4 安全的连接数据库

概述

本章节提供了Zabbix的设置步骤和配置示例，用于在以下设备之间建立安全的TLS连接：

请参考各官方文档了解如何在DBMS中设置连接加密:

• MySQL: 源和副本复制数据库服务器。
• MySQL: 组复制等。数据库服务器。
• PostgreSQL 加密选项。

所有示例均基于 MySQL CE (8.0) 和 PgSQL (13) 的 GA 版本，可通过使用 AlmaLinux 8 的官方存储库获得。

要求

设置加密需要以下内容:

• 需要具有 OpenSSL 1.1.X 及以上版本的操作系统或其他替代方案。

数据库引擎(RDBMS)的安装及维护由官方存储库的开发人员提供。操作系统通常自带的数据库版本较老，没有实现加密支持，例如基于RHEL 7 及 PostgreSQL 9.2、MariaDB 5.5 均没有加密支持。

术语

通过设置此选项强制Zabbix Server/proxy/前端使用TLS连接数据库:

• required - 使用无需身份检查的TLS作为数据传输的连接;
• verify_ca - 使用TLS连接并验证证书;
• verify_full - 使用TLS连接，验证证书及DBHost指定的数据库身份(CN)匹配的证书;

Zabbix 配置

前端连接数据库

在前端安装的过程中可以配置使用数据库的安全连接:

• · 在配置数据库连接步骤中勾选Database TLS encryption复选框以启用传输加密。
• · 选中TLS 加密字段时出现的验证数据库证书复选框，以启用证书加密。

以下参数在证书模式 TLS 加密时可用 (如果两个复选框都勾选):

用例

Zabbix 前端使用 GUI 界面定义可能的选项：必需的，verify_ca，verify_full。在安装向导的 配置数据库连接 步骤中指定必需的选项。这些选项以下列方式映射到配置文件（zabbix.conf.php）：

图形化设置	配置文件	描述	结果
	... // 用于 TLS 连接。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	勾选 数据库 TLS 加密 将 验证数据库证书 选项留空（不勾选）	启用“必需”模式。
	... $DB['ENCRYPTION'] = true;\\ $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE'] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1. 勾选 数据库 TLS 加密 和 验证数据库证书 2. 指定 数据库 TLS CA 文件 的路径	启用 'verify_ca' 模式。
	... // 用于具有严格定义的密码列表的TLS连接。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... Or: ... // 用于未定义密码列表的TLS连接 - 由MySQL服务器选择。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; ...	1. 勾选 数据库 TLS 加密 和 验证数据库证书 2. 指定 数据库 TLS 密钥文件 的路径 3. 指定 数据库 TLS CA文件 的路径 4. 指定 数据库 TLS 证书文件 的路径 5. 指定 TLS 密码列表（可选）	为 MySQL 启用 'verify_full' 模式。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ' '; ... 1. 勾选 数据库 TLS 加密 和 验证数据库证书 2. 指定 数据库 TLS 密钥文件 的路径 3. 指定 数据库 TLS CA 文件 的路径 4. 指定 数据库 TLS 证书文件 的路径 5. 勾选 数据库主机验证	为 PostgreSQL 启用 'verify_full' 模式。

另请参阅： MySQL 加密配置示例，PostgreSQL 加密配置示例。

Zabbix 服务器/代理配置

可以使用 Zabbix server 和/或 proxy 配置文件中的相应参数配置与数据库的安全连接。