概要

Google Cloud Platform に接続して、すべての Google Compute Engine (GCE) ホストを Datadog に表示できます。GCE ホストタグと追加した GCE ラベルがホストに自動的にタグ付けされるため、Datadog のインフラストラクチャー概要にホストを表示し、分類することができます。

セットアップ

Datadog の Google Cloud インテグレーションをセットアップして、Google Cloud サービスからメトリクスとログを収集します。

前提条件

1. 組織でドメインによるアイデンティティを制限している場合、Datadog の顧客アイデンティティをポリシーで許可値として追加する必要があります。Datadog の顧客アイデンティティ: C0147pk0i

2. サービスアカウントのなりすましとプロジェクトの自動検出は、プロジェクト監視のために特定のロールと API が有効化されていることを前提としています。開始する前に、監視するプロジェクトで以下の API が有効になっていることを確認してください。

• Cloud Resource Manager API
• Google Cloud Billing API
• Cloud Monitoring API
• Compute Engine API
• Cloud Asset API
• IAM API

3. 監視対象のプロジェクトが、他の複数のプロジェクトからメトリクスを取り込むスコーピングプロジェクトとして構成されていないことを確認してください。

メトリクスの収集

インストール

datadog:monitored,env:production,!env:staging,instance-type:c1.*

サービスアカウントのなりすましとプロジェクトの自動発見を使用して、Datadog と Google Cloud を統合することができます。

この方法では、関連するプロジェクトに IAM ロールを割り当てることで、サービスアカウントから見えるすべてのプロジェクトを監視することができます。これらのロールを個別にプロジェクトに割り当てることもできますし、組織レベルやフォルダレベルでこれらのロールを割り当てて、プロジェクトのグループを監視するように Datadog を構成することもできます。このようにロールを割り当てることで、Datadog は、指定されたスコープ内のすべてのプロジェクト (将来的にそのグループに追加される新しいプロジェクトも含む) を自動的に発見・監視することができます。

1. Google Cloud サービスのアカウントを作成する

1. Google Cloud コンソールを開きます。
2. IAM & Admin > Service Accounts に移動します。
3. 上部の Create service account をクリックします。
4. サービスアカウントに一意の名前を付け、それから Create and continue をクリックします。
5. サービスアカウントに以下のロールを追加します。
   • Monitoring Viewer
   • Compute Viewer
   • Cloud Asset Viewer
   • Browser
6. Continue、Done の順にクリックすると、サービスアカウントの作成が完了します。

2. サービスアカウントに Datadog プリンシパルを追加する

1. Datadog の Integrations > Google Cloud Platform に移動します。

2. Add GCP Account をクリックします。構成されたプロジェクトがない場合、自動的にこのページにリダイレクトされます。

3. Datadog プリンシパルを生成していない場合は、Generate Principal ボタンをクリックします。

4. Datadog プリンシパルをコピーして、次のセクションのために保管しておきます。

   次のセクションでは、このウィンドウを開いたままにしておきます。

5. Google Cloud コンソール の Service Accounts (サービスアカウント) メニューで、最初のセクションで作成したサービスアカウントを探します。

6. Permissions タブを開き、Grant Access をクリックします。

7. Datadog プリンシパルを New principals テキストボックスに貼り付けます。

8. Service Account Token Creator のロールを割り当て、Save をクリックします。

注: 以前に Datadog の共有プリンシパルを使用してアクセスを構成した場合、これらの手順を完了した後、そのプリンシパルの権限を取り消すことができます。

3. Datadog でインテグレーション設定を完了する

1. Google Cloud コンソールで、Service Account > Details タブに移動します。そこには、この Google サービスアカウントに関連するメールが記載されています。これは、<sa-name>@<project-id>.iam.gserviceaccount.com に似ています。
2. このメールをコピーします。
3. Datadog のインテグレーション構成タイル (前セクションで Datadog プリンシパルをコピーしたところ) に戻ります。
4. Add Service Account Email の下にあるボックスに、以前コピーしたメールを貼り付けます。
5. Verify and Save Account をクリックします。

約 15 分で、Datadog にメトリクスが表示されます。

4. 他のプロジェクトにロールを割り当てる (オプション)

プロジェクトの自動発見により、監視対象のプロジェクトを追加するプロセスが簡素化されます。サービスアカウントに他のプロジェクト、フォルダ、または組織へのアクセスを許可すると、Datadog はこれらのプロジェクト (およびフォルダや組織にネストされたプロジェクト) を発見し、インテグレーションタイルに自動的に追加します。

1. 希望するスコープでロールを割り当てるための適切な権限があることを確認してください。
   • Project IAM Admin (またはそれ以上)
   • Folder Admin
   • Organization Admin
2. Google Cloud コンソールで、IAM ページに移動します。
3. プロジェクト、フォルダ、または組織を選択します。
4. リソースに対して他のロールをまだ持っていないプリンシパルにロールを付与するには、Grant Access をクリックし、前に作成したサービスアカウントのメールを入力します。
5. 以下のロールを割り当てます。
   • コンピュートビューア
   • モニタリングビューア
   • クラウドアセットビューア 注: Browser ロールは、サービスアカウントのデフォルトプロジェクトでのみ必要です。
6. Save をクリックします。

構成

オプションとして、特定のプロジェクトのドロップダウンメニューの下にある Limit Metric Collection (メトリクス収集の制限) テキストボックスにタグを入力することで、Datadog に取り込む GCE インスタンスを制限することができます。定義されたタグに一致するホストのみが Datadog にインポートされます。ワイルドカード (? は 1 文字、* は複数文字) を使って多くのホストにマッチさせたり、! を使って特定のホストを除外することができます。この例では、すべての c1* サイズのインスタンスを含めますが、ステージングホストは除外します。

datadog:monitored,env:production,!env:staging,instance-type:c1.*

詳細については、ラベルの作成と管理に関する Google のドキュメントを参照してください。

ログ収集

Google Cloud Dataflow と Datadog テンプレートを使用して、Google Cloud サービスからのログを Datadog に転送します。この方法では、Datadog に転送する前にイベントの圧縮とバッチ処理の両方が可能です。このセクションの指示に従って、以下を行います。

1。Pub/Sub トピックとプルサブスクリプションを作成し、構成されたログシンクからログを受信します。 2。カスタム Dataflow ワーカーサービスアカウントを作成し、Dataflow パイプラインワーカーに最小権限を提供します。 3。ログシンクを作成し、Pub/Sub トピックにログを公開します。 4。Datadog テンプレートを使用して Dataflow ジョブを作成し、Pub/Sub サブスクリプションから Datadog にログをストリーミングします。

GCE や GKE ログを含め、ログシンクで作成したロギングフィルターを通して、どのログを Datadog に送信するかを完全に制御することができます。フィルターの書き方については、Google のロギングクエリ言語ページを参照してください。

注: Google Cloud Dataflow を使用するには、Dataflow API を有効にする必要があります。詳細は Google Cloud ドキュメントの API の有効化を参照してください。

GCE または GKE で実行されているアプリケーションからログを収集するには、Datadog Agent を使用することもできます。

1. Cloud Pub/Sub トピックとサブスクリプションを作成する

1. Cloud Pub/Sub コンソールに移動し、新しいトピックを作成します。 Add a default subscription (デフォルトのサブスクリプションを追加する) オプションを選択して、セットアップを簡素化します。

   注: 手動で Cloud Pub/Sub サブスクリプションを Pull 配信タイプで構成することもできます。手動で Pub/Sub サブスクリプションを作成する場合は、Enable dead lettering (デッドレタリングを有効にする) ボックスのチェックを外したままにしてください。詳細については、サポートされていない Pub/Sub 機能を参照してください。

2. トピックに export-logs-to-datadog のような明示的な名前を付け、Create をクリックします。

3. Datadog API によって拒否されたログメッセージを処理するために、追加のトピックとデフォルトのサブスクリプションを作成します。このトピックの名前は、Datadog Dataflow テンプレート内で outputDeadletterTopic テンプレートパラメーターのパス構成の一部として使用されます。失敗したメッセージの問題を検査して修正したら、Pub/Sub to Pub/Sub テンプレートジョブを実行して元の export-logs-to-datadog トピックに送り返します。

4. Datadog では、Secret Manager で有効な Datadog API キーの値でシークレットを作成し、後で Datadog Dataflow テンプレートで使用することを推奨しています。

警告: クラウド Pub/Sub は Google Cloud のクォータと制限の対象となります。ログの数がこれらの制限を超える場合、Datadog はログを複数のトピックに分割することを推奨します。これらの制限に近づいた場合のモニター通知のセットアップについては、Pub/Sub ログ転送の監視のセクションを参照してください。

2. カスタム Dataflow ワーカーサービスアカウントを作成する

Dataflow パイプラインワーカーのデフォルトの動作は、プロジェクトの Compute Engine のデフォルトのサービスアカウントを使用することです。このアカウントは、プロジェクト内のすべてのリソースへの権限を付与します。Production 環境からログを転送している場合は、代わりに必要なロールと権限のみを持つカスタムワーカーのサービスアカウントを作成し、このサービスアカウントを Dataflow パイプラインワーカーに割り当てる必要があります。

1. Google Cloud コンソールの Service Accounts ページにアクセスし、プロジェクトを選択します。
2. CREATE SERVICE ACCOUNT をクリックし、サービスアカウントに分かりやすい名前を付けます。CREATE AND CONTINUE をクリックします。
3. 必要な権限テーブルにロールを追加し、DONE をクリックします。

必要なアクセス許可

Dataflow Admin

roles/dataflow.admin
このサービスアカウントが Dataflow の管理者タスクを実行することを許可します。

Dataflow Worker

roles/dataflow.worker
このサービスアカウントが Dataflow のジョブオペレーションを実行することを許可します。

Pub/Sub Viewer

roles/pubsub.viewer
このサービスアカウントが Google Cloud ログで Pub/Sub サブスクリプションからのメッセージを表示することを許可します。

Pub/Sub Subscriber

roles/pubsub.subscriber
このサービスアカウントが Google Cloud ログで Pub/Sub サブスクリプションからのメッセージを取得することを許可します。

Pub/Sub Publisher

roles/pubsub.publisher
このサービスアカウントが別のサブスクリプションに失敗したメッセージを公開することを許可します。これにより、ログの解析や再送信が可能になります。

Secret Manager Secret Accessor

roles/secretmanager.secretAccessor
このサービスアカウントが Secret Manager で Datadog API キーにアクセスすることを許可します。

Storage Object Admin

roles/storage.objectAdmin
このサービスアカウントがファイルのステージング用に指定された Cloud Storage バケットに対する読み取りと書き込みを行うことを許可します。

注: Dataflow パイプラインワーカー用のカスタムサービスアカウントを作成しない場合は、デフォルトの Compute Engine のサービスアカウントが上記の必要な権限を持っていることを確認してください。

3. Google Cloud Pub/Sub トピックからログをエクスポートする

1. Google Cloud コンソールの Logs Explorer ページに移動します。

2. Log Router タブより、Create Sink を選択します。

3. シンクに名前を設定します。

4. 宛先として Cloud Pub/Sub を選択し、その目的で作成された Cloud Pub/Sub トピックを選択します。注: Cloud Pub/Sub トピックは別のプロジェクトに存在する場合があります。

5. オプションの包含または除外フィルターを使用して、シンクに含めるログを選択します。検索クエリでログをフィルタリングするか、サンプル関数を使用できます。例えば、severity (重大度) レベルが ERROR のログの 10% のみを含めるには、severity="ERROR" AND sample(insertId, 0.01) の包含フィルターを作成します。

6. Create Sink をクリックします。

注: 異なるシンクを利用して、Google Cloud Logging から同一の Cloud Pub/Sub トピックに対して複数のエクスポートを行うことが可能です。

4. Dataflow ジョブを作成して実行する

1. Google Cloud コンソールのテンプレートからジョブを作成するページに移動します。

2. ジョブに名前を付け、Dataflow 地域エンドポイントを選択します。

3. Dataflow template ドロップダウンで Pub/Sub to Datadog を選択すると、Required parameters セクションが表示されます。 a. Pub/Sub input subscription ドロップダウンで入力サブスクリプションを選択します。 b. Datadog Logs API URL フィールドに以下の値を入力します。

   https://
   

   注: 上記の URL をコピーする前に、ページの右側にある Datadog サイトセレクタが Datadog サイトに設定されていることを確認してください。

   c. Output deadletter Pub/Sub topic ドロップダウンで、メッセージの失敗を受信するために作成されたトピックを選択します。 d. Temporary location フィールドで、ストレージバケット内の一時ファイルのパスを指定します。

4. Optional Parameters で Include full Pub/Sub message in the payload にチェックを入れます。

5. ステップ 1 で言及したように Datadog API キーの値で Secret Manager にシークレットを作成した場合は、シークレットのリソース名を Google Cloud Secret Manager ID フィールドに入力します。

その他の使用可能なオプションの詳細については、Dataflow テンプレートのテンプレートパラメーターを参照してください。

• apiKeyKMSEncryptionKey を Cloud KMS のキー ID に設定し、apiKey を暗号化された API キーに設定した apiKeySource=KMS
• 非推奨: apiKeySource=PLAINTEXT で、apiKey にプレーンテキストの API キーを設定

6. カスタムワーカーサービスアカウントを作成した場合は、Service account email ドロップダウンでそれを選択します。

7. RUN JOB をクリックします。

注: 共有 VPC を使用している場合は、Dataflow ドキュメントのネットワークとサブネットワークを指定するページで Network と Subnetwork パラメーターの指定に関するガイドラインを参照してください。

検証

Cloud Pub/Sub トピックに配信された新しいログイベントは、Datadog ログエクスプローラーに表示されます。

注: Google Cloud Pricing Calculator を使用して、予想コストを計算できます。

Cloud Pub/Sub ログの転送を監視する

Google Cloud Pub/Sub インテグレーションは、ログ転送のステータスを監視するのに役立つメトリクスを提供します。

• gcp.pubsub.subscription.num_undelivered_messages は配信保留中のメッセージ数を表します
• gcp.pubsub.subscription.oldest_unacked_message_age は、サブスクリプション内の最も古い未承認メッセージの年齢を表します

上記のメトリクスをメトリクスモニターとともに使用すると、入力およびデッドレターサブスクリプション内のメッセージに対するアラートを受け取ることができます。

Dataflow パイプラインを監視する

Datadog の Google Cloud Dataflow インテグレーションを使用して、Dataflow パイプラインのあらゆる側面を監視することができます。すぐに使えるダッシュボード上で、Dataflow ワークロードを実行している GCE インスタンスに関する情報や Pub/Sub スループットなどのコンテキストデータでリッチ化された、すべての Dataflow 主要メトリクスを確認できます。

また、あらかじめ構成されている Recommended Monitor を使用して、パイプラインのバックログ時間の増加に対する通知をセットアップすることもできます。詳細は、Datadog ブログの Datadog による Dataflow パイプラインの監視を参照してください。

リソース変更の収集

Google の Cloud Asset Inventory がクラウドリソースの変更を検出すると、Datadog でリソースイベントを受け取ることができます。

Google Cloud インテグレーションページの Resource Collection タブで Enable Resource Collection を選択していることを確認します。次に、以下の手順に従って、変更イベントを Pub/Sub トピックから Datadog イベントエクスプローラー に転送します。

Cloud Pub/Sub トピックとサブスクリプションを作成する

トピックの作成

1. Google Cloud Pub/Sub トピックページで、CREATE TOPIC をクリックします。
2. トピックにわかりやすい名前をつけます。
3. デフォルトのサブスクリプションを追加するオプションのチェックを外します。
4. CREATE をクリックします。

サブスクリプションの作成

1. Google Cloud Pub/Sub サブスクリプションページで、CREATE SUBSCRIPTION をクリックします。
2. サブスクリプション名に export-asset-changes-to-datadog と入力します。
3. 先ほど作成した Cloud Pub/Sub トピックを選択します。
4. 配信タイプとして Pull を選択します。
5. CREATE をクリックします。

アクセス権を付与する

この Pub/Sub サブスクリプションから読み取るには、インテグレーション が使用する Google Cloud サービス アカウントに、サブスクリプションに対する pubsub.subscriptions.consume 権限が必要です。これを許可する最小限の権限を持つデフォルトのロールは Pub/Sub subscriber ロールです。このロールを付与するには、以下の手順に従います。

1. Google Cloud Pub/Sub サブスクリプションページで、export-asset-changes-to-datadog サブスクリプションをクリックします。
2. ページ右側の情報パネルで、Permissions タブ をクリックします。情報パネルが表示されない場合は、SHOW INFO PANEL をクリックしてください。
3. ADD PRINCIPAL をクリックします。
4. Datadog Google Cloud インテグレーションが使用するサービスアカウントのメールアドレスを入力します。サービスアカウントは、Datadog の Google Cloud インテグレーションページの Configuration タブの左側に表示されます。

アセットフィードを作成する

Cloud Shell または gcloud CLI で以下のコマンドを実行し、上記で作成した Pub/Sub トピックに変更イベントを送信する Cloud Asset Inventory フィードを作成します。

gcloud asset feeds create <FEED_NAME> 
--project=<PROJECT_ID>
--pubsub-topic=projects/<PROJECT_ID>/topics/<TOPIC_NAME>
--asset-names=<ASSET_NAMES>
--asset-types=<ASSET_TYPES>
--content-type=<CONTENT_TYPE>
--condition-title=<CONDITION_TITLE>

gcloud asset feeds create <FEED_NAME> 
--folder=<FOLDER_ID>
--pubsub-topic=projects/<PROJECT_ID>/topics/<TOPIC_NAME>
--asset-names=<ASSET_NAMES>
--asset-types=<ASSET_TYPES>
--content-type=<CONTENT_TYPE>
--condition-title=<CONDITION_TITLE>

gcloud asset feeds create <FEED_NAME> 
--organization=<ORGANIZATION_ID>
--pubsub-topic=projects/<PROJECT_ID>/topics/<TOPIC_NAME>
--asset-names=<ASSET_NAMES>
--asset-types=<ASSET_TYPES>
--content-type=<CONTENT_TYPE>
--condition-title=<CONDITION_TITLE>

• <TOPIC_NAME>: export-asset-changes-to-datadog サブスクリプションにリンクされている Pub/Sub トピックの名前。
• <ASSET_NAMES>: 変更イベント を受け取るリソースのフルネームのカンマ区切りリスト。asset-types を指定する場合はオプションになります。
• <ASSET_TYPES>: 変更イベント を受け取るアセットタイプのカンマ区切りリスト。asset-names を指定する場合はオプションになります。
• <CONTENT_TYPE>: アセット 変更イベントを受け取るアセットのコンテンツタイプ (オプション)。
• <CONDITION_TITLE>: フィードに適用する条件のタイトル (オプション)。

Datadog では、すべてのリソースの変更を収集するために、asset-typesパラメーターを正規表現の .* に設定することを推奨しています。

注: asset-names またはasset-types パラメーターには、少なくとも 1 つの値を指定する必要があります。

設定可能なパラメータの一覧については、gcloud asset feeds create のリファレンスを参照してください。

検証

Datadog イベントエクスプローラーでアセット変更イベント を見つけます。

収集データ

メトリクス

メトリクスについては、個別の Google Cloud インテグレーションのページを参照してください。

累積メトリクス

累積メトリクスは、メトリクス名ごとに .delta メトリクスを伴って Datadog にインポートされます。累積メトリクスとは、値が時間の経過とともに常に増加するメトリクスです。たとえば、sent bytes のメトリクスは累積的である可能性があります。各値は、その時点でサービスによって送信された総バイト数を記録します。デルタ値は、前回の測定からの変化を表します。

例:

gcp.gke.container.restart_count は、CUMULATIVE (累積) メトリクスです。Datadog はこのメトリクスを累積メトリクスとしてインポートする際に、(CUMULATIVE メトリクスの一部として出力される集計値ではなく) デルタ値を含む gcp.gke.container.restart_count.delta メトリクスを追加します。詳細については、Google Cloud メトリクスの種類 を参照してください。

イベント

Google Cloud Platform によって生成されたすべてのサービスイベントが Datadog のイベントエクスプローラーに転送されます。

サービスチェック

Google Cloud Platform インテグレーションには、サービスのチェック機能は含まれません。

タグ

タグは、Google Cloud Platform と Google Compute Engine の様々な構成オプションに基づいて自動的に割り当てられます。project_id タグは、すべてのメトリクスに追加されます。追加のタグは、利用可能な場合に Google Cloud Platform から収集され、メトリクスの種類に応じて異なります。

また、Datadog は以下をタグとして収集します。

• <key>:<value> ラベルが付けられたホスト。
• Custom labels from Google Pub/Sub、GCE、Cloud SQL、Cloud Storage のカスタムラベル

トラブルシューティング

ユーザー定義の gcp.logging メトリクスに不正なメタデータが適用される

非標準の gcp.logging メトリクス (Datadog に標準で含まれるログメトリクス以外のメトリクスなど) に適用されるメタデータが Google Cloud Logging と一致しない場合があります。

このような場合は、メタデータを手動で設定する必要があります。設定するには、メトリクスサマリーページに移動し、問題のメトリクスを検索して選択し、メタデータの横にある鉛筆アイコンをクリックします。

ご不明な点は、Datadog のサポートチームまでお問い合わせください。

参考資料

お役に立つドキュメント、リンクや記事:

Datadog による Google Cloud 環境のコンプライアンスとセキュリティポスチャの改善ブログ Datadog による Google Cloud Vertex AI の監視ブログ Datadog による Dataflow パイプラインの監視ブログ Terraform による Google Cloud インテグレーションの作成と管理TERRAFORM Datadog による BigQuery の監視ブログ