概要

このチェックは、Vault クラスターの健全性とリーダーの変更を監視します。

セットアップ

インストール

Vault チェックは Datadog Agent パッケージに含まれています。

バージョン 3.4.0 以降、この OpenMetrics ベースのインテグレーションには、最新モード (use_openmetrics: true) とレガシーモード (use_openmetrics: false) があります。すべての最新機能を利用するために、Datadog は最新モードを有効にすることを推奨します。最新モードには Python 3 が必要です。詳しくは、OpenMetrics ベースのインテグレーションにおける最新バージョニングとレガシーバージョニングを参照してください。

1. Vault 構成で Prometheus メトリクスが有効になっていることを確認します。

2. Vault チェックが正しく機能するには、Vault メトリクスへの未認証アクセスを有効にする (Vault バージョン 1.3.0 以降を使用) か、Vault クライアントトークンを提供する必要があります。

   • 未認証アクセスを有効にするには、Vault の unauthenticated_metrics_access 構成を true に設定します。これにより、/v1/sys/metrics エンドポイントへの未認証アクセスが許可されます。

     注: /sys/metrics エンドポイントでメトリクスを収集するには Vault v1.1.0 以降が必要です。

   • Vault クライアントトークンを使用するには、以下の例を参照してください。JWT 認証方法を使用した例ですが、追加の認証方法を使用することもできます。

Vault インテグレーションには以下の機能が必要です。

• metrics_policy.hcl のコンテンツ:

  path "sys/metrics*" {
    capabilities = ["read", "list"]
  }
  

• セットアップポリシーとロール:

  $ vault policy write metrics /path/to/metrics_policy.hcl
  $ vault auth enable jwt
  $ vault write auth/jwt/config jwt_supported_algs=RS256 jwt_validation_pubkeys=@<PATH_TO_PUBLIC_PEM>
  $ vault write auth/jwt/role/datadog role_type=jwt bound_audiences=<AUDIENCE> user_claim=name token_policies=metrics
  $ vault agent -config=/path/to/agent_config.hcl
  

• agent_config.hcl のコンテンツ:

  exit_after_auth = true
  pid_file = "/tmp/agent_pid"
  
  auto_auth {
    method "jwt" {
      config = {
        path = "<JWT_CLAIM_PATH>"
        role = "datadog"
      }
    }
  
    sink "file" {
      config = {
        path = "<CLIENT_TOKEN_PATH>"
      }
    }
  }
  
  vault {
    address = "http://0.0.0.0:8200"
  }
  

構成

検証

Agent の status サブコマンドを実行し、Checks セクションで vault を探します。

収集データ

メトリクス

[vault.replication.fetchRemoteKeys、vault.replication.merkleDiff、vault.replication.merkleSync で始まるメトリクス]は、レプリケーションが不健全状態でなければ報告されません。

イベント

vault.leader_change: このイベントは、クラスターリーダーが変更されると発生します。

サービスチェック

vault.can_connect
Returns Critical if the Agent cannot connect to the Vault endpoint, OK otherwise.
Statuses: ok, critical

vault.unsealed
Returns Critical if the vault is sealed, OK otherwise.
Statuses: ok, critical

vault.initialized
Returns Critical if the vault isn’t initialized, OK otherwise.
Statuses: ok, critical

vault.prometheus.health
Returns CRITICAL if the check cannot access the Metrics endpoint. Returns OK otherwise. This service check is only available with the legacy mode (use_openmetrics: false).
Statuses: ok, critical

vault.openmetrics.health
Returns CRITICAL if the Agent is unable to connect to the OpenMetrics endpoint, otherwise returns OK. This service check is only available with the latest mode (use_openmetrics: true).
Statuses: ok, critical

トラブルシューティング

ご不明な点は、Datadog のサポートチームまでお問合せください。

その他の参考資料

お役に立つドキュメント、リンクや記事:

• Datadog を使用した HashiCorp Vault の監視
• HashiCorp Vault のメトリクスおよびログの監視
• HashiCorp Vault 監視用ツール
• Datadog を使用した HashiCorp Vault の監視方法