2 事前共有鍵の使用

概要

Zabbix の各事前共有キー (PSK) は、次のペアです。

• 非秘匿 PSK ID 文字列、
• 秘匿 PSK 文字列値。

PSK ID 文字列は、空ではないUTF-8の文字列です。 たとえば"PSK ID 001 Zabbix agentd"などです。この特定の PSK が Zabbix コンポーネントによって参照される一意の名前です。暗号化されずにネットワーク経由で送信されますので、機密情報を PSK ID 文字列に含めないでください。

PSK 文字列値は推測しにくい 16 進数の文字列です。たとえば、"e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9"などです。

サイズ制限

Zabbix では PSK ID と値にサイズ制限があります。場合によっては、 暗号ライブラリの制限のほうがより厳しいことがあります。

ZabbixサーバーがPSKを使用してエージェントに接続する前に、サーバーは そのエージェント用に設定されたPSK IDとPSK値をデータベース （実際には設定キャッシュ）で参照します。接続を受信すると、エージェントは 設定ファイル内のPSK IDとPSK値を使用します。両者が同じPSK ID文字列と PSK値を持っていれば、接続は成功する可能性があります。

PSKの生成

たとえば、256ビット（32バイト）のPSKは、次のコマンドで生成できます。

• OpenSSL を使用する場合:

$ openssl rand -hex 32
af8ced32dfe8714e548694e2d29e1a14ba6fa13f216cb35c19d0feb1084b0429

• GnuTLS を使用する場合:

$ psktool -u psk_identity -p database.psk -s 32
Generating a random key for user 'psk_identity'
Key stored to database.psk

$ cat database.psk 
psk_identity:9b8eafedfaae00cece62e85d5f4792c7d9c9bcc851b23216a1d300311cc4f7cb

上記の "psktool" は、PSK IDとそれに関連付けられたPSKを含むデータベースファイルを生成します。Zabbix が PSK ファイルで期待するのは PSK のみなので、ファイルから ID 文字列とコロン（':'）を削除する必要があります。

サーバー-エージェント通信のPSK設定（例）

エージェントホスト上で、PSK値をファイルに書き込みます。たとえば、 /home/zabbix/zabbix_agentd.psk です。ファイルには、最初の テキスト文字列としてPSKを含める必要があります。たとえば、次のようにします。

1f87b595725ac58dd977beef14b97461a7c1045b9a1c963065002c5473194952

PSKファイルのアクセス権を設定します。Zabbixユーザーのみが読み取り可能でなければなりません。

Zabbixエージェントの設定ファイル (zabbix_agentd.conf) でTLSパラメータを編集します。たとえば、次のように設定します。

TLSConnect=psk
TLSAccept=psk
TLSPSKFile=/home/zabbix/zabbix_agentd.psk
TLSPSKIdentity=PSK 001

エージェントはサーバーに接続し（アクティブチェック）、サーバーおよび zabbix_get からの接続をPSKを使用するものだけ受け入れます。PSK IDは "PSK 001" になります。

エージェントを再起動します。これで、zabbix_get を使用して接続をテストできます。たとえば、次のようにします。

zabbix_get -s 127.0.0.1 -k "system.cpu.load[all,avg1]" --tls-connect=psk --tls-psk-identity="PSK 001" --tls-psk-file=/home/zabbix/zabbix_agentd.psk

（ダウンタイムを最小限に抑えるには、接続暗号化の管理 で接続タイプを変更する方法を参照してください。）

Zabbix Webインターフェースで、このエージェントのPSK暗号化を設定します。

• 次へ移動: データ収集 → ホスト
• ホストを選択し、暗号化 タブをクリックします

例:

必須入力フィールドには赤いアスタリスクが付いています。

設定キャッシュがデータベースと同期されると、新しい接続はPSKを使用します。エラーメッセージがないか、サーバーとエージェントのログファイルを確認してください。

PSKをサーバー - アクティブプロキシ通信向けに設定する例

プロキシ上で、PSKの値をファイルに書き込みます。たとえば、 /home/zabbix/zabbix_proxy.psk です。ファイルには、最初の テキスト文字列としてPSKを含める必要があります。たとえば、次のとおりです。

e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9

PSKファイルのアクセス権を設定します。Zabbixユーザーのみが読み取り可能でなければなりません。

Zabbixプロキシの設定ファイル (zabbix_proxy.conf) でTLSパラメータを編集します。たとえば、次のように設定します。

TLSConnect=psk
TLSPSKFile=/home/zabbix/zabbix_proxy.psk
TLSPSKIdentity=PSK 002

プロキシはPSKを使用してサーバーに接続します。PSK identityは "PSK 002" になります。

(ダウンタイムを最小限に抑えるには、接続暗号化 管理 で接続タイプを変更する方法を参照してください。)

このプロキシ用のPSKをZabbix Webインターフェースで設定します。 Administration→Proxies に移動し、プロキシを選択して "Encryption" タブを開きます。"Connections from proxy" で PSK を選択します。"PSK identity" フィールドに "PSK 002" を貼り付け、 "PSK" フィールドに "e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9" を入力します。"Update" をクリックします。

プロキシを再起動します。これにより、PSKベースの暗号化接続を使用してサーバーに接続するようになります。エラーメッセージがないか、サーバーとプロキシのログファイルを確認してください。

パッシブプロキシの場合も、手順はほぼ同じです。 唯一の違いは、Zabbixプロキシの設定ファイル で TLSAccept=psk を設定し、Zabbix Webインターフェースの Connections to proxy を PSK に設定することです。