Vault: qué proveedor de bóveda debe utilizarse;
VaultToken: token de autenticación de la bóveda (consulte el archivo de configuración del servidor/proxy de Zabbix para más detalles);
VaultURL: URL HTTP[S] del servidor de la bóveda;
VaultDBPath: ruta al secreto de la bóveda que contiene las credenciales de la base de datos (esta opción solo puede usarse si no se especifican DBUser y DBPassword); el servidor o proxy de Zabbix recuperará las credenciales mediante las claves "password" y "username";
VaultPrefix: prefijo personalizado para la ruta o consulta de la bóveda, dependiendo de la bóveda; si no se especifica, se utilizará el valor predeterminado más adecuado.

Los parámetros de configuración Vault, VaultToken, VaultURL y VaultPrefix también se utilizan para la autenticación en la bóveda al procesar macros de bóveda secreta por el servidor de Zabbix (y el proxy de Zabbix, si está configurado). El servidor y los proxies de Zabbix no abrirán macros de bóveda secreta que contengan credenciales de base de datos de VaultDBPath.

Se recomienda encarecidamente utilizar diferentes tokens para diferentes proxies.

El servidor y el proxy de Zabbix leen los parámetros de configuración relacionados con la bóveda de zabbix_server.conf y zabbix_proxy.conf al iniciar. Además, el servidor y el proxy de Zabbix leerán la variable de entorno VAULT_TOKEN una vez durante el inicio y la eliminarán para que no esté disponible a través de scripts bifurcados; es un error si ambos parámetros, VaultToken y VAULT_TOKEN, contienen un valor.

Ejemplo

En zabbix_server.conf, especifique los siguientes parámetros:

Vault=HashiCorp
VaultToken=hvs.CAESIIG_PILmULFYOsEyWHxkZ2mF2a8VPKNLE8eHqd4autYGGh4KHGh2cy5aeTY0NFNSaUp3ZnpWbDF1RUNjUkNTZEg
VaultURL=https://127.0.0.1:8200
VaultDBPath=database
VaultPrefix=/v1/secret/data/zabbix/

Ejecute los siguientes comandos CLI para crear el secreto requerido en el vault:

# Habilite el punto de montaje "secret/" si aún no está habilitado; tenga en cuenta que se debe usar "kv-v2".
vault secrets enable -path=secret/ kv-v2

# Ingrese nuevos secretos con las claves username y password bajo el punto de montaje "secret/" y la ruta "zabbix/database".
vault kv put -mount=secret zabbix/database username=zabbix password=<contraseña>

# Pruebe que el secreto se haya agregado correctamente.
vault kv get secret/zabbix/database

# Finalmente, pruebe con Curl; tenga en cuenta que "data" debe agregarse manualmente después del punto de montaje y "/v1" antes del punto de montaje, también vea el parámetro --capath.
curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/database

Como resultado, el servidor Zabbix recuperará las siguientes credenciales para la autenticación de la base de datos:

Usuario: zabbix
Contraseña: <contraseña>

Frontend

El frontend de Zabbix puede configurarse para recuperar las credenciales de la base de datos desde el vault, ya sea durante la instalación del frontend o actualizando el archivo de configuración del frontend (zabbix.conf.php).

Si las credenciales del vault han cambiado desde la instalación anterior del frontend, vuelva a ejecutar la instalación del frontend o actualice zabbix.conf.php. Véase también: Actualización de una configuración existente.

Durante la instalación del frontend, los parámetros de configuración deben especificarse en el paso Configure DB Connection:

Establezca el parámetro Store credentials in en "HashiCorp Vault".
Especifique los parámetros de conexión:

Parámetro	Obligatorio	Valor predeterminado	Descripción
Vault API endpoint	sí	https://localhost:8200	Especifique la URL para conectarse al vault en el formato `scheme://host:port`
Vault prefix	no	/v1/secret/data/	Proporcione un prefijo personalizado para la ruta o consulta del vault. Si no se especifica, se utilizará el valor predeterminado. Ejemplo: `/v1/secret/data/zabbix/`
Vault secret path	no		Una ruta al secreto desde la cual se recuperarán las credenciales de la base de datos mediante las claves "password" y "username". Ejemplo: `database`
Vault authentication token	no		Proporcione un token de autenticación con acceso de solo lectura a la ruta del secreto. Consulte la documentación de HashiCorp para obtener información sobre la creación de tokens y políticas de vault.

Recuperación de valores de macros de usuario

Para usar HashiCorp Vault para almacenar valores de macros de usuario de Vault secret, asegúrese de que:

Zabbix server/proxy esté configurado para funcionar con HashiCorp Vault;
el parámetro Vault provider en Administración → General → Otros esté establecido en "HashiCorp Vault" (predeterminado);

Zabbix server (y Zabbix proxy, si está configurado) requieren acceso a los valores de macros de Vault secret desde el vault. Zabbix frontend no necesita dicho acceso.

El valor de la macro debe contener una ruta de referencia (como path:key, por ejemplo, macros:password). El token de autenticación especificado durante la configuración de Zabbix server/proxy (mediante el parámetro VaultToken) debe proporcionar acceso de solo lectura a esta ruta.

Consulte Macros de Vault secret para obtener información detallada sobre el procesamiento de valores de macros por parte de Zabbix.

Sintaxis de ruta

Los símbolos de barra diagonal ("/") y dos puntos (":") están reservados.

Una barra diagonal solo se puede utilizar para separar un punto de montaje de una ruta (por ejemplo, secret/zabbix donde el punto de montaje es "secreto" y la ruta es "zabbix"). En el caso de las macros de Vault, los dos puntos solo se pueden utilizar para separar una ruta/consulta de una clave.

Es posible codificar en URL los símbolos de barra diagonal y dos puntos si es necesario crear un punto de montaje con el nombre separado por una barra diagonal (por ejemplo, foo/bar/zabbix, donde el punto de montaje es " foo/bar" y la ruta es "zabbix", se puede codificar como "foo%2Fbar/zabbix") y si el nombre del punto de montaje o la ruta deben contener dos puntos.

Ejemplo

En Zabbix, agregue una macro de usuario {$PASSWORD} de tipo "Secreto de Vault" y con el valor macros:password

Ejecute los siguientes comandos CLI para crear el secreto requerido en el vault:

# Habilite el punto de montaje "secret/" si aún no está habilitado; tenga en cuenta que se debe usar "kv-v2".
vault secrets enable -path=secret/ kv-v2

# Coloque un nuevo secreto con la clave "password" bajo el punto de montaje "secret/" y la ruta "zabbix/macros".
vault kv put -mount=secret zabbix/macros password=<contraseña>

# Pruebe que el secreto se haya agregado correctamente.
vault kv get secret/zabbix/macros

# Finalmente, pruebe con Curl; tenga en cuenta que "data" debe agregarse manualmente después del punto de montaje y "/v1" antes del punto de montaje, también vea el parámetro --capath.
curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/macros

Como resultado, Zabbix resolverá la macro {$PASSWORD} al valor: <contraseña>

Actualización de una configuración existente

Para actualizar una configuración existente para recuperar secretos de un HashiCorp Vault:

Actualice los parámetros del archivo de configuración del servidor o proxy de Zabbix como se describe en la sección Credenciales de base de datos.
Actualice la configuración de conexión a la base de datos reconfigurando el frontend de Zabbix y especificando los parámetros requeridos como se describe en la sección Frontend. Para reconfigurar el frontend de Zabbix, abra la URL de configuración del frontend en el navegador:

para Apache: http://<ip_o_nombre_del_servidor>/zabbix/setup.php
para Nginx: http://<ip_o_nombre_del_servidor>/setup.php

Alternativamente, estos parámetros pueden establecerse en el archivo de configuración del frontend (zabbix.conf.php):

$DB['VAULT']                    = 'HashiCorp';
$DB['VAULT_URL']                = 'https://localhost:8200';
$DB['VAULT_DB_PATH']            = 'database';
$DB['VAULT_TOKEN']              = '<mytoken>';
$DB['VAULT_CERT_FILE']          = '';
$DB['VAULT_KEY_FILE']           = '';
$DB['VAULT_PREFIX']             = '/v1/secret/data/zabbix/';

Configure las macros de usuario como se describe en la sección Valores de macro de usuario, si es necesario.

Para actualizar una configuración existente para recuperar secretos de un CyberArk Vault, consulte Configuración de CyberArk.

What’s next?

14 Informes programados

Docs

2 Configuración de HashiCorp

Resumen

Recuperación de credenciales de base de datos

Servidor/proxy

Frontend

Recuperación de valores de macros de usuario

Actualización de una configuración existente

What’s next?

Suggest edit

Suggest an example

Thank you!