプリケーションキーがアクティブであることを確認するには、適切なキーペアを使用して /api/v2/validate_keys エンドポイントを利用してください。

新しく作成されたキーを、それが完全に伝播する前に使用しようとすると、403 Forbidden や 401 Unauthorized などの一時的な認証エラーが発生する可能性があります。

アプリケーションキーのスコープ

アプリケーションキーの認証スコープを指定するには、Datadog API または UI にリクエストを送信して、アプリケーションキーを作成または編集してください。スコープは、現在のユーザーまたはサービスアカウントが所有するアプリケーションキーに対して指定できます。このフィールドが指定されていない場合、アプリケーションキーのスコープと権限は、デフォルトとして、それらを作成したユーザーと同じスコープおよび権限になります。

注:

スコープ名の大文字と小文字は区別されます。

複数の API キーの使用

組織に複数の API キーを設定することを検討してください。たとえば、デプロイ方法ごとに異なる API キーを使用します (たとえば、AWS の Kubernetes に Agent をデプロイする用、Chef を使用してオンプレミスでデプロイする用、ダッシュボードやモニターを自動化する Terraform スクリプト用、ローカルでデプロイする開発者用など)。

複数の API キーを使用することで、セキュリティ対策の一環としてキーをローテーションしたり、特定のキーが誤って公開された場合やそのキーに関連づけられたサービスを停止したい場合に取り消すことができます。

API キーが定められた上限の 50 を超えて必要な場合は、上限の引き上げについてサポートチームまでお問い合わせください。

ユーザーアカウントを無効にする

ユーザーのアカウントが無効にされると、そのユーザーが作成したアプリケーションキーはすべて取り消されます。無効にされたアカウントによって作成された API キーは削除されず、有効なままです。

キーの転送

セキュリティ上の理由から、Datadog がアプリケーションキーをユーザー間で転送することはありません。アプリケーションキーを共有する必要がある場合は、サービスアカウントを使用してください。

API キーやアプリケーションキーが流出した場合の対処法

プライベートキーが侵害されたり公開されたりした場合は、アカウントのセキュリティを確保するために、できるだけ早く対策を講じる必要があります。GitHub のような公開サイトからキーを含むファイルを削除しても、第三者から既にアクセスされてはいないことが保証されるわけではありません。

以下の手順で、アカウントを保護してください。

注: アクティブなキーを無効にすると、サービスに影響を与える可能性があります。使用範囲が大きい場合や不明の場合は、影響を受けるキーを無効にする前に、ステップ 2～5 を検討してください。

影響を受けるキーを無効にします。
一般にアクセス可能なファイルから、プライベートキーを含むコードを削除します。
- サニタイズしたファイルを公開リポジトリに公開します。
- コミット履歴から機密データを削除します。
新しいキーを作成します。
影響を受けるサービスを新しいキーで更新します。
未承認のアクセスがないか、アカウントを確認します。
- 最近追加されたユーザー
- 新しいリソース
- ロールまたは権限の変更

異常な行動が確認された場合、またはアカウントの安全確保にさらに支援が必要な場合は、Datadog サポートに連絡してください。

トラブルシューティング

お困りですか？Datadog サポートにお問い合わせください。