CyberArk-Konfiguration

In diesem Abschnitt wird erläutert, wie Zabbix konfiguriert wird, um Geheimnisse aus CyberArk Vault CV12 abzurufen.

Der Vault sollte wie in der offiziellen CyberArk-Dokumentation beschrieben installiert und konfiguriert werden.

Informationen zur Konfiguration von TLS in Zabbix finden Sie unter Speicherung von Geheimnissen.

Datenbankanmeldedaten

Der Zugriff auf ein Secret mit Datenbankanmeldedaten wird für jede Zabbix-Komponente separat konfiguriert.

Server und Proxies

Um Datenbankanmeldedaten aus dem Vault für Zabbix Server oder Proxy abzurufen, geben Sie die folgenden Konfigurationsparameter in der Konfigurationsdatei an:

• Vault - welcher Vault-Anbieter verwendet werden soll;
• VaultURL - HTTP[S]-URL des Vault-Servers;
• VaultDBPath - Abfrage an das Vault-Secret, das Datenbankanmeldedaten enthält und über die Schlüssel "Content" und "UserName" abgerufen wird (diese Option kann nur verwendet werden, wenn DBUser und DBPassword nicht angegeben sind);
• VaultTLSCertFile, VaultTLSKeyFile - Namen der SSL-Zertifikats- und Schlüsseldatei; das Einrichten dieser Optionen ist nicht zwingend erforderlich, wird jedoch dringend empfohlen;
• VaultPrefix - benutzerdefiniertes Präfix für den Vault-Pfad oder die Abfrage, abhängig vom Vault; wenn nicht angegeben, wird der am besten geeignete Standard verwendet.

Zabbix Server und Zabbix Proxy lesen die Vault-bezogenen Konfigurationsparameter beim Start aus den Dateien zabbix_server.conf und zabbix_proxy.conf.

Beispiel

1. Geben Sie in zabbix_server.conf die folgenden Parameter an:

Vault=CyberArk
VaultURL=https://127.0.0.1:1858
VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
VaultTLSCertFile=cert.pem
VaultTLSKeyFile=key.pem
VaultPrefix=/AIMWebService/api/Accounts?

2. Zabbix sendet die folgende API-Anfrage an den Vault:

curl \
--header "Content-Type: application/json" \
--cert cert.pem \
--key key.pem \
https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. Die Antwort des Vaults enthält die Schlüssel "Content" und "UserName":

{
    "Content": <password>,
    "UserName": <username>,
    "Address": <address>,
    "Database": <Database>,
    "PasswordChangeInProcess":<PasswordChangeInProcess>
}

4. Infolgedessen verwendet Zabbix die folgenden Anmeldedaten für die Datenbankauthentifizierung:

• Benutzername: <username>
• Passwort: <password>

Frontend

Um Datenbankanmeldedaten aus dem Vault für das Zabbix-Frontend abzurufen, geben Sie während der Installation des Frontends die folgenden Parameter an.

1. Wählen Sie im Schritt Configure DB Connection für den Parameter Store credentials in die Option CyberArk Vault aus.

2. Füllen Sie anschließend die zusätzlichen Parameter aus:

Benutzer-Makro-Werte

Um CyberArk Vault zum Speichern von Benutzer-Makro-Werten vom Typ Vault secret zu verwenden, stellen Sie sicher, dass:

• der Zabbix Server konfiguriert ist, um mit CyberArk Vault zu arbeiten;
• der Parameter Vault provider unter Administration > Allgemein > Sonstiges auf "CyberArk Vault" gesetzt ist.

Der Makro-Wert sollte eine Abfrage enthalten (als query:key).

Weitere Informationen zur Verarbeitung von Makro-Werten durch Zabbix finden Sie unter Vault secret macros.

Abfragesyntax

Das Doppelpunktsymbol (:) ist für die Trennung der Abfrage vom Schlüssel reserviert.

Wenn eine Abfrage selbst einen Schrägstrich oder einen Doppelpunkt enthält, sollten diese Symbole URL-kodiert werden (/ wird als %2F kodiert, : wird als %3A kodiert).

Beispiel

1. Fügen Sie in Zabbix ein Benutzermakro {$PASSWORD} vom Typ Vault secret mit dem Wert AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content hinzu.

2. Zabbix sendet die folgende API-Anforderung an den Vault:

curl \
--header "Content-Type: application/json" \
--cert cert.pem \
--key key.pem \
https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. Die Antwort des Vaults enthält den Schlüssel Content:

{
    "Content": <password>,
    "UserName": <username>,
    "Address": <address>,
    "Database" :<Database>,
    "PasswordChangeInProcess":<PasswordChangeInProcess>
}

4. Als Ergebnis löst Zabbix das Makro {$PASSWORD} in den Wert <password> auf.

Vorhandene Konfiguration aktualisieren

So aktualisieren Sie eine vorhandene Konfiguration zum Abrufen von Geheimnissen aus einem CyberArk Vault:

1. Aktualisieren Sie die Parameter in der Konfigurationsdatei des Zabbix Servers oder Proxys wie im Abschnitt Datenbankanmeldeinformationen beschrieben.

2. Aktualisieren Sie die Parameter in der Frontend-Konfigurationsdatei von Zabbix:

$DB['VAULT']                    = 'CyberArk';
$DB['VAULT_URL']                = 'https://127.0.0.1:1858';
$DB['VAULT_DB_PATH']            = 'AppID=foo&Query=Safe=bar;Object=buzz';
$DB['VAULT_TOKEN']              = '';
$DB['VAULT_CERT_FILE']          = 'conf/certs/cyberark-cert.pem';
$DB['VAULT_KEY_FILE']           = 'conf/certs/cyberark-key.pem';
$DB['VAULT_PREFIX']             = '';

3. Konfigurieren Sie bei Bedarf Benutzermakros wie im Abschnitt Werte von Benutzermakros beschrieben.

Informationen zum Aktualisieren einer vorhandenen Konfiguration zum Abrufen von Geheimnissen aus einem HashiCorp Vault finden Sie unter HashiCorp-Konfiguration.