1 Configuración de CyberArk

Esta sección explica cómo configurar Zabbix para recuperar secretos de CyberArk Vault CV12.

El almacén debe estar instalado y configurado como se describe en la documentación oficial de CyberArk.

Para obtener información sobre cómo configurar TLS en Zabbix, consulte Almacenamiento de secretos.

Credenciales de la base de datos

El acceso a un secreto con credenciales de base de datos se configura por separado para cada componente de Zabbix.

Servidor y proxies

Para obtener credenciales de base de datos desde el vault para el servidor o proxy de Zabbix, especifique los siguientes parámetros de configuración en el archivo de configuración:

• Vault - qué proveedor de vault debe utilizarse;
• VaultURL - URL HTTP[S] del servidor de vault;
• VaultDBPath - consulta al secreto del vault que contiene las credenciales de la base de datos que se recuperarán mediante las claves "Content" y "UserName" (esta opción solo puede usarse si no se especifican DBUser y DBPassword);
• VaultTLSCertFile, VaultTLSKeyFile - nombres de los archivos de certificado y clave SSL; configurar estas opciones no es obligatorio, pero sí altamente recomendable;
• VaultPrefix - prefijo personalizado para la ruta o consulta del vault, dependiendo del vault; si no se especifica, se utilizará el valor predeterminado más adecuado.

El servidor y el proxy de Zabbix leen los parámetros de configuración relacionados con el vault de los archivos zabbix_server.conf y zabbix_proxy.conf al iniciar.

Ejemplo

1. En zabbix_server.conf, especifique los siguientes parámetros:

Vault=CyberArk
       VaultURL=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=key.pem
       VaultPrefix=/AIMWebService/api/Accounts?

2. Zabbix enviará la siguiente solicitud API al almacén seguro:

curl \
       --header "Content-Type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta del almacén seguro contendrá las claves "Content" y "UserName":

{
           "Content": <contraseña>,
           "UserName": <usuario>,
           "Address": <dirección>,
           "Database": <BaseDeDatos>,
           "PasswordChangeInProcess":<CambioDeContraseñaEnProceso>
       }

4. Como resultado, Zabbix utilizará las siguientes credenciales para la autenticación en la base de datos:

• Usuario: <usuario>
• Contraseña: <contraseña>

Interfaz web

Para obtener las credenciales de la base de datos desde el vault para la interfaz web de Zabbix, especifique los siguientes parámetros durante la instalación de la interfaz web.

1. En el paso Configurar conexión a la BD, establezca el parámetro Almacenar credenciales en en "CyberArk Vault".

2. Luego, complete los parámetros adicionales:

Valores de macro de usuario

Para utilizar CyberArk Vault para almacenar valores de macro de usuario Vault secret, asegúrese de que:

• El servidor Zabbix está configurado para trabajar con CyberArk Vault;
• el parámetro Proveedor de Vault en Administración → General → Otros está establecido en "CyberArk Vault".

El valor de la macro debe contener una consulta (como query:key).

Consulte Macros de Vault secret para obtener información detallada sobre el procesamiento de valores de macro por parte de Zabbix.

Sintaxis de consulta

El símbolo de dos puntos (":") está reservado para separar la consulta de la clave.

Si una consulta en sí misma contiene una barra diagonal o dos puntos, estos símbolos deben ser codificados en URL ("/" se codifica como "%2F", ":" se codifica como "%3A").

Ejemplo

1. En Zabbix, agregue una macro de usuario {$PASSWORD} de tipo Secreto de Vault y con el valor AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Zabbix enviará la siguiente solicitud API al vault:

curl \
       --header "Content-Type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta del vault contendrá la clave "Content":

{
           "Content": <password>,
           "UserName": <username>,
           "Address": <address>,
           "Database" :<Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

4. Como resultado, Zabbix resolverá la macro {$PASSWORD} al valor - <password>

Actualizar la configuración existente

Para actualizar una configuración existente para recuperar secretos de un CyberArk Vault:

1. Actualice los parámetros del archivo de configuración del servidor o proxy de Zabbix como se describe en la sección Credenciales de base de datos.

2. Actualice la configuración de conexión a la base de datos reconfigurando el frontend de Zabbix y especificando los parámetros requeridos como se describe en la sección Frontend. Para reconfigurar el frontend de Zabbix, abra la URL de configuración del frontend en el navegador:

• para Apache: http://<server_ip_or_name>/zabbix/setup.php
• para Nginx: http://<server_ip_or_name>/setup.php

Alternativamente, estos parámetros pueden establecerse en el archivo de configuración del frontend (zabbix.conf.php):

$DB['VAULT']                    = 'CyberArk';
       $DB['VAULT_URL']                = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH']            = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN']              = '';
       $DB['VAULT_CERT_FILE']          = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE']           = 'conf/certs/cyberark-key.pem';
       $DB['VAULT_PREFIX']             = '';

3. Configure las macros de usuario como se describe en la sección Valores de macro de usuario, si es necesario.

Para actualizar una configuración existente para recuperar secretos de un HashiCorp Vault, consulte Configuración de HashiCorp.