到数据库的安全连接

概述

本节提供 Zabbix 的设置步骤和配置示例，用于在以下组件之间建立安全的 TLS 连接：

要在 DBMS 内部设置连接加密，请参阅官方厂商文档了解详细信息：

• MySQL: 源和副本复制数据库服务器。
• MySQL: 组复制等数据库服务器。
• PostgreSQL 加密选项。

所有示例均基于通过官方仓库可获得的 MySQL CE (8.0) 和 PgSQL (13) 的 GA 版本，并使用 CentOS 8。

要求

设置加密需要满足以下条件：

• 开发者支持的操作系统，且 OpenSSL >=1.1.X 或 替代方案。

• 已从开发者提供的官方 仓库安装并维护的数据库引擎（RDBMS）。操作系统通常会附带过时的数据库软件版本，而这些版本并未实现加密支持，例如基于 RHEL 7 的系统以及 PostgreSQL 9.2、MariaDB 5.5（不支持加密）。

术语

设置此选项会强制 Zabbix 服务器/proxy 和前端到数据库使用 TLS 连接：

• required - 使用 TLS 作为传输模式进行连接，不进行身份验证
• verify_ca - 使用 TLS 连接并验证证书
• verify_full - 使用 TLS 连接，验证证书，并验证 DBHost 指定的数据库标识（CN）与其证书匹配

Zabbix 配置

前端到数据库

在前端安装期间，可以配置到数据库的安全连接：

• 在 配置数据库连接 步骤中勾选 Database TLS encryption 复选框，以启用传输加密。
• 当勾选 TLS encryption 字段时，勾选出现的 Verify database certificate 复选框，以启用使用证书的加密。

在证书 TLS 加密模式下，以下参数可用（如果两个复选框都已勾选）：

使用场景

Zabbix 前端使用 GUI 界面定义可用选项：required、verify_ca、verify_full。在安装向导的 Configure DB connections 步骤中指定所需选项。这些选项会按如下方式映射到配置文件（zabbix.conf.php）：

GUI settings	Configuration file	Description	Result
	... // Used for TLS connection. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	Check Database TLS encryption Leave Verify database certificate unchecked	启用 required 模式。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. 勾选 Database TLS encryption 和 Verify database certificate 2. 指定 Database TLS CA file 的路径	启用 verify_ca 模式。
	... // Used for TLS connection with strictly defined Cipher list. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... Or: ... // Used for TLS connection without Cipher list defined - selected by MySQL server $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. 勾选 Database TLS encryption 和 Verify database certificate 2. 指定 Database TLS key file 的路径 3. 指定 Database TLS CA file 的路径 4. 指定 Database TLS certificate file 的路径 5. 指定 Database TLS cipher list（可选）	为 MySQL 启用 verify_full 模式。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. 勾选 Database TLS encryption 和 Verify database certificate 2. 指定 Database TLS key file 的路径 3. 指定 Database TLS CA file 的路径 4. 指定 Database TLS certificate file 的路径 5. 勾选 Database host verification	为 PostgreSQL 启用 verify_full 模式。

另请参见： MySQL 的加密配置示例，PostgreSQL 的加密配置示例。

Zabbix 服务器/proxy 配置

可以通过 Zabbix 服务器 和/或 proxy 配置文件中的相应参数来配置与数据库的安全连接。