4 データベースへの安全な接続

概要

このセクションでは、以下の組み合わせでの安全なTLS接続のため、Zabbixセットアップ手順と構成例を提供します。

DBMS内で接続暗号化を設定するには、詳細について以下のベンダー公式ドキュメントを参照してください：

• MySQL:ソースおよびレプリカレプリケーションデータベースサーバー
• MySQL:グループレプリケーションなどのデータベースサーバー
• PostgreSQL:暗号化オプション

すべての例は、AlmaLinux 8の公式リポジトリから入手できるMySQL CE（8.0）およびPgSQL（13）のGAリリースに基づいています。

要件

暗号化を設定するには、次が必要です。

• デベロッパーサポートされているOSとOpenSSL1.1.X以上 または OpenSSLの代用品。

• デベロッパーが提供する公式リポジトリからインストールおよび保守されるデータベースエンジン（RDBMS）やオペレーティングシステムには、暗号化サポートが実装されていない古いバージョンのデータベースソフトウェアが付属していることがよくあります。たとえば、RHEL7ベースのシステムでのPostgreSQL9.2や暗号化サポートのないMariaDB5.5などです。

専門用語

このオプションを設定すると、Zabbixサーバー/プロキシやフロントエンドからのデータベース接続にはTLS接続を使用します。

• required - IDチェックなしでトランスポートモードとしてTLSを使用して接続します。
• verify_ca - TLSを使用して接続し、証明書を検証します。
• verify_full - TLSを使用して接続し、証明書を検証し、DBHostによって指定されたデータベースID（CN）がその証明書と一致することを確認します。

Zabbixの設定

Webインターフェースからデータベース

Webインターフェースのインストール中に、データベースへの安全な接続を設定できます。

• トランスポート暗号化を有効にするにはデータベース接続設定ステップでデータベースのTLS暗号化チェックボックスをオンにします。
• 証明書による暗号化を有効にするには、TLS暗号化フィールドがオンになっている場合に表示されるデータベースの証明書確認チェックボックスをオンにします。

次のパラメータは、証明書モードのTLS暗号化で使用可能になります。（両方のチェックボックスがマークされている場合）

ユースケース

ZabbixフロントエンドはGUIインターフェースを使用してオプションを定義します:required,verify_ca, verify_full. インストールウィザードのDB接続設定で必要なオプションを指定します。 これらのオプションは設定ファイル（zabbix.conf.php）に次のようにマップされます。

GUIの設定	設定ファイル	説明	結果
	... // Used for TLS connection. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	データベースのTLS暗号化を確認するデータベース証明書の確認をオフのままにします	'required' モードが有効
	... $DB['ENCRYPTION'] = true;\\ $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1.データベースTLS暗号化とデータベース証明書の確認をチェックします。 2.データベースTLSCAファイルへのパスを指定します。	'verify_ca'モードが有効
	... // Used for TLS connection with strictly defined Cipher list. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... Or: ... // Used for TLS connection without Cipher list defined - selected by MySQL server $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1.データベースTLS暗号化とデータベース証明書の確認をチェックします。 2.データベースTLSキーファイルへのパスを指定します。 3.データベースTLSCAファイルへのパスを指定します。 4.データベースTLS証明書ファイルへのパスを指定します 6. TLS暗号リス​​トを指定します（オプション）	MySQLで'verify_full' モードが有効
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1.データベースTLS暗号化とデータベース証明書の確認をチェックします。 2.データベースTLSキーファイルへのパスを指定します。 3.データベースTLSCAファイルへのパスを指定します 4.データベースTLS証明書ファイルへのパスを指定します 6.データベースホストの検証をチェックします	PostgreSQLで 'verify_full' モードが有効

関連項目： Encryption configuration examples for MySQL, Encryption configuration examples for PostgreSQL.

Zabbixサーバー/プロキシの設定

データベースへの安全な接続は、Zabbixサーバーやプロキシの設定ファイルそれぞれのパラメータで設定できます。