Áú»¢¶Ä²©

2 °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨® de HashiCorp

Vista general

Aquesta secci¨® explica com configurar Áú»¢¶Ä²© per recuperar secrets de HashiCorp Vault KV Secrets Engine - versi¨® 2.

La vault s'ha de desplegar i configurar segons la [documentaci¨®] oficial de HashiCorp (https://www.vaultproject.io/docs/secrets/kv/kv-v2).

Per obtindre m¨¦s informaci¨® sobre la configuraci¨® de TLS a Áú»¢¶Ä²©, consulteu la secci¨® Emmagatzematge de secrets.

Recuperar les credencials de Base de dades

Per accedir a un secret amb credencials de base de dades, cal configurar ambdues:

• Servidor/proxy Áú»¢¶Ä²©
• Interf¨ªcie de Áú»¢¶Ä²©

Servidor i proxy

Per obtindre les credencials de la base de dades del servidor o proxy Áú»¢¶Ä²© des de la vault, especifiqueu els par¨¤metres de configuraci¨® seg¨¹ents al fitxer de configuraci¨®:

• Vault - quin prove?dor de vault s'ha d'emprar;
• VaultToken - testimoni d'autenticaci¨® de vault (veieu el fitxer de configuraci¨® del servidor/proxy Áú»¢¶Ä²© per a m¨¦s informaci¨®);
• VaultURL - URL HTTP[S] del servidor de vault;
• VaultDBPath - cam¨ª al secret de la vault que cont¨¦ les credencials de la base de dades (aquesta opci¨® nom¨¦s es pot emprar si no s'han definit DBUser ni DBPassword); el servidor o el proxy Áú»¢¶Ä²© recuperaran les credencials mitjan?ant les claus "mot de pas" i "nom d'usuari"; -VaultPrefix - prefix personalitzat de la ruta o consulta del vault, depenent d'aquest mateix; si no s'especifica, s'empra el valor per de fecte m¨¦s escaient.

El servidor Áú»¢¶Ä²© i el proxy Áú»¢¶Ä²© llegeixen els par¨¤metres de configuraci¨® relacionats amb la vault de zabbix_server.conf i zabbix_proxy.conf en iniciar-se. A m¨¦s, el servidor Áú»¢¶Ä²© i el proxy Áú»¢¶Ä²© tamb¨¦ llegiran la variable d'entorn VAULT_TOKEN una vegada durant l'inici i la desactivaran de manera que no sigui disponible mitjan?ant scripts bifurcats; ¨¦s un error si tant VaultToken com VAULT_TOKEN contenen valor.

Exemple

1. Especifiqueu a zabbix_server.conf:

    Vault=HashiCorp
           VaultToken=hvs.CAESIIG_PILmULFYOsEyWHxkZ2mF2a8VPKNLE8eHqd4autYGGh4KHGh2cy5aeTY0NFNSaUp3ZnpWbDF1RUNjUkNTZEg
           VaultURL=https://127.0.0.1:8200
           VaultDBPath=database
           VaultPrefix=/v1/secret/data/zabbix/

2. Executeu les ordres CLI seg¨¹ents per crear el secret necessari al magatzem de claus:

# Habiliteu el punt de muntatge "secret/" si encara no ¨¦s habilitat, tingueu en compte que s'ha d'emprar "kv-v2"
       vault secrets enable -path=secret/ kv-v2
       
        # Poseu nous secrets amb el nom d'usuari i el mot de pas de les claus al punt de muntatge "secret/" i el cam¨ª "secret/zabbix/base de dades"
       vault kv put -mount=secret zabbix/database username=zabbix password=<password>
       
       # Valideu que el secret s'ha afegit correctament
       vault kv get secret/zabbix/database
       
       # Finalment, proveu amb Curl, tingueu en compte que les "dades" s'han d'afegir manualment despr¨¦s del punt de muntatge i "/v1" abans del punt de muntatge, veieu tamb¨¦ el par¨¤metre --capath
       curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/database

3. Com a resultat d'aquesta configuraci¨®, el servidor Áú»¢¶Ä²© recuperar¨¤ les credencials seg¨¹ents per a l'autenticaci¨® de la base de dades:

• Username: zabbix
• Password: <password>

Tauler

Per obtindre les credencials de la base de dades per a la interf¨ªcie Áú»¢¶Ä²© des de la caixa de seguretat, especifiqueu la configuraci¨® necess¨¤ria durant la [instal¡¤laci¨®] (/manual/installation/frontend) de la interf¨ªcie o actualitzant l'arxiu de configuraci¨® de la interf¨ªcie (zabbix.conf.php).

Durant la instal¡¤laci¨® de la interf¨ªcie, els par¨¤metres de configuraci¨® s'han d'especificar a la passa Configurar la connexi¨® de base de dades:

• Establiu el par¨¤metre Emgatzemar credencials a a "HashiCorp Vault".

• Especifiqueu els par¨¤metres de connexi¨®:

Recuperar valors de macro d'usuari

Per emprar HashiCorp Vault per emmagatzemar els valors de macro d'usuari Vault secret, assegureu-vos que:

• El servidor Áú»¢¶Ä²© ¨¦s configurat per treballar amb HashiCorp Vault;
• el par¨¤metre Prove?dor de Vault a Administraci¨® ¡ú General ¡ú Altres s'estableix a "HashiCorp Vault" (per defecte).

El valor de la macro ha de contindre un cam¨ª de refer¨¨ncia (com a ³¦²¹³¾¨ª:³¦±ô²¹³Ü, per exemple, zabbix:mot_de_pas). El testimoni d'autenticaci¨® especificat durant la configuraci¨® del servidor Áú»¢¶Ä²© (pel par¨¤metre VaultToken) ha de proporcionar acc¨¦s nom¨¦s de lectura a aquest cam¨ª.

Veieu Vault secret macros per obtindre informaci¨® detallada sobre el processament de valors de macro per Áú»¢¶Ä²©.

Sintaxi de la ruta

Els ²õ¨ªmbols barra inclinada ("/") i dos punts (":") s¨®n reservats.

Una barra inclinada nom¨¦s es pot emprar per separar un punt de muntatge d'un cam¨ª (per exemple, secret/zabbix on el punt de muntatge ¨¦s "secret" i "zabbix" ¨¦s el cam¨ª) i, en el cas de les macros de Vault, els dos punts nom¨¦s poden emprar-se per separar una ruta/consulta d'una clau.

?s possible codificar URL "/" i ":" si cal crear un punt de muntatge amb el nom separat per una barra inclinada (per exemple, foo/bar/zabbix, on el punt de muntatge ¨¦s " foo/bar" i el cam¨ª ¨¦s "zabbix", com "foo%2Fbar/zabbix") i si el nom del punt de muntatge o el cam¨ª ha de contindre dos punts.

Exemple

1. A Áú»¢¶Ä²©: afegiu la macro d'usuari {$PASSWORD} amb el tipus "Vault secret" i el valor macros:password

2. Executeu les ordres CLI seg¨¹ents per crear el secret necessari al magatzem:

     # Habiliteu el punt de muntatge "secret/" si encara no ¨¦s habilitat, tingueu en compte que s'ha d'emprar "kv-v2"
           vault secrets enable -path=secret/ kv-v2
       
            # Poseu un nou secret amb el "mot de pas" de la clau sota el punt de muntatge "secret/" i el cam¨ª "zabbix/macros"
           vault kv put -mount=secret zabbix/macros password=<password>
       
            # Comproveu que el secret s'ha afegit correctament
           vault kv get secret/zabbix/macros
       
            # Finalment, proveu amb Curl, tingueu en compte que les "dades" s'han d'afegir manualment despr¨¦s del punt de muntatge i "/v1" abans del punt de muntatge, veieu tamb¨¦ el par¨¤metre --capath
           curl --header "X-Vault-Token: <VaultToken>" https://127.0.0.1:8200/v1/secret/data/zabbix/macros

3. Ara la macro {$PASSWORD} es resoldr¨¤ amb el valor: <password>

S'est¨¤ actualitzant la configuraci¨® existent

Per actualitzar una configuraci¨® existent per recuperar secrets d'una volta de HashiCorp:

1. Actualitzeu els par¨¤metres del fitxer de configuraci¨® del servidor Áú»¢¶Ä²© o del servidor intermediari tal com es descriu a la secci¨® Credencials de la base de dades.

2. Actualitzeu la configuraci¨® de la connexi¨® a la base de dades reconfigurant la interf¨ªcie Áú»¢¶Ä²© i especificant els par¨¤metres necessaris tal com es descriu a la secci¨® Frontend. Per reconfigurar la interf¨ªcie de Áú»¢¶Ä²©, obriu l'URL de configuraci¨® de la interf¨ªcie al navegador:

• per a Apache: http://<server_ip_or_name>/zabbix/setup.php
• per a Nginx: http://<server_ip_or_name>/setup.php

Com a alternativa, aquests par¨¤metres es poden establir al fitxer de configuraci¨® d la interf¨ªcie (zabbix.conf.php):

$DB['VAULT'] = 'HashiCorp';
       $DB['VAULT_URL'] = 'https://localhost:8200';
       $DB['VAULT_DB_PATH'] = 'database';
       $DB['VAULT_TOKEN'] = '<mytoken>';
       $DB['VAULT_CERT_FILE'] = '';
       $DB['VAULT_KEY_FILE'] = '';
       $DB['VAULT_PREFIX'] = '/v1/secret/data/zabbix';

3. Configureu les macros d'usuari tal com es descriu a la secci¨® Valors de macro d'usuari, si cal.

Per actualitzar una configuraci¨® existent per recuperar secrets d'un CyberArk Vault, consulteu CyberArk configuration.