Áú»¢¶Ä²©

1 °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de CyberArk

Esta secci¨®n explica c¨®mo configurar Áú»¢¶Ä²© para recuperar secretos de CyberArk Vault CV12.

La b¨®veda debe instalarse y configurarse como se describe en la [documentaci¨®n oficial de CyberArk] (https://docs.cyberark.com/Product-Doc/OnlineHelp/PAS/12.1/en/Content/HomeTilesLPs/LP-Tile6.htm?tocpath =Instalaci¨®n%7C_____0).

Para obtener informaci¨®n sobre c¨®mo configurar TLS en Áú»¢¶Ä²©, consulte Almacenamiento de secretos.

Credenciales de base de datos

El acceso a un secreto con credenciales de base de datos se configura para cada componente de Áú»¢¶Ä²© por separado.

Servidor y servidores proxy

Para obtener las credenciales de la base de datos del almac¨¦n para el servidor o proxy Áú»¢¶Ä²©, especifique los siguientes par¨¢metros de configuraci¨®n en el archivo de configuraci¨®n:

• Vault: qu¨¦ proveedor de b¨®veda se debe utilizar;
• VaultURL - URL HTTP[S] del servidor de b¨®veda;
• VaultDBPath: consulta al secreto de la b¨®veda que contiene las credenciales de la base de datos que se recuperar¨¢n mediante las claves "Contenido" y "Nombre de usuario";
• VaultTLSCertFile, VaultTLSKeyFile: certificado SSL y nombres de archivos clave; Configurar estas opciones no es obligatorio, pero ²õ¨ª muy recomendable.

El servidor Áú»¢¶Ä²© y el proxy Áú»¢¶Ä²© leen los par¨¢metros de configuraci¨®n relacionados con la b¨®veda de los archivos zabbix_server.conf y zabbix_proxy.conf al inicio.

Ejemplo

1. En zabbix_server.conf, especifique los siguientes par¨¢metros:

Vault=CyberArk
       VaultURL=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=key.pem

2. Áú»¢¶Ä²© enviar¨¢ la siguiente solicitud API a la b¨®veda:

curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta de la b¨®veda contendr¨¢ las claves "Content" y "UserName":

{
           "Content": <contrase?a>,
           "Content": <nombre de usuario>,
           "Address": &±ô³Ù;»å¾±°ù±ð³¦³¦¾±¨®²Ô&²µ³Ù;,
           "DatabasePasswordChangeInProcess": <Base de datos>,
           "PasswordChangeInProcess":<Cambio de contrase?a en proceso>
       }

4. Como resultado, Áú»¢¶Ä²© utilizar¨¢ las siguientes credenciales para la autenticaci¨®n de la base de datos:

• Nombre de usuario: <nombre de usuario>
• Contrase?a: <contrase?a>

Interfaz

Para obtener las credenciales de la base de datos de la b¨®veda para la interfaz de Áú»¢¶Ä²©, especifique los siguientes par¨¢metros durante la ¾±²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô de la interfaz.

1. En el paso Configurar conexi¨®n de base de datos, establezca el par¨¢metro Almacenar credenciales en en "CyberArk Vault".

2. Luego, complete los par¨¢metros adicionales:

Valores de macro de usuario

Para utilizar CyberArk Vault para almacenar valores de macro de usuario secretos de Vault, aseg¨²rese de que:

• El servidor Áú»¢¶Ä²© est¨¢ configurado para funcionar con CyberArk Vault;
• el par¨¢metro Proveedor de b¨®veda en Administraci¨®n ¡ú General ¡ú Otros est¨¢ configurado en "CyberArk Vault".

El valor de la macro debe contener una consulta (como consulta:clave).

Consulte Macros secretas de Vault para obtener informaci¨®n detallada sobre el procesamiento de valores de macro por parte de Áú»¢¶Ä²©.

Sintaxis de consulta

El ²õ¨ªmbolo de dos puntos (":") est¨¢ reservado para separar la consulta de la clave.

Si una consulta contiene una barra diagonal o dos puntos, estos ²õ¨ªmbolos deben estar codificados en URL ("/" est¨¢ codificado como "%2F", ":" est¨¢ codificado como "%3A").

Ejemplo

1. En Áú»¢¶Ä²©, agregue una macro de usuario {$PASSWORD} de tipo Vault secret y con el valor AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Áú»¢¶Ä²© enviar¨¢ la siguiente solicitud API a la b¨®veda:

curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. La respuesta del almac¨¦n contendr¨¢ la clave "Content":

{
           "Content": <contrase?a>,
           "UserName": <nombre de usuario>,
           "Address": &±ô³Ù;»å¾±°ù±ð³¦³¦¾±¨®²Ô&²µ³Ù;,
           "Database":<Base de datos>,
           "PasswordChangeInProcess":<Cambio de contrase?a en proceso>
       }

4. Como resultado, Áú»¢¶Ä²© resolver¨¢ la macro {$PASSWORD} al valor - <contrase?a>

Actualizar la configuraci¨®n existente

Para actualizar una configuraci¨®n existente para recuperar secretos de CyberArk Vault:

1. Actualice los par¨¢metros del servidor Áú»¢¶Ä²© o del archivo de configuraci¨®n del proxy como se describe en la secci¨®n Credenciales de base de datos.

2. Actualice la configuraci¨®n de la conexi¨®n de base de datos reconfigurando la interfaz de Áú»¢¶Ä²© y especificando los par¨¢metros requeridos como se describe en la secci¨®n Frontend. Para reconfigurar la interfaz de Áú»¢¶Ä²©, abra la URL de configuraci¨®n de la interfaz en el navegador:

• para Apache: http://<server_ip_or_name>/zabbix/setup.php
• para Nginx: http://<server_ip_or_name>/setup.php

Alternativamente, estos par¨¢metros se pueden configurar en el archivo de configuraci¨®n de frontend (zabbix.conf.php):

$DB['VAULT'] = 'CyberArk';
       $DB['VAULT_URL'] = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH'] = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN'] = '';
       $DB['VAULT_CERT_FILE'] = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE'] = 'conf/certs/cyberark-key.pem';

3. Configure las macros de usuario como se describe en la secci¨®n Valores de macro de usuario, si es necesario.

Para actualizar una configuraci¨®n existente para recuperar secretos de una b¨®veda de HashiCorp, consulte °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de HashiCorp.