12 エージェントチェックの制限

概要

エージェント側でアイテムのブラックリスト、ホワイトリスト、またはホワイトリスト/ブラックリストの組み合わせを作成することで、チェックを制限することができます。

そのためには、2つのエージェント設定パラメータを組み合わせて使用します:

• AllowKey=<pattern> - 許可するチェック; <pattern>はワイルドカード(*)式で指定
• DenyKey=<pattern> - 拒否するチェック; <pattern>はワイルドカード(*)式で指定

注意点:

• すべてのsystem.run[*]アイテム(リモートコマンド、スクリプト)はデフォルトで無効です。deny keyが指定されていない場合でも、DenyKey=system.run[*]が暗黙的に追加されていると考えてください。
• Zabbix 5.0.2以降、EnableRemoteCommandsエージェントパラメータは:
  • Zabbix agentでは非推奨
  • Zabbix agent2ではサポートされていません

したがって、リモートコマンドを許可するには、許可する各コマンドに対してAllowKey=system.run[<command>,*]を指定します。*はwaitおよびnowaitモードを表します。また、AllowKey=system.run[*]パラメータを指定して、waitおよびnowaitモードのすべてのコマンドを許可することもできます。特定のリモートコマンドを許可しない場合は、AllowKey=system.run[*]パラメータの前にsystem.run[]コマンドを含むDenyKeyパラメータを追加します。

重要ルール

• deny ルールのないホワイトリストは、system.run[ *] アイテムに対してのみ許可されます。その他のアイテムでは、 DenyKey パラメータがない場合、AllowKey パラメータを使用することはできません。
• 順番は重要です。指定されたパラメータは、設定ファイル内の表示順に従って1つずつチェックされます:
  • item キーが allow / deny ルールに一致すると、item は許可または拒否され、ルールチェックは停止されます。 したがって、ある item が allow ルールと deny ルールの両方にマッチした場合、どちらのルールが先に来るかによって 結果が異なります。
  • この順序は、EnableRemoteCommands パラメータにも影響します。（使用する場合）
• AllowKey / DenyKey パラメータは無制限に使用できます。
• AllowKey、DenyKeyルールは、HostnameItem、HostMetadataItem、HostInterfaceItem 構成パラメータには影響しません。
• キーパターンは、ワイルドカード (*) 文字が特定の位置にある任意の数の文字と一致するワイルドカード式です。 キー名とパラメーターの両方で使用することができます。
• 特定の item キーが agent 構成で許可されていない場合、その item はサポートされていないと報告されます。 (理由のヒントは与えられません)。
• Zabbix agent に --print (-p) コマンドラインオプションを指定すると、設定により許可されていないキーは表示されません。
• Zabbix agent の--test(-t)コマンドラインオプションを使用すると、設定で許可されていないキーに対して "Unsupported item key."というステータスが返されます。
• 拒否されたリモートコマンドは agent ログに記録されません。(LogRemoteCommands=1 の場合)

使用例

特定のチェックを拒否する

• DenyKeyパラメータで特定のチェックをブラックリスト化します。一致するキーは許可されません。一致しないキーは すべて許可されます。ただし、system.run[] 項目を除きます。

例えば:

# セキュアデータアクセスを拒否する
       DenyKey=vfs.file.contents[/etc/passwd,*]

特定のコマンドを拒否し、他のコマンドを許可する

• 特定のコマンドをブラックリスト化するには、DenyKeyパラメータを使用します。AllowKey パラメータを使用して、 他のすべてのコマンドをホワイトリストに登録します。

# 特定のコマンドを許可しない
       DenyKey=system.run[ls -l /]
        
       # 他のスクリプトを許可する
       AllowKey=system.run[*]

特定のチェックを許可し、他のチェックを拒否する

• AllowKey パラメータで特定のチェックをホワイトリスト化し、DenyKey=*で他のチェックを拒否する。

例:

# Allow reading logs:
       AllowKey=vfs.file.*[/var/log/*]
       
       # Allow localtime checks
       AllowKey=system.localtime[*]
       
       # Deny all other keys
       DenyKey=*

パスや引数にスペースを含むスクリプトの許可

• スペースを含むパスにあるスクリプトをホワイトリストに登録し、引数の受け渡しも許可します。Windows では、パスを指定する際に ^ でスペースをエスケープしてください。

例:

# 引数の有無にかかわらず test.bat の実行を許可
       AllowKey=system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat*"]

テスト方法:

PS C:\Program Files\Zabbix Agent 2> .\zabbix_get.exe -s 127.0.0.1 -k system.run["C:\Program^ Files\Zabbix^ Agent^ 2\scripts\test.bat caret"]

この設定により、引数（caret など）の有無にかかわらずスクリプトの実行が許可され、スクリプトのパスにスペースが含まれていても system.run の実行が許可されます。

パターン例

system.runとAllowKey

仮想的なスクリプト「myscript.sh」は、Zabbixエージェントを介してホスト上でいくつかの方法で実行できます。

1. パッシブまたはアクティブチェックのアイテムキーとして、例えば:

• system.run[myscript.sh]
• system.run[myscript.sh,wait]
• system.run[myscript.sh,nowait]

ここでユーザーは「wait」や「nowait」を追加したり、第2引数を省略してsystem.run[]のデフォルト値を使用できます。

2. グローバルスクリプトとして（フロントエンドまたはAPIでユーザーが開始）。

ユーザーはこのスクリプトをアラート → スクリプトで設定し、「実行先: Zabbix agent」を設定し、スクリプトの「コマンド」入力フィールドに「myscript.sh」を入力します。フロントエンドまたはAPIから呼び出されると、Zabbixサーバーはエージェントに以下を送信します:

• system.run[myscript.sh,wait] - Zabbix 5.0.4まで
• system.run[myscript.sh] - 5.0.5以降

ここではユーザーは「wait」/「nowait」パラメータを制御できません。

3. アクションからのリモートコマンドとして。Zabbixサーバーはエージェントに以下を送信します:

• system.run[myscript.sh,nowait]

ここでもユーザーは「wait」/「nowait」パラメータを制御できません。

これは、AllowKeyを次のように設定した場合:

AllowKey=system.run[myscript.sh]

この場合

• system.run[myscript.sh] - 許可される
• system.run[myscript.sh,wait]、system.run[myscript.sh,nowait]は許可されない - アクションのステップとして呼び出された場合、スクリプトは実行されない

すべてのバリエーションを許可するには、次のように追加できます:

AllowKey=system.run[myscript.sh,*] 
       DenyKey=system.run[*]

をエージェント/agent2のパラメータに追加します。