5 データベースへの安全な接続

概要

このセクションでは、以下の間で安全なTLS接続を行うためのZabbixのセットアップ手順と設定例を提供します。

DBMS内での接続暗号化の設定については、詳細は公式ベンダーのドキュメントを参照してください。

• MySQL: ソースおよびレプリカのレプリケーションデータベースサーバー。
• MySQL: グループレプリケーションなどのデータベースサーバー。
• PostgreSQL 暗号化オプション。

すべての例は、CentOS 8の公式リポジトリで利用可能なMySQL CE（8.0）およびPgSQL（13）のGAリリースに基づいています。

要件

暗号化を設定するには、以下が必要です。

• OpenSSL >=1.1.X または代替手段を備えた、開発元がサポートするオペレーティングシステム

• 開発元が提供する公式リポジトリからインストールされ、保守されているデータベースエンジン（RDBMS）。オペレーティングシステムには、暗号化サポートが実装されていない古いバージョンのデータベースソフトウェアが同梱されていることが多く、たとえば RHEL 7 ベースのシステムや、暗号化をサポートしない PostgreSQL 9.2、MariaDB 5.5 などがあります。

用語

このオプションを設定すると、Zabbixサーバー/プロキシおよびフロントエンドからデータベースへのTLS接続が強制されます。

• required - アイデンティティチェックなしでTLSをトランスポートモードとして接続
• verify_ca - TLSで接続し、証明書を検証
• verify_full - TLSで接続し、証明書を検証し、DBHostで指定されたデータベースのアイデンティティ（CN）が証明書と一致することを検証

Zabbixの設定

Webインターフェースからデータベースへの接続

データベースへの安全な接続は、Webインターフェースのインストール時に設定できます。

• トランスポート暗号化を有効にするには、DB接続の設定の手順でDatabase TLS encryptionチェックボックスをオンにします。
• 証明書を使用した暗号化を有効にするには、TLS encryptionフィールドをオンにしたときに表示されるVerify database certificateチェックボックスをオンにします。

TLS証明書暗号化モード（両方のチェックボックスをオンにした場合）では、次のパラメータを使用できます。

使用例

Zabbixフロントエンドは、GUIインターフェースを使用して可能なオプションを定義します: required、verify_ca、verify_full。インストールウィザードのDB接続の設定ステップで必要なオプションを指定します。これらのオプションは、設定ファイル(zabbix.conf.php)に次のようにマッピングされます:

GUI設定	設定ファイル	説明	結果
	... // TLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	データベースTLS暗号化をチェック データベース証明書の検証はチェックしない	requiredモードを有効化
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLS CAファイルのパスを指定	verify_caモードを有効化
	... // 厳密に定義されたCipherリストでTLS接続に使用。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... または: ... // Cipherリストが定義されていないTLS接続に使用 - MySQLサーバーによって選択される $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLSキー・ファイルのパスを指定 3. データベースTLS CAファイルのパスを指定 4. データベースTLS証明書ファイルのパスを指定 5. データベースTLS暗号スイートリストを指定(任意)	MySQLのverify_fullモードを有効化
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. データベースTLS暗号化とデータベース証明書の検証をチェック 2. データベースTLSキー・ファイルのパスを指定 3. データベースTLS CAファイルのパスを指定 4. データベースTLS証明書ファイルのパスを指定 5. データベースホストの検証をチェック	PostgreSQLのverify_fullモードを有効化

関連情報: MySQLの暗号化設定例、PostgreSQLの暗号化設定例

Zabbixサーバー/プロキシの設定

データベースへの安全な接続は、Zabbixのサーバーおよび/またはプロキシの設定ファイルで、それぞれのパラメータを使用して設定できます。