Datadog Operator を使用した Admission Controller

以下のセットアップでは、Cluster Agent が Agent サイドカーと通信するように構成し、イベント収集、Kubernetes リソースビュー、クラスターチェックなどの機能にアクセスできるようにします。

前提条件

• アプリケーションのネームスペースに RBAC をセットアップします。このページの AWS EKS Fargate RBAC セクションを参照してください。

• Datadog のインストールとアプリケーションのネームスペースに、Datadog API キーと Cluster Agent トークンを含む Kubernetes シークレットを作成します。

  kubectl create secret generic datadog-secret -n datadog-agent \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  kubectl create secret generic datadog-secret -n fargate \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  

   これらのシークレットがどのように使用されるかについては、Cluster Agent セットアップを参照してください。

セットアップ

1. Admission Controller を有効にして、datadog-agent.yaml に DatadogAgent カスタムリソースを作成します。

    apiVersion: datadoghq.com/v2alpha1
    kind: DatadogAgent
    metadata:
      name: datadog
    spec:
      global:
        clusterAgentTokenSecret:
          secretName: datadog-secret
          keyName: token
        credentials:
          apiSecret:
            secretName: datadog-secret
            keyName: api-key
      features:
        admissionController:
          agentSidecarInjection:
            enabled: true
            provider: fargate
   

   次に、新しいコンフィギュレーションを適用します。

   kubectl apply -n datadog-agent -f datadog-agent.yaml
   

2. After the Cluster Agent reaches a running state and registers Admission Controller mutating webhooks, an Agent sidecar is automatically injected into any pod created with the label agent.datadoghq.com/sidecar:fargate. Admission Controller はすでに作成されたポッドを変更しません。

結果例

以下は、Redis デプロイメントで Admission Controller が Agent サイドカーを注入したときの spec.containers スニペットです。サイドカーは内部デフォルトを使用して自動的に構成され、EKS Fargate 環境で実行するための設定が追加されています。サイドカーは datadog-agent.yaml で設定されたイメージリポジトリとタグを使用します。Cluster Agent とサイドカー間の通信はデフォルトで有効になっています。

  containers:
  - args:
    - redis-server
    image: redis:latest
  # ...
  - env:
    - name: DD_API_KEY
      valueFrom:
        secretKeyRef:
          key: api-key
          name: datadog-secret
    - name: DD_CLUSTER_AGENT_AUTH_TOKEN
      valueFrom:
        secretKeyRef:
          key: token
          name: datadog-secret
    - name: DD_EKS_FARGATE
      value: "true"
    # ...
    image: gcr.io/datadoghq/agent:7.51.0
    imagePullPolicy: IfNotPresent
    name: datadog-agent-injected
    resources:
      limits:
        cpu: 200m
        memory: 256Mi
      requests:
        cpu: 200m
        memory: 256Mi

サイドカープロファイルとカスタムセレクター

Agent やそのコンテナリソースをさらに構成するには、DatadogAgent リソースのプロパティを使用します。spec.features.admissionController.agentSidecarInjection.profiles を使用して環境変数定義とリソース設定を追加します。ワークロードを更新して agent.datadoghq.com/sidecar:fargate ラベルを追加する代わりに、spec.features.admissionController.agentSidecarInjection.selectors プロパティを使用してカスタムセレクターを構成し、ワークロードポッドをターゲットにします。

1. datadog-values.yaml ファイルに、サイドカープロファイルとカスタムポッドセレクターを構成する DatadogAgent カスタムリソースを作成します。

   例

   In the following example, a selector targets all pods with the label "app": redis. The sidecar profile configures a DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED environment variable and resource settings.

      spec:
        features:
          admissionController:
            agentSidecarInjection:
              enabled: true
              provider: fargate
              selectors:
              - objectSelector:
                  matchLabels:
                    "app": redis
              profiles:
              - env:
                - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
                  value: "true"
                resources:
                  requests:
                    cpu: "400m"
                    memory: "256Mi"
                  limits:
                    cpu: "800m"
                    memory: "512Mi"
   

   次に、新しいコンフィギュレーションを適用します。

   kubectl apply -n datadog-agent -f datadog-agent.yaml
   

2. Cluster Agent が実行状態に達し、Admission Controller の変更を加える Webhook を登録した後、app:redis というラベルを持つどのポッドにも Agent のサイドカーが自動的に注入されます。 Admission Controller はすでに作成されたポッドを変更しません。

結果例

以下は、Redis デプロイメントで Admission Controller が Agent サイドカーを注入したときの spec.containers スニペットです。datadog-agent.yaml の環境変数とリソース設定が自動的に適用されます。

labels:
  app: redis
  eks.amazonaws.com/fargate-profile: fp-fargate
  pod-template-hash: 7b86c456c4
# ...
containers:
- args:
  - redis-server
  image: redis:latest
# ...
- env:
  - name: DD_API_KEY
    valueFrom:
      secretKeyRef:
        key: api-key
        name: datadog-secret
  # ...
  - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
    value: "true"
  # ...
  image: gcr.io/datadoghq/agent:7.51.0
  imagePullPolicy: IfNotPresent
  name: datadog-agent-injected
  resources:
    limits:
      cpu: 800m
      memory: 512Mi
    requests:
      cpu: 400m
      memory: 256Mi

Helm を使用した Admission Controller

以下のセットアップでは、Cluster Agent が Agent サイドカーと通信するように構成し、イベント収集、Kubernetes リソースビュー、クラスターチェックなどの機能にアクセスできるようにします。

前提条件

• アプリケーションのネームスペースに RBAC をセットアップします。このページの AWS EKS Fargate RBAC セクションを参照してください。

• Datadog のインストールとアプリケーションのネームスペースに、Datadog API キーと Cluster Agent トークンを含む Kubernetes シークレットを作成します。

  kubectl create secret generic datadog-secret -n datadog-agent \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  kubectl create secret generic datadog-secret -n fargate \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  

   これらのシークレットがどのように使用されるかについては、Cluster Agent セットアップを参照してください。

セットアップ

1. Cluster Agent と Admission Controller を有効にして、Datadog Agent をインストールします。

   helm install datadog datadog/datadog -n datadog-agent \
       --set datadog.clusterName=cluster-name \
       --set agents.enabled=false \
       --set datadog.apiKeyExistingSecret=datadog-secret \
       --set clusterAgent.tokenExistingSecret=datadog-secret \
       --set clusterAgent.admissionController.agentSidecarInjection.enabled=true \
       --set clusterAgent.admissionController.agentSidecarInjection.provider=fargate
   

   注: Fargate のみのクラスターでは、agents.enabled=false を使用します。混合クラスターでは、EC2 インスタンスのワークロードを監視する DaemonSet を作成するために、agents.enabled=true を設定します。

2. Cluster Agent が実行状態に達し、Admission Controller の変更を加える Webhook を登録した後、agent.datadoghq.com/sidecar:fargate というラベルを持つどのポッドにも Agent のサイドカーが自動的に注入されます。 Admission Controller はすでに作成されたポッドを変更しません。

結果例

以下は、Redis デプロイメントで Admission Controller が Agent サイドカーを注入したときの spec.containers スニペットです。サイドカーは内部デフォルトを使用して自動的に構成され、EKS Fargate 環境で実行するための設定が追加されています。サイドカーは Helm の値で設定されたイメージリポジトリとタグを使用します。Cluster Agent とサイドカー間の通信はデフォルトで有効になっています。

  containers:
  - args:
    - redis-server
    image: redis:latest
  # ...
  - env:
    - name: DD_API_KEY
      valueFrom:
        secretKeyRef:
          key: api-key
          name: datadog-secret
    - name: DD_CLUSTER_AGENT_AUTH_TOKEN
      valueFrom:
        secretKeyRef:
          key: token
          name: datadog-secret
    - name: DD_EKS_FARGATE
      value: "true"
    # ...
    image: gcr.io/datadoghq/agent:7.51.0
    imagePullPolicy: IfNotPresent
    name: datadog-agent-injected
    resources:
      limits:
        cpu: 200m
        memory: 256Mi
      requests:
        cpu: 200m
        memory: 256Mi

サイドカープロファイルとカスタムセレクター

Agent やそのコンテナリソースをさらに構成するには、Helm プロパティ clusterAgent.admissionController.agentSidecarInjection.profiles を使用して環境変数定義とリソース設定を追加します。ワークロードを更新して agent.datadoghq.com/sidecar:fargate ラベルを追加する代わりに、clusterAgent.admissionController.agentSidecarInjection.selectors プロパティを使用してカスタムセレクターを構成し、ワークロードポッドをターゲットにします。

1. サイドカープロファイルとカスタムポッドセレクターを構成する Helm datadog-values.yaml ファイルを作成します。

   例

   次の例では、セレクターが "app": redis というラベルを持つすべてのポッドをターゲットにしています。サイドカープロファイルは DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED 環境変数とリソース設定を構成します。

   clusterAgent:
     admissionController:
       agentSidecarInjection:
         selectors:
           - objectSelector:
               matchLabels:
                   "app": redis
         profiles:
           - env:
             - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
               value: "true"
             resources:
               requests:
                 cpu: "400m"
                 memory: "256Mi"
               limits:
                 cpu: "800m"
                 memory: "512Mi"
   

2. チャートのインストール:

   helm install datadog datadog/datadog -n datadog-agent \
       --set datadog.clusterName=cluster-name \
       --set agents.enabled=false \
       --set datadog.apiKeyExistingSecret=datadog-secret \
       --set clusterAgent.tokenExistingSecret=datadog-secret \
       --set clusterAgent.admissionController.agentSidecarInjection.enabled=true \
       --set clusterAgent.admissionController.agentSidecarInjection.provider=fargate \
       -f datadog-values.yaml
   

   注: Fargate のみのクラスターでは、agents.enabled=false を使用します。混合クラスターでは、EC2 インスタンスのワークロードを監視する DaemonSet を作成するために、agents.enabled=true を設定します。

3. Cluster Agent が実行状態に達し、Admission Controller の変更を加える Webhook を登録した後、app:redis というラベルを持つどのポッドにも Agent のサイドカーが自動的に注入されます。 Admission Controller はすでに作成されたポッドを変更しません。

結果例

以下は、Redis デプロイメントで Admission Controller が Agent サイドカーを注入したときの spec.containers スニペットです。datadog-values.yaml の環境変数とリソース設定が自動的に適用されます。

labels:
  app: redis
  eks.amazonaws.com/fargate-profile: fp-fargate
  pod-template-hash: 7b86c456c4
# ...
containers:
- args:
  - redis-server
  image: redis:latest
# ...
- env:
  - name: DD_API_KEY
    valueFrom:
      secretKeyRef:
        key: api-key
        name: datadog-secret
  # ...
  - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
    value: "true"
  # ...
  image: gcr.io/datadoghq/agent:7.51.0
  imagePullPolicy: IfNotPresent
  name: datadog-agent-injected
  resources:
    limits:
      cpu: 800m
      memory: 512Mi
    requests:
      cpu: 400m
      memory: 256Mi

class SampleRegistry { public function put($key, $value) { \App\some_utility_function(‘some argument’); // 挿入されたアイテムの ID を返す return 456; }

手動

Fargate 型のポッドからデータの収集を開始するには、Datadog Agent v7.17 以上をアプリケーションのサイドカーとしてデプロイします。これは、ポッドで実行されているアプリケーションからマトリクスを収集するために必要な最小コンフィギュレーションです。Datadog Agent のサイドカーをデプロイするため、マニフェストに DD_EKS_FARGATE=true が追加されていることに注意してください。

apiVersion: apps/v1
kind: Deployment
metadata:
 name: "<APPLICATION_NAME>"
 namespace: default
spec:
 selector:
   matchLabels:
     app: "<APPLICATION_NAME>"
 replicas: 1
 template:
   metadata:
     labels:
       app: "<APPLICATION_NAME>"
     name: "<POD_NAME>"
   spec:
     serviceAccountName: datadog-agent
     containers:
     - name: "<APPLICATION_NAME>"
       image: "<APPLICATION_IMAGE>"
     ## Agent をサイドカーとして実行
     - image: datadog/agent
       name: datadog-agent
       env:
       - name: DD_API_KEY
         value: "<YOUR_DATADOG_API_KEY>"
         ## DD_SITE を "datadoghq.eu" に設定して
         ## Agent データを Datadog EU サイトに送信
       - name: DD_SITE
         value: "datadoghq.com"
       - name: DD_EKS_FARGATE
         value: "true"
       - name: DD_CLUSTER_NAME
         value: "<CLUSTER_NAME>"
       - name: DD_KUBERNETES_KUBELET_NODENAME
         valueFrom:
           fieldRef:
             apiVersion: v1
             fieldPath: spec.nodeName
      resources:
          requests:
            memory: "256Mi"
            cpu: "200m"
          limits:
            memory: "256Mi"
            cpu: "200m"

注: <YOUR_DATADOG_API_KEY> を組織の Datadog API キーに置き換えることを忘れないでください。

注: メトリクスが目的のクラスターでタグ付けされるように、DD_TAGS のリストに希望の kube_cluster_name:<CLUSTER_NAME> を追加してください。ここで、スペースで区切られた <KEY>:<VALUE> タグを追加することができます。Agent が 7.34+ と 6.34+ の場合は、これは必要ありません。代わりに、DD_CLUSTER_NAME 環境変数を設定します。

Cluster Agent または Cluster Checks Runner の実行

Datadog では、イベント収集、Kubernetes リソースビュー、クラスターチェックなどの機能を利用するために、Cluster Agent を実行することを推奨しています。

EKS Fargate を使用する場合、EKS クラスターが混合ワークロード (Fargate/非 Fargate) を実行しているかどうかによって、2 つのシナリオが考えられます。

EKS クラスターが Fargate と非 Fargate のワークロードを実行し、Node Agent DaemonSet を介して非 Fargate ワークロードを監視する場合は、このデプロイに Cluster Agent/Cluster Checks Runner を追加します。詳細については、Cluster Agent の設定を参照してください。

Cluster Agent トークンは、監視したい Fargate タスクから到達可能でなければなりません。Helm Chart や Datadog Operator を使用している場合、対象のネームスペースにシークレットが作成されるため、デフォルトでは到達不可能です。

これを正しく動作させるためには、2 つの選択肢があります。

• ハードコードされたトークン値 (Helm では clusterAgent.token、Datadog Operator では credentials.token) を使用する。便利だが、安全性は低い。
• 手動で作成したシークレット (Helm では clusterAgent.tokenExistingSecret、Datadog Operator では利用不可) を使用し、Fargate タスクを監視する必要があるすべてのネームスペースに複製する。 注: token の値は最低 32 文字必要です。

EKS クラスターが Fargate ワークロードのみを実行する場合、スタンドアロンの Cluster Agent のデプロイが必要です。そして、上記のように、トークンを到達可能にするための 2 つのオプションのうち 1 つを選択します。

以下の Helm の values.yaml を使用します。

datadog:
  apiKey: <YOUR_DATADOG_API_KEY>
  clusterName: <CLUSTER_NAME>
agents:
  enabled: false
clusterAgent:
  enabled: true
  replicas: 2
  env:
    - name: DD_EKS_FARGATE
      value: "true"

どちらの場合も、Cluster Agent との通信を可能にするために、Datadog Agent のサイドカーマニフェストを変更する必要があります。

       env:
        - name: DD_CLUSTER_AGENT_ENABLED
          value: "true"
        - name: DD_CLUSTER_AGENT_AUTH_TOKEN
          value: <hardcoded token value> # シークレットを使用する場合は、valueFrom: を使用します
        - name: DD_CLUSTER_AGENT_URL
          value: https://<CLUSTER_AGENT_SERVICE_NAME>.<CLUSTER_AGENT_SERVICE_NAMESPACE>.svc.cluster.local:5005
        - name: DD_ORCHESTRATOR_EXPLORER_ENABLED # Kubernetes リソースビューを取得するために必要です
          value: "true"
        - name: DD_CLUSTER_NAME
          value: <CLUSTER_NAME>