Configuration CyberArk

Cette section explique comment configurer Zabbix pour récupérer des secrets depuis CyberArk Vault CV12.

Le coffre-fort doit être installé et configuré comme décrit dans la documentation officielle CyberArk.

Pour en savoir plus sur la configuration de TLS dans Zabbix, consultez Stockage des secrets.

Identifiants de base de données

L'accès à un secret contenant les identifiants de base de données est configuré séparément pour chaque composant Zabbix.

Serveur et proxies

Pour obtenir les identifiants de base de données depuis le coffre-fort pour Zabbix serveur ou proxy, spécifiez les paramètres de configuration suivants dans le fichier de configuration :

• Vault - quel fournisseur de coffre-fort doit être utilisé ;
• VaultURL - URL HTTP[S] du serveur du coffre-fort ;
• VaultDBPath - requête vers le secret du coffre-fort contenant les identifiants de base de données, qui seront récupérés par les clés "Content" et "UserName" (cette option ne peut être utilisée que si DBUser et DBPassword ne sont pas spécifiés) ;
• VaultTLSCertFile, VaultTLSKeyFile - noms des fichiers du certificat SSL et de la clé ; la configuration de ces options n'est pas obligatoire, mais elle est fortement recommandée ;
• VaultPrefix - préfixe personnalisé pour le chemin ou la requête du coffre-fort, selon le coffre-fort ; si non spécifié, la valeur par défaut la plus appropriée sera utilisée.

Zabbix serveur et Zabbix proxy lisent les paramètres de configuration liés au coffre-fort à partir des fichiers zabbix_server.conf et zabbix_proxy.conf au démarrage.

Exemple

1. Dans zabbix_server.conf, spécifiez les paramètres suivants :

Vault=CyberArk
VaultURL=https://127.0.0.1:1858
VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
VaultTLSCertFile=cert.pem
VaultTLSKeyFile=key.pem
VaultPrefix=/AIMWebService/api/Accounts?

2. Zabbix enverra la requête API suivante au coffre-fort :

curl \
--header "Content-Type: application/json" \
--cert cert.pem \
--key key.pem \
https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La réponse du coffre-fort contiendra les clés "Content" et "UserName" :

{
    "Content": <password>,
    "UserName": <username>,
    "Address": <address>,
    "Database": <Database>,
    "PasswordChangeInProcess":<PasswordChangeInProcess>
}

4. En conséquence, Zabbix utilisera les identifiants suivants pour l'authentification à la base de données :

• Nom d'utilisateur: <username>
• Mot de passe: <password>

Interface

Pour obtenir les identifiants de base de données depuis le coffre-fort pour l'interface Zabbix, spécifiez les paramètres suivants lors de l'installation de l'interface.

1. À l'étape Configure DB Connection, définissez le paramètre Store credentials in sur "CyberArk Vault".

2. Ensuite, renseignez les paramètres supplémentaires :

Valeurs des macros utilisateur

Pour utiliser CyberArk Vault afin de stocker les valeurs des macros utilisateur Vault secret, assurez-vous que :

• le serveur Zabbix est configuré pour fonctionner avec CyberArk Vault ;
• le paramètre Vault provider dans Administration > General > Other est défini sur "CyberArk Vault".

La valeur de la macro doit contenir une requête (au format query:key).

Consultez Vault secret macros pour obtenir des informations détaillées sur le traitement des valeurs de macro par Zabbix.

Syntaxe de requête

Le symbole deux-points (":") est réservé à la séparation de la requête et de la clé.

Si une requête elle-même contient une barre oblique ou un deux-points, ces symboles doivent être encodés en URL ("/" est encodé en "%2F", ":" est encodé en "%3A").

Exemple

1. Dans Zabbix, ajoutez une macro utilisateur {$PASSWORD} de type Vault secret et avec la valeur AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Zabbix enverra la requête API suivante au coffre-fort :

curl \
--header "Content-Type: application/json" \
--cert cert.pem \
--key key.pem \
https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La réponse du coffre-fort contiendra la clé "Content" :

{
    "Content": <password>,
    "UserName": <username>,
    "Address": <address>,
    "Database" :<Database>,
    "PasswordChangeInProcess":<PasswordChangeInProcess>
}

4. En conséquence, Zabbix résoudra la macro {$PASSWORD} avec la valeur - <password>

Mettre à jour une configuration existante

Pour mettre à jour une configuration existante de récupération des secrets depuis un CyberArk Vault :

1. Mettez à jour les paramètres du fichier de configuration du serveur ou du proxy Zabbix comme décrit dans la section Database credentials.

2. Mettez à jour les paramètres de connexion à la base de données en reconfigurant l'interface Zabbix et en spécifiant les paramètres requis comme décrit dans la section Frontend. Pour reconfigurer l'interface Zabbix, ouvrez l'URL de configuration de l'interface dans le navigateur :

• pour Apache : http://<server_ip_or_name>/zabbix/setup.php
• pour Nginx : http://<server_ip_or_name>/setup.php

Sinon, ces paramètres peuvent être définis dans le fichier de configuration de l'interface (zabbix.conf.php) :

$DB['VAULT']                    = 'CyberArk';
$DB['VAULT_URL']                = 'https://127.0.0.1:1858';
$DB['VAULT_DB_PATH']            = 'AppID=foo&Query=Safe=bar;Object=buzz';
$DB['VAULT_TOKEN']              = '';
$DB['VAULT_CERT_FILE']          = 'conf/certs/cyberark-cert.pem';
$DB['VAULT_KEY_FILE']           = 'conf/certs/cyberark-key.pem';
$DB['VAULT_PREFIX']             = '';

3. Configurez les macros utilisateur comme décrit dans la section User macro values, si nécessaire.

Pour mettre à jour une configuration existante de récupération des secrets depuis un HashiCorp Vault, consultez HashiCorp configuration.