1 Configuración de CyberArk

Esta sección explica cómo configurar Zabbix para recuperar secretos de CyberArk Vault CV12.

La bóveda debe instalarse y configurarse como se describe en la [documentación oficial de CyberArk] (https://docs.cyberark.com/Product-Doc/OnlineHelp/PAS/12.1/en/Content/HomeTilesLPs/LP-Tile6.htm?tocpath =Instalación%7C_____0).

Para obtener información sobre cómo configurar TLS en Zabbix, consulte Almacenamiento de secretos.

Credenciales de base de datos

El acceso a un secreto con credenciales de base de datos se configura para cada componente de Zabbix por separado.

Servidor y servidores proxy

Para obtener las credenciales de la base de datos del almacén para Zabbix servidor o proxy, especifique los siguientes parámetros de configuración en el archivo de configuración:

• Vault: qué proveedor de bóveda se debe utilizar;
• VaultURL - URL HTTP[S] del servidor de bóveda;
• VaultDBPath: consulta al secreto de la bóveda que contiene las credenciales de la base de datos que se recuperarán mediante las claves "Contenido" y "Nombre de usuario";
• VaultTLSCertFile, VaultTLSKeyFile: certificado SSL y nombres de archivos clave; configurar estas opciones no es obligatorio, pero sí muy recomendable;
• VaultPrefix: prefijo personalizado para la ruta o consulta de la bóveda, según la bóveda; si no se especifica, se utilizará el valor predeterminado más adecuado.

El servidor Zabbix y el proxy Zabbix leen los parámetros de configuración relacionados con la bóveda de los archivos zabbix_server.conf y zabbix_proxy.conf al inicio.

Ejemplo

1. En zabbix_server.conf, especifique los siguientes parámetros:

Bóveda = CyberArk
       URL de la bóveda=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=contraseñaSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=clave.pem
       VaultPrefix=/AIMWebService/api/Cuentas?

2. Zabbix enviará la siguiente solicitud API a la bóveda:

rizo \
       --header "Tipo de contenido: aplicación/json" \
       --cert cert.pem \
       --key clave.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta de la bóveda contendrá las claves "Contenido" y "Nombre de usuario":

{
           "Contenido": <contraseña>,
           "Nombre de usuario": <nombre de usuario>,
           "Dirección": <dirección>,
           "Base de datos": <Base de datos>,
           "Cambio de contraseña en proceso":<Cambio de contraseña en proceso>
       }

4. Como resultado, Zabbix utilizará las siguientes credenciales para la autenticación de la base de datos:

• Nombre de usuario: <nombre de usuario>
• Contraseña: <contraseña>

Interfaz

Para obtener las credenciales de la base de datos de la bóveda para la interfaz de Zabbix, especifique los siguientes parámetros durante la [instalación] de la interfaz (/manual/installation/frontend).

1. En el paso Configurar conexión de base de datos, establezca el parámetro Almacenar credenciales en en "CyberArk Vault".

2. Luego, complete los parámetros adicionales:

Valores de macro de usuario

Para utilizar CyberArk Vault para almacenar valores de macro de usuario secretos de Vault, asegúrese de que:

• El servidor Zabbix está configurado para funcionar con CyberArk Vault;
• el parámetro Proveedor de bóveda en Administración → General → Otros está configurado en "CyberArk Vault".

El valor de la macro debe contener una consulta (como consulta:clave).

Consulte Macros secretas de Vault para obtener información detallada sobre el procesamiento de valores de macro por parte de Zabbix.

Sintaxis de consulta

El símbolo de dos puntos (":") está reservado para separar la consulta de la clave.

Si una consulta contiene una barra diagonal o dos puntos, estos símbolos deben estar codificados en URL ("/" está codificado como "%2F", ":" está codificado como "%3A").

Ejemplo

1. En Zabbix, agregue una macro de usuario {$PASSWORD} de tipo Vault secret y con el valor AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Zabbix enviará la siguiente solicitud API a la bóveda:

curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta del almacén contendrá la clave "Content":

{
           "Content": <contraseña>,
           "UserName": <nombre de usuario>,
           "Address": <dirección>,
           "Database":<Base de datos>,
           "PasswordChangeInProcess":<Cambio de contraseña en proceso>
       }

4. Como resultado, Zabbix resolverá la macro {$PASSWORD} al valor - <contraseña>

Actualizar la configuración existente

Para actualizar una configuración existente para recuperar secretos de CyberArk Vault:

1. Actualice los parámetros del servidor Zabbix o del archivo de configuración del proxy como se describe en la sección Credenciales de base de datos.

2. Actualice la configuración de la conexión de base de datos reconfigurando la interfaz de Zabbix y especificando los parámetros requeridos como se describe en la sección Frontend. Para reconfigurar la interfaz de Zabbix, abra la URL de configuración de la interfaz en el navegador:

• para Apache: http://<server_ip_or_name>/zabbix/setup.php
• para Nginx: http://<server_ip_or_name>/setup.php

Alternativamente, estos parámetros se pueden configurar en el archivo de configuración de frontend (zabbix.conf.php):

$DB['VAULT'] = 'CyberArk';
       $DB['VAULT_URL'] = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH'] = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN'] = '';
       $DB['VAULT_CERT_FILE'] = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE'] = 'conf/certs/cyberark-key.pem';
       $DB['VAULT_PREFIX'] = '';

3. Configure las macros de usuario como se describe en la sección Valores de macros de usuario, si es necesario.

Para actualizar una configuración existente para recuperar secretos de HashiCorp Vault, consulte Configuración de HashiCorp.