4 安全的连接数据库

概述

本章节提供了Zabbix的设置步骤和配置示例，用于在以下设备之间建立安全的TLS连接：

请参考各官方文档了解如何在DBMS中设置连接加密:

• MySQL: 源和副本复制数据库服务器。
• MySQL: 组复制等。数据库服务器。
• PostgreSQL 加密选项。

所有示例均基于 MySQL CE (8.0) 和 PgSQL (13) 的 GA 版本，可通过使用 AlmaLinux 8 的官方存储库获得。

要求

设置加密需要以下内容:

• 需要具有 OpenSSL 1.1.X 及以上版本的操作系统或其他替代方案。

数据库引擎(RDBMS)的安装及维护由官方存储库的开发人员提供。操作系统通常自带的数据库版本较老，没有实现加密支持，例如基于RHEL 7 及 PostgreSQL 9.2、MariaDB 5.5 均没有加密支持。

术语

通过设置此选项强制Zabbix Server/proxy/前端使用TLS连接数据库:

• required - 使用无需身份检查的TLS作为数据传输的连接;
• verify_ca - 使用TLS连接并验证证书;
• verify_full - 使用TLS连接，验证证书及DBHost指定的数据库身份(CN)匹配的证书;

Zabbix 配置

前端连接数据库

在前端安装的过程中可以配置使用数据库的安全连接:

• · 在配置数据库连接步骤中勾选Database TLS encryption复选框以启用传输加密。
• · 选中TLS 加密字段时出现的验证数据库证书复选框，以启用证书加密。

以下参数在证书模式 TLS 加密时可用 (如果两个复选框都勾选):

用例

Zabbix前端使用GUI界面定义可能的选项:required, verify_ca, verify_full。在安装向导步骤配置数据库连接中指定所需选项。这些选项按以下方式映射到配置文件（zabbix.conf.php）:

图形化设置	配置文件	描述	结果
	... // 用于 TLS 连接。 $DB ['ENCRYPTION'] = true; $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $ DB['CA_FILE'] = ''; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = '';< br>...	选中数据库 TLS 加密 不选中验证数据库证书	启用“必需”模式。
	... $DB['ENCRYPTION'] = true; \\ $DB['KEY_FILE'] = ''; $DB['CERT_FILE'] = ''; $DB['CA_FILE' ] = '/etc/ssl/mysql/ca.pem'; $DB['VERIFY_HOST'] = false; $DB['CIPHER_LIST'] = ''; ...	1。 检查数据库 TLS 加密和验证数据库证书 2。 指定数据库 TLS CA 文件的路径	启用“验证_ca”模式。
	... // 用于具有严格定义的密码列表的 TLS 连接。 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT _FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY _HOST'] = true; $DB['CIPHER_LIST'] = '<cipher_list>'; ... 或者： ... // 用于未定义密码列表的 TLS 连接 - 由 MySQL 服务器选择 $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB['CIPHER_LIST'] = ''; 。 ..	1. 检查数据库 TLS 加密和验证数据库证书 2。 指定数据库 TLS 密钥文件 3 的路径。 指定数据库 TLS CA 文件 4. 指定数据库 TLS 证书文件 6. 指定 TLS 密码列表（可选）	为 MySQL 启用“verify_full”模式。
	... $DB['ENCRYPTION'] = true; $DB['KEY_FILE'] = '<key_file_path>'; $DB['CERT_FILE'] = '<key_file_path>'; $DB['CA_FILE'] = '<key_file_path>'; $DB['VERIFY_HOST'] = true; $DB[' CIPHER_LIST'] = ' '; ...	1。 检查数据库 TLS 加密和验证数据库证书 2。 指定数据库 TLS 密钥文件 3 的路径。 指定数据库 TLS CA 文件 4. 指定数据库 TLS 证书文件 6. 检查数据库主机验证	为 PostgreSQL 启用“验证_完整”模式。

另请参阅： MySQL 的加密配置示例、PostgreSQL 的加密配置示例。

Zabbix 服务器/代理配置

可以使用 Zabbix server 和/或 proxy 配置文件中的相应参数配置与数据库的安全连接。