5 データベースへの安全な接続

概要

このセクションでは、以下の間で安全なTLS接続を確立するための、Zabbixのセットアップ手順と設定例を説明します。

DBMS内で接続の暗号化を設定するには、詳細について各ベンダーの公式ドキュメントを参照してください。

• MySQL: ソースおよびレプリカのレプリケーション用データベースサーバー。
• MySQL: グループレプリケーションなどのデータベースサーバー。
• PostgreSQL 暗号化オプション。

すべての例は、CentOS 8で公式リポジトリから利用可能な MySQL CE (8.0) および PgSQL (13) のGAリリースに基づいています。

要件

暗号化を設定するには、次が必要です。

• デベロッパーサポートされているOSとOpenSSL1.1.X以上 または OpenSSLの代用品。

• デベロッパーが提供する公式リポジトリからインストールおよび保守されるデータベースエンジン（RDBMS）やオペレーティングシステムには、暗号化サポートが実装されていない古いバージョンのデータベースソフトウェアが付属していることがよくあります。たとえば、RHEL7ベースのシステムでのPostgreSQL9.2や暗号化サポートのないMariaDB5.5などです。

用語

このオプションを設定すると、Zabbixサーバー/プロキシおよびWebインターフェースからデータベースへの接続にTLS接続の使用が強制されます。

• required - 識別情報の検証を行わず、トランスポートモードとしてTLSを使用して接続します
• verify_ca - TLSを使用して接続し、証明書を検証します
• verify_full - TLSを使用して接続し、証明書を検証するとともに、DBHostで指定されたデータベースの識別情報（CN）がその証明書と一致することを検証します

Zabbixの設定

Webインターフェースからデータベースへ

データベースへのセキュアな接続は、Webインターフェースのインストール時に設定できます。

• DB接続の設定 ステップで Database TLS encryption チェックボックスをオンにすると、通信の暗号化が有効になります。
• TLS encryption フィールドがチェックされている場合に表示される Verify database certificate チェックボックスをオンにすると、証明書を使用した暗号化が有効になります。

証明書モードでの TLS 暗号化では、以下のパラメータが利用可能になります（両方のチェックボックスがオンの場合）。

ユースケース

ZabbixのWebインターフェースでは、GUIインターフェースを使用して、使用可能なオプション required、 verify_ca、verify_full を定義します。必要なオプションは、インストール ウィザードの Configure DB connections ステップで指定します。これらのオプションは、 以下のように設定ファイル (zabbix.conf.php) にマッピングされます。

GUI設定	設定ファイル	説明	結果
	... // TLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	Database TLS encryption をチェックする Verify database certificate は未チェックのままにする	required モードを有効にします。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. Database TLS encryption と Verify database certificate をチェックする 2. Database TLS CA file へのパスを指定する	verify_ca モードを有効にします。
	... // 厳密に定義されたCipherリストを使用するTLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... または: ... // Cipherリストを定義しないTLS接続に使用 - MySQLサーバーによって選択される $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. Database TLS encryption と Verify database certificate をチェックする 2. Database TLS key file へのパスを指定する 3. Database TLS CA file へのパスを指定する 4. Database TLS certificate file へのパスを指定する 5. Database TLS cipher list を指定する（任意）	MySQLで verify_full モードを有効にします。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. Database TLS encryption と Verify database certificate をチェックする 2. Database TLS key file へのパスを指定する 3. Database TLS CA file へのパスを指定する 4. Database TLS certificate file へのパスを指定する 5. Database host verification をチェックする	PostgreSQLで verify_full モードを有効にします。

関連項目: MySQLの暗号化設定例, PostgreSQLの暗号化設定例。

Zabbix サーバー/プロキシの設定

データベースへのセキュアな接続は、Zabbixのserverおよび/またはproxy設定ファイル内の対応する パラメータで設定できます。