11 SSH agent

Omówienie

Kontrole SSH są wykonywane jako monitorowanie bez użycia agenta. Agent Zabbix nie jest potrzebny do kontroli SSH.

Aby wykonywać kontrole SSH, serwer Zabbix musi być początkowo skonfigurowany z obsługą SSH2 (libssh lub libssh2). Zobacz także: Wymagania.

Konfiguracja

Uwierzytelnianie za pomocą hasła

Kontrole SSH udostępniają dwie metody uwierzytelniania — parę użytkownik/hasło oraz metodę opartą na pliku klucza.

Jeśli nie zamierzasz używać kluczy, nie jest wymagana żadna dodatkowa konfiguracja, poza podlinkowaniem biblioteki libssh lub libssh2 do Zabbix, jeśli kompilujesz ze źródeł.

Uwierzytelnianie za pomocą pliku klucza

Aby używać uwierzytelniania opartego na kluczu dla pozycji SSH, wymagane są pewne zmiany w konfiguracji serwera.

Otwórz plik konfiguracyjny serwera Zabbix (zabbix_server.conf) jako root i znajdź następującą linię:

# SSHKeyLocation=

Usuń komentarz i ustaw pełną ścieżkę do folderu, w którym będą znajdować się klucze publiczny i prywatny:

SSHKeyLocation=/home/zabbix/.ssh

Zapisz plik, a następnie uruchom ponownie serwer Zabbix.

Ścieżka /home/zabbix oznacza tutaj katalog domowy konta użytkownika zabbix, a .ssh to katalog, w którym domyślnie będą generowane klucze publiczny i prywatny przez polecenie ssh-keygen w katalogu domowym.

Zazwyczaj pakiety instalacyjne serwera Zabbix z różnych dystrybucji OS tworzą konto użytkownika zabbix z katalogiem domowym w innym miejscu, na przykład /var/lib/zabbix (jak w przypadku kont systemowych).

Przed wygenerowaniem kluczy można zmienić lokalizację katalogu domowego na /home/zabbix, tak aby odpowiadała ona wspomnianemu powyżej parametrowi konfiguracyjnemu SSHKeyLocation serwera Zabbix.

Aby zmienić katalog domowy konta użytkownika zabbix, należy zatrzymać wszystkie działające procesy, które z niego korzystają:

systemctl stop zabbix-agent
systemctl stop zabbix-server

Aby zmienić lokalizację katalogu domowego z próbą przeniesienia go (jeśli istnieje), należy wykonać następujące polecenie:

usermod -m -d /home/zabbix zabbix

Możliwe jest również, że katalog domowy nie istniał w starej lokalizacji, więc należy go utworzyć w nowym miejscu. Bezpieczna próba wykonania tego wygląda następująco:

test -d /home/zabbix || mkdir /home/zabbix

Aby mieć pewność, że wszystko jest zabezpieczone, można wykonać dodatkowe polecenia ustawiające uprawnienia do katalogu domowego:

chown zabbix:zabbix /home/zabbix
chmod 700 /home/zabbix

Wcześniej zatrzymane procesy można teraz ponownie uruchomić:

systemctl start zabbix-agent
systemctl start zabbix-server

Teraz można wykonać kroki generowania kluczy publicznego i prywatnego za pomocą następujących poleceń (dla lepszej czytelności pominięto znaki zachęty poleceń):

sudo -u zabbix ssh-keygen -t rsa
# Generating public/private rsa key pair.
# Enter file in which to save the key (/home/zabbix/.ssh/id_rsa):
/home/zabbix/.ssh/id_rsa
# Enter passphrase (empty for no passphrase):
<Leave empty>
# Enter same passphrase again: 
<Leave empty>
# Your identification has been saved in /home/zabbix/.ssh/id_rsa.
# Your public key has been saved in /home/zabbix/.ssh/id_rsa.pub.
# The key fingerprint is:
# 90:af:e4:c7:e3:f0:2e:5a:8d:ab:48:a2:0c:92:30:b9 zabbix@it0
# The key's randomart image is:
# +--[ RSA 2048]----+
# |                 |
# |       .         |
# |      o          |
# | .     o         |
# |+     . S        |
# |.+   o =         |
# |E .   * =        |
# |=o . ..* .       |
# |... oo.o+        |
# +-----------------+

Formularz konfiguracji powłoki

Ten krok należy wykonać tylko raz dla każdego hosta, który będzie monitorowany za pomocą kontroli SSH.

Korzystając z poniższych poleceń, plik klucza publicznego można zainstalować na zdalnym hoście 10.10.10.10, tak aby kontrole SSH mogły być wykonywane przy użyciu konta root (dla lepszej czytelności znaki zachęty wiersza poleceń zostały zakomentowane):

sudo -u zabbix ssh-copy-id [email protected]
# The authenticity of host '10.10.10.10 (10.10.10.10)' can't be established.
# RSA key fingerprint is 38:ba:f2:a4:b5:d9:8f:52:00:09:f7:1f:75:cc:0b:46.
# Are you sure you want to continue connecting (yes/no)?
yes
# Warning: Permanently added '10.10.10.10' (RSA) to the list of known hosts.
# [email protected]'s password:
<Enter root password>
# Now try logging into the machine, with "ssh '[email protected]'",
# and check to make sure that only the key(s) you wanted were added.

Teraz można sprawdzić logowanie SSH przy użyciu domyślnego klucza prywatnego (/home/zabbix/.ssh/id_rsa) dla konta użytkownika zabbix:

sudo -u zabbix ssh [email protected]

Jeśli logowanie powiedzie się, część konfiguracyjna w powłoce jest zakończona i zdalną sesję SSH można zamknąć.

Konfiguracja pozycji

Rzeczywiste polecenie(a), które mają zostać wykonane, należy umieścić w polu Executed script w konfiguracji pozycji. Kilka poleceń można wykonać jedno po drugim, umieszczając je w nowej linii. W takim przypadku zwracane wartości będą również sformatowane jako wielowierszowe.

Wszystkie obowiązkowe pola wejściowe są oznaczone czerwoną gwiazdką.

Pola wymagające określonych informacji dla pozycji SSH to: