This product is not supported for your selected
Datadog site. (
).
概要
Remote Configuration は Datadog の機能で、インフラストラクチャーにデプロイされた Datadog コンポーネント (Agent、SDK、Observability Pipelines Worker など) における一部の製品機能の動作をリモートで構成および変更することが可能です。Remote Configuration を使用すると、オンデマンドで環境内の Datadog コンポーネントに構成を適用し、管理コストを削減し、チーム間の摩擦を減らし、問題解決時間を短縮することができます。
Datadog のセキュリティ製品である App and API Protection と Workload Protection については、Remote Configuration 対応の Agent と互換性のある SDK により、リアルタイムにセキュリティアップデートとレスポンスを提供し、アプリケーションやクラウドインフラストラクチャーのセキュリティ体制を強化することができます。
仕組み
Remote Configuration が有効な場合、Datadog Agent などの Datadog コンポーネントは、設定されている Datadog サイトを安全にポーリングし、適用する準備ができた構成変更がないか調べます。その後、保留中の変更が自動的に Datadog コンポーネントに適用されます。たとえば、Remote Configuration が有効な製品機能に対して、Datadog UI で構成変更を送信すると、その変更が Datadog に保存されます。
リモート構成の仕組みを下図に示します。
- Datadog の UI で選択した製品機能を構成します。
- 製品の機能構成は、Datadog 内に安全に保存されます。
- Remote Configuration が有効な環境内の Datadog コンポーネントは、Datadog からの構成アップデートを安全にポーリングし、受信し、自動的に適用します。環境にデプロイされたトレーシングライブラリは、Datadog を直接ポーリングする代わりに、Agent と通信し、Datadog からの構成アップデートをリクエスト、受信します。
サポートされる環境
Remote Configuration は、サポート対象の Datadog コンポーネントがデプロイされている環境で機能します。サポートされている Datadog コンポーネントには、次のものがあります。
- Agent
- トレーサー (間接的に)
- Observability Pipelines Worker
- AWS Fargate などのプライベートアクションランナーおよびサーバーレスコンテナクラウドサービス。
Remote Configuration は、AWS App Runner、Azure Container Apps、Google Cloud Run、などのサーバーレスコンテナ管理アプリや、AWS Lambda、Azure Functions、Google Cloud Functions などのコンテナパッケージでデプロイされた関数には対応していません。
サポートされている製品と機能
リモート構成では、次の製品・機能に対応しています。
- Fleet Automation
- Datadog サイトから直接フレアを送信します。ホストに直接アクセスすることなく、Datadog Agent をシームレスにトラブルシューティングします。
- App and API Protection (AAP)
- アプリ内攻撃パターンアップデート: 新たに公開された脆弱性や攻撃ベクトルに従って Datadog が最新の Web Application Firewall (WAF) 攻撃パターンをリリースすると、これを自動的に受け取ることができます。
- 保護: Datadog UI を通じて、攻撃者の IP、認証済みユーザー、AAP セキュリティシグナルとトレースでフラグが立った疑わしいリクエストを一時的または永続的にブロックします。
- Application Performance Monitoring (APM)
- ランタイムの構成: サービスを再起動することなく、Catalog UI 内からサービスのトレースサンプリングレート、ログ挿入の有効化、HTTP ヘッダータグを変更します。詳細については、ランタイムの構成を参照してください。
- Dynamic Instrumentation
- コードを変更することなく、ライブアプリケーションからクリティカルなメトリクス、トレース、ログを送信します。
- Workload Protection
- 自動デフォルト Agent ルールアップデート: 新しい Agent の検出や機能強化がリリースされると、Datadog が管理しているデフォルトの Agent ルールを自動的に受信し、更新します。詳細については、Workload Protection のセットアップを参照してください。
- カスタム Agent ルールの自動デプロイ: カスタム Agent ルールを指定したホスト (すべてのホストまたは定義したホストのサブセット) に自動的にデプロイします。
- Observability Pipelines
- Autoscaling
- コンテナ化された環境用のオートスケーリングクラスターとワークロードスケーリングの構成をリモートで管理します。詳細については、Autoscalingを参照してください。
- プライベートアクションランナー
- パブリックインターネットにサービスを公開することなく、プライベートネットワーク上でホストされているサービスとやり取りする Datadog のワークフローやアプリを実行します。詳細については、Private Actionsを参照してください。
- Feature Flag
- 評価コンテキストに基づく同期的なバリアント割り当てのために、サーバー側の SDK にフラグ構成 (ターゲティングルールと割り当てルール) を配信します。詳細については、Feature Flagを参照してください。
セキュリティへの配慮
Datadog は、Datadog コンポーネントが受信し適用した構成の機密性、完全性、可用性を保護するために、次のセーフガードを実装しています。
ロールベースのアクセス
Remote Configuration を有効にすると、次の製品に影響します。製品ごとに、ユーザーに付与する必要があるロールベースのアクセス制御のセットが定義されています。アクセス管理に関する一般的な情報については、アクセス制御を参照してください。
| Remote Configuration が有効な製品 | ロールベースのアクセス制御 |
|---|
| Fleet Automation | FLEET_POLICIES_WRITE
AGENT_UPGRADE_WRITE
FLEET_FLARE
詳細については、Fleet Automationを参照してください。 |
| App and API Protection | APPSEC_ACTIVATION_READ
APPSEC_ACTIVATION_WRITE
APPSEC_PROTECT_READ
APPSEC_PROTECT_WRITE
詳細については、アクセス制御を参照してください。 |
| APM | APM_SERVICE_INGEST_READ
APM_SERVICE_INGEST_WRITE
APM_REMOTE_CONFIGURATION_READ
APM_REMOTE_CONFIGURATION_WRITE
詳細については、アダプティブサンプリングを参照してください。 |
| Dynamic Instrumentation | DEBUGGER_READ
DEBUGGER_WRITE
DEBUGGER_WRITE_PRE_PROD
APM_REMOTE_CONFIGURATION_READ
APM_REMOTE_CONFIGURATION_WRITE
詳細については、APMを参照してください。 |
| Workload Protection | SECURITY_MONITORING_CWS_AGENT_RULES_WRITE
SECURITY_MONITORING_CWS_AGENT_RULES_READ
SECURITY_MONITORING_CWS_AGENT_RULES_ACTIONS
詳細については、セキュリティを参照してください。 |
| CSM サイドスキャン | ORG_MANAGEMENT
MANAGE_INTEGRATIONS
詳細については、Agentless Scanning の有効化を参照してください。 |
| Observability Pipelines | OBSERVABILITY_PIPELINES_READ
OBSERVABILITY_PIPELINES_WRITE
OBSERVABILITY_PIPELINES_DELETE
OBSERVABILITY_PIPELINES_DEPLOY
OBSERVABILITY_PIPELINES_CAPTURE_WRITE
OBSERVABILITY_PIPELINES_CAPTURE_READ
詳細については、Observability Pipelinesを参照してください。 |
| プライベートアクションランナー | ON_PREM_RUNNER_WRITE
ON_PREM_RUNNER_READ
ON_PREM_RUNNER_USE
詳細については、App Builder と Workflow Automationを参照してください。 |
| Network Device Monitoring (NDM) | NDM_DEVICE_PROFILES_VIEW
NDM_DEVICE_PROFILES_EDIT |
| Container Autoscaling | ORCHESTRATION_AUTOSCALING_MANAGE
ORCHESTRATION_WORKLOAD_SCALING_WRITE
ORCHESTRATION_WORKLOAD_SCALING_READ |
| Serverless Lambda Auto-instrumentation | SERVERLESS_AWS_INSTRUMENTATION_READ
SERVERLESS_AWS_INSTRUMENTATION_WRITE
詳細については、Serverlessを参照してください。 |
| Feature Flag | FEATURE_FLAG_CONFIG_READ
FEATURE_FLAG_CONFIG_WRITE
FEATURE_FLAG_ENVIRONMENT_CONFIG_READ
FEATURE_FLAG_ENVIRONMENT_CONFIG_WRITE
詳細については、Feature Flagを参照してください。 |
Remote Configuration を有効にする
ほとんどの場合、Remote Configuration は組織に対してデフォルトで有効になっています。Remote Configuration 設定ページから、組織で Remote Configuration が有効になっているかどうかを確認できます。有効にする必要がある場合は、次のようにします。
- RBAC 権限に
org_management が含まれていることを確認し、組織のリモート構成を有効にできるようにします。 - 組織の設定ページで、Remote Configuration を有効にします。これにより、組織全体の Datadog コンポーネントが Datadog から構成を受信できるようになります。
- 下記の製品固有の構成ガイダンスに従って、Remote Configuration のセットアップを完了します。
製品固有の構成
構成する製品に固有の指示については、下記のドキュメントを参照してください。
ベストプラクティス
Datadog Audit Trail
Datadog Audit Trail を使用して、組織のアクセスや Remote Configuration が有効なイベントを監視します。Audit Trail により、管理者やセキュリティチームは、Datadog API およびアプリケーションキーの作成、削除、および変更を追跡することができます。Audit Trail が構成されると、Remote Configuration が有効な機能に関連するイベントや、誰がこれらの変更をリクエストしたかを表示できます。Audit Trail により、イベントのシーケンスを再構築し、Remote Configuration の堅牢な Datadog モニタリングを確立することができます。
モニター
モニターを構成して、興味のあるイベントが発生したときに通知を受け取るようにします。
Remote Configuration の停止
Datadog では、Remote Configuration をグローバルに無効にするのではなく、特定の Datadog 製品ごとに停止することを推奨しています。詳細については、該当する製品のドキュメントを参照してください。
参考資料
