13 使用 Zabbix 配置 Kerberos 监控

概述

Kerberos 身份验证可用于 Zabbix 中的 web 监测和 HTTP 监控项。

本页介绍了一个示例：在 Debian/Ubuntu 上为 Zabbix 服务器配置 Kerberos，使其能够使用 Zabbix 进程的 Kerberos principal 对 www.example.com 执行 web 监测。

配置

1. 安装 KDC 和客户端工具：

sudo apt update
sudo apt install krb5-kdc krb5-admin-server krb5-user

在软件包配置过程中回答提示，例如：

默认 Kerberos 版本 5 realm：EXAMPLE.COM
该 realm 的 Kerberos 服务器：localhost（或您的 FQDN）
该 Kerberos realm 的管理服务器：localhost（或您的 FQDN）

2. 映射易记的主机名（可选，用于本地测试）。

如果没有 DNS，请编辑 /etc/hosts，并为 DC 和 Web 服务器添加条目：

sudo vi /etc/hosts

可以添加如下示例行：

192.168.1.100  dc01.example.com dc01

3. 配置 Kerberos 客户端和 KDC realm：

sudo vi /etc/krb5.conf

示例设置：

[libdefaults]
    default_realm = EXAMPLE.COM
    dns_lookup_realm = false
    dns_lookup_kdc = false
    rdns = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true

[realms]
    EXAMPLE.COM = {
        kdc = dc01.example.com
        admin_server = dc01.example.com
    }

[domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM

如果计划使用 .localdomain 或其他非公共名称，请添加明确的 domain→realm 映射，以确保主机名→realm 映射正常工作。
此处不匹配会导致 Server not found in Kerberos database 错误。

4. 初始化 Kerberos 数据库（一次性操作，在 KDC 主机上执行）。
出现提示时设置安全的主密码：

sudo krb5_newrealm

5. 使用客户端实际采用的确切主机名创建 HTTP/host.fqdn@REALM principal；建议使用小写（例如 HTTP/[email protected]）。
大小写或名称不匹配会导致 Server not found in Kerberos database。

sudo kadmin.local

在 kadmin.local 中：

addprinc [email protected]     # 管理 principal
addprinc -randkey HTTP/[email protected]
ktadd -k /etc/apache2/http.keytab HTTP/[email protected]
quit

将 keytab 移动到 Web 主机（如果是同一台机器，则保留在本机），并设置 Apache 可使用的权限：

chown www-data:www-data /etc/apache2/http.keytab
chmod 600 /etc/apache2/http.keytab
# 验证
sudo -u www-data -k /etc/apache2/http.keytab

6. 安装并启用 Apache GSSAPI 模块：

sudo apt install libapache2-mod-auth-gssapi
sudo a2enmod auth_gssapi
sudo a2enmod headers
sudo systemctl restart apache2

7. 配置 VirtualHost（根据您的 Zabbix UI 调整 DocumentRoot / 路径）：

sudo vi /etc/apache2/sites-available/zabbix.conf

在 zabbix.conf 中：

<VirtualHost *:80>
    ServerName dc01.example.com
    DocumentRoot /usr/share/zabbix/ui
    <Directory /usr/share/zabbix/ui>
        Options FollowSymLinks
        AllowOverride None
        Require all granted
        AuthType GSSAPI
        AuthName "Kerberos Login"
        GssapiCredStore keytab:/etc/apache2/http.keytab
        GssapiLocalName On
        Require valid-user
    </Directory>
    RequestHeader set X-Remote-User %{REMOTE_USER}s env=REMOTE_USER
    RequestHeader unset Authorization
</VirtualHost>

重启 Apache：

sudo systemctl restart apache2

8. 启用并启动 KDC 服务，然后验证监听端口（在 KDC 主机上执行）：

sudo systemctl enable --now krb5-kdc krb5-admin-server
ss -tnlp | grep :80    # 或：sudo netstat -tnlp | grep :80

9. 获取用于测试的 TGT（以将使用该票据的用户身份运行）。

在票据列表中应看到 krbtgt/[email protected]。
使用需要该票据的同一 OS 用户运行 kinit（例如，用于 Web 检查的 zabbix，或用于交互式浏览器 SSO 测试的 www-data/Apache）。
发放给其他 OS 用户的票据不会显示，除非调整 KRB5CCNAME 和权限。

kinit [email protected]
klist

10. 使用 curl 测试 SPNEGO 交换（从具有有效 TGT 的客户端执行）。
如果返回 200 OK（或重定向到应用），则表示 SPNEGO 成功：

curl -v --negotiate -u : http://dc01.example.com/

11. 可选：如果 Zabbix UI 应接受经过 HTTP 身份验证的登录，请在 Zabbix 前端中启用 HTTP 身份验证（ui/conf/zabbix.conf.php）：

$ALLOW_HTTP_AUTH = true;

在 Web UI 中，转到 用户 > 身份验证，然后切换到 HTTP 设置 选项卡。
选中 启用 HTTP 身份验证 复选框，并在弹出窗口中单击 确定。
在 默认登录表单 下拉列表中选择“HTTP 登录表单”。
根据您的目录策略决定是否启用 区分大小写的登录名。
单击 更新 按钮完成操作。

12. 浏览器配置（以 Firefox 为例）：将 network.negotiate-auth.trusted-uris 设置为执行 Negotiate 的主机（dc01.example.com），以便浏览器自动发送 Kerberos 令牌。

在 about:config 中：

network.negotiate-auth.trusted-uris = dc01.example.com

现在访问 http://dc01.example.com 应会直接登录 Zabbix，而无需使用登录表单。

13. 保持密钥和票据有效。
Kerberos 票据的默认生命周期约为 10 小时。
添加 cron/systemd 定时器以避免票据过期：

#用于 Web 服务
kinit -kt /etc/apache2/http.keytab HTTP/[email protected]
#用于监控用户
kinit -kt /var/lib/zabbix/kerb.keytab [email protected]

14. 日常维护检查：

• klist -k /etc/apache2/http.keytab - 验证 keytab 中是否存在服务 principal。
• sudo tail -f /var/log/apache2/error.log - 监视 GSSAPI 错误（gss_acquire_cred[_from]() failed to get server creds 表示 keytab/权限问题或缺少 principal）。
• curl --negotiate 返回 401/403 通常表示 principal 错误、没有票据、主机标头不匹配或文件系统权限问题；请检查日志和 /etc/krb5.conf 中的 domain 映射。

安全性和文件权限说明

Keytab 文件必须仅对需要使用它们的账户可读。 示例权限：zabbix 用户的 keytab 文件可设置为由 zabbix:zabbix 所有且权限为 0400；Apache 的 keytab 文件可设置为由 root:www-data 所有且权限为 0440。

避免在主机上存储长期有效的明文密码。 在可能的情况下，请使用 keytab 或已加入域的计算机主体。

运行设置 KRB5CCNAME 或复制 keytab 的测试或脚本时，请在操作完成后再次检查所有权和权限——Web 服务器拒绝凭据通常是文件权限问题。