Áú»¢¶Ä²©

1 CyberArk-configuratie

In deze sectie wordt uitgelegd hoe je Áú»¢¶Ä²© kunt configureren om geheimen op te halen uit CyberArk Vault CV12.

De kluis moet zijn ge?nstalleerd en geconfigureerd zoals beschreven in de offici?le .

Om meer te weten te komen over het configureren van TLS in Áú»¢¶Ä²©, zie Opslag van geheimen.

Database referenties

Toegang tot een geheim met database referenties wordt afzonderlijk geconfigureerd voor elke Áú»¢¶Ä²© component.

Server en proxies

Om database referenties uit de kluis te verkrijgen voor Áú»¢¶Ä²© server of proxy, specificeer je de volgende configuratieparameters in het configuratiebestand:

• Vault - welke kluisaanbieder moet worden gebruikt;
• VaultURL - HTTP[S] URL van de kluis server;
• VaultDBPath - query naar het kluisgeheim met database referenties die zullen worden opgehaald via sleutels "Content" en "UserName";
• VaultTLSCertFile, VaultTLSKeyFile - Bestandsnamen van SSL-certificaat en -sleutel; het instellen van deze opties is niet verplicht, maar sterk aanbevolen.

Áú»¢¶Ä²© server en Áú»¢¶Ä²© proxy lezen de kluisgerelateerde configuratieparameters uit de bestanden zabbix_server.conf en zabbix_proxy.conf bij het opstarten.

Voorbeeld

1. In zabbix_server.conf, specificeer de volgende parameters:

Vault=CyberArk
       VaultURL=https://127.0.0.1:1858
       VaultDBPath=AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database
       VaultTLSCertFile=cert.pem
       VaultTLSKeyFile=key.pem

2. Áú»¢¶Ä²© zal het volgende API-verzoek naar de kluis sturen:

curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. Het antwoord van de kluis bevat de sleutels "Content" en "UserName":

{
           "Content": <password>,
           "UserName": <username>,
           "Address": <address>,
           "Database": <Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

4. Als resultaat zal Áú»¢¶Ä²© de volgende referenties gebruiken voor database-authenticatie:

• Gebruikersnaam: <username>
• Wachtwoord: <password>

Frontend

Om database referenties uit de kluis te halen voor de Áú»¢¶Ä²© frontend, specificeert u de volgende parameters tijdens de frontend installatie.

1. Bij de stap Configureer DB-verbinding, stelt u de parameter Bewaar referenties in in op "CyberArk Vault".

2. Vervolgens vult u de aanvullende parameters in:

User-macro-waarden

Om de CyberArk Vault te gebruiken voor het opslaan van waarden voor gebruikersmacro's van het type Vault secret, zorg ervoor dat:

• Áú»¢¶Ä²©-server is geconfigureerd om samen te werken met CyberArk Vault;
• de parameter Vault provider in Beheer ¡ú Algemeen ¡ú Overig is ingesteld op "CyberArk Vault".

De macrowaarde moet een query bevatten (in de vorm van query:key).

Zie Vault secret macros voor gedetailleerde informatie over de verwerking van macrowaarden door Áú»¢¶Ä²©.

Query-syntax

Het dubbele punt-symbool (":") is gereserveerd om de query van de sleutel te scheiden.

Als een query zelf een schuine streep (/) of een dubbele punt bevat, moeten deze symbolen URL-gecodeerd worden ("%2F" voor "/", "%3A" voor ":").

Voorbeeld

1. Voeg in Áú»¢¶Ä²© een gebruikersmacro {$PASSWORD} toe van het type Vault secret en met de waarde AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix:Content

2. Áú»¢¶Ä²© zal de volgende API-aanvraag naar de kluis sturen:

curl \
       --header "Content type: application/json" \
       --cert cert.pem \
       --key key.pem \
       https://127.0.0.1:1858/AIMWebService/api/Accounts?AppID=zabbix_server&Query=Safe=passwordSafe;Object=zabbix_server_database

3. Het antwoord van de kluis zal de sleutel "Content" bevatten:

{
           "Content": <wachtwoord>,
           "UserName": <gebruikersnaam>,
           "Address": <adres>,
           "Database" :<Database>,
           "PasswordChangeInProcess":<PasswordChangeInProcess>
       }

4. Als resultaat zal Áú»¢¶Ä²© de macro {$PASSWORD} omzetten naar de waarde - <wachtwoord>

Bestaande configuratie bijwerken

Om een bestaande configuratie bij te werken voor het ophalen van geheimen uit een CyberArk Vault:

1. Werk de configuratieparameters in het Áú»¢¶Ä²©-server- of proxy-configuratiebestand bij zoals beschreven in de sectie Databasecredentials.

2. Werk de DB-verbinding instellingen bij door Áú»¢¶Ä²©-frontend opnieuw te configureren en de vereiste parameters op te geven zoals beschreven in de sectie Frontend. Om Áú»¢¶Ä²©-frontend opnieuw te configureren, open de frontend-instellings-URL in de browser:

• voor Apache: http://<server_ip_of_naam>/zabbix/setup.php
• voor Nginx: http://<server_ip_of_naam>/setup.php

Als alternatief kunnen deze parameters worden ingesteld in het frontend configuratiebestand (zabbix.conf.php):

$DB['VAULT']                    = 'CyberArk';
       $DB['VAULT_URL']                = 'https://127.0.0.1:1858';
       $DB['VAULT_DB_PATH']            = 'AppID=foo&Query=Safe=bar;Object=buzz';
       $DB['VAULT_TOKEN']              = '';
       $DB['VAULT_CERT_FILE']          = 'conf/certs/cyberark-cert.pem';
       $DB['VAULT_KEY_FILE']           = 'conf/certs/cyberark-key.pem';

3. Configureer gebruikersmacro's zoals beschreven in de sectie User macro values, indien nodig.

Om een bestaande configuratie bij te werken voor het ophalen van geheimen uit een HashiCorp Vault, zie HashiCorp configuratie.