15 Ограничение проверок агента

Обзор

Можно ограничить проверки на стороне агента, создав черный список элементов, белый список или комбинацию белого/черного списка.

Для этого используйте комбинацию из двух параметров конфигурации агента:

• AllowKey=<шаблон> - какие проверки разрешены; <шаблон> указывается с использованием выражения с подстановочным знаком (*)
• DenyKey=<шаблон> - какие проверки запрещены; <шаблон> указывается с использованием выражения с подстановочным знаком (*)

Обратите внимание, что:

• Все элементы данных system.run[*] (скрипты, удаленные команды) по умолчанию отключены, даже если не указаны запрещающие ключи;
• Начиная с Zabbix 5.0.2 параметр агента EnableRemoteCommands:

   * признан устаревшим для Zabbix агента
          * не поддерживается для Zabbix агента 2

Поэтому, чтобы разрешить все удаленные команды, укажите параметр AllowKey=system.run[*]. (До Zabbix 5.0.2, в конфигурации агента также требуется указать EnableRemoteCommands=1.)

Чтобы разрешить только некоторые удаленные команды, создайте белый список более конкретных параметров AllowKey[]. Чтобы запретить определенные удаленные команды, добавьте параметры DenyKey перед параметром AllowKey=system.run[*].

Важные правила

• Белый список без правила запрещения ключей разрешен только для элементов данных system.run [*]. Для всех остальных элементов параметры AllowKey не допускаются без параметра DenyKey; в этом случае Zabbix агент не запустится только с параметрами AllowKey.
• Очередность имеет значение. Указанные параметры проверяются по очереди в соответствии с порядком их появления в файле конфигурации:
  • Как только ключ элемента данных соответствует разрешающему/запрещающему правилу, элемент разрешается или запрещается; и проверка правил прекращается. Таким образом, если элемент соответствует и разрешающему правилу, и запрещающему правилу, результат будет зависеть от того, какое правило будет первым.

  *Порядок влияет также на параметр EnableRemoteCommands (если используется).
       * Поддерживается неограниченное количество параметров AllowKey/DenyKey.
       * Правила AllowKey, DenyKey не влияют на параметры конфигурации HostnameItem, HostMetadataItem, HostInterfaceItem.
       * Шаблон ключа - это выражение с подстановочным знаком, в котором подстановочный знак (*) соответствует любому количеству любых символов в определенной позиции. Его можно использовать как в имени ключа, так и в параметрах.
       * Если конкретный ключ элемента запрещен в конфигурации агента, элемент будет отмечен как неподдерживаемый (без указания причины);
       * Агент Zabbix с параметром командной строки --print (-p) не будет показывать ключи, которые не разрешены конфигурацией;
       * Агент Zabbix с параметром командной строки --test (-t) вернет статус %%"%% Unsupported item key. %%"%% (Неподдерживаемый ключ элемента данных) для ключей, которые не разрешены конфигурацией;
       * Отклоненные удаленные команды не будут записаны в журнал агента (если LogRemoteCommands = 1).

Примеры использования

Запретить конкретную проверку

• Добавить в черный список конкретную проверку с параметром DenyKey. Соответствующие ключи будут запрещены. Разрешены все несовпадающие ключи, кроме элементов system.run[].

Например:

# Deny secure data access
       DenyKey=vfs.file.contents[/etc/passwd,*]

Запретить конкретную команду, разрешить другие

• Добавить в черный список конкретную команду с параметром DenyKey. Добавьте в белый список все остальные команды с помощью параметра AllowKey.

# Disallow specific command
       DenyKey=system.run[ls -l /]
        
       # Allow other scripts
       AllowKey=system.run[*]

Разрешить конкретную проверку, запретить другие

• Внесите определенные проверки в белый список с параметрами AllowKey, запретите другие с помощью DenyKey = *

Например:

# Allow reading logs:
       AllowKey=vfs.file.*[/var/log/*]
       
       # Allow localtime checks
       AllowKey=system.localtime[*]
       
       # Deny all other keys
       DenyKey=*

Примеры шаблонов