Zabbix には、外部プログラムから Zabbix が管理する情報を取り扱うための仕組みとして、Zabbix API が存在します。
Zabbix API を使えば、Web UI を使わずにプログラムなどから Zabbix の各種情報、例えば登録されているホストの一覧や収集したホスト情報などを取得したり、新たな監視対象を登録したりできます。
筆者も Zabbix API を Python スクリプトから利用して、登録されている監視対象のホスト情報を取得して hogehoge して便利に活用しています。
さて、先の記事で Zabbix の Web UI にクライアント認証だけでログインできるようにしました。
これによって、Zabbix に対する不正アクセスを極端に減らせると喜んだのですが。
何というか、Zabbix API を使ったプログラムが軒並み動かなくなってしまいました。
先の記事で Zabbix 3.0 のフロントエンドにクライアント認証を追加しました。
しかし先の記事にも書いたとおり、これだけではStartSSL でクライアント証明書を発行した人 (StartSSL を利用ユーザーなど) 全員を承認してしまいます。
そこで、クライアント証明書に記述されている情報を使って、特定の証明書の所有者だけを承認するようにします。
さらに、せっかくクライアント認証で個人を特定するのですから、その情報を使って Zabbix にログインまでできるようにもしましょう。
レンタル サーバーに Zabbix をインストールして使っているユーザーはかなり多いと思います。
筆者も他聞に漏れず、レンタル サーバーに Zabbix をインストールして使っています。
正確にはレンタル サーバーというよりも、レンタル VPS サーバーですが。
Zabbix にはログイン フォームがあり、ここにユーザー名と正しいパスワードを入力して初めて使えます。
ログイン フォームは Web アプリケーションにとっては基本ですが、ネットワーク越しにユーザー名とパスワードの組を送ることになるのが不安です。
そこで SSL 化 (HTTPS ) して、ログイン フォームの前後だけでも通信路を暗号化して、ユーザー名とパスワードが平文のまま送られないようにしたりもします。
しかし、SSL で通信路を暗号化しても総当たり攻撃には無力なままです。
そこで、クライアント証明書によるクライアント認証で、Zabbix の不正利用を防ごうと思います。