HashiCorp konfigurācija

Pārskats

Šajā sadaļā ir paskaidrots, kā konfigurēt Zabbix, lai izgūtu noslēpumus no HashiCorp Vault KV Secrets Engine - Version 2.

Vault ir jāizvieto un jākonfigurē, kā aprakstīts oficiālajā HashiCorp dokumentācijā.

Lai uzzinātu par TLS konfigurēšanu Zabbix, skatiet Noslēpumu glabāšana.

Datubāzes akreditācijas datu izgūšana

Lai veiksmīgi izgūtu slepeno vērtību ar datubāzes akreditācijas datiem, ir jākonfigurē abi:

• Zabbix serveris/starpniekserveris
• Zabbix lietotāja saskarne

Serveris/starpniekserveris

Lai konfigurētu Zabbix serveri vai starpniekserveri, norādiet šādus konfigurācijas parametrus konfigurācijas failā:

• Vault - kuru vault nodrošinātāju izmantot;
• VaultToken - vault autentifikācijas tokens (sīkāku informāciju skatiet Zabbix servera/starpniekservera konfigurācijas failā);
• VaultURL - vault servera HTTP[S] URL;
• VaultDBPath - ceļš uz vault slepeno vērtību, kurā ir datubāzes akreditācijas dati (šo opciju var izmantot tikai tad, ja nav norādīti DBUser un DBPassword); Zabbix serveris vai starpniekserveris izgūs akreditācijas datus pēc atslēgām "password" un "username";
• VaultPrefix - pielāgots prefikss vault ceļam vai vaicājumam atkarībā no vault; ja nav norādīts, tiks izmantots vispiemērotākais noklusējums.

Zabbix serveris un Zabbix starpniekserveris nolasa ar vault saistītos konfigurācijas parametrus no zabbix_server.conf un zabbix_proxy.conf startēšanas laikā. Turklāt Zabbix serveris un Zabbix starpniekserveris startēšanas laikā vienu reizi nolasīs vides mainīgo VAULT_TOKEN un pēc tam to noņems, lai tas nebūtu pieejams caur atzarotajiem skriptiem; tā ir kļūda, ja gan VaultToken, gan VAULT_TOKEN parametros ir norādīta vērtība.

Piemērs

1. Failā zabbix_server.conf norādiet šādus parametrus:

Vault=HashiCorp
VaultToken=hvs.CAESIIG_PILmULFYOsEyWHxkZ2mF2a8VPKNLE8eHqd4autYGGh4KHGh2cy5aeTY0NFNSaUp3ZnpWbDF1RUNjUkNTZEg
VaultURL=https://127.0.0.1:8200
VaultDBPath=database
VaultPrefix=/v1/secret/data/zabbix/

2. Palaidiet šādas CLI komandas, lai vault izveidotu nepieciešamo slepeno informāciju:

# Iespējojiet pievienošanas punktu "secret/", ja tas vēl nav iespējots; ņemiet vērā, ka jāizmanto "kv-v2".
vault secrets enable -path=secret/ kv-v2

# Izveidojiet jaunus noslēpumus ar atslēgām username un password pievienošanas punktā "secret/" un ceļā "zabbix/database".
vault kv put -mount=secret zabbix/database username=zabbix password=<password>

# Pārbaudiet, vai noslēpums ir veiksmīgi pievienots.
vault kv get secret/zabbix/database

# Visbeidzot pārbaudiet ar Curl; ņemiet vērā, ka "data" ir manuāli jāpievieno pēc pievienošanas punkta un "/v1" pirms pievienošanas punkta, kā arī skatiet parametru --capath.
curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/database

3. Rezultātā Zabbix serveris datubāzes autentifikācijai izgūs šādus akreditācijas datus:

• Lietotājvārds: zabbix
• Parole: <password>

Lietotāja saskarne

Zabbix lietotāja saskarne var tikt konfigurēta tā, lai datubāzes akreditācijas dati tiktu iegūti no vault vai nu lietotāja saskarnes instalēšanas laikā, vai arī atjauninot lietotāja saskarnes konfigurācijas failu (zabbix.conf.php).

Lietotāja saskarnes instalēšanas laikā konfigurācijas parametri ir jānorāda solī Configure DB Connection:

• Iestatiet parametru Store credentials in uz "HashiCorp Vault".
• Norādiet savienojuma parametrus:

Lietotāja makro vērtību izgūšana

Lai izmantotu HashiCorp Vault Vault secret lietotāja makro vērtību glabāšanai, pārliecinieties, ka:

• Zabbix serveris/starpniekserveris ir konfigurēts darbam ar HashiCorp Vault.
• Parametrs Vault provider sadaļā Administration > General > Other ir iestatīts uz "HashiCorp Vault" (noklusējums).

Makro vērtībai jāietver atsauces ceļš (piemēram, path:key, piemēram, macros:password). Autentifikācijas marķierim, kas norādīts Zabbix servera/starpniekservera konfigurācijas laikā (izmantojot parametru VaultToken), ir jānodrošina tikai lasīšanas piekļuve šim ceļam.

Skatiet Vault secret macros detalizētai informācijai par makro vērtību apstrādi Zabbix.

Ceļa sintakse

Simboli slīpsvītra ("/") un kols (":") ir rezervēti.

Slīpsvītru var izmantot tikai, lai atdalītu montēšanas punktu no ceļa (piem., secret/zabbix, kur montēšanas punkts ir "secret" un ceļš ir "zabbix"). Vault makrosu gadījumā kolu var izmantot tikai, lai atdalītu ceļu/vaicājumu no atslēgas.

Ir iespējams URL kodēt slīpsvītras un kola simbolus, ja ir nepieciešams izveidot montēšanas punktu ar nosaukumu, kas satur slīpsvītru (piem., foo/bar/zabbix, kur montēšanas punkts ir "foo/bar" un ceļš ir "zabbix", var kodēt kā "foo%2Fbar/zabbix"), kā arī tad, ja montēšanas punkta nosaukumā vai ceļā ir jāiekļauj kols.

Piemērs

1. Zabbix pievienojiet lietotāja makro {$PASSWORD} ar tipu "Vault secret" un vērtību macros:password

2. Palaidiet šādas CLI komandas, lai izveidotu nepieciešamo noslēpumu vault:

# Enable "secret/" mount point if not already enabled; note that "kv-v2" must be used.
vault secrets enable -path=secret/ kv-v2

# Put new secret with key "password" under mount point "secret/" and path "zabbix/macros".
vault kv put -mount=secret zabbix/macros password=<password>

# Test that secret is successfully added.
vault kv get secret/zabbix/macros

# Finally test with Curl; note that "data" need to be manually added after mount point and "/v1" before the mount point, also see --capath parameter.
curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/macros

3. Rezultātā Zabbix atrisinās makro {$PASSWORD} uz vērtību: <password>

Esošas konfigurācijas atjaunināšana

Lai atjauninātu esošu konfigurāciju slepeno datu izgūšanai no HashiCorp Vault:

1. Atjauniniet Zabbix servera vai starpniekservera konfigurācijas faila parametrus, kā aprakstīts sadaļā Datubāzes akreditācijas dati.

2. Atjauniniet DB savienojuma iestatījumus, pārkonfigurējot Zabbix lietotāja saskarni un norādot nepieciešamos parametrus, kā aprakstīts sadaļā Lietotāja saskarne. Lai pārkonfigurētu Zabbix lietotāja saskarni, pārlūkprogrammā atveriet lietotāja saskarnes iestatīšanas URL:

• Apache gadījumā: http://<server_ip_or_name>/zabbix/setup.php
• Nginx gadījumā: http://<server_ip_or_name>/setup.php

Alternatīvi šos parametrus var iestatīt lietotāja saskarnes konfigurācijas failā (zabbix.conf.php):

$DB['VAULT']                    = 'HashiCorp';
$DB['VAULT_URL']                = 'https://localhost:8200';
$DB['VAULT_DB_PATH']            = 'database';
$DB['VAULT_TOKEN']              = '<mytoken>';
$DB['VAULT_CERT_FILE']          = '';
$DB['VAULT_KEY_FILE']           = '';
$DB['VAULT_PREFIX']             = '/v1/secret/data/zabbix/';

3. Ja nepieciešams, konfigurējiet lietotāja makro, kā aprakstīts sadaļā Lietotāja makro vērtības.

Lai atjauninātu esošu konfigurāciju slepeno datu izgūšanai no CyberArk Vault, skatiet CyberArk konfigurācija.