시크릿 매크로
개요
Zabbix는 사용자 매크로 값의 민감한 정보를 보호하기 위해 두 가지 방법을 제공합니다:
- 시크릿 텍스트
- Vault 시크릿
시크릿 매크로의 값은 가려져 있지만, 아이템에서 사용될 때 노출될 수 있습니다.
예를 들어, 외부 스크립트에서 시크릿 매크로를 참조하는 echo 문을 사용하면 프론트엔드에 매크로 값이 노출될 수 있는데, 이는 Zabbix server가 실제 매크로 값에 접근 권한을 가지고 있기 때문입니다.
시크릿 매크로 값이 마스킹되지 않는 위치를 참고하세요.
시크릿 매크로는 트리거 표현식에서 사용할 수 없습니다.
시크릿 텍스트
시크릿 텍스트 매크로를 사용하면 매크로 값이 별표(asterisk)로 마스킹됩니다.
매크로 값을 시크릿으로 설정하려면, Value 필드 끝에 있는 버튼을 클릭하고 Secret text 옵션을 선택하세요:
설정을 저장하면 더 이상 값을 볼 수 없게 됩니다.
매크로 값을 변경하려면, Value 필드에 마우스를 올린 후 (마우스오버 시 나타나는) Set new value 버튼을 클릭하세요:
Set new value 버튼을 클릭하거나 매크로 값 유형을 변경하면 현재 값이 삭제됩니다.
Value 필드 끝에 있는 
화살표를 클릭하면 원래 값을 복원할 수 있습니다(새 설정을 저장하기 전에만 가능).
원래 값을 복원해도 값이 노출되지는 않습니다.
시크릿 매크로가 포함된 URL은 작동하지 않는데, URL 안의 매크로가 "******"로 치환되기 때문입니다.
Vault 시크릿
Vault 시크릿 매크로를 사용하면 매크로 값이 외부 시크릿 관리 소프트웨어(vault)에 저장됩니다.
Vault 시크릿 매크로를 설정하려면, Value 필드 끝에 있는 버튼을 클릭하고 Vault secret 옵션을 선택하세요:
매크로 값은 vault 시크릿을 가리켜야 합니다. 입력 형식은 vault 제공자에 따라 다릅니다. 제공자별 설정 예시는 다음을 참고하세요:
Vault 시크릿 매크로 값은 설정 데이터가 갱신될 때마다 Zabbix server(그리고 Resolve secret vault macros by가 설정되어 Zabbix server and proxy인 경우 Zabbix proxy도)에 의해 vault에서 조회되어 설정 캐시에 저장됩니다. Zabbix server와 Zabbix proxy는 서로 다른 vault를 사용할 수 있습니다.
Resolve secret vault macros by가 설정되어 Zabbix server인 경우, vault 시크릿은 server에서만 조회되며 Zabbix proxy는 매 설정 동기화마다 Zabbix server로부터 Vault 시크릿 매크로 값을 전달받아 자체 설정 캐시에 저장합니다. 즉, Zabbix proxy는 재시작 후 Zabbix server로부터 설정 업데이트를 받기 전까지는 데이터 수집을 시작할 수 없습니다.
vault에서 시크릿 값을 수동으로 새로고침하려면, secrets_reload 런타임 제어 옵션을 사용하세요(server 전용).
Zabbix server와 proxy 사이에는 암호화가 활성화되어 있어야 합니다. 그렇지 않으면 server 경고 메시지가 기록됩니다.
매크로 값을 정상적으로 조회하지 못하면, 해당 값을 사용하는 아이템은 지원되지 않음(unsupported) 상태가 됩니다.
마스킹되지 않는 위치
이 목록은 시크릿 매크로 값이 마스킹되지 않는 파라미터 위치를 보여줍니다.
아래 위치에서도 간접적으로 참조되는 경우에는 시크릿 매크로 값이 계속 마스킹된 상태로 유지됩니다.
예를 들어, 미디어 타입(Script 또는 Webhook 파라미터)에서 사용된 {ITEM.KEY}, {ITEM.KEY<1-9>}, {LLDRULE.KEY} 내장 매크로는 net.tcp.port[192.0.2.1,80]이 아니라 net.tcp.port[******,******]처럼 마스킹된 시크릿 매크로가 포함된 아이템 키로 치환됩니다.
| 구분 | < | 파라미터 |
|---|---|---|
| 아이템, 아이템 프로토타입, LLD 규칙 | < | < |
| 아이템 | 아이템 키 파라미터 | |
| ^ | 아이템 프로토타입 | 아이템 프로토타입 키 파라미터 |
| ^ | Low-level discovery 규칙 | 디스커버리 아이템 키 파라미터 |
| ^ | SNMP 에이전트 | SNMP 커뮤니티 |
| ^ | ^ | 컨텍스트 이름 (SNMPv3) |
| ^ | ^ | 보안 이름 (SNMPv3) |
| ^ | ^ | 인증 암호 (SNMPv3) |
| ^ | ^ | 프라이버시 암호 (SNMPv3) |
| ^ | HTTP 에이전트 | URL |
| ^ | ^ | 쿼리 필드 |
| ^ | ^ | 요청 본문 |
| ^ | ^ | 헤더 |
| ^ | ^ | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | ^ | SSL 키 암호 |
| ^ | Script | 파라미터 |
| ^ | ^ | 스크립트 |
| ^ | Browser | 파라미터 |
| ^ | ^ | 스크립트 |
| ^ | Database monitor | SQL 쿼리 |
| ^ | TELNET 에이전트 | 스크립트 |
| ^ | ^ | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | SSH 에이전트 | 스크립트 |
| ^ | ^ | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | Simple check | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | JMX 에이전트 | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| 아이템 값 전처리 | < | < |
| JavaScript 전처리 단계 | 스크립트 | |
| 웹 시나리오 | < | < |
| 웹 시나리오 | 변수 값 | |
| ^ | ^ | 헤더 값 |
| ^ | ^ | URL |
| ^ | ^ | 쿼리 필드 값 |
| ^ | ^ | Post 필드 값 |
| ^ | ^ | Raw post |
| ^ | 웹 시나리오 인증 | 사용자 |
| ^ | ^ | 비밀번호 |
| ^ | ^ | SSL 키 암호 |
| 커넥터 | < | < |
| 커넥터 | URL | |
| ^ | ^ | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | ^ | 토큰 |
| ^ | ^ | HTTP 프록시 |
| ^ | ^ | SSL 인증서 파일 |
| ^ | ^ | SSL 키 파일 |
| ^ | ^ | SSL 키 암호 |
| 네트워크 디스커버리 | < | < |
| SNMP | SNMP 커뮤니티 | |
| ^ | ^ | 컨텍스트 이름 (SNMPv3) |
| ^ | ^ | 보안 이름 (SNMPv3) |
| ^ | ^ | 인증 암호 (SNMPv3) |
| ^ | ^ | 프라이버시 암호 (SNMPv3) |
| 전역 스크립트 | < | < |
| Webhook | JavaScript 스크립트 | |
| ^ | ^ | JavaScript 스크립트 파라미터 값 |
| ^ | Telnet | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | SSH | 사용자 이름 |
| ^ | ^ | 비밀번호 |
| ^ | Script | 스크립트 |
| 미디어 타입 | < | < |
| Script | 스크립트 파라미터 | |
| ^ | Webhook | 파라미터 |
| IPMI 관리 | < | < |
| 호스트 | 사용자 이름 | |
| ^ | ^ | 비밀번호 |