Stockage des secrets

Vue d'ensemble

Zabbix peut être configuré pour récupérer des informations sensibles depuis un coffre-fort sécurisé. Les services de gestion des secrets suivants sont pris en charge: HashiCorp Vault KV Secrets Engine - Version 2, CyberArk Vault CV12.

Les secrets peuvent être utilisés pour récupérer:

Zabbix fournit un accès en lecture seule aux secrets dans un coffre-fort, en supposant que les secrets sont gérés par quelqu'un d'autre.

Pour plus d'informations sur la configuration d'un fournisseur de coffre-fort spécifique, consultez :

Mise en cache des valeurs secrètes

Par défaut, les valeurs des macros secrètes du vault sont récupérées par le serveur Zabbix à chaque actualisation des données de configuration, puis stockées dans le cache de configuration. Le proxy Zabbix reçoit les valeurs des macros secrètes du vault du serveur Zabbix lors de chaque synchronisation de la configuration et les stocke dans son propre cache de configuration.

Le chiffrement doit être activé entre le serveur Zabbix et le proxy ; sinon, un message d'avertissement du serveur est enregistré.

Il est également possible de configurer le serveur Zabbix et le proxy Zabbix afin qu'ils récupèrent indépendamment les valeurs des macros.

Pour déclencher manuellement l'actualisation des valeurs secrètes mises en cache depuis un vault, utilisez l'option de ligne de commande secrets_reload.

La mise en cache des identifiants de la base de données de l'interface Zabbix est désactivée par défaut, mais peut être activée en définissant l'option $DB['VAULT_CACHE'] = true dans le fichier de configuration de l'interface. Les identifiants seront stockés dans un cache local utilisant le répertoire de fichiers temporaires du système de fichiers. Le serveur web doit autoriser l'écriture dans un dossier temporaire privé (par exemple, pour Apache, l'option de configuration PrivateTmp=True doit être définie). Pour contrôler la fréquence d'actualisation/invalidation du cache de données, utilisez la constante ZBX_DATA_CACHE_TTL.

Configuration TLS

Pour configurer TLS pour la communication entre les composants Zabbix et le coffre-fort, ajoutez un certificat signé par une autorité de certification (CA) au magasin CA par défaut du système. Pour utiliser un autre emplacement, spécifiez le répertoire dans le paramètre de configuration SSLCALocation de Zabbix serveur/proxy, placez le fichier de certificat dans ce répertoire, puis exécutez la commande CLI :

c_rehash .