Áú»¢¶Ä²©

°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨® de CyberArk

En aquesta ²õ±ð³¦³¦¾±¨® s'explica com configurar Áú»¢¶Ä²© per recuperar secrets de CyberArk Vault CV12.

El vault s'ha d'instal¡¤lar i configurar segons la [documentaci¨®] oficial de CyberArk (https://docs.cyberark.com/Product-Doc/OnlineHelp/PAS/12.1/en/Content/HomeTilesLPs/LP-Tile6.htm?tocpath=Installation%7C_____0).

Per obtindre informaci¨® sobre la configuraci¨® de TLS a Áú»¢¶Ä²©, consulteu la ²õ±ð³¦³¦¾±¨® Emmagatzematge de secrets.

Credencials de Base de dades

L'acc¨¦s a un secret amb credencials de base de dades es configura per a cada component Áú»¢¶Ä²© per separat.

Servidor i proxys

Per obtindre les credencials de la base de dades del servidor o proxy Áú»¢¶Ä²© des de la caixa de seguretat, especifiqueu els par¨¤metres de configuraci¨® seg¨¹ents al fitxer de configuraci¨®:

• Vault - quin prove?dor de vault s'ha d'emprar.
• VaultURL - URL HTTP[S] del servidor de vault.
• VaultDBPath - consulta al secret de la caixa forta que cont¨¦ les credencials de la base de dades. Les credencials es recuperaran mitjan?ant les claus "Contingut" i "Nom d'usuari" (aquesta opci¨® nom¨¦s es pot emprar si no s'han definit DBUser ni DBPassword).
• VaultTLSCertFile, VaultTLSKeyFile - Noms dels fitxers de clau i certificat SSL. Configurar aquestes opcions no ¨¦s obligatori, per¨° molt recomanable.
• VaulPrefix - prefix personalitzat de la ruta o consulta del vault, depenent del vault; si no s'especifica, s'empra per defecte el que escaigui millor.

El servidor Áú»¢¶Ä²© i el proxy Áú»¢¶Ä²© llegeixen els par¨¤metres de configuraci¨® relacionats amb la vault de zabbix_server.conf i zabbix_proxy.conf en iniciar-se.

Exemple

Especificar a zabbix_server.conf:

Vault=CyberArk
       VaultURL=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=key.pem
       VaultPrefix=/AIMWebService/api/Accounts? 

Áú»¢¶Ä²© enviar¨¤ aquesta petici¨® API al vault:

$ curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

Resposta del vault, de quines claus "Content" i "UserName" s'han de recuperar:

{
       "Content": <password>,
       "UserName": <username>,
       "Address": <address>,
       "Database" :<Database>,
       "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

Finalment, Áú»¢¶Ä²© emprar¨¤ les credencials seg¨¹ents per autenticar-se a la base de dades:

• Username: <username>
• Password: <password>

Tauler

Per obtindre les credencials de la base de dades per a la interf¨ªcie Áú»¢¶Ä²© des de la caixa de seguretat, especifiqueu la configuraci¨® necess¨¤ria durant la [instal¡¤laci¨®] de l'interf¨ªcie (/manual/installation/frontend).

1. A la passa Configurar la connexi¨® de la base de dades, configureu el par¨¤metre Emgatzemar les credencials a a "CyberArk Vault".

Tot seguit, empleneu els par¨¤metres addicionals:

Valors de macro d'usuari

Per emprar CyberArk Vault per emmagatzemar els valors de macro d'usuari Vault secret:

• Establiu el par¨¤metre Prove?dor de Vault a la interf¨ªcie web Administraci¨® -> General -> Altres ²õ±ð³¦³¦¾±¨® a CyberArk Vault.

• Assegureu-vos que el servidor Áú»¢¶Ä²© sigui configurat per treballar amb CyberArk Vault.

El valor de la macro ha de contindre una consulta (com a consulta:clau).

Consulteu Macros secretes de Vault per obtindre informaci¨® detallada sobre el processament de valors de macro per part de Áú»¢¶Ä²©.

Sintaxi de la consulta

El ²õ¨ªmbol de dos punts (:) es reserva per separar la consulta de la clau. Si una consulta cont¨¦ una barra inclinada o dos punts, aquests ²õ¨ªmbols haurien de ser codificats per URL (/ es codifica com a %2F, : es codifica com a %3A).

Exemple 1. A Áú»¢¶Ä²©: afegiu la macro d'usuari {$PASSWORD} amb el tipus Vault secret i el valor: AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Áú»¢¶Ä²© enviar¨¤ una petici¨® d'API a la vault:

    $ curl \
           --header "Content type: application/json" \
           --cert cert.pem \
           --key key.pem \
           https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. Resposta de Vault, de la qual s'ha de recuperar la clau "Content":

    {
           "Content": <password>,
           "UserName": <username>,
           "Address": <address>,
           "Database" :<Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
           }

4. Com a resultat, Áú»¢¶Ä²© resoldr¨¤ la macro {$PASSWORD} amb el valor - <password>

Actualitzar la configuraci¨® existent

Per actualitzar una configuraci¨® existent per recuperar secrets d'un CyberArk Vault:

1. Actualitzeu els par¨¤metres del fitxer de configuraci¨® del servidor Áú»¢¶Ä²© o del proxy tal com es descriu a la ²õ±ð³¦³¦¾±¨® Credencials de la base de dades.

2. Actualitzeu la configuraci¨® de la connexi¨® a la base de dades reconfigurant la interf¨ªcie Áú»¢¶Ä²© i especificant els par¨¤metres necessaris tal com es descriu a la ²õ±ð³¦³¦¾±¨® ±õ²Ô³Ù±ð°ù´Ú¨ª³¦¾±±ð. Per reconfigurar la interf¨ªcie de Áú»¢¶Ä²©, obriu l'URL de configuraci¨® de la interf¨ªcie al navegador:

• per a Apache: http://<server_ip_or_name>/zabbix/setup.php
• per a Nginx: http://<server_ip_or_name>/setup.php

Com a alternativa, aquests par¨¤metres es poden establir al fitxer de configuraci¨® del front-end (zabbix.conf.php):

$DB['VAULT'] = 'CyberArk';
       $DB['VAULT_URL'] = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH'] = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN'] = '';
       $DB['VAULT_CERT_FILE'] = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE'] = 'conf/certs/cyberark-key.pem';
       $DB['VAULT_PREFIX']= '';

3. Configureu les macros d'usuari tal com es descriu a la ²õ±ð³¦³¦¾±¨® Valors de macro d'usuari, si cal.

Per actualitzar una configuraci¨® existent per recuperar secrets d'una Vault de HashiCorp, consulteu °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨® de HashiCorp.