접근 제어

Zabbix v7.4번역일: 2026-08-20원본 보기

개요

이 절에서는 안전한 방식으로 접근 제어를 설정하기 위한 모범 사례를 설명합니다.

최소 권한 원칙

사용자 계정은 항상 가능한 한 적은 권한으로 실행해야 합니다. 즉, Zabbix 프론트엔드의 사용자 계정, 데이터베이스 사용자 또는 Zabbix 서버/프록시/에이전트 프로세스의 사용자는 의도한 기능을 수행하는 데 꼭 필요한 권한만 가져야 합니다.

'zabbix' 사용자에게 추가 권한을 부여하면 구성 파일에 접근하고 인프라 보안을 위협할 수 있는 작업을 실행할 수 있습니다.

사용자 계정 권한을 구성할 때는 Zabbix 프론트엔드 사용자 유형을 고려해야 합니다. 관리자 사용자 유형은 최고 관리자 사용자 유형보다 권한이 적지만, 여전히 구성을 관리하고 사용자 지정 스크립트를 실행할 수 있다는 점에 유의하십시오.

권한이 없는 사용자도 일부 정보에 접근할 수 있습니다. 예를 들어 경고 → 스크립트는 최고 관리자 사용자만 사용할 수 있지만, Zabbix API를 통해서도 스크립트를 가져올 수 있습니다. 이 경우 스크립트 권한을 제한하고 스크립트에서 민감한 정보(예: 접근 자격 증명)를 제외하면 전역 스크립트에 포함된 민감한 정보가 노출되는 것을 방지하는 데 도움이 됩니다.

Zabbix 에이전트용 보안 사용자

기본적으로 Zabbix 서버, 프록시 및 에이전트(또는 에이전트 2) 프로세스는 하나의 zabbix 사용자를 공유합니다. Zabbix 에이전트/에이전트 2(서버/프록시와 동일한 시스템에서 실행)가 서버/프록시 구성의 민감한 정보(예: 데이터베이스 자격 증명)에 접근하지 못하도록 하려면 에이전트를 다른 사용자로 실행해야 합니다.

Zabbix 에이전트의 경우:

  1. 안전한 그룹과 사용자(예: zabbix-agent)를 생성합니다.
  2. 에이전트 구성 파일의 User 매개변수에 이 사용자를 설정합니다.
  3. 새 사용자로 권한을 낮추도록 에이전트를 다시 시작합니다.

Zabbix 에이전트 2의 경우 서비스 수준에서 구성을 적용해야 합니다. 에이전트 2 구성 파일에서 User 매개변수를 지원하지 않기 때문입니다. 예시는 ZBX-26442를 참조하십시오.

SSL 구성에 대한 쓰기 접근 권한 취소(Windows)

Windows에서 Zabbix 에이전트를 컴파일했고 OpenSSL이 보호되지 않은 디렉터리(예: C:\zabbix, c:\openssl-64bit, C:\OpenSSL-Win64-111-static 또는 C:\dev\openssl)에 있는 경우, 관리자가 아닌 사용자의 해당 디렉터리 쓰기 접근 권한을 반드시 취소하십시오. 그렇지 않으면 에이전트가 권한이 없는 사용자가 수정할 수 있는 경로에서 SSL 설정을 불러오므로 잠재적인 보안 취약점이 발생할 수 있습니다.

Zabbix 구성 요소 보안 강화

Zabbix 구성 요소의 보안을 강화하기 위해 일부 기능을 끌 수 있습니다.

  • Zabbix 서버의 전역 스크립트 실행은 EnableGlobalScripts=0을 서버 구성에 설정하여 비활성화할 수 있습니다.
  • Zabbix 프록시의 전역 스크립트 실행은 기본적으로 비활성화되어 있습니다(EnableRemoteCommands=1을 프록시 구성에 설정하여 활성화할 수 있음).
  • Zabbix 에이전트의 전역 스크립트 실행은 기본적으로 비활성화되어 있습니다(허용할 각 명령에 대한 AllowKey=system.run[<command>,*] 매개변수를 에이전트 구성에 추가하여 활성화할 수 있음).
  • 사용자 HTTP 인증은 $ALLOW_HTTP_AUTH=false를 프론트엔드 구성 파일(zabbix.conf.php)에 설정하여 비활성화할 수 있습니다. 프론트엔드를 다시 설치하면(setup.php 실행) 이 매개변수가 제거된다는 점에 유의하십시오.

Windows에서 Zabbix 에이전트의 UNC 경로 접근

Windows의 Zabbix 에이전트는 UNC 경로(\\server\share\file.txt와 같은 SMB 공유)를 vfs.file.*, vfs.dir.*, modbus.get 및 perf_counter* 같은 항목에서 따릅니다. 이는 일부 상황에서 보안 위험이 될 수 있습니다.

Windows에 UNC 경로 접근을 요청하면 해당 서버에서 인증을 시도합니다. 즉, Zabbix 에이전트에 대한 악의적인 요청으로 인해 요청자의 서버에 NTLM 해시가 노출될 수 있습니다. 필요한 경우 사용자는 AllowKey, DenyKey 구성 매개변수를 사용하여 이를 완화할 수 있습니다.