ログ収集のトラブルシューティングガイド

1. ファイルアクセス許可の詳細情報を取得するには、namei コマンドを実行します。

   > namei -m /path/to/log/file
   

   次の例では、Agent ユーザーは application ディレクトリに対する execute 権限、または error.log ファイルに対する読み取り権限を持っていません。

   > namei -m /var/log/application/error.log
   > f: /var/log/application/
   drwxr-xr-x /
   drwxr-xr-x var
   drwxrwxr-x log
   drw-r--r-- application
   -rw-r----- error.log
   

2. ログフォルダとその子フォルダを読み取り可能にします。

   sudo chmod o+rx /path/to/logs
   

注: これらの権限は、ログローテーション構成で正しく設定されていることを確認してください。そうしないと、次のログローテーション時に、Datadog Agent の読み取り権限が失われる可能性があります。Agent がファイルへの読み取りアクセス権を持つように、ログローテーション構成で権限を 644 として設定します。

1. ファイルの権限についてのより詳しい情報を得るには、ログフォルダ上で icacls コマンドを使用します。

   icacls path/to/logs/file /t
   

   /t フラグは、ファイルとサブフォルダに対して再帰的にコマンドを実行します。

   以下の例では、test ディレクトリとその子ディレクトリは ddagentuser からはアクセスできないようになっています。

   PS C:\Users\Administrator> icacls C:\test\ /t
   C:\test\ NT AUTHORITY\SYSTEM:(OI)(CI)(F)
          BUILTIN\Administrators:(OI)(CI)(F)
          CREATOR OWNER:(OI)(CI)(IO)(F)
   
   C:\test\file.log NT AUTHORITY\SYSTEM:(F)
          BUILTIN\Administrators:(F)
   
   C:\test\file2.log NT AUTHORITY\SYSTEM:(F)
          BUILTIN\Administrators:(F)
   

2. icacls コマンドを使用して、ddagentuser に必要な権限を与えます (引用符を含めてください)。

   icacls "path\to\folder" /grant "ddagentuser:(OI)(CI)(RX)" /t
   

   アプリケーションがログローテーションを使用する場合、(OI) と (CI) の継承権は、今後ディレクトリに作成されるログファイルが親フォルダの権限を継承することを確実にします。

3. もう一度 icacls を実行して、ddagentuser が正しい権限を持っていることを確認します。

   icacls path/to/logs/file /t
   

   以下の例では、ファイルの権限に ddagentuser が記載されています。

   PS C:\Users\Administrator> icacls C:\test\ /t
   C:\test\ EC2-ABCD\ddagentuser:(OI)(CI)(RX)
          NT AUTHORITY\SYSTEM:(OI)(CI)(F)
          BUILTIN\Administrators:(OI)(CI)(F)
          CREATOR OWNER:(OI)(CI)(IO)(F)
   
   C:\test\file.log NT AUTHORITY\SYSTEM:(F)
                  BUILTIN\Administrators:(F)
                  EC2-ABCD\ddagentuser:(RX)
   
   C:\test\file2.log NT AUTHORITY\SYSTEM:(F)
                  BUILTIN\Administrators:(F)
                  EC2-ABCD\ddagentuser:(RX)
   Successfully processed 3 files; Failed processing 0 files
   

4. Agent サービスを再起動し、ステータスを確認し、問題が解決しているかどうかを確認します。

   & "$env:ProgramFiles\Datadog\Datadog Agent\bin\agent.exe" restart-service
   & "$env:ProgramFiles\Datadog\Datadog Agent\bin\agent.exe" status
   

1. ファイルの ACL 権限を取得します。

   PS C:\Users\Administrator> get-acl C:\app\logs | fl
   
   Path   : Microsoft.PowerShell.Core\FileSystem::C:\app\logs
   Owner  : BUILTIN\Administrators
   Group  : EC2-ABCD\None
   Access : NT AUTHORITY\SYSTEM Allow  FullControl
            BUILTIN\Administrators Allow  FullControl
   ...
   

   この例では、application ディレクトリは Agent によって実行可能ではありません。

2. この PowerShell スクリプトを実行し、ddagentuser に読み取り権限と実行権限を与えます。

   $acl = Get-Acl <path\to\logs\folder>
   $AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule("ddagentuser","ReadAndExecute","Allow")
   $acl.SetAccessRule($AccessRule)
   $acl | Set-Acl <path\to\logs\folder>
   

3. ファイルの ACL 権限を再度取得し、ddagentuser が正しい権限を持っているかどうかを確認します。

   PS C:\Users\Administrator> get-acl C:\app\logs | fl
   Path   : Microsoft.PowerShell.Core\FileSystem::C:\app\logs
   Owner  : BUILTIN\Administrators
   Group  : EC2-ABCD\None
   Access : EC2-ABCD\ddagentuser Allow  ReadAndExecute, Synchronize
            NT AUTHORITY\SYSTEM Allow  FullControl
            BUILTIN\Administrators Allow  FullControl
   ...
   

4. Agent サービスを再起動し、ステータスを確認し、問題が解決しているかどうかを確認します。

   & "$env:ProgramFiles\Datadog\Datadog Agent\bin\agent.exe" restart-service
   & "$env:ProgramFiles\Datadog\Datadog Agent\bin\agent.exe" status