Depuis la version 2.7.0 du chart Helm, l’Agent de cluster est activé par défaut.

Pour activer l’Agent de cluster si vous utilisez une version antérieure du chart ou un fichier datadog-values.yaml personnalisé remplaçant la clé clusterAgent, modifiez le fichier datadog-values.yaml en indiquant la configuration d’Agent de cluster suivante.

clusterAgent:
  # clusterAgent.enabled -- Définir sur false pour désactiver l'Agent de cluster Datadog
  enabled: true

Mettez ensuite à niveau votre chart Helm Datadog :

Cela modifie automatiquement les fichiers RBAC nécessaires pour l’Agent de cluster et l’Agent Datadog. Ces deux Agents utilisent la même clé d’API.

Un token aléatoire est également automatiquement généré dans un Secret commun à l’Agent de cluster et l’Agent Datadog. Il permet de sécuriser les communications. Vous pouvez définir manuellement ce token avec le paramètre clusterAgent.token. Il est également possible de faire référence au nom du Secret existant qui comporte une valeur token avec l’option clusterAgent.tokenExistingSecret.

Lorsque le token est défini manuellement, il doit être composé de 32 caractères alphanumériques.

Depuis la version 1.0.0 de l’Operator Datadog, l’Agent de cluster est activé par défaut. L’Operator crée les autorisations RBAC requises, déploie l’Agent de cluster et modifie la configuration du DaemonSet de l’Agent.

Un token aléatoire est également automatiquement généré dans un Secret commun à l’Agent de cluster et l’Agent Datadog. Il permet de sécuriser les communications. Vous pouvez définir manuellement ce token avec le champ global.clusterAgentToken. Il est également possible de faire référence au nom du Secret existant et à la clé de données contenant le token en question.

apiVersion: datadoghq.com/v2alpha1
kind: DatadogAgent
metadata:
  name: datadog
spec:
  global:
    credentials:
      apiKey: <CLÉ_API_DATADOG>
    clusterAgentTokenSecret:
      secretName: <NOM_SECRET>
      keyName: <NOM_CLÉ>

Lorsque le token est défini manuellement, il doit être composé de 32 caractères alphanumériques.

Pour configurer l’Agent de cluster Datadog avec un DaemonSet, procédez comme suit :

1. Configurez les autorisations RBAC de l’Agent de cluster.
2. Sécurisez les communications entre l’Agent de cluster et l’Agent.
3. Créez l’Agent de cluster et son service.
4. Configurez l’Agent de nœud de façon à ce qu’il communique avec l’Agent de cluster.

Configurer les autorisations RBAC de l’Agent de cluster

L’Agent de cluster Datadog a besoin des autorisations RBAC adéquates pour fonctionner :

1. Examinez les manifestes dans le dossier RBAC de l’Agent de cluster Datadog. Remarque : lorsque vous utilisez l’Agent de cluster, vos Agents de nœud ne peuvent pas interagir avec le serveur d’API Kubernetes ; seul l’Agent de cluster peut y parvenir.

2. Pour configurer les autorisations RBAC de l’Agent de cluster, appliquez les manifestes suivants. Il se peut que vous ayez déjà effectué cette opération lors de la configuration du daemonset de l’Agent de nœud.

kubectl apply -f "https://raw.githubusercontent.com/DataDog/datadog-agent/master/Dockerfiles/manifests/cluster-agent/rbac.yaml"
kubectl apply -f "https://raw.githubusercontent.com/DataDog/datadog-agent/master/Dockerfiles/manifests/cluster-agent/cluster-agent-rbac.yaml"

Cela permet de créer les objets ServiceAccount, ClusterRole et ClusterRoleBinding appropriés pour l’Agent de cluster, et de mettre à jour l’objet ClusterRole pour l’Agent de nœud.

Si vous utilisez Azure Kubernetes Service (AKS), vous aurez besoin de permissions supplémentaires. Consultez la FAQ dédiée pour les RBAC sur AKS pour le DCA.

Sécuriser les communications entre l’Agent de cluster et l’Agent

L’Agent Datadog et l’Agent de cluster requièrent un token pour sécuriser leurs communications. Il est conseillé d’enregistrer ce token dans un Secret auquel l’Agent Datadog et l’Agent de cluster peuvent se référer par l’intermédiaire de la variable d’environnement DD_CLUSTER_AGENT_AUTH_TOKEN. Cette approche permet d’assurer une certaine cohérence et d’éviter que le token puisse être consulté dans le PodSpec.

Pour créer ce token, exécutez la commande suivante. Cela génère un Secret du nom de datadog-cluster-agent et définit un token. Remplacez le paramètre <TOKEN> par un token composé de 32 caractères alphanumériques.

kubectl create secret generic datadog-cluster-agent --from-literal=token='<TOKEN>' --namespace="default"

Remarque : cette opération crée un Secret dans l’espace de nommage par défaut. SI vous utilisez un espace de nommage personnalisé, modifiez le paramètre namespace de la commande avant de l’exécuter.

Le fichier cluster-agent-deployment.yaml fourni par défaut pour l’Agent de cluster est configuré de sorte que ce Secret soit accessible avec la configuration de variable d’environnement suivante :

- name: DD_CLUSTER_AGENT_AUTH_TOKEN
  valueFrom:
    secretKeyRef:
      name: datadog-cluster-agent
      key: token

Cette variable d’environnement doit être configurée (à l’aide des mêmes options) lors de la configuration de l’Agent Datadog.

Créer l’Agent de cluster et son service

1. Téléchargez les manifestes suivants :

   • agent-services.yaml : le manifeste du service de l’Agent de cluster
   • secret-api-key.yaml : le secret contenant la clé d’API Datadog
   • secret-application-key.yaml : le secret contenant la clé d’application Datadog
   • cluster-agent-deployment.yaml : le manifeste de l’Agent de cluster
   • install_info-configmap.yaml: la configmap contenant des informations sur l’installation

2. Dans le manifeste secret-api-key.yaml, remplacez PUT_YOUR_BASE64_ENCODED_API_KEY_HERE par votre clé d’API Datadog encodée en base64. Pour obtenir la version base64 de votre clé d’API, exécutez la commande suivante :

   echo -n '<Your API key>' | base64
   

3. Dans le manifeste secrets-application-key.yaml, remplacez PUT_YOUR_BASE64_ENCODED_APP_KEY_HERE par votre clé d’application Datadog encodée en base64.

4. Par défaut, le manifeste cluster-agent-deployment.yaml récupère le token créé précédemment dans le Secret datadog-cluster-agent. Si vous stockez ce token d’une autre façon, modifiez la configuration de la variable DD_CLUSTER_AGENT_AUTH_TOKEN en conséquence.

5. Déployez les ressources suivantes pour l’Agent de cluster :

   kubectl apply -f agent-services.yaml
   kubectl apply -f secret-api-key.yaml
   kubectl apply -f secret-application-key.yaml
   kubectl apply -f install_info-configmap.yaml
   

6. Enfin, déployez l’Agent de cluster Datadog :

   kubectl apply -f cluster-agent-deployment.yaml
   

Remarque : définissez dans l’Agent de cluster Datadog la variable d’environnement DD_SITE sur votre site Datadog : . Par défaut, cette valeur est définie sur le site US, à savoir datadoghq.com.

Vérification

À ce stade, vous devriez voir ce qui suit :

kubectl get deploy

NAME                    DESIRED   CURRENT   UP-TO-DATE   AVAILABLE   AGE
datadog-cluster-agent   1         1         1            1           1d

kubectl get secret

NAME                    TYPE                                  DATA      AGE
datadog-cluster-agent   Opaque                                1         1d

kubectl get pods -l app=datadog-cluster-agent

datadog-cluster-agent-8568545574-x9tc9   1/1       Running   0          2h

kubectl get service -l app=datadog-cluster-agent

NAME                    TYPE           CLUSTER-IP       EXTERNAL-IP        PORT(S)          AGE
datadog-cluster-agent   ClusterIP      10.100.202.234   none               5005/TCP         1d

Remarque : si l’Agent Datadog est déjà en cours d’exécution, vous devrez peut-être appliquer le manifeste rbac.yaml de l’Agent pour que l’Agent de cluster puisse s’exécuter.

Configurer les communications de l’Agent Datadog

Modifiez la configuration de votre Agent Datadog de façon à ce qu’il communique avec l’Agent de cluster Datadog.

Dans votre fichier de manifeste Daemonset existant, définissez la variable d’environnement DD_CLUSTER_AGENT_ENABLED sur true. Définissez ensuite le token DD_CLUSTER_AGENT_AUTH_TOKEN à l’aide de la même syntaxe que celle de la rubrique Sécuriser les communications entre l’Agent de cluster et l’Agent.

- name: DD_CLUSTER_AGENT_ENABLED
  value: "true"
- name: DD_CLUSTER_AGENT_AUTH_TOKEN
  valueFrom:
    secretKeyRef:
      name: datadog-cluster-agent
      key: token

Après avoir redéployé votre DaemonSet avec cette configuration, l’Agent Datadog peut communiquer avec l’Agent de cluster. Vous pouvez vous référer au manifeste daemonset.yaml d’Agent de cluster fourni pour consulter un exemple complet de configuration.