Datadog アプリケーションキー

シークレット値フィールド

Secrets Manager シークレットに含める必要があるフィールドは次のとおりです。

{
  "appKey": "Application key starting with ddapp_",
  "appKeyId": "Application key UUID",
  "serviceAccountId": "Service Account UUID"
}

appKey

サービスアカウントが所有する Datadog アプリケーションキー。で始まり、ddapp_その後に 34 文字の英数字が続きます。

appKeyId

アプリケーションキーの一意の識別子 (UUID)。

serviceAccountId

このアプリケーションキーを所有する Datadog サービスアカウント ID (UUID)。ローテーションできるのは、サービスアカウント所有のアプリケーションキーのみです。

シークレットメタデータフィールド

Datadog アプリケーションキーのメタデータフィールドは次のとおりです。

{
  "adminSecretArn": "arn:aws:secretsmanager:us-east-1:111122223333:secret:DatadogAdminKey"
}

adminSecretArn

このシークレットのローテーションに使用される管理 Datadog 認証情報 (API キーとアプリケーションキー) を含む DatadogAdminKey タイプのシークレットの Amazon リソースネーム (ARN)。管理者シークレットは、このアプリケーションキーと同じサービスアカウントに属している必要があります。

使用フロー

このローテーションでは、2 つのシークレットアーキテクチャを使用します。DatadogAdminKey タイプの管理者シークレットは、認証情報を提供します。権限のエスカレーションを防ぐserviceAccountIdには、管理者シークレットの がユーザーシークレットの と一致するserviceAccountId必要があります。

上記のフィールドと DatadogApplicationKey としてのシークレットタイプを含むシークレット値を使用してCreateSecret 呼び出しを使用してシークレットを作成できます。ローテーション設定は、RotateSecret 呼び出しを使用して設定できます。ローテーションメタデータadminSecretArnで を指定する必要があります。また、RotateSecret 呼び出しでロール ARN を指定する必要があります。これにより、シークレットをローテーションするために必要なアクセス許可がサービスに付与されます。アクセス許可ポリシーの例については、「セキュリティとアクセス許可」を参照してください。

ローテーション中、ドライバーは現在のキーの所有権を検証し、Datadog サービスアカウント API を介して新しいアプリケーションキーを作成し、新しいキーを検証して AWSCURRENT に昇格し、古いキーを削除します。