データベースへの安全な接続

概要

このセクションでは、以下の間で安全な TLS 接続を確立するための Zabbix のセットアップ手順と設定例を示します。

DBMS 内で接続の暗号化を設定する方法については、詳細を各ベンダーの公式ドキュメントで確認してください。

• MySQL: ソースおよびレプリカのレプリケーションデータベースサーバー。
• MySQL: グループレプリケーションなどのデータベースサーバー。
• PostgreSQL 暗号化オプション。

すべての例は、CentOS 8 を使用し、公式リポジトリから入手できる MySQL CE (8.0) および PgSQL (13) の GA リリースを基にしています。

要件

暗号化を設定するには、以下が必要です。

• 開発元がサポートするオペレーティングシステムで、OpenSSL >=1.1.X または 代替手段が利用できること。

• 開発元が提供する公式リポジトリからインストールされ、保守されている データベースエンジン（RDBMS）。オペレーティングシステムには、暗号化 サポートが実装されていない古いデータベースソフトウェアのバージョンが 同梱されていることがよくあります。たとえば、RHEL 7 ベースのシステムや、 暗号化サポートのない PostgreSQL 9.2、MariaDB 5.5 などです。

用語

このオプションを設定すると、Zabbix サーバー/プロキシおよび Webインターフェース からデータベースへの接続に TLS 接続を使用することが強制されます。

• required - アイデンティティ確認なしで、TLS を転送モードとして使用して接続します
• verify_ca - TLS を使用して接続し、証明書を検証します
• verify_full - TLS を使用して接続し、証明書を検証し、DBHost で指定されたデータベースのアイデンティティ (CN) がその証明書と一致することを検証します

Zabbix設定

Webインターフェースからデータベースへ

Webインターフェースのインストール時に、データベースへの安全な接続を設定できます。

• DB接続の設定 ステップで Database TLS encryption チェックボックスをオンにして、転送暗号化を有効にします。
• TLS encryption フィールドがチェックされているときに表示される Verify database certificate チェックボックスをオンにして、証明書を使用した暗号化を有効にします。

両方のチェックボックスがオンの場合、証明書モードでの TLS 暗号化で次のパラメータが利用可能になります。

使用例

ZabbixのWebインターフェースでは、GUIを使用して次のオプションを定義します: required、verify_ca、verify_full。
インストールウィザードのDB接続の設定ステップで、必要なオプションを指定します。
これらのオプションは、Webインターフェース設定ファイル（zabbix.conf.php）に次のようにマッピングされます。

GUI設定	設定ファイル	説明	結果
	... // TLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. データベースTLS暗号化をチェック 2. データベース証明書の検証をチェックしない	requiredモードを有効にします。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLS CAファイルへのパスを指定	verify_caモードを有効にします。
	... // 厳密に定義されたCipherリストを使用するTLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... または: ... // Cipherリストを定義せず、MySQLサーバーによって選択されるTLS接続に使用 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLSキーファイルへのパスを指定 3. データベースTLS CAファイルへのパスを指定 4. データベースTLS証明書ファイルへのパスを指定 5. データベースTLS Cipherリストを指定（任意）	MySQLのverify_fullモードを有効にします。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLSキーファイルへのパスを指定 3. データベースTLS CAファイルへのパスを指定 4. データベースTLS証明書ファイルへのパスを指定 5. データベースホストの検証をチェック	PostgreSQLのverify_fullモードを有効にします。

関連項目: MySQLの暗号化設定例、PostgreSQLの暗号化設定例。

Zabbix サーバー/プロキシの設定

データベースへの安全な接続は、Zabbix サーバーおよび/またはプロキシの設定ファイルで、それぞれのパラメータを使用して設定できます。