11 SSH agent

Przegląd

Kontrole SSH są wykonywane jako monitorowanie bezagentowe. Agent Zabbix nie jest wymagany do kontroli SSH.

Aby wykonywać kontrole SSH, serwer Zabbix musi być wcześniej skonfigurowany z obsługą SSH2 (libssh lub libssh2). Zobacz także: Wymagania.

Konfiguracja

Uwierzytelnianie za pomocą hasła

Kontrole SSH udostępniają dwie metody uwierzytelniania — parę użytkownik/hasło oraz metodę opartą na pliku klucza.

Jeśli nie zamierzasz używać kluczy, nie jest wymagana żadna dodatkowa konfiguracja, poza podlinkowaniem biblioteki libssh lub libssh2 do Zabbix, jeśli kompilujesz ze źródeł.

Uwierzytelnianie plikiem klucza

Aby używać uwierzytelniania opartego na kluczach dla pozycji SSH, wymagane są określone zmiany w konfiguracji serwera.

Otwórz plik konfiguracyjny serwera Zabbix (zabbix_server.conf) jako root i odszukaj następującą linię:

# SSHKeyLocation=

Odkomentuj ją i ustaw pełną ścieżkę do katalogu, w którym będą znajdować się klucze publiczny i prywatny:

SSHKeyLocation=/home/zabbix/.ssh

Zapisz plik, a następnie uruchom ponownie serwer Zabbix.

Ścieżka /home/zabbix oznacza tutaj katalog domowy konta użytkownika zabbix, a .ssh to katalog, w którym domyślnie będą generowane klucze publiczny i prywatny przez polecenie ssh-keygen wewnątrz katalogu domowego.

Zazwyczaj pakiety instalacyjne serwera Zabbix z różnych dystrybucji systemów operacyjnych tworzą konto użytkownika zabbix z katalogiem domowym w innej lokalizacji, na przykład /var/lib/zabbix (jak w przypadku kont systemowych).

Przed wygenerowaniem kluczy można przenieść katalog domowy do /home/zabbix, tak aby odpowiadał parametrowi konfiguracyjnemu serwera Zabbix SSHKeyLocation, o którym wspomniano powyżej.

Aby zmienić katalog domowy konta użytkownika zabbix, należy zatrzymać wszystkie procesy robocze, które z niego korzystają:

systemctl stop zabbix-agent
systemctl stop zabbix-server

Aby zmienić lokalizację katalogu domowego z próbą jego przeniesienia (jeśli istnieje), należy wykonać następujące polecenie:

usermod -m -d /home/zabbix zabbix

Możliwe jest również, że katalog domowy nie istniał w starej lokalizacji, więc należy go utworzyć w nowej lokalizacji. Bezpieczna próba wykonania tego wygląda następująco:

test -d /home/zabbix || mkdir /home/zabbix

Aby mieć pewność, że wszystko jest bezpieczne, można dodatkowo wykonać polecenia ustawiające uprawnienia do katalogu domowego:

chown zabbix:zabbix /home/zabbix
chmod 700 /home/zabbix

Wcześniej zatrzymane procesy można teraz ponownie uruchomić:

systemctl start zabbix-agent
systemctl start zabbix-server

Teraz można wykonać kroki generowania kluczy publicznego i prywatnego za pomocą następujących poleceń (dla lepszej czytelności znaki zachęty powłoki zostały zapisane jako komentarze):

sudo -u zabbix ssh-keygen -t rsa
# Generating public/private rsa key pair.
# Enter file in which to save the key (/home/zabbix/.ssh/id_rsa):
/home/zabbix/.ssh/id_rsa
# Enter passphrase (empty for no passphrase):
<Leave empty>
# Enter same passphrase again: 
<Leave empty>
# Your identification has been saved in /home/zabbix/.ssh/id_rsa.
# Your public key has been saved in /home/zabbix/.ssh/id_rsa.pub.
# The key fingerprint is:
# 90:af:e4:c7:e3:f0:2e:5a:8d:ab:48:a2:0c:92:30:b9 zabbix@it0
# The key's randomart image is:
# +--[ RSA 2048]----+
# |                 |
# |       .         |
# |      o          |
# | .     o         |
# |+     . S        |
# |.+   o =         |
# |E .   * =        |
# |=o . ..* .       |
# |... oo.o+        |
# +-----------------+

Formularz konfiguracji powłoki

Ten krok należy wykonać tylko raz dla każdego hosta, który będzie monitorowany za pomocą kontroli SSH.

Korzystając z poniższych poleceń, plik klucza publicznego można zainstalować na zdalnym hoście 10.10.10.10, tak aby kontrole SSH mogły być wykonywane przy użyciu konta root (dla lepszej czytelności znaki zachęty wiersza poleceń zostały zakomentowane):

sudo -u zabbix ssh-copy-id [email protected]
# The authenticity of host '10.10.10.10 (10.10.10.10)' can't be established.
# RSA key fingerprint is 38:ba:f2:a4:b5:d9:8f:52:00:09:f7:1f:75:cc:0b:46.
# Are you sure you want to continue connecting (yes/no)?
yes
# Warning: Permanently added '10.10.10.10' (RSA) to the list of known hosts.
# [email protected]'s password:
<Enter root password>
# Now try logging into the machine, with "ssh '[email protected]'",
# and check to make sure that only the key(s) you wanted were added.

Teraz można sprawdzić logowanie SSH przy użyciu domyślnego klucza prywatnego (/home/zabbix/.ssh/id_rsa) dla konta użytkownika zabbix:

sudo -u zabbix ssh [email protected]

Jeśli logowanie powiedzie się, część konfiguracyjna w powłoce jest zakończona i zdalną sesję SSH można zamknąć.

Konfiguracja pozycji

Rzeczywiste polecenie(-a) do wykonania należy umieścić w polu Executed script w konfiguracji pozycji. Wiele poleceń można wykonać jedno po drugim, umieszczając je w nowej linii. W takim przypadku zwracane wartości również będą sformatowane jako wielowierszowe.

Wszystkie obowiązkowe pola wejściowe są oznaczone czerwoną gwiazdką.

Pola wymagające określonych informacji dla pozycji SSH to: