韓誥傭痔

Table of Contents

13 Stockage des secrets

13 Stockage des secrets

Aper?u

Il est possible de stocker secr豕tement certaines informations sensibles dans HashiCorp Vault KV Secrets Engine - Version 2. Les secrets peuvent 那tre enregistr谷s pour?:

les valeurs de macro utilisateur
les identifiants d'acc豕s 角 la base de donn谷es

韓誥傭痔 fournit un acc豕s en lecture seule aux secrets de Vault, en supposant que les secrets sont g谷r谷s par quelqu'un d'autre.

Valeurs des macros utilisateur

Il est possible de stocker secr豕tement les valeurs des macros utilisateur dans Vault.

Une valeur "secret Vault" d'une macro utilisateur contient un chemin de r谷f谷rence (comme 'chemin:cl谷', par exemple "secret/zabbix:password").

Les commandes suivantes peuvent 那tre utilis谷es pour d谷finir la valeur du chemin mentionn谷 dans l'exemple :

# Activer le point de montage "secret/" s'il n'est pas d谷j角 activ谷, notez que "kv-v2" doit 那tre utilis谷
       $ vault secrets enable -path=secret/ kv-v2
       
       # Mettre le nouveau secret avec le mot de passe cl谷 sous le point de montage "secret/" et le chemin "secret/zabbix"
       $vault kv put secret/zabbix password=<mot de passe>
       
       # Tester que le secret est ajout谷 avec succ豕s
       $ vault kv get secret/zabbix
       
       # Enfin testez avec Curl, notez que les "donn谷es" doivent 那tre ajout谷es manuellement apr豕s le point de montage et "/v1" avant le point de montage, voir 谷galement le param豕tre --capath
       $ curl --header "X-Vault-Token : <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix

La valeur secr豕te est r谷cup谷r谷e par le serveur 韓誥傭痔角 chaque actualisation des donn谷es de configuration et est stock谷e dans le cache de configuration. Le jeton d'authentification pour un acc豕s en lecture seule aux chemins de r谷f谷rence doit 那tre fourni dans la configuration du serveur (param豕tre 'VaultToken'). Si la valeur de la macro ne peut pas 那tre r谷cup谷r谷e avec succ豕s, l'谷l谷ment correspondant utilisant la valeur deviendra non pris en charge.

Il est 谷galement possible de d谷clencher l'actualisation des valeurs secr豕tes depuis Vault, gr?ce 角 l'option 'secrets_reload' de la ligne de commande.

Le proxy 韓誥傭痔 ne communique jamais avec Vault pour obtenir des secrets autres que les informations d'identification de la base de donn谷es. Les valeurs secr豕tes sur le proxy 韓誥傭痔 sont r谷cup谷r谷es 角 partir du serveur 韓誥傭痔角 chaque synchronisation de configuration et stock谷es dans le cache de configuration de la m那me mani豕re que sur le serveur 韓誥傭痔.

Cela signifie qu'un proxy 韓誥傭痔 ne peut pas d谷marrer la collecte de donn谷es apr豕s un red谷marrage tant qu'il n'a pas re?u la mise 角 jour des donn谷es de configuration du serveur 韓誥傭痔 pour la premi豕re fois. Le chiffrement doit 那tre activ谷 entre le serveur 韓誥傭痔 et le proxy ; sinon, un message d'avertissement du serveur est logg谷.

Identifiants de la base de donn谷es

Il est possible de stocker secr豕tement les informations d'identification de la base de donn谷es utilis谷es par le serveur 韓誥傭痔, les proxys et le frontend dans Vault :

Les param豕tres li谷s 角 Vault pour la r谷cup谷ration des informations d'identification de la base de donn谷es peuvent 那tre saisis en option dans l'interface assistant d'installation.

Les informations d'identification de la base de donn谷es r谷cup谷r谷es 角 partir de Vault seront mises en cache par l'interface. Notez que le r谷pertoire de fichiers temporaires du syst豕me de fichiers est utilis谷 pour la mise en cache des informations d'identification de la base de donn谷es dans le frontend. Vous pouvez utiliser la constante ZBX_DATA_CACHE_TTL pour contr?ler la fr谷quence d'actualisation/invalidation du cache de donn谷es.

Pour le serveur/proxy, le param豕tre de configuration VaultDBPath peut 那tre utilis谷 pour sp谷cifier le chemin 角 partir duquel les informations d'identification pour la base de donn谷es seront r谷cup谷r谷es par les cl谷s 'password' et 'username' (par exemple : secret/zabbix/database).

Les commandes suivantes peuvent 那tre utilis谷es pour d谷finir les valeurs du chemin mentionn谷 dans l'exemple :

# Activer le point de montage "secret/" s'il n'est pas d谷j角 activ谷, notez que "kv-v2" doit 那tre utilis谷
       $ vault secrets enable -path=secret/ kv-v2
       
       # Placez les nouveaux secrets avec les cl谷s username et password sous le point de montage "secret/" et le chemin "secret/zabbix/database"
       $ vault kv put secret/zabbix/database username=zabbix password=<password>
       
       # Tester que le secret est ajout谷 avec succ豕s
       $ vault kv get secret/zabbix/database
       
       # Enfin testez avec Curl, notez que les "donn谷es" doivent 那tre ajout谷es manuellement apr豕s le point de montage et "/v1" avant le point de montage, voir 谷galement le param豕tre --capath
       $ curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/database

Param豕tres de configuration

Pour le serveur/proxy 韓誥傭痔, de nouveaux param豕tres de configuration ont 谷t谷 ajout谷s pour l'authentification Vault et la r谷cup谷ration des informations d'identification de la base de donn谷es :

VaultToken - Jeton d'authentification de coffre-fort (voir le fichier de configuration server/proxy 韓誥傭痔 pour plus de d谷tails)
VaultURL - URL HTTP[S] du serveur de Vault
VaultDBPath - Chemin de Vault 角 partir duquel les informations d'identification pour la base de donn谷es seront r谷cup谷r谷es par les cl谷s 'password' et 'username' (par exemple : secret/zabbix/database)

Le serveur 韓誥傭痔 et le proxy 韓誥傭痔 lisent les param豕tres de configuration li谷s 角 Vault depuis zabbix_server.conf et zabbix_proxy.conf au d谷marrage.

Le serveur 韓誥傭痔 et le proxy 韓誥傭痔 liront en outre la variable d'environnement "VAULT_TOKEN" une fois au d谷marrage et la d谷sactiveront afin qu'elle ne soit pas disponible via des scripts externes ou mal intentionn谷s ; c'est une erreur si VaultToken et VAULT_TOKEN contiennent une valeur.

La barre oblique et les deux-points sont des symboles r谷serv谷s. La barre oblique ne peut 那tre utilis谷e que pour s谷parer le point de montage du chemin (par exemple, secret/zabbix o迄 le point de montage est "secret" et "zabbix" est le chemin) et, dans le cas des macros Vault, les deux-points ne peuvent 那tre utilis谷s que pour s谷parer le chemin de la cl谷. Il est possible d'encoder l'URL "/" et ":" s'il est n谷cessaire de cr谷er un point de montage avec un nom s谷par谷 par une barre oblique (par exemple, foo/bar/zabbix o迄 le point de montage est "foo/bar" et le chemin est " zabbix" comme "foo%2Fbar/zabbix") et si le nom ou le chemin du point de montage doit contenir deux-points.

Configuration TLS

Le certificat sign谷 par une autorit谷 de certification (CA) doit 那tre ajout谷 au magasin CA par d谷faut. Alternativement, un emplacement de magasin CA personnalis谷 peut 那tre sp谷cifi谷角 l'aide du param豕tre de configuration SSLCALocation ; notez que dans ce cas, le r谷pertoire du certificat doit 那tre pr谷par谷角 l'aide de l'utilitaire openssl c_rehash, par exemple configurez SSLCALocation et copiez "ca.pem" dans ce r谷pertoire, puis ex谷cutez la commande suivante?:

 $c_rehash .