Datadog の OCI QuickStart は、完全に管理された単一フローのセットアップ体験で、数回のクリックだけで OCI インフラストラクチャーとアプリケーションを監視できるようにします。OCI QuickStart は、メトリクス、ログ、リソース データを Datadog に転送するために必要な基盤を作成し、データ収集の対象となる新しいリソースや OCI コンパートメントを自動検出します。

注: デフォルトではメトリクスのみが送信されます。このセットアップ完了後に、Datadog OCI インテグレーション タイル でログ収集とリソース データ収集を有効にしてください。

Datadog へのメトリクスとログの転送基盤をセットアップするには:

• Datadog OCI インテグレーション タイルを設定
• QuickStart stack をデプロイ
• Datadog でセットアップを完了
• メトリクスの送信を確認
• メトリクス収集を設定 (オプション)
• ログ収集を設定 (オプション)

このインテグレーションでは、Oracle Service Connector Hubs を使用して Datadog にデータを転送します。セットアップを完了する前に、サービス制限の引き上げを申請 しておくことを推奨します。必要な Service Connector Hubs の概算は次のとおりです:

$$\text"Service Connector Hubs" = \text"テナンシー内のコンパートメント数" / \text"5"$$

Datadog OCI インテグレーション タイル

1. Datadog OCI インテグレーション タイル に移動し、Add New Tenancy をクリックします。
2. このインテグレーションで使用する Datadog API キーを選択するか、新規作成します。
3. Datadog のアプリケーション キーを作成します。
4. Create OCI Stack をクリックします。Oracle Resource Manager (ORM) のスタックに移動し、そこでデプロイを完了します。
   注: このスタックはテナンシーごとに 1 回だけデプロイしてください。

ORM スタック

1. Oracle 利用規約に同意します。
2. カスタム Terraform プロバイダーを使用するオプションは、未選択のままにしてください。
3. デフォルトの作業ディレクトリでスタックをデプロイするか、必要に応じて別のディレクトリを選択してください。
4. Next をクリックし、もう一度 Next をクリックします。
   
5. Create をクリックし、デプロイが完了するまで最大 15 分待ちます。

OCI メトリクスを Datadog に転送するには

• テナンシー情報を入力
• テナンシーのホーム リージョンで OCI ポリシー スタックをデプロイ し、Datadog の読み取り専用ユーザー、グループ、ポリシーを作成します
• Datadog で DatadogROAuthUser 情報を入力
• メトリクスの転送元にしたい各テナンシー リージョンについて、OCI メトリクス転送スタックをデプロイ します
• Datadog でセットアップを完了
• メトリクスの送信を確認
• メトリクス収集を設定 (オプション)
• ログ収集を設定 (オプション)

このアーキテクチャを図で確認するには、アーキテクチャ セクションを参照してください。

テナンシー情報を入力

監視したいテナンシーの OCID とホーム リージョンを、Datadog OCI インテグレーション タイル に入力します。

• この情報は Tenancy 詳細ページ で確認できます。
• ホーム リージョンは、OCI の Regions and Availability Domains ページ にある Region Identifier の値を使って入力します。

OCI ポリシー スタックを作成

この Oracle Resource Manager (ORM) のポリシー スタックは、テナンシーごとに 1 回だけデプロイしてください。

1. Datadog OCI インテグレーション タイルの Create Policy Stack ボタンをクリックします。
2. Oracle 利用規約に同意します。
3. カスタム Terraform プロバイダーを使用するオプションは未選択のままにします。
4. スタックの名前とコンパートメントはデフォルトのままでも構いません。必要に応じて、分かりやすい名前やコンパートメントを指定することもできます。
5. Next をクリックします。
6. tenancy フィールドと current user フィールドは、そのまま変更しないでください。
7. Next をクリックします。
8. Create をクリックします。

DatadogROAuthUser 情報を入力

1. OCI コンソールの検索バーで DatadogROAuthUser を検索し、表示された User リソースをクリックします。
2. ユーザーの OCID 値をコピーします。
3. その値を、Datadog OCI インテグレーション タイル の User OCID フィールドに貼り付けます。
4. OCI コンソールに戻り、次の手順で API キーを生成します:
   a. 画面左下の Resources 配下で API keys をクリックします。
   b. Add API key をクリックします。
   c. Download private key をクリックします。
   d. Add をクリックします。
   e. Configuration file preview のポップアップが表示されますが、操作は不要です。ポップアップを閉じてください。

5. フィンガープリント値をコピーし、Datadog OCI インテグレーション タイル の Fingerprint フィールドに貼り付けます。
6. 次の手順で、秘密鍵の値をコピーします: a. ダウンロードした秘密鍵の .pem ファイルをテキスト エディターで開くか、cat などのターミナル コマンドでファイル内容を表示します。 b. -----BEGIN PRIVATE KEY----- と -----END PRIVATE KEY----- を含む全内容をコピーします。
7. プライベートキーの値を Datadog OCI インテグレーションタイルの Private Key フィールドに貼り付けてください。

OCI メトリクス転送スタックを作成

メトリクス転送スタックは、監視対象とする テナンシーとリージョンの組み合わせごと にデプロイする必要があります。最もシンプルな構成として、Datadog では以下で提供する Oracle Resource Manager (ORM) スタックを使い、必要な OCI リソースをまとめて作成する方法を推奨します。既存の OCI ネットワーク基盤を利用することも可能です。

Datadog の ORM スタックで作成されるリソースはすべて、指定したコンパートメントに、かつ画面右上で現在選択されているリージョンにデプロイされます。

1. Datadog OCI インテグレーション タイルで Create Metric Stack ボタンをクリックします。
2. Oracle 利用規約に同意します。
3. Custom providers オプションは未選択のままにしてください。
4. スタックに名前を付け、それをデプロイするコンパートメントを選択します。
5. Next をクリックします。
6. Datadog API Key フィールドに、Datadog API キー の値を入力します。
7. Network options セクションでは、Create VCN を選択したままにします。

8. Metrics settings セクションで、必要に応じて収集対象から除外するメトリクス ネームスペースを削除します。
9. Metrics compartments セクションで、監視するコンパートメント OCID をカンマ区切りで入力します。前の手順で選択したメトリクス ネームスペース フィルターが、各コンパートメントに適用されます。
10. Function settings セクションで GENERIC_ARM を選択します。日本リージョンにデプロイする場合は GENERIC_X86 を選択してください。
11. Next をクリックします。
12. Create をクリックします。
13. Datadog OCI インテグレーション タイル に戻り、Create Configuration をクリックします。

注:

• デフォルトでは、ルート コンパートメントのみが選択され、手順 8 で選択したメトリクス ネームスペースのうち、該当コンパートメントに存在するものがすべて有効になります (Service Connector Hub あたり最大 50 ネームスペースまでサポート)。追加のコンパートメントを監視対象にした場合、そのコンパートメントに追加されるネームスペースは、「選択したネームスペース」と「コンパートメントに存在するネームスペース」の共通部分になります。
• Resource Manager スタックの Terraform state ファイルに誰がアクセスできるかは、適切に管理してください。詳細は、Securing Resource Manager ページの Terraform State Files セクション を参照してください。

1. メトリクスとログの両方を Datadog に転送するための基盤は、セットアップ セクション の手順に沿って作成します。
2. Datadog OCI インテグレーション タイル の Log Collection タブで、Enable Log Collection トグルをオンにします。

1. OCI ログを構成します。
2. OCI 関数を作成します。
3. OCI サービスコネクタを設定します。

以下の手順では、OCI ポータルを使用してインテグレーションを設定します。

OCI ロギング

1. OCI ポータルで、Logging -> Log Groups に移動します。
2. コンパートメントを選択し、Create Log Group をクリックします。サイドパネルが開きます。
3. 名前には data_log_group を入力し、オプションで説明とタグを入力します。
4. Create をクリックして、新しいロググループを設定します。
5. Resources の下にある Logs をクリックします。
6. 必要に応じて、Create custom log または Enable service log をクリックします。
7. Enable Log をクリックして、新しい OCI ログを作成します。

OCI ログの詳細については、リソースのログを有効にするを参照してください。

OCI 関数

1. OCI ポータルで、Functions に移動します。
2. 既存のアプリケーションを選択するか、Create Application をクリックします。
3. アプリケーション内に新しい OCI 関数を作成します。詳細については、Oracle の関数概要を参照してください。
4. まずボイラープレートの Python 関数を作成し、自動生成されたファイルを Datadog のソース コードに差し替えることを推奨します:
   • Datadog OCI リポジトリ のコードで func.py を置き換えます
   • Datadog OCI リポジトリ のコードで func.yaml を置き換えます。DATADOG_TOKEN と DATADOG_HOST は、それぞれ Datadog API キーと、対象リージョンのログ取り込みリンク (logs intake link) に置き換える必要があります
   • Datadog OCI リポジトリ のコードで requirements.txt を置き換えます

OCI サービスコネクタハブ

1. OCI ポータルで、Logging -> Service Connectors に移動します。
2. Create Service Connector をクリックして、Create Service Connector ページに移動します。
3. ロギングとして Source を選択し、関数として Target を選択します。
4. Configure Source Connection で、Compartment name、Log Group、Log を選択します。(最初のステップで作成された Log Group と Log)
5. Audit Logs も送信する場合は、+Another Log をクリックし、同じ Compartment を選択して、Log Group として “_Audit” を置き換えます。
6. Configure target で、Compartment、Function application、Function を選択します。(前のステップで作成された Function Application と Function)
7. ポリシーを作成するように求められたら、プロンプトから Create をクリックします。
8. 一番下の Create をクリックして、サービスコネクタの作成を完了します。

OCI オブジェクトストレージの詳細については、Oracle のサービスコネクタのブログ記事を参照してください。

1. OCI ログを構成します。
2. OCI オブジェクトストアを作成し、OCI ログの読み取り/書き込みアクセスを有効にします。
3. OCI 関数を作成します。
4. OCI イベントを設定します。

以下の手順では、OCI ポータルを使用してインテグレーションを設定します。

OCI ロギング

1. OCI ポータルで、Solutions and Platform -> Logging -> Logs に移動します。
2. Create Custom Log をクリックして、Create Custom Log ページに移動します。
3. 新しい OCI ログに名前を付けます。
4. Compartment と Log Group を選択します。この選択は、インストール全体で一貫しています。
5. Create Custom Log をクリックして、Create Agent Config ページに移動します。
6. Create new configuration をクリックします。
7. 新しいコンフィギュレーションに名前を付けます。コンパートメントは事前に選択されています。
8. グループタイプを Dynamic Group に設定し、グループを既存のグループの 1 つに設定します。
9. 入力タイプを Log Path に設定し、希望の入力名を入力して、ファイルパスに “/” を使用します。
10. Create Custom Log をクリックすると、OCI ログが作成され、ログページで利用できるようになります。

OCI ログの詳細については、リソースのログを有効にするを参照してください。

OCI オブジェクトストレージ

1. OCI ポータルで、Core Infrastructure -> Object Storage -> Object Storage に移動します。
2. Create Bucket をクリックして、Create Bucket フォームに移動します。
3. ストレージ階層に Standard を選択し、Emit Object Events をチェックします。
4. 好みに応じてフォームの残りの部分に記入します。
5. Create Bucket をクリックすると、バケットが作成され、バケットリストで利用できるようになります。
6. アクティブなバケットリストから新しいバケットを選択し、リソースの下の Logs をクリックします。
7. read を有効化すると、Enable Log のサイド メニューに移動します。
8. Compartment と Log Group を選択します (OCI ログと同じ選択を使用します)。
9. Log Name の名前を入力し、希望するログ保持を選択します。

OCI オブジェクトストレージの詳細については、データをオブジェクトストレージに格納するを参照してください。

OCI 関数

1. OCI ポータルで、Solutions and Platform -> Developer Services -> Functions に移動します。
2. 既存のアプリケーションを選択するか、Create Application をクリックします。
3. アプリケーション内に新しい OCI 関数を作成します。詳細については、Oracle の関数概要を参照してください。
4. まずボイラープレートの Python 関数を作成し、自動生成されたファイルを Datadog のソース コードに差し替えることを推奨します:
   • Datadog OCI リポジトリ のコードで func.py を置き換えます
   • Datadog OCI リポジトリ のコードで func.yaml を置き換えます。DATADOG_TOKEN と DATADOG_HOST は、それぞれ Datadog API キーと、対象リージョンのログ取り込みリンク (logs intake link) に置き換える必要があります
   • Datadog OCI リポジトリ のコードで requirements.txt を置き換えます

OCI イベント

1. OCI ポータルで、Solutions and Platform -> Application Integration -> Event Service に移動します。
2. Create Rule をクリックして、Create Rule ページに移動します。
3. イベントルールに名前と説明を付けます。
4. 条件を Event Type*、サービス名を Object Storage、イベントタイプを Object - Create として設定します。
5. アクションタイプを Functions として設定します。
6. 関数コンパートメントが、OCI ログ、OCI バケット、および OCI 関数に対して行った選択と同じであることを確認します。
7. (前のインストール手順に従って) 関数アプリケーションと関数を選択します。
8. Create Rule をクリックすると、ルールが作成され、ルールリストで利用できるようになります。

OCI オブジェクトストレージの詳細については、イベント入門を参照してください。

メトリクスとログの転送リソース

監視対象のリージョンごとに、このオプションでは、そのリージョン内に次の基盤を作成してメトリクスとログを Datadog に転送します:

• 関数アプリケーション (dd-function-app)
• 2 つの関数:
  • Metrics Forwarder (dd-metrics-forwarder)
  • Logs Forwarder (dd-logs-forwarder)
• セキュアなネットワーク基盤を備えた VCN (dd-vcn):
  • プライベート サブネット (dd-vcn-private-subnet)
  • インターネットへの外部アクセス用 NAT ゲートウェイ (dd-vcn-natgateway)
  • OCI サービスへの内部アクセス用サービス ゲートウェイ (dd-vcn-servicegateway)
• Datadog API キーを保管するための Key Management Service (KMS) vault (datadog-vault)
• 専用の Datadog コンパートメント (Datadog)

すべてのリソースに ownedby = "datadog" タグが付与されます。

IAM リソース

このオプションでは、Datadog へのデータ転送を可能にするため、次の IAM リソースを作成します:

• サービス ユーザー (dd-svc)
• サービス ユーザーが所属するグループ (dd-svc-admin)
• API 認証用の RSA 鍵ペア
• サービス ユーザー用の OCI API キー
• Datadog コンパートメント内の全サービス コネクタを含む動的グループ (dd-dynamic-group-connectorhubs)
• Datadog コンパートメント内の全関数を含む動的グループ (dd-dynamic-group-function)
• Datadog が作成 / 管理するコンパートメント内で、テナンシー リソースの読み取り権限に加え、OCI Service Connector Hubs と OCI Functions を管理できる権限をサービス ユーザーに付与するポリシー (dd-svc-policy)

- Allow dd-svc-admin to read all-resources in tenancy
- Allow dd-svc-admin to manage serviceconnectors in Datadog compartment
- Allow dd-svc-admin to manage functions-family in Datadog compartment with specific permissions:
     * FN_FUNCTION_UPDATE
     * FN_FUNCTION_LIST
     * FN_APP_LIST
- Endorse dd-svc-admin to read objects in tenancy usage-report

• サービス コネクタがデータ (ログとメトリクス) を読み取り、関数と連携できるようにするためのポリシー dd-dynamic-group-policy。このポリシーにより、関数は Datadog コンパートメント内のシークレット (KMS vault に保存された Datadog API キーとアプリケーション キー) も読み取れるようになります

   - Allow dd-dynamic-group-connectorhubs to read log-content in tenancy
   - Allow dd-dynamic-group-connectorhubs to read metrics in tenancy
   - Allow dd-dynamic-group-connectorhubs to use fn-function in Datadog compartment
   - Allow dd-dynamic-group-connectorhubs to use fn-invocation in Datadog compartment
   - Allow dd-dynamic-group-functions to read secret-bundles in Datadog compartment

メトリクス転送リソース

このオプションでは、OCI メトリクスを Datadog に転送するために、OCI の コネクタ ハブ、関数アプリ、およびセキュアなネットワーク基盤を作成します。これらのリソース用の ORM スタックは、テナンシー内の当該リージョンに関数用コンテナ リポジトリを作成し、Docker イメージをそこへ push して関数から利用します。

IAM リソース

このオプションで作成されるもの:

• コネクタ ハブへのアクセスを可能にするため、resource.type = 'serviceconnectors' を条件にした動的グループ
• Datadog がテナンシー リソースを読み取るために使用する、DatadogROAuthUser というユーザー
• 作成したユーザーをポリシーで許可するために追加するグループ
• 関数用の Docker イメージを push するために使用する、DatadogAuthWriteUser というユーザー
• DatadogAuthWriteUser を追加し、ポリシー経由でイメージを push できるようにする Write access group
• コネクタ ハブがメトリクスを読み取り、関数を呼び出せるようにするためのルート コンパートメントのポリシー。このポリシーは、作成したユーザー グループに対しても、テナンシー リソースの読み取り権限と Write access group へのアクセス権を付与し、イメージを push できるようにします

Allow dynamic-group Default/<GROUP_NAME> to read metrics in tenancy
Allow dynamic-group Default/<GROUP_NAME> to use fn-function in tenancy
Allow dynamic-group Default/<GROUP_NAME> to use fn-invocation in tenancy
Allow group Default/<USER_GROUP_NAME> to read all-resources in tenancy
Allow group Default/<WRITE_USER_GROUP_NAME> to manage repos in tenancy where ANY {request.permission = 'REPOSITORY_READ', request.permission = 'REPOSITORY_UPDATE', request.permission = 'REPOSITORY_CREATE'}