11 SSH агент

Обзор

Проверки SSH выполняются как мониторинг без агента. Для проверок SSH агент Zabbix не требуется.

Для выполнения проверок SSH сервер Zabbix должен быть предварительно настроен с поддержкой SSH2 (libssh или libssh2). См. также: Требования.

Настройка

Аутентификация по паролю

Проверки SSH предоставляют два метода аутентификации: пара логин пользователя/пароль и на основе файла ключа.

Если вы не собираетесь использовать ключи, то (помимо привязки библиотеки libssh2/libssh к Zabbix при компиляции из исходных кодов) никакой дополнительной настройки не требуется.

Аутентификация с помощью файла ключа

Чтобы использовать аутентификацию на основе ключа для элементов данных SSH, требуются определенные изменения в конфигурации сервера.

Откройте файл конфигурации сервера Zabbix (zabbix_server.conf) от имени root и найдите следующую строку:

# SSHKeyLocation=

Раскомментируйте ее и укажите полный путь к папке, где будут находиться открытый и закрытый ключи:

SSHKeyLocation=/home/zabbix/.ssh

Сохраните файл и затем перезапустите сервер Zabbix.

Путь /home/zabbix здесь — это домашний каталог учетной записи zabbix, а .ssh — это каталог, в котором по умолчанию будут сгенерированы открытый и закрытый ключи с помощью команды ssh-keygen внутри домашнего каталога.

Обычно пакеты установки сервера Zabbix из разных дистрибутивов ОС создают учетную запись zabbix с домашним каталогом в другом месте, например, /var/lib/zabbix (как для системных учетных записей).

Перед генерацией ключей вы можете переназначить домашний каталог на /home/zabbix, чтобы он соответствовал параметру конфигурации SSHKeyLocation сервера Zabbix, упомянутому выше.

Чтобы изменить домашний каталог учетной записи zabbix, необходимо остановить все рабочие процессы, которые его используют:

systemctl stop zabbix-agent
systemctl stop zabbix-server

Чтобы изменить расположение домашнего каталога с попыткой перенести его (если он существует), следует выполнить следующую команду:

usermod -m -d /home/zabbix zabbix

Также возможно, что домашний каталог не существовал в старом расположении, поэтому его следует создать в новом месте. Безопасная попытка сделать это:

test -d /home/zabbix || mkdir /home/zabbix

Чтобы убедиться, что все защищено, можно выполнить дополнительные команды для установки прав доступа к домашнему каталогу:

chown zabbix:zabbix /home/zabbix
chmod 700 /home/zabbix

Ранее остановленные процессы теперь можно снова запустить:

systemctl start zabbix-agent
systemctl start zabbix-server

Теперь можно выполнить шаги по генерации открытого и закрытого ключей с помощью следующих команд (для удобства чтения приглашения командной строки опущены):

sudo -u zabbix ssh-keygen -t rsa
# Generating public/private rsa key pair.
# Enter file in which to save the key (/home/zabbix/.ssh/id_rsa):
/home/zabbix/.ssh/id_rsa
# Enter passphrase (empty for no passphrase):
<Leave empty>
# Enter same passphrase again: 
<Leave empty>
# Your identification has been saved in /home/zabbix/.ssh/id_rsa.
# Your public key has been saved in /home/zabbix/.ssh/id_rsa.pub.
# The key fingerprint is:
# 90:af:e4:c7:e3:f0:2e:5a:8d:ab:48:a2:0c:92:30:b9 zabbix@it0
# The key's randomart image is:
# +--[ RSA 2048]----+
# |                 |
# |       .         |
# |      o          |
# | .     o         |
# |+     . S        |
# |.+   o =         |
# |E .   * =        |
# |=o . ..* .       |
# |... oo.o+        |
# +-----------------+

Диалог настройки командной строки

Этот шаг необходимо выполнить только один раз для каждого хоста, который будет наблюдаться с использованием SSH проверок.

При использовании следующей команды файл открытого ключа может быть установлен на удалённый хост 10.10.10.10, для того чтобы потом можно было выполнять SSH проверки при помощи аккаунта root (для лучшей читабельности подсказки команды закомментированы):

sudo -u zabbix ssh-copy-id [email protected]
# The authenticity of host '10.10.10.10 (10.10.10.10)' can't be established.
# RSA key fingerprint is 38:ba:f2:a4:b5:d9:8f:52:00:09:f7:1f:75:cc:0b:46.
# Are you sure you want to continue connecting (yes/no)?
yes
# Warning: Permanently added '10.10.10.10' (RSA) to the list of known hosts.
# [email protected]'s password:
<введите пароль пользователя root>
# Теперь попытайтесь зайти на машину с помощью "ssh '[email protected]'",
# и проверьте, чтобы убедиться, что мы не добавили лишние нежелательные ключи.

Теперь можно проверить вход по SSH с использованием закрытого ключа по умолчанию (/home/zabbix/.ssh/id_rsa) учётной записи пользователя zabbix:

sudo -u zabbix ssh [email protected]

Если вход успешен, то часть настройки в командной строке завершена и удалённую сессию по SSH можно закрыть.

Конфигурация элемента данных

Фактические команды, которые необходимо выполнить, должны быть указаны в поле Executed script в конфигурации элемента данных. Несколько команд можно выполнять одну за другой, размещая их на новой строке. В этом случае возвращаемые значения также будут форматироваться как многострочные.

Все обязательные поля ввода отмечены красной звездочкой.

Поля, для которых для элементов данных SSH требуется конкретная информация: