13 Almacenamiento de secretos
Resumen
Zabbix puede configurarse para recuperar información confidencial desde un vault seguro. Los siguientes servicios de gestión de secretos son compatibles: HashiCorp Vault KV Secrets Engine - Version 2, CyberArk Vault CV12.
Los secretos se pueden usar para recuperar:
- valores de macros de usuario
- credenciales de acceso a la base de datos
Zabbix proporciona acceso de solo lectura a los secretos de un vault, suponiendo que los secretos son administrados por otra persona.
Para obtener información sobre la configuración específica del proveedor de vault, consulte:
Caché de valores secretos
Los valores de macros secretas de Vault son recuperados por el server de Zabbix en cada actualización de los datos de configuración y luego se almacenan en la caché de configuración. El proxy de Zabbix recibe los valores de las macros secretas de Vault desde el server de Zabbix en cada sincronización de configuración y los almacena en su propia caché de configuración.
La encriptación debe estar habilitada entre el server de Zabbix y el proxy; de lo contrario, se registra un mensaje de advertencia del server.
Para forzar manualmente la actualización de los valores secretos almacenados en caché desde un vault, use la opción de línea de comandos 'secrets_reload' option.
Para las credenciales de la base de datos del frontend de Zabbix, la caché está deshabilitada de forma predeterminada, pero puede habilitarse estableciendo la opción $DB['VAULT_CACHE'] = true en zabbix.conf.php. Las credenciales se almacenarán en una caché local usando el directorio de archivos temporales del sistema de archivos. El servidor web debe permitir la escritura en una carpeta temporal privada (por ejemplo, para Apache, debe establecerse la opción de configuración PrivateTmp=True). Para controlar con qué frecuencia se actualiza o invalida la caché de datos, use la constante ZBX_DATA_CACHE_TTL constant .
Configuración de TLS
Para configurar TLS para la comunicación entre los componentes de Zabbix y el vault, agregue un certificado firmado por una autoridad de certificación (CA) al almacén de CA predeterminado de todo el sistema.
Para usar otra ubicación, especifique el directorio en el parámetro de configuración SSLCALocation de Zabbix server/proxy,
coloque el archivo del certificado dentro de ese directorio y luego ejecute el command de CLI:
c_rehash .