시크릿 저장소

개요

Zabbix는 안전한 볼트(vault)에서 민감한 정보를 가져오도록 구성할 수 있습니다. 다음 시크릿 관리 서비스를 지원합니다: HashiCorp Vault KV Secrets Engine - Version 2, CyberArk Vault CV12.

시크릿은 다음을 가져오는 데 사용할 수 있습니다:

• 사용자 매크로 값
• 데이터베이스 접근 자격 증명

Zabbix는 볼트 내 시크릿에 대해 읽기 전용 접근만 제공하며, 시크릿은 다른 누군가에 의해 관리된다고 가정합니다.

특정 볼트 제공자 구성에 대한 정보는 다음을 참고하세요:

• HashiCorp 구성
• CyberArk 구성

시크릿 값 캐싱

기본적으로 볼트 시크릿 매크로 값은 구성 데이터가 갱신될 때마다 Zabbix server가 가져와 구성 캐시에 저장합니다. Zabbix proxy는 구성 동기화 시마다 Zabbix server로부터 볼트 시크릿 매크로 값을 받아 자체 구성 캐시에 저장합니다.

Zabbix server와 Zabbix proxy가 매크로 값을 각각 독립적으로 가져오도록 구성하는 것도 가능합니다.

볼트로부터 캐시된 시크릿 값의 갱신을 수동으로 트리거하려면 'secrets_reload' 명령줄 옵션을 사용하세요.

Zabbix 프런트엔드 데이터베이스 자격 증명 캐싱은 기본적으로 비활성화되어 있지만, zabbix.conf.php에서 $DB['VAULT_CACHE'] = true 옵션을 설정하여 활성화할 수 있습니다. 자격 증명은 파일 시스템 임시 파일 디렉터리를 사용하는 로컬 캐시에 저장됩니다. 웹 서버는 전용 임시 폴더에 쓰기를 허용해야 합니다(예를 들어 Apache의 경우 구성 옵션 PrivateTmp=True가 설정되어야 합니다). 데이터 캐시가 얼마나 자주 갱신/무효화되는지 제어하려면 ZBX_DATA_CACHE_TTL 상수를 사용하세요.

TLS 구성

Zabbix 구성 요소와 볼트 간 통신을 위해 TLS를 구성하려면, 인증 기관(CA)이 서명한 인증서를 시스템 전역 기본 CA 저장소에 추가하세요. 다른 위치를 사용하려면 SSLCALocation Zabbix server/proxy 구성 매개변수에 디렉터리를 지정하고, 해당 디렉터리 안에 인증서 파일을 넣은 다음 CLI 명령을 실행하세요:

c_rehash .