Table of Contents
1 MySQLの暗号化設定
概要
このセクションでは、CentOS 8.2およびMySQL 8.4.0の暗号化設定例をいくつか紹介しており、データベースへの接続を暗号化するためのクイックスタートガイドとして使用できます。
MySQLホストがlocalhostに設定されている場合、暗号化オプションは利用できません。 この場合、Zabbixフロントエンドとデータベース間の接続はソケットファイル（Unixの場合）または共有メモリ（Windowsの場合）を使用し、暗号化できません。
暗号化の組み合わせのリストは、このページに記載されているものに限定されません。 他にも多くの組み合わせが利用可能です。
前提条件
公式リポジトリからMySQLデータベースをインストールします。
MySQLリポジトリの使用方法については、MySQLドキュメントを参照してください。
MySQLサーバーは自己署名証明書を使用して安全な接続を受け入れる準備ができています。
暗号化された接続を使用しているユーザーを確認するには、次のクエリを実行します（Performance SchemaがONになっている必要があります）。
SELECT sbt.variable_value AS tls_version, t2.variable_value AS cipher, processlist_user AS user, processlist_host AS host
FROM performance_schema.status_by_thread AS sbt
JOIN performance_schema.threads AS t ON t.thread_id = sbt.thread_id
JOIN performance_schema.status_by_thread AS t2 ON t2.thread_id = t.thread_id
WHERE sbt.variable_name = 'Ssl_version' and t2.variable_name = 'Ssl_cipher'
ORDER BY tls_version;転送のみの暗号化
MySQLの設定
最新バージョンのデータベースは、required 暗号化モードに対応しており、すぐに利用できます。 初期セットアップと起動後にサーバー側の証明書が作成されます。
主要コンポーネント用のユーザーとロールを作成します:
mysql> CREATE USER
'zbx_srv'@'%' IDENTIFIED WITH caching_sha2_password BY '<strong_password>',
'zbx_web'@'%' IDENTIFIED WITH caching_sha2_password BY '<strong_password>'
REQUIRE SSL
PASSWORD HISTORY 5;
mysql> CREATE ROLE 'zbx_srv_role', 'zbx_web_role';
mysql> GRANT SELECT, UPDATE, DELETE, INSERT, CREATE, DROP, ALTER, INDEX, REFERENCES ON zabbix.* TO 'zbx_srv_role';
mysql> GRANT SELECT, UPDATE, DELETE, INSERT ON zabbix.* TO 'zbx_web_role';
mysql> GRANT 'zbx_srv_role' TO 'zbx_srv'@'%';
mysql> GRANT 'zbx_web_role' TO 'zbx_web'@'%';
mysql> SET DEFAULT ROLE 'zbx_srv_role' TO 'zbx_srv'@'%';
mysql> SET DEFAULT ROLE 'zbx_web_role' TO 'zbx_web'@'%';X.509プロトコルはアイデンティティの確認には使用されませんが、ユーザーは暗号化された接続のみを使用するように設定されています。 ユーザーの設定の詳細については、MySQLドキュメントを参照してください。
接続を確認するには、以下を実行します（ソケット接続はセキュア接続のテストには使用できません）:
現在のステータスと利用可能な暗号スイートを確認します:
mysql> status
--------------
mysql Ver 8.4.0 for Linux on x86_64 (MySQL Community Server - GPL)
Connection id: 62
Current database:
Current user: zbx_srv@bfdb.local
SSL: Cipher in use is TLS_AES_256_GCM_SHA384
mysql> SHOW SESSION STATUS LIKE 'Ssl_cipher_list'\G;
*************************** 1. row ***************************
Variable_name: Ssl_cipher_list
Value: TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:DHE-RSA-AES128-SHA256:DHE-DSS-AES128-SHA256:DHE-DSS-AES256-GCM-SHA384:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-DSS-AES128-SHA:DHE-RSA-AES128-SHA:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES256-SHA:CAMELLIA256-SHA:CAMELLIA128-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA
1 row in set (0.00 sec)
ERROR:
No query specifiedフロントエンド
Zabbixフロントエンドとデータベース間の接続でトランスポートのみの暗号化を有効にするには:
- データベースTLS暗号化をチェックします
- データベース証明書の検証はチェックしません
サーバー
サーバーとデータベース間の接続でトランスポートのみの暗号化を有効にするには、/etc/zabbix/zabbix_server.conf を設定します。
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=required
...証明書認証局による暗号化
必要なMySQL CAをZabbixフロントエンドサーバーにコピーし、Webサーバーがこのファイルを読み取れるように適切な権限を割り当てます。
このモードは、古いMySQLライブラリのためRHEL 7では動作しません。
フロントエンド
Zabbixフロントエンドとデータベース間の接続で証明書検証付きの暗号化を有効にするには、以下の手順を実行します。
- Database TLS encryption と Verify database certificate をチェックします
- Database TLS CAファイルへのパスを指定します
または、/etc/zabbix/web/zabbix.conf.php で設定することもできます。
...
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '';
$DB['CERT_FILE'] = '';
$DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
$DB['VERIFY_HOST'] = false;
$DB['CIPHER_LIST'] = '';
...コマンドラインツールを使用して、必要なユーザーで接続できるかどうかを確認します。
サーバー
Zabbixサーバーとデータベース間の接続で証明書検証付きの暗号化を有効にするには、/etc/zabbix/zabbix_server.conf を設定します。
...
DBHost=10.211.55.9
DBName=zabbix
DBUser=zbx_srv
DBPassword=<strong_password>
DBTLSConnect=verify_ca
DBTLSCAFile=/etc/ssl/mysql/ca.pem
...完全検証による暗号化
MySQLの設定
MySQL CEサーバーの設定オプション（/etc/my.cnf.d/server-tls.cnf）を以下のように設定します。
[mysqld]
...
# この例では、キーはMySQL CEのdatadirディレクトリに配置されています
ssl_ca=ca.pem
ssl_cert=server-cert.pem
ssl_key=server-key.pem
require_secure_transport=ON
tls_version=TLSv1.3
...MySQL CEサーバーおよびクライアント（Zabbixフロントエンド）用のキーは、MySQL CEのドキュメントに従って手動で作成する必要があります：MySQLを使用したSSLおよびRSA証明書とキーの作成 または opensslを使用したSSL証明書とキーの作成
MySQLサーバー証明書には、Common NameフィールドにFQDN名を設定する必要があります。Zabbixフロントエンドは、データベースとの通信にDNS名またはデータベースホストのIPアドレスを使用します。
MySQLユーザーを作成します。
mysql> CREATE USER
'zbx_srv'@'%' IDENTIFIED WITH caching_sha2_password BY '<strong_password>',
'zbx_web'@'%' IDENTIFIED WITH caching_sha2_password BY '<strong_password>'
REQUIRE X509
PASSWORD HISTORY 5;そのユーザーでログインできるか確認します。
mysql -u zbx_web -p -h 10.211.55.9 --ssl-mode=VERIFY_IDENTITY --ssl-ca=/var/lib/mysql/ca.pem --ssl-cert=/var/lib/mysql/client-cert.pem --ssl-key=/var/lib/mysql/client-key.pemフロントエンド
Zabbixフロントエンドとデータベース間の接続で完全な検証付き暗号化を有効にするには、以下の手順を実行します。
- Database TLS encryption と Verify database certificate をチェックします
- Database TLS key file のパスを指定します
- Database TLS CA file のパスを指定します
- Database TLS certificate file のパスを指定します
Database host verification はチェックされており、グレーアウトされています。MySQLの場合、このステップはスキップできません。
Database TLS cipher list フィールドを空のままにした場合、フロントエンド（クライアント）とサーバーの両方で許可されている共通の暗号が有効になります。 または、暗号設定要件に従って、暗号を明示的に設定することもできます。
または、/etc/zabbix/web/zabbix.conf.php で設定することもできます。
...
// 厳密に定義された暗号リストでTLS接続を使用する場合
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '/etc/ssl/mysql/client-key.pem';
$DB['CERT_FILE'] = '/etc/ssl/mysql/client-cert.pem';
$DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
$DB['VERIFY_HOST'] = true;
$DB['CIPHER_LIST'] = 'TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256:TLS_AES_128_CCM_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-GC';
...
// または
...
// 暗号リストを定義せずにTLS接続を使用する場合 - MySQLサーバーによって選択されます
$DB['ENCRYPTION'] = true;
$DB['KEY_FILE'] = '/etc/ssl/mysql/client-key.pem';
$DB['CERT_FILE'] = '/etc/ssl/mysql/client-cert.pem';
$DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem';
$DB['VERIFY_HOST'] = true;
$DB['CIPHER_LIST'] = '';
...サーバー
Zabbixサーバーとデータベース間の接続で完全な検証による暗号化を有効にするには、/etc/zabbix/zabbix_server.conf を設定します: