Documentation

Conexão segura com o banco de dados

Visão geral

Esta seção fornece etapas e exemplos de configuração do Zabbix para conexões TLS seguras entre:

Para configurar a criptografia de conexão dentro do SGBD, consulte a documentação oficial do fornecedor para obter detalhes:

• MySQL: servidores de banco de dados de réplica e fonte.
• MySQL: replicação em grupo, etc. servidores de banco de dados.
• PostgreSQL: opções de criptografia.

Todos os exemplos são baseados nas versões GA do MySQL CE (8.0) e PgSQL (13) e estão disponíveis através de repositórios oficiais usando AlmaLinux 8.

Requisitos

Os seguintes itens são necessários para configurar a criptografia:

• Sistema operacional com suporte do desenvolvedor com OpenSSL >=1.1.X ou alternativa.

• Motor de banco de dados (RDBMS) instalado e mantido a partir do repositório oficial fornecido pelo desenvolvedor. Sistemas operacionais frequentemente são enviados com versões desatualizadas de software de banco de dados para as quais o suporte à criptografia não está implementado, por exemplo, sistemas baseados em RHEL 7 e PostgreSQL 9.2, MariaDB 5.5 sem suporte à criptografia.

Terminologia

Definir esta opção força o uso de conexão TLS para o banco de dados a partir do servidor/proxy Zabbix e do frontend para o banco de dados:

• required - conectar usando TLS como modo de transporte sem verificações de identidade;
• verify_ca - conectar usando TLS e verificar o certificado;
• verify_full - conectar usando TLS, verificar o certificado e verificar se a identidade do banco de dados (CN) especificada por DBHost corresponde ao seu certificado;

Configuração do Zabbix

Frontend para bancos de dados

Uma conexão segura com o banco de dados pode ser configurada durante a instalação do frontend:

• Marque a caixa de seleção Database TLS encryption na etapa Configure DB connection para habilitar a criptografia de transporte.
• Marque a caixa de seleção Verificar certificado do banco de dados que aparece quando o campo TLS encryption está marcado para habilitar a criptografia com certificados.

Os seguintes parâmetros ficam disponíveis no modo de criptografia TLS com certificados (se ambas as caixas de seleção estiverem marcadas):

Casos de uso

Zabbix frontendusa a interface GUI para definir as opções possíveis: required, verify_ca, verify_full. Especifique as opções necessárias na etapa do assistente de instalação Configurar conexões de banco de dados. Essas opções são mapeadas para o arquivo de configuração (zabbix.conf.php) da seguinte maneira:

Configurações da GUI	Arquivo de configuração	Descrição	Resultado
	... // Usado para conexão TLS. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	Marcar Criptografia TLS do banco de dados Deixar Verificar certificado do banco de dados desmarcado	Ativar modo 'required'.
	... $DB['ENCRYPTION'] = true;\\ $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. Marcar Criptografia TLS do banco de dados e Verificar certificado do banco de dados 2. Especificar o caminho para o Arquivo CA TLS do banco de dados	Ativar o modo 'verify_ca'.
	... // Usado para conexão TLS com lista de cifras estritamente definida. $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... Ou: ... // Usado para conexão TLS sem lista de cifras definida - selecionada pelo servidor MySQL $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. Marcar Criptografia TLS do banco de dados e Verificar certificado do banco de dados 2. Especificar o caminho para o Arquivo de chave TLS do banco de dados 3. Especificar o caminho para o Arquivo CA TLS do banco de dados 4. Especificar o caminho para o Arquivo de certificado TLS do banco de dados 5. Especificar lista de cifras TLS (opcional)	Ativar o modo 'verify_full' para MySQL.
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ...	1. Marcar Criptografia TLS do banco de dados e Verificar certificado do banco de dados 2. Especificar o caminho para Database TLS key file 3. Especificar o caminho para o Arquivo CA TLS do banco de dados 4. Especificar o caminho para o Arquivo de certificado TLS do banco de dados 5. Marcar Verificação de host do banco de dados	Ativar o modo 'verify_full'para PostgreSQL.

Consulte também: Encryption configuration examples for MySQL, Encryption configuration examples for PostgreSQL.

Configuração do Zabbix server/proxy

Conexões seguras ao banco de dados podem ser configuradas com os respectivos parâmetros no arquivo de configuração do Zabbix server e/ou proxy.