HTTPS для Elasticsearch storage backend

[grommir]

Пробую подключить Elasticsearch для хранения данных заббикса через https но получаю следующую ошибку:

cannot send data to elasticsearch: SSL certificate problem: self signed certificate in certificate chain

На эластике сертификат из кастомного CA. Сам файл CA есть, но не совсем понятно - куда его ложить.

[grommir]

И вебморда тоже выдаёт ошибки:

[LIST][*]file_get_contents(): SSL operation failed with code 1. OpenSSL Error messages:[*]error:1416F086:SSL routines:tls_process_server_certificate:certificat e verify failed [zabbix.php:22 → require_once() → ZBase->run() → ZBase->processRequest() → CController->run() → CControllerLatestView->doAction() → CControllerLatest->extendData() → CHistoryManager->getLastValues() → CHistoryManager->getLastValuesFromElasticsearch() → CElasticsearchHelper::query() → CElasticsearchHelper::request() → file_get_contents() in include/classes/helpers/CElasticsearchHelper.php:58][*]file_get_contents(): Failed to enable crypto [zabbix.php:22 → require_once() → ZBase->run() → ZBase->processRequest() → CController->run() → CControllerLatestView->doAction() → CControllerLatest->extendData() → CHistoryManager->getLastValues() → CHistoryManager->getLastValuesFromElasticsearch() → CElasticsearchHelper::query() → CElasticsearchHelper::request() → file_get_contents() in include/classes/helpers/CElasticsearchHelper.php:58][/LIST]

[Hamardaban]

Насколько понимаю - для соединения с Elasticsearch zabbix использует libcurl

libcurl

Требуется для веб-мониторинга, мониторинга VMware и для SMTP аутентификации. Для SMTP аутентификации, требуется версия 7.20.0 или выше. Также необходима для поддержки Elasticsearch.

Может эта информация поможет? https://curl.se/docs/sslcerts.html
В некоторых системах можно установить переменную среды CURL_CA_BUNDLE указывающую на путь к файлу с корневыми сертификатами.
Проверка всего хозяйства возможна через curl.

[grommir]

В общем CURL_CA_BUNDLE не помогло, что, впрочем, и не удивительно. Курла в контейнере нет совсем.
Решил это следующим образом. Поскольку запускаю всё это в kubernetes - поднял рядом nginx прокси и прописал его в качестве ZBX_HISTORYSTORAGEURL
Правда тоже заработало далеко не сразу. Там ещё авторизация есть для эластика. Сначала сделал её на стороне nginx, но из-за этого, почему-то, начали ломаться хедеры в ответах. Пришлось перенести авторизацию на сторону заббикс сервера.

[Hamardaban]

имхо забикс в контейнере == гуано...
но на вкус и цвет как известно... :-)

[grommir]

Пользуюсь уже ~3 года в докер композе - полёт нормальный. Вот решили перетянуть в кубер, а заодно перенести еластик в managed сервисы.