Si aún no está configurada, configura la integración de AWS para la cuenta de AWS que contiene tu bucket de S3.

• En el caso general, se trata de crear un rol que Datadog pueda utilizar para integrarse con AWS S3.
• Específicamente para las cuentas AWS GovCloud o China, utiliza claves de acceso como alternativa a la delegación de roles.

Configura la integración de Azure dentro de la suscripción que contiene tu nueva cuenta de almacenamiento, si aún no lo has hecho. Esto implica crear un registro de aplicación que Datadog pueda utilizar para integrarla.

Nota: No se admite el archivado en Azure ChinaCloud, GermanyCloud y GovCloud.

Configura la integración de Google Cloud para el proyecto que contiene tu bucket de almacenamiento de GCS, si aún no lo has hecho. Esto implica crear una cuenta de servicio de Google Cloud que Datadog pueda utilizar para integrarla.

Entra en tu consola de AWS y crea un bucket de S3 al que enviar tus archivos.

Notas:

• No pongas tu bucket a disposición del público.
• Para los sitios US1, US3 y US5, consulta Precios de AWS para conocer las tarifas de transferencia de datos entre regiones y cómo pueden verse afectados los costes de almacenamiento en la nube. Considera la posibilidad de crear tu bucket de almacenamiento en us-east-1 para gestionar tus tarifas de transferencia de datos entre regiones.

• Ve a tu Portal de Azure y crea una cuenta de almacenamiento a la que enviar tus archivos. Asigna un nombre a tu cuenta de almacenamiento, selecciona el tipo de cuenta de rendimiento estándar o Block blobs premium y selecciona el nivel de acceso hot (activo) o cool (inactivo).
• Crea un servicio de contenedor en esa cuenta de almacenamiento. Toma nota del nombre del contenedor ya que necesitarás añadirlo en la Página de archivo de Datadog.

Nota: No establezcas políticas de inmutabilidad porque los últimos datos deben ser reescritos en algunos casos poco frecuentes (típicamente un tiempo de inactividad).

Accede a tu cuenta de Google Cloud y crea un bucket de GCS al que enviar tus archivos. En Choose how to control access to objects (Elige cómo controlar el acceso a los objetos), selecciona Set object-level and bucket-level permissions (Configurar permisos a nivel de objeto y a nivel de bucket).

Nota: No añadas una política de retención porque los últimos datos deben ser reescritos en algunos casos poco frecuentes (típicamente un tiempo de inactividad).

1. Crear una política con las siguientes sentencias de permiso:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "DatadogUploadAndRehydrateLogArchives",
         "Effect": "Allow",
         "Action": ["s3:PutObject", "s3:GetObject"],
         "Resource": [
           "arn:aws:s3:::<MY_BUCKET_NAME_1_/_MY_OPTIONAL_BUCKET_PATH_1>/*",
           "arn:aws:s3:::<MY_BUCKET_NAME_2_/_MY_OPTIONAL_BUCKET_PATH_2>/*"
         ]
       },
       {
         "Sid": "DatadogRehydrateLogArchivesListBucket",
         "Effect": "Allow",
         "Action": "s3:ListBucket",
         "Resource": [
           "arn:aws:s3:::<MY_BUCKET_NAME_1>",
           "arn:aws:s3:::<MY_BUCKET_NAME_2>"
         ]
       }
     ]
   }
   

   • Los permisos GetObject y ListBucket permiten recuperar a partir de archivos.
   • El permiso PutObject es suficiente para cargar archivos.
   • Asegúrate de que el valor del recurso en las acciones s3:PutObject y s3:GetObject termina con /* porque estos permisos se aplican a objetos dentro de los buckets.

2. Edita los nombres de los buckets.

3. Opcionalmente, especifica las rutas que contienen tus archivos de log.

4. Adjunta la nueva política al rol de integración de Datadog.

   • Ve a Roles en la consola de AWS IAM.
   • Localiza el rol utilizado por la integración de Datadog. Por defecto se llama DatadogIntegrationRole, pero el nombre puede variar si tu organización le ha cambiado el nombre. Haz clic en el nombre del rol para abrir la página de resumen del rol.
   • Haz clic en Add permissions (Añadir permisos), y luego en Attach policies (Adjuntar políticas).
   • Introduce el nombre de la política creada anteriormente.
   • Haz clic en Attach policies (Adjuntar políticas).

1. Concede a la aplicación de Datadog el permiso para escribir y recuperar desde tu cuenta de almacenamiento.
2. Selecciona tu cuenta de almacenamiento en la página Cuentas de almacenamiento, ve a Access Control (IAM) (Control de acceso (IAM)) y seleccionaAdd -> Add Role Assignment (Añadir -> Añadir asignación del rol).
3. Introduce el rol denominado Storage Blob Data Contributor, selecciona la aplicación de Datadog que creaste para integrarse con Azure y selecciona guardar.

1. Concede a tu cuenta de servicio de Datadog Google Cloud permisos para escribir tus archivos en tu bucket.

2. Selecciona la entidad principal de la cuenta de servicio de Datadog Google Cloud en la página de administración de Google Cloud IAM y selecciona Edit principal (Editar entidad principal).

3. Haz clic en ADD ANOTHER ROLE (AÑADIR OTRO ROL), selecciona el rol Storage Object Admin y selecciona guardar.

Selecciona la combinación de cuenta y rol de AWS adecuada para tu bucket de S3.

Introduce el nombre de tu bucket. Opcional: introduce un directorio de prefijo para todo el contenido de tus archivos de log.

Selecciona el tipo de archivo Azure Storage, y el inquilino y cliente de Azure para la aplicación de Datadog que tiene el rol Storage Blob Data Contributor en tu cuenta de almacenamiento.

Introduce el nombre de tu cuenta de almacenamiento y el nombre de contenedor para tu archivo. Opcional: introduce un directorio de prefijo para todo el contenido de tus archivos de log.

Selecciona el tipo de archivo GCS y la cuenta de servicio de GCS que tenga permisos para escribir en tu bucket de almacenamiento.

Introduce el nombre de tu bucket. Opcional: introduce un directorio de prefijo para todo el contenido de tus archivos de log.

Puedes establecer una configuración del ciclo de vida en tu bucket de S3 para realizar una transición automática de tus archivos de log a clases de almacenamiento óptimas.

La recuperación solo admite las siguientes clases de almacenamiento:

• S3 Standard
• S3 Standard-IA
• S3 One Zone-IA
• Recuperación instantánea de S3 Glacier

Si deseas recuperar a partir de archivos de otra clase de almacenamiento, primero debes moverlos a una de las clases de almacenamiento admitidas mencionadas anteriormente.

El archivado y la recuperación solo admiten los siguientes niveles de acceso:

• Nivel de acceso activo
• Nivel de acceso inactivo

Si deseas recuperar a partir de archivos de otro nivel de acceso, primero debes moverlos a uno de los niveles admitidos mencionados anteriormente.

SSE-S3

El cifrado predeterminado para los buckets de Amazon S3 es el cifrado del lado del servidor con claves de administración de Amazon S3 (SSE-S3).

Para confirmar que tu bucket de S3 está cifrado con SSE-S3:

1. Navega hasta tu bucket de S3.
2. Haz clic en la pestaña Properties (Propiedades).
3. En la sección Default Encryption (Cifrado por defecto), comprueba que el Encryption key type (Tipo de clave de cifrado) es Amazon S3 managed keys (SSE-S3) (Claves administradas de Amazon S3 (SSE-S3)).

SSE-KMS

Como alternativa, Datadog admite el cifrado del lado del servidor con una CMK de AWS KMS. Para habilitarla, sigue estos pasos:

1. Crea tu CMK.
2. Adjunta una política de CMK a tu CMK con el siguiente contenido, sustituyendo según corresponda el número de cuenta de AWS y el nombre de rol de Datadog IAM:

{
    "Id": "key-consolepolicy-3",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Enable IAM User Permissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<MY_AWS_ACCOUNT_NUMBER>:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "Allow use of the key",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<MY_AWS_ACCOUNT_NUMBER>:role/<MY_DATADOG_IAM_ROLE_NAME>"
            },
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:ReEncrypt*",
                "kms:GenerateDataKey*",
                "kms:DescribeKey"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Allow attachment of persistent resources",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::<MY_AWS_ACCOUNT_NUMBER>:role/<MY_DATADOG_IAM_ROLE_NAME>"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        }
    ]
}

3. Ve a la pestaña Properties (Propiedades) en tu bucket de S3 y selecciona Default Encryption (Cifrado por defecto). Elige la opción “AWS-KMS”, selecciona tu ARN de CMK y selecciona guardar.

Para cualquier cambio en las claves de KSM existentes, ponte en contacto con el soporte de Datadog para obtener más ayuda.