Datadog Operator를 사용하는 승인 컨트롤러

하단의 설정으로 에이전트 사이드카와 통신하도록 클러스터 에이전트를 설정하여 이벤트 컬렉션, 쿠버네티스(Kubernetes) 리소스 보기, 클러스터 점검 등의 기능에 접근할 수 있게 합니다.

전제 조건

• 애플리케이션 네임스페이스에서 RBAC를 설정합니다. 본 페이지의 AWS EKS Fargate RBAC 섹션을 참조하세요.

• 서비스 계정 이름을 설정하여 RBAC 위를 애플리케이션 파드에 바인딩합니다.

• Datadog 설치 및 애플리케이션 네임스페이스에서 Datadog API 키와 클러스터 에이전트 토큰이 포함된 쿠버네티스(Kubernetes) 시크릿을 생성합니다.

  kubectl create secret generic datadog-secret -n datadog-agent \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  kubectl create secret generic datadog-secret -n fargate \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  

  해당 시크릿이 어떻게 사용되는지 자세히 알아보려면 클러스터 에이전트 설정을 참조하세요.

설정

1. 승인 컨트롤러가 활성화된 상태로 datadog-agent.yaml에서 DatadogAgent 커스텀 리소스를 생성합니다.

    apiVersion: datadoghq.com/v2alpha1
    kind: DatadogAgent
    metadata:
      name: datadog
    spec:
      global:
        clusterAgentTokenSecret:
          secretName: datadog-secret
          keyName: token
        credentials:
          apiSecret:
            secretName: datadog-secret
            keyName: api-key
      features:
        admissionController:
          agentSidecarInjection:
            enabled: true
            provider: fargate
   

   그런 다음 새로운 설정을 적용합니다:

   kubectl apply -n datadog-agent -f datadog-agent.yaml
   

2. 클러스터 에이전트를 실행한 후 어드미션 컨트롤러를 변경하는 웹훅(webhook)을 등록하면 에이전트 사이드카가 agent.datadoghq.com/sidecar:fargate 레이블로 생성된 모든 파드에 자동 삽입됩니다. 어드미션 컨트롤러는 이미 생성된 파드를 변경하지 않습니다.

결과 예시

다음은 승인 컨트롤러가 Agent 사이드카를 삽입한 Redis 배포의 spec.containers 스니펫입니다. 사이드카는 EKS Fargate 환경에서 실행하기 위한 추가 설정과 함께 내부 기본값을 사용하여 자동으로 설정됩니다. 사이드카는 datadog-agent.yaml에 설정된 이미지 리포지토리와 태그를 사용합니다. Cluster Agent와 사이드카 간의 통신은 기본적으로 활성화됩니다.

  containers:
  - args:
    - redis-server
    image: redis:latest
  # ...
  - env:
    - name: DD_API_KEY
      valueFrom:
        secretKeyRef:
          key: api-key
          name: datadog-secret
    - name: DD_CLUSTER_AGENT_AUTH_TOKEN
      valueFrom:
        secretKeyRef:
          key: token
          name: datadog-secret
    - name: DD_EKS_FARGATE
      value: "true"
    # ...
    image: gcr.io/datadoghq/agent:7.51.0
    imagePullPolicy: IfNotPresent
    name: datadog-agent-injected
    resources:
      limits:
        cpu: 200m
        memory: 256Mi
      requests:
        cpu: 200m
        memory: 256Mi

사이드카 프로필 및 커스텀 선택기

Agent 또는 해당 컨테이너 리소스를 추가로 구성하려면 DatadogAgent 리소스의 속성을 사용합니다. 환경 변수 정의 및 리소스 설정을 추가하려면 spec.features.admissionController.agentSidecarInjection.profiles를 사용합니다. agent.datadoghq.com/sidecar:fargate 레이블을 추가하기 위해 워크로드를 업데이트하는 대신 spec.features.admissionController.agentSidecarInjection.selectors 속성을 사용하여 워크로드 파드를 대상으로 지정하도록 커스텀 선택기를 설정합니다.

1. 사이드카 프로필과 커스텀 파드 선택기를 구성하는 datadog-values.yaml 파일에 DatadogAgent 커스텀 리소스를 생성합니다.

   예시

   다음 예제에서 선택기는 레이블이 "app": redis인 모든 파드를 타겟으로 합니다. 사이드카 프로파일은 DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED 환경 변수와 리소스 설정을 구성합니다.

      spec:
        features:
          admissionController:
            agentSidecarInjection:
              enabled: true
              provider: fargate
              selectors:
              - objectSelector:
                  matchLabels:
                    "app": redis
              profiles:
              - env:
                - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
                  value: "true"
                resources:
                  requests:
                    cpu: "400m"
                    memory: "256Mi"
                  limits:
                    cpu: "800m"
                    memory: "512Mi"
   

   그런 다음 새로운 설정을 적용합니다:

   kubectl apply -n datadog-agent -f datadog-agent.yaml
   

2. Cluster Agent가 실행 상태에 도달하고 승인 컨트롤러를 변경하는 웹훅을 등록하면, Agent 사이드카가 레이블 app:redis로 생성된 모든 파드에 자동으로 주입됩니다. 어드미션 컨트롤러는 이미 생성된 파드를 변경하지 않습니다.

결과 예시

다음은 승인 컨트롤러가 Agent 사이드카를 삽입한 Redis 배포의 spec.containers 스니펫입니다. datadog-agent.yaml의 환경 변수 및 리소스 설정이 자동으로 적용됩니다.

레이블:
  app: redis
  eks.amazonaws.com/fargate-profile: fp-fargate
  pod-template-hash: 7b86c456c4
# ...
containers:
- args:
  - redis-server
  image: redis:latest
# ...
- env:
  - name: DD_API_KEY
    valueFrom:
      secretKeyRef:
        key: api-key
        name: datadog-secret
  # ...
  - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
    value: "true"
  # ...
  image: gcr.io/datadoghq/agent:7.51.0
  imagePullPolicy: IfNotPresent
  name: datadog-agent-injected
  resources:
    limits:
      cpu: 800m
      memory: 512Mi
    requests:
      cpu: 400m
      memory: 256Mi

Helm을 사용한 승인 컨트롤러

하단의 설정으로 에이전트 사이드카와 통신하도록 클러스터 에이전트를 설정하여 이벤트 컬렉션, 쿠버네티스(Kubernetes) 리소스 보기, 클러스터 점검 등의 기능에 접근할 수 있게 합니다.

전제 조건

• 애플리케이션 네임스페이스에서 RBAC를 설정합니다. 본 페이지의 AWS EKS Fargate RBAC 섹션을 참조하세요.

• 서비스 계정 이름을 설정하여 RBAC 위를 애플리케이션 파드에 바인딩합니다.

• Datadog 설치 및 애플리케이션 네임스페이스에서 Datadog API 키와 클러스터 에이전트 토큰이 포함된 쿠버네티스(Kubernetes) 시크릿을 생성합니다.

  kubectl create secret generic datadog-secret -n datadog-agent \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  kubectl create secret generic datadog-secret -n fargate \
          --from-literal api-key=<YOUR_DATADOG_API_KEY> --from-literal token=<CLUSTER_AGENT_TOKEN>
  

  해당 시크릿이 어떻게 사용되는지 자세히 알아보려면 클러스터 에이전트 설정을 참조하세요.

설정

1. 다음을 포함하는 datadog-values.yaml 파일을 만듭니다.

   datadog:
     clusterName: <CLUSTER_NAME>
     apiKeyExistingSecret: datadog-secret
   agents:
     enabled: false
   clusterAgent:
     tokenExistingSecret: datadog-secret
     admissionController:
       agentSidecarInjection:
         enabled: true
         provider: fargate
   

   참고: Fargate 전용 클러스터에는 agents.enabled=false을 사용하고, 혼합 클러스터의 경우 agents.enabled=true을 설정하여 EC2 인스턴스의 워크로드 모니터링 DaemonSet을 생성합니다.

2. 차트를 배포합니다.

   helm install datadog-agent -f datadog-values.yaml datadog/datadog
   

3. 클러스터 에이전트를 실행한 후 어드미션 컨트롤러를 변경하는 웹훅(webhook)을 등록하면 에이전트 사이드카가 agent.datadoghq.com/sidecar:fargate 레이블로 생성된 모든 파드에 자동 삽입됩니다. 어드미션 컨트롤러는 이미 생성된 파드를 변경하지 않습니다.

결과 예시

다음은 어드미션 컨트롤러가 에이전트 사이드카를 삽입한 Redis 배포의 spec.containers 스니펫입니다. 사이드카는 내부 기본값을 사용하여 자동 설정되는데, EKS Fargate 환경에서 실행하기 위한 추가 설정도 포함됩니다. 사이드카는 Helm 값에 설정된 이미지 리포지토리와 태그를 사용합니다. 클러스터 에이전트와 사이드카 간의 통신은 기본값으로 활성화되어 있습니다.

  containers:
  - args:
    - redis-server
    image: redis:latest
  # ...
  - env:
    - name: DD_API_KEY
      valueFrom:
        secretKeyRef:
          key: api-key
          name: datadog-secret
    - name: DD_CLUSTER_AGENT_AUTH_TOKEN
      valueFrom:
        secretKeyRef:
          key: token
          name: datadog-secret
    - name: DD_EKS_FARGATE
      value: "true"
    # ...
    image: gcr.io/datadoghq/agent:7.51.0
    imagePullPolicy: IfNotPresent
    name: datadog-agent-injected
    resources:
      limits:
        cpu: 200m
        memory: 256Mi
      requests:
        cpu: 200m
        memory: 256Mi

사이드카 프로필 및 커스텀 선택기

에이전트 또는 컨테이너 리소스를 추가 설정하려면, Helm 속성 clusterAgent.admissionController.agentSidecarInjection.profiles으로 환경 변수 정의 및 리소스 설정을 추가합니다. clusterAgent.admissionController.agentSidecarInjection.selectors 속성으로 커스텀 선택기를 설정하여 agent.datadoghq.com/sidecar:fargate 레이블을 추가하여 워크로드를 업데이트하는 대신 워크로드 파드를 타겟팅합니다.

1. 사이드카 프로필과 커스텀 파드 선택기를 설정하는 Helm datadog-values.yaml 파일을 생성합니다.

   예시

   다음 예제에서 선택기는 레이블이 "app": redis인 모든 파드를 타겟으로 합니다. 사이드카 프로파일은 DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED 환경 변수와 리소스 설정을 구성합니다.

   clusterAgent:
     admissionController:
       agentSidecarInjection:
         selectors:
           - objectSelector:
               matchLabels:
                   "app": redis
         profiles:
           - env:
             - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
               value: "true"
             resources:
               requests:
                 cpu: "400m"
                 memory: "256Mi"
               limits:
                 cpu: "800m"
                 memory: "512Mi"
   

2. 차트를 설치합니다.

   helm install datadog datadog/datadog -n datadog-agent \
       --set datadog.clusterName=cluster-name \
       --set agents.enabled=false \
       --set datadog.apiKeyExistingSecret=datadog-secret \
       --set clusterAgent.tokenExistingSecret=datadog-secret \
       --set clusterAgent.admissionController.agentSidecarInjection.enabled=true \
       --set clusterAgent.admissionController.agentSidecarInjection.provider=fargate \
       -f datadog-values.yaml
   

   참고: Fargate 전용 클러스터에는 agents.enabled=false을 사용하고, 혼합 클러스터의 경우 agents.enabled=true을 설정하여 EC2 인스턴스의 워크로드 모니터링 DaemonSet을 생성합니다.

3. 클러스터 에이전트를 실행한 후 어드미션 컨트롤러를 변경하는 웹훅(webhook)을 등록하면 에이전트 사이드카가 app:redis 레이블로 생성된 모든 파드에 자동 삽입됩니다. 어드미션 컨트롤러는 이미 생성된 파드를 변경하지 않습니다.

결과 예시

다음은 어드미션 컨트롤러가 에이전트 사이드카를 삽입한 Redis 배포의 spec.containers 스니펫입니다. datadog-values.yaml의 환경 변수와 리소스 설정이 자동 적용됩니다.

labels:
  app: redis
  eks.amazonaws.com/fargate-profile: fp-fargate
  pod-template-hash: 7b86c456c4
# ...
containers:
- args:
  - redis-server
  image: redis:latest
# ...
- env:
  - name: DD_API_KEY
    valueFrom:
      secretKeyRef:
        key: api-key
        name: datadog-secret
  # ...
  - name: DD_PROCESS_AGENT_PROCESS_COLLECTION_ENABLED
    value: "true"
  # ...
  image: gcr.io/datadoghq/agent:7.51.0
  imagePullPolicy: IfNotPresent
  name: datadog-agent-injected
  resources:
    limits:
      cpu: 800m
      memory: 512Mi
    requests:
      cpu: 400m
      memory: 256Mi

수동

Fargate 타입 파드에서 데이터 수집을 시작하려면 애플리케이션의 사이드카로 Datadog 에이전트 v7.17+를 배포하세요. 이는 포드에서 실행 중인 애플리케이션에서 메트릭을 수집하는 데 필요한 최소 설정입니다. Datadog 에이전트 사이드카를 배포하려면 매니페스트에 DD_EKS_FARGATE=true가 추가되어 있는지 확인하세요.

apiVersion: apps/v1
kind: Deployment
metadata:
 name: "<APPLICATION_NAME>"
 namespace: default
spec:
 selector:
   matchLabels:
     app: "<APPLICATION_NAME>"
 replicas: 1
 template:
   metadata:
     labels:
       app: "<APPLICATION_NAME>"
     name: "<POD_NAME>"
   spec:
     serviceAccountName: datadog-agent
     containers:
     - name: "<APPLICATION_NAME>"
       image: "<APPLICATION_IMAGE>"
     ## 에이전트를 사이드카로 실행
     - image: datadog/agent
       name: datadog-agent
       env:
       - name: DD_API_KEY
         value: "<YOUR_DATADOG_API_KEY>"
         ## DD_SITE를 "datadoghq.eu"로 설정하여 
         ## Datadog EU 사이트로 에이전트 데이터 전송
       - name: DD_SITE
         value: "datadoghq.com"
       - name: DD_EKS_FARGATE
         value: "true"
       - name: DD_CLUSTER_NAME
         value: "<CLUSTER_NAME>"
       - name: DD_KUBERNETES_KUBELET_NODENAME
         valueFrom:
           fieldRef:
             apiVersion: v1
             fieldPath: spec.nodeName
      resources:
          requests:
            memory: "256Mi"
            cpu: "200m"
          limits:
            memory: "256Mi"
            cpu: "200m"

참고: <YOUR_DATADOG_API_KEY>를 조직의 Datadog API 키로 꼭 교체하세요.

참고: DD_TAGS의 목록에 원하는 kube_cluster_name:<CLUSTER_NAME>을 추가하여 메트릭에 원하는 클러스터 태그가 지정되도록 합니다. 여기에 공백으로 구분되는 <KEY>:<VALUE> 태그를 추가 태그로 추가할 수 있습니다. 7.34+ 및 6.34+ 에이전트의 경우 해당 작업이 필요하지 않습니다. 대신 DD_CLUSTER_NAME 환경 변수를 설정하세요.

클러스터 에이전트 또는 클러스터 점검 실행기를 실행합니다.

Datadog은 클러스터 에이전트를 실행하여 이벤트 컬렉션, 쿠버네티스(Kubernetes) 리소스 보기, 클러스터 점검 등의 기능에 접근하시기를 권장합니다.

EKS Fargate를 사용하는 경우, EKS 클러스터가 혼합 워크로드(Fargate/비 Fargate)를 실행 중인지 여부에 따라 다음 두 가지 가능한 시나리오가 있습니다.

EKS 클러스터로 Fargate 및 논-Fargate 워크로드를 실행하고 노드 에이전트 DaemonSet을 통해 논-Fargate 워크로드를 모니터링하려면 클러스터 에이전트/클러스터 점검 실행기를 이 배포에 추가하세요. 자세한 내용을 확인하려면 클러스터 에이전트 설정을 참조하세요.

클러스터 에이전트 토큰은 모니터링하러는 Fargate 작업에서 접근할 수 있어야 합니다. Helm 차트 또는 Datadog 오퍼레이터를 사용하는 경우, 타겟 네임스페이스에 시크릿이 생성되어 있어서 기본적으로 접근할 수 없습니다.

해당 기능이 제대로 작동하려면 다음 두 가지 옵션이 있습니다.

• 하드코딩된 토큰 값(Helm의 경우 clusterAgent.token, Datadog 오퍼레이터의 경우 credentials.token)을 사용하면 편리하지만 보안성이 떨어집니다.
• 수동으로 생성한 시크릿(헬름의 경우 clusterAgent.tokenExistingSecret, Datadog 오퍼레이터에서는 불가)을 사용하여 Fargate 작업을 모니터링하려는 모든 네임스페이스에 복제하면 안전하지만 추가 작업이 필요합니다. 참고: token 값은 최소 32자 이상이어야 합니다.

EKS 클러스터가 Fargate 워크로드만 실행하는 경우, 독립형 클러스터 에이전트를 배포해야 합니다. 또한 위에서 설명한 것처럼 토큰이 접근할 수 있도록 두 가지 옵션 중 하나를 선택하여 설정합니다.

다음 헬름 values.yaml을 사용합니다.

datadog:
  apiKey: <YOUR_DATADOG_API_KEY>
  clusterName: <CLUSTER_NAME>
agents:
  enabled: false
clusterAgent:
  enabled: true
  replicas: 2
  env:
    - name: DD_EKS_FARGATE
      value: "true"

두 경우 모두 클러스터 에이전트와의 통신을 허용하려면 다음과 같이 Datadog 에이전트 사이드카 매니페스트를 변경해야 합니다.

       env:
        - name: DD_CLUSTER_AGENT_ENABLED
          value: "true"
        - name: DD_CLUSTER_AGENT_AUTH_TOKEN
          value: <hardcoded token value> # Use valueFrom: if you're using a secret
        - name: DD_CLUSTER_AGENT_URL
          value: https://<CLUSTER_AGENT_SERVICE_NAME>.<CLUSTER_AGENT_SERVICE_NAMESPACE>.svc.cluster.local:5005
        - name: DD_ORCHESTRATOR_EXPLORER_ENABLED # Kubernetes 리소스 보기를 얻는데 필요
          value: "true"
        - name: DD_CLUSTER_NAME
          value: <CLUSTER_NAME>