private-connectivity

Grafana Cloud のプライベート接続

ドキュメント: https://grafana.com/docs/grafana-cloud/send-data/

メトリクス、ログ、トレース、プロファイルを、クラウドプロバイダーのプライベートバックボーン経由で Grafana Cloud に送信します。パブリックインターネットへの公開も、エグレス料金もありません。

よくあるワークフロー

AWS PrivateLink の設定（最も一般的）

1. サービス名を確認します。 Grafana Cloud → Stack Details →「Send using AWS PrivateLink」を選択します。シグナルの種類（メトリクス／ログ／トレース／プロファイル）ごとにサービス名を確認します。

2. シグナルの種類ごとにインターフェイス VPC エンドポイントを作成します。

   aws ec2 create-vpc-endpoint \
     --vpc-id vpc-12345 \
     --service-name com.amazonaws.vpce.us-east-1.vpce-svc-0abc123 \
     --vpc-endpoint-type Interface \
     --subnet-ids subnet-12345 \
     --security-group-ids sg-12345 \
     --private-dns-enabled
   

3. プライベート DNS が名前解決できることを確認します（重要：この結果がパブリック IP の場合、Alloy はパブリック経路を使い続け、エグレス料金が発生します）。

   dig +short prometheus-private.us-east-0.grafana.net
   # Expected: a 10.x.x.x / 172.16-31.x.x / 192.168.x.x address
   # Public IP returned → check `private_dns_enabled = true` was set and the VPC has DNS hostnames enabled
   

4. プライベートエンドポイントを使うように Alloy を更新します。

   prometheus.remote_write "cloud_private" {
     endpoint {
       url = "https://prometheus-private.us-east-0.grafana.net/api/prom/push"
       basic_auth {
         username = sys.env("PROM_USER")
         password = sys.env("GRAFANA_CLOUD_API_KEY")
       }
     }
   }
   
   loki.write "cloud_private" {
     endpoint {
       url = "https://logs-private.us-east-0.grafana.net/loki/api/v1/push"
       basic_auth {
         username = sys.env("LOKI_USER")
         password = sys.env("GRAFANA_CLOUD_API_KEY")
       }
     }
   }
   

5. トラフィックが PrivateLink 経由で流れていることを確認します。 Alloy がデータを送信し始めたら、VPC エンドポイントの CloudWatch メトリクスで BytesProcessed を確認します。

シグナルの種類ごとのエンドポイントリソースを含む Terraform の全設定は、references/aws.md を参照してください。

Azure Private Link／GCP Private Service Connect の設定

プロバイダーが異なっても手順は同じです。プライベートエンドポイントを作成し、承認を待ってから、プライベート DNS を確認し、Alloy の URL を更新します。CLI と確認手順の詳細は、references/azure-gcp.md を参照してください。

Azure 固有の前提条件： 作業を始める前に、サブスクリプション ID を Grafana Support に事前登録してください。登録しない場合、エンドポイントの作成が「Pending」のままになります。

前提条件（すべてのプロバイダー）

• Grafana Cloud スタックは同じクラウドプロバイダーでホストされている必要があります（確認先：My Account → Stack → Details）
• シグナルの種類（メトリクス／ログ／トレース／プロファイル）ごとに、個別のプライベートエンドポイントを作成してください。サービス名はそれぞれ異なります
• AWS PrivateLink は同一リージョンでのみ利用できます。リージョンをまたぐ場合は、先に VPC ピアリングが必要です

適切なオプションの選択

シナリオ	ソリューション
AWS から送信する	AWS PrivateLink
Azure から送信する	Azure Private Link
GCP から送信する	GCP Private Service Connect
Grafana からプライベート DB／Prometheus にクエリを実行する	Private Data Source Connect（PDC）— references/azure-gcp.md § PDC を参照

リファレンス

• references/aws.md — シグナルの種類ごとの AWS PrivateLink 用 Terraform の全設定とエンドポイントの検証（状態＋DNS）
• references/azure-gcp.md — Azure Private Link と GCP Private Service Connect の設定（ポータル＋CLI）、検証、および逆方向のプライベートデータソースクエリ用 Private Data Source Connect（PDC）