AWS

개요

Amazon Web Services(AWS)에 연결하면 다음이 가능해집니다.

• 이벤트 스트림(Event Stream)으로 AWS 상태의 자동 업데이트를 확인
• Agent 설치 없이 EC2 호스트의 클라우드와치(CloudWatch) 메트릭 수집
• EC2 호스트에 EC2 고유 정보를 태그 지정
• EC2의 일정이 설정된 점검 이벤트를 스트림에 표시
• 다양한 기타 AWS 제품에서 클라우드와치(CloudWatch) 메트릭 및 이벤트 수집
• 이벤트 스트림(Event Stream)에 클라우드와치(CloudWatch) 경보 표시

AWS를 통합해 빠르게 시작하는 방법을 알아보려면 AWS 시작하기 가이드 를 참조하세요.

구성

메트릭, 트레이스, 로그 수집을 위해 AWS 계정을 Datadog에 통합하려면 다음 방법을 활용하세요.

• 역할 위임(자동) : CloudFormation 템플릿을 이용해 자동으로 필요한 AWS 역할을 구성합니다(권장).
• 역할 위임(수동) : 직접 필요한 역할을 만들고 각각의 양식에 필수 자격증명 정보를 복사합니다.
• 액세스 키 : GovCloud 또는 중국에서만 사용합니다

AWS IAM Permissions

AWS IAM permissions enable Datadog to collect metrics, tags, EventBridge events, and other data necessary to monitor your AWS environment.

To correctly set up the AWS Integration, you must attach the relevant IAM policies to the Datadog AWS Integration IAM Role in your AWS account.

AWS Integration IAM Policy

The set of permissions necessary to use all the integrations for individual AWS services.

The following permissions included in the policy document use wild cards such as List* and Get*. If you require strict policies, use the complete action names as listed and reference the Amazon API documentation for your respective services.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "apigateway:GET",
                "autoscaling:Describe*",
                "backup:List*",
                "budgets:ViewBudget",
                "cloudfront:GetDistributionConfig",
                "cloudfront:ListDistributions",
                "cloudtrail:DescribeTrails",
                "cloudtrail:GetTrailStatus",
                "cloudtrail:LookupEvents",
                "cloudwatch:Describe*",
                "cloudwatch:Get*",
                "cloudwatch:List*",
                "codedeploy:List*",
                "codedeploy:BatchGet*",
                "directconnect:Describe*",
                "dynamodb:List*",
                "dynamodb:Describe*",
                "ec2:Describe*",
                "ec2:GetTransitGatewayPrefixListReferences",
                "ec2:SearchTransitGatewayRoutes",
                "ecs:Describe*",
                "ecs:List*",
                "elasticache:Describe*",
                "elasticache:List*",
                "elasticfilesystem:DescribeFileSystems",
                "elasticfilesystem:DescribeTags",
                "elasticfilesystem:DescribeAccessPoints",
                "elasticloadbalancing:Describe*",
                "elasticmapreduce:List*",
                "elasticmapreduce:Describe*",
                "es:ListTags",
                "es:ListDomainNames",
                "es:DescribeElasticsearchDomains",
                "events:CreateEventBus",
                "fsx:DescribeFileSystems",
                "fsx:ListTagsForResource",
                "health:DescribeEvents",
                "health:DescribeEventDetails",
                "health:DescribeAffectedEntities",
                "kinesis:List*",
                "kinesis:Describe*",
                "lambda:GetPolicy",
                "lambda:List*",
                "logs:DeleteSubscriptionFilter",
                "logs:DescribeLogGroups",
                "logs:DescribeLogStreams",
                "logs:DescribeSubscriptionFilters",
                "logs:FilterLogEvents",
                "logs:PutSubscriptionFilter",
                "logs:TestMetricFilter",
                "organizations:Describe*",
                "organizations:List*",
                "rds:Describe*",
                "rds:List*",
                "redshift:DescribeClusters",
                "redshift:DescribeLoggingStatus",
                "route53:List*",
                "s3:GetBucketLogging",
                "s3:GetBucketLocation",
                "s3:GetBucketNotification",
                "s3:GetBucketTagging",
                "s3:ListAllMyBuckets",
                "s3:PutBucketNotification",
                "ses:Get*",
                "sns:List*",
                "sns:Publish",
                "sqs:ListQueues",
                "states:ListStateMachines",
                "states:DescribeStateMachine",
                "support:DescribeTrustedAdvisor*",
                "support:RefreshTrustedAdvisorCheck",
                "tag:GetResources",
                "tag:GetTagKeys",
                "tag:GetTagValues",
                "xray:BatchGetTraces",
                "xray:GetTraceSummaries"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

AWS Security Audit Policy

To use Cloud Security Posture Management, attach AWS’s managed SecurityAudit Policy to your Datadog IAM role.

로그 수집

Datadog로 AWS 서비스 로그를 전송하는 방법은 두 가지가 있습니다.

• Kinesis Firehose destination : Kinesis Firehose 전송 시스템에서 Datadog를 수신 대상으로 지정하여 Datadog로 로그를 전달하세요. 클라우드와치(CloudWatch)에서 평균 이상의 대용량 로그를 보낼 때 이 방법을 사용하시길 권장합니다.
• Forwarder Lambda 함수 : Datadog Forwarder Lambda 함수를 배포하면 S3 버킷 또는 클라우드와치(CloudWatch) 로그 그룹을 구독하고 Datadog로 로그를 전달합니다. Lambda 함수에서 로그를 통해 트레이스, 개선된 메트릭 또는 커스텀 메트릭을 비동기 전송하는 경우 반드시 이 방법을 사용해야 합니다. 또, Datadog에서는 S3나 기타 Kinesis로 직접 데이터를 스트리밍할 수 없는 리소스에서 로그를 전송할 때 이 접근법을 사용하시길 권장합니다.

메트릭 수집

Datadog로 AWS 메트릭을 전송하는 방법은 두 가지가 있습니다.

• 메트릭 폴링 : AWS 통합을 완료하면 API 폴링을 사용할 수 있습니다. 클라우드와치(CloudWatch) API를 메트릭별로 크롤링하여 데이터를 수집한 다음 Datadog로 전송합니다. 신규 메트릭은 평균 10분마다 가져옵니다.
• Kinesis Firehose를 이용한 메트릭 스트리밍 : Amazon CloudWatch Metric Streams 및 Amazon Kinesis Data Firehose를 사용해 메트릭을 확인할 수 있습니다. 참조: 이 방법을 사용하면 2-3분 정도 지연이 발생하며 별도의 설정이 필요합니다.

리소스 수집

일부 Datadog 제품은 AWS 리소스(예: S3 버킷, RDS 스냅숏, CloudFront 배포 등)의 구성 방법과 관련된 정보를 활용합니다. Datadog는 AWS 계정에 읽기 전용 API 호출을 생성해 해당하는 정보를 수집합니다.

Cloud Security Posture Management

설정

AWS 계정에서 AWS를 아직 통합하지 않았다면, 위의 통합 설정 프로세스 를 완료한 다음 리소스 수집이 활성화되었는지 확인해주세요.

이미 다른 Datadog 제품에서 AWS 통합 구성을 마쳤으나 리소스 수집을 활성화하지 않았다면 다음 안내에 따라 진행하세요.

1. 자동 - CloudFormation 템플릿 업데이트
   1. CloudFormation 콘솔에서 Datadog 통합 설치 시 사용한 메인 스택을 찾아 Update를 선택하세요.
   2. Replace current template 옵션을 선택하세요.
   3. Amazon S3 URL을 선택하고 https://datadog-cloudformation-template.s3.amazonaws.com/aws/main.yaml를 입력한 다음, next을 클릭하세요.
   4. CloudSecurityPostureManagementPermissions 옵션을 참으로 설정하고, 다른 기존 파라미터를 수정하지 않고 next을 클릭해 Review 페이지가 표시될 때까지 진행합니다. 여기에서 변경 사항의 미리보기를 확인할 수 있습니다.
   5. 하단의 확인 상자 두 개를 체크 표시한 다음 Update stack 옵션을 클릭하세요.
2. 수동
   1. AWS에서 관리하는 SecurityAudit 정책을 Datadog AWS IAM 역할에 연결하세요. 이 정책은 AWS 콘솔 에서 찾아볼 수 있습니다.
3. Datadog AWS 통합 타일 로 이동해 다음의 안내를 따라 진행하세요.
   1. 리소스 수집을 활성화할 AWS 계정을 클릭하세요.
   2. 해당 계정의 Resource collection 섹션으로 이동해 Route resource data to the Cloud Security Posture Management product 상자를 체크 표시하세요.
   3. 타일 왼쪽 하단에서 Update Configuration 옵션을 클릭하세요.

경보 수집

AWS 클라우드와치(CloudWatch) 경보를 Datadog 이벤트 스트림 Event Stream으로 전송하는 방법은 두 가지가 있습니다.

• 경보 폴링: AWS 통합 후 경보 폴링을 사용할 수 있으며, DescribeAlarmHistory API를 통해 메트릭 경보를 가져옵니다. 이 방법을 사용하는 경우, 경보는 Amazon Web Services 이벤트 소스로 카테고리가 지정됩니다. 참조: 크롤러는 컴포짓(composite) 경보를 수집하지 않습니다.
• SNS 토픽: 경보를 SNS 토픽으로 구독한 다음 SNS 메시지를 Datadog로 전달하면 모든 AWS 클라우드와치(CloudWatch) 경보를 이벤트 스트림에서 볼 수 있습니다. Datadog의 이벤트로서 SNS 메시지를 수신하는 방법을 알아보려면 SNS 메시지 수신 을 참조하세요. 이 방법을 사용하는 경우, 경보는 Amazon SNS 이벤트 소스로 카테고리가 지정됩니다.

수집한 데이터

메트릭

이벤트

AWS의 이벤트는 AWS 서비스 단위로 수집됩니다. AWS 서비스 설명서 를 참조해 수집된 이벤트에 대해 자세히 알아볼 수 있습니다.

태그

AWS 통합을 통해 다음의 태그가 수집됩니다. 참조: 일부 태그는 특정 메트릭에서만 표시됩니다.

서비스 점검

aws.status
Returns CRITICAL if one or more AWS regions are experiencing issues. Returns OK otherwise.
Statuses: ok, critical

트러블슈팅

AWS 통합 관련 문제를 해결하려면 AWS 통합 트러블슈팅 가이드 를 참조하세요.

참고 자료

Additional helpful documentation, links, and articles:

Datadog에서 AWS 제어 플레인 API 사용 메트릭 모니터링블로그