driftwood/datadog-chamber

datadog-chamber 镜像文档

概述

datadog-chamber镜像是将https://github.com/DataDog/datadog-agent%E4%B8%8Ehttps://github.com/segmentio/chamber%E5%AF%86%E9%92%A5%E7%AE%A1%E7%90%86%E5%B7%A5%E5%85%B7%E7%BB%93%E5%90%88%E7%9A%84Docker%E9%95%9C%E5%83%8F%E3%80%82Chamber%E4%BD%9C%E4%B8%BA%E5%AF%86%E9%92%A5%E7%AE%A1%E7%90%86%E8%A7%A3%E5%86%B3%E6%96%B9%E6%A1%88%EF%BC%8C%E8%83%BD%E5%A4%9F%E5%AE%89%E5%85%A8%E5%9C%B0%E4%BB%8E%E5%90%8E%E7%AB%AF%E5%AD%98%E5%82%A8%EF%BC%88%E5%A6%82AWS Parameter Store、Secrets Manager等）获取密钥，并在Datadog Agent启动时注入，解决Agent运行过程中敏感配置的安全管理问题。

核心功能与特性

• 完整的Datadog Agent功能：包含最新版Datadog Agent，支持系统监控、指标收集、日志聚合、APM追踪等核心功能
• 集成Chamber 2.7.5：内置Chamber密钥管理工具，支持从多种后端安全获取和管理密钥
• 安全密钥注入：通过Chamber的exec命令在启动Datadog Agent前自动注入密钥，避免敏感信息硬编码或明文存储
• 简化部署流程：统一的镜像封装，减少密钥管理与Agent部署的集成复杂度

使用场景

• 生产环境中部署Datadog Agent，需要安全管理API密钥、数据库凭证等敏感配置
• 采用容器化监控方案，要求密钥动态注入而非静态配置
• 需要集中管理Datadog Agent相关密钥，支持密钥的动态更新与版本控制
• 基于AWS等云平台的部署环境，需与云服务商的密钥管理服务集成

使用方法与配置说明

基础部署命令

通过docker run启动镜像，需配置Chamber所需的后端存储凭证（以AWS为例）：

bash
docker run \
  -e AWS_ACCESS_KEY_ID=your_aws_access_key \
  -e AWS_SECRET_ACCESS_KEY=your_aws_secret_key \
  -e AWS_REGION=us-east-1 \
  docker.xuanyuan.run/datadog-chamber

入口点与命令说明

镜像的ENTRYPOINT和CMD配置如下：

• ENTRYPOINT：["/chamber", "exec", "datadog", "datadog-agent", "--"]
• CMD：["/init"]

实际执行的完整命令为：/chamber exec datadog datadog-agent -- /init

参数说明：

• datadog：Chamber用于组织密钥的命名空间（可根据需求修改）
• datadog-agent -- /init：Datadog Agent的启动命令，--用于分隔Chamber参数与Agent参数

配置Chamber后端

Chamber支持多种密钥存储后端，需通过环境变量或配置文件指定：

AWS Parameter Store/Secrets Manager

需配置AWS访问凭证：

• AWS_ACCESS_KEY_ID：AWS访问密钥ID
• AWS_SECRET_ACCESS_KEY：AWS密钥
• AWS_REGION：AWS区域（如us-east-1）

其他后端

如需使用HashiCorp Vault等其他后端，需参考https://github.com/segmentio/chamber%E9%85%8D%E7%BD%AE%E7%9B%B8%E5%BA%94%E7%8E%AF%E5%A2%83%E5%8F%98%E9%87%8F%E6%88%96%E9%85%8D%E7%BD%AE%E6%96%87%E4%BB%B6%E3%80%82

自定义Datadog Agent参数

可在启动命令中追加Datadog Agent参数，例如启用追踪代理：

bash
docker run \
  -e AWS_ACCESS_KEY_ID=your_aws_access_key \
  -e AWS_SECRET_ACCESS_KEY=your_aws_secret_key \
  -e AWS_REGION=us-east-1 \
  docker.xuanyuan.run/datadog-chamber \
  --trace-agent-enabled true

此时实际执行命令为：/chamber exec datadog datadog-agent -- /init --trace-agent-enabled true

Docker Compose示例

yaml
version: '3'
services:
  datadog-agent:
    image: datadog-chamber
    environment:
      - AWS_ACCESS_KEY_ID=your_aws_access_key
      - AWS_SECRET_ACCESS_KEY=your_aws_secret_key
      - AWS_REGION=us-east-1
      - DD_API_KEY=your_datadog_api_key  # 可通过Chamber注入，此处为示例
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
      - /proc/:/host/proc:ro
      - /sys/fs/cgroup/:/host/sys/fs/cgroup:ro
    restart: always