Documentation
Table of Contents
13. Хранение секретов
Обзор
Zabbix можно настроить для извлечения конфиденциальной информации из защищенного хранилища. Поддерживаются следующие службы управления секретами: HashiCorp Vault KV Secrets Engine - Version 2, CyberArk Vault CV12.
Секреты можно использовать для извлечения:
- значений пользовательских макросов
- учётных данных для доступа к базам данных
Zabbix обеспечивает доступ только на чтение к секретам в Хранилище, предполагается, что секретами управляет кто-то другой.
Информацию о настройках конкретного поставщика хранилища смотрите в разделах:
Кэширование значений секретов
Значения макросов секрета хранилища извлекаются сервером Zabbix при каждом обновлении данных конфигурации и затем хранятся в кэше конфигурации. Zabbix прокси получает значения макросов секрета хранилища от Zabbix сервера при каждой синхронизации конфигурации и сохраняет их в свойм собственном кэше конфигурации.
Между Zabbix сервером и прокси должно быть включено шифрование; в противном случае в журнал вносится сообщение с предупреждением сервера.
Чтообы вручную инициировать обновление закэшированных значений секретов из хранилища, используйте опцию командной строки «secrets_reload».
Для учётных данных базы данных веб-интерфейса Zabbix кэширование по умолчанию отключено, но его можно включить, установив опцию $DB['VAULT_CACHE'] = true в zabbix.conf.php. Учётные данные будут сохранены в локальном кэше с использованием каталога временных файлов. Веб-сервер должен разрешать запись в приватную временную папку (например, для Apache должна быть установлена опция конфигурации PrivateTmp=True). Для управления частотой обновления/аннулирования кэша данных используйте константу ZBX_DATA_CACHE_TTL.
Настройка TLS
Чтобы настроить TLS для связи между компонентами Zabbix и хранилищем, добавьте сертификат, подписанный центром сертификации (certificate authority, CA), в системное хранилище CA по умолчанию. Чтобы использовать другое местоположение, укажите каталог в параметре конфигурации Zabbix сервера/прокси SSLCALocation, поместите файл сертификата в этот каталог, затем выполните следующую команду [en] CLI: