1 Configuração do CyberArk

Esta seção explica como configurar o Zabbix para recuperar segredos do CyberArk Vault CV12.

O vault deve ser instalado e configurado conforme descrito na documentação oficial do CyberArk.

Para saber mais sobre a configuração do TLS no Zabbix, consulte Armazenamento de segredos.

Credenciais do banco de dados

O acesso a um segredo com credenciais do banco de dados é configurado separadamente para cada componente do Zabbix.

Server e proxies

Para obter credenciais do banco de dados do vault para o Zabbix server ou proxy, especifique os seguintes parâmetros de configuração no arquivo de configuração:

• Vault - qual provedor de vault deve ser usado;
• VaultURL - URL HTTP[S] do servidor de vault;
• VaultDBPath - consulta ao segredo do vault contendo as credenciais do banco de dados que serão recuperadas pelas chaves "Content" e "UserName" (esta opção só pode ser usada se DBUser e DBPassword não forem especificados);
• VaultTLSCertFile, VaultTLSKeyFile - nomes dos arquivos de certificado e chave SSL; configurar essas opções não é obrigatório, mas altamente recomendado;
• VaultPrefix - prefixo personalizado para o caminho ou consulta do vault, dependendo do vault; se não especificado, o padrão mais adequado será usado.

O Zabbix server e o Zabbix proxy leem os parâmetros de configuração relacionados ao vault dos arquivos zabbix_server.conf e zabbix_proxy.conf na inicialização.

Exemplo

1. Em zabbix_server.conf, especifique os seguintes parâmetros:

Vault=CyberArk
       VaultURL=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=key.pem
       VaultPrefix=/AIMWebService/api/Accounts?

2. O Zabbix enviará a seguinte solicitação de API para o cofre:

curl \
       --header "Content-Type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. A resposta do cofre conterá as chaves "Content" e "UserName":

{
           "Content": <password>,
           "UserName": <username>,
           "Address": <address>,
           "Database": <Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

4. Como resultado, o Zabbix usará as seguintes credenciais para autenticação no banco de dados:

• Usuário: <username>
• Senha: <password>

Frontend

Para obter as credenciais do banco de dados do vault para o frontend do Zabbix, especifique os seguintes parâmetros durante a instalação do frontend.

1. Na etapa Configurar conexão com o BD, defina o parâmetro Armazenar credenciais em como "CyberArk Vault".

2. Em seguida, preencha os parâmetros adicionais:

Valores de macro de usuário

Para usar o CyberArk Vault para armazenar valores de macro de usuário Vault secret, certifique-se de que:

• O Zabbix server está configurado para trabalhar com o CyberArk Vault;
• O parâmetro Vault provider em Administração → Geral → Outros está definido como "CyberArk Vault".

O valor da macro deve conter uma consulta (como query:key).

Veja Macros de segredo do Vault para informações detalhadas sobre o processamento do valor da macro pelo Zabbix.

Sintaxe da consulta

O símbolo de dois pontos (":") é reservado para separar a consulta da chave.

Se uma consulta contiver uma barra ou dois pontos, esses símbolos devem ser codificados em URL ("/" é codificado como "%2F", ":" é codificado como "%3A").

Exemplo

1. No Zabbix, adicione uma macro de usuário {$PASSWORD} do tipo Vault secret e com o valor AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. O Zabbix enviará a seguinte solicitação de API para o vault:

curl \
       --header "Content-Type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. A resposta do vault conterá a chave "Content":

{
           "Content": <password>,
           "UserName": <username>,
           "Address": <address>,
           "Database" :<Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

4. Como resultado, o Zabbix irá resolver a macro {$PASSWORD} para o valor - <password>

Atualizar a configuração existente

Para atualizar uma configuração existente para recuperar segredos de um CyberArk Vault:

1. Atualize os parâmetros do arquivo de configuração do Zabbix server ou proxy conforme descrito na seção Credenciais do banco de dados.

2. Atualize as configurações de conexão do banco de dados reconfigurando o frontend do Zabbix e especificando os parâmetros necessários conforme descrito na seção Frontend. Para reconfigurar o frontend do Zabbix, abra a URL de configuração do frontend no navegador:

• para Apache: http://<server_ip_ou_nome>/zabbix/setup.php
• para Nginx: http://<server_ip_ou_nome>/setup.php

Como alternativa, esses parâmetros podem ser definidos no arquivo de configuração do frontend (zabbix.conf.php):

$DB['VAULT']                    = 'CyberArk';
       $DB['VAULT_URL']                = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH']            = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN']              = '';
       $DB['VAULT_CERT_FILE']          = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE']           = 'conf/certs/cyberark-key.pem';
       $DB['VAULT_PREFIX']             = '';

3. Configure macros de usuário conforme descrito na seção Valores de macro de usuário, se necessário.

Para atualizar uma configuração existente para recuperar segredos de um HashiCorp Vault, consulte Configuração do HashiCorp.