Zabbix 6.0 インストールと管理画面のSSL設定メモ

Zabbix
Zabbix
スポンサーリンク

2022年2月14日 Zabbix 6.0 がリリース されました。約2年ぶりのメジャーバージョンアップです。Zabbix 6.0 は、長期サポート(LTS)リリースのためサポート期間が5年と長いのが特徴です。Zabbix 6.0 では ビジネスサービス監視機能の強化、Zabbixサーバーの HA(高可用性)クラスターの構築機能など、魅力的な機能がたくさん追加されています。そこで今回は、Zabbix 6.0 インストール手順と、今や必須となった Zabbix管理画面の SSL設定手順をまとめてみました。

Zabbix 6.0 の新機能と変更点

Zabbix 6.0 の新機能は以下の公式ドキュメントをご参照ください。

What's new in Zabbix 6.0 LTS
5 What's new in Zabbix 6.0.0 | Zabbix Documentation 6.0

Zabbix 6.0 ではデーターベースマネジメントシステムのサポートバージョンが変更になっています。MySQL はバージョン 8.0 以上のみのサポートに変更されています。Zabbix 6.0 では MySQL 5.x 系はサポートされないことに注意してください。

2 Requirements | Zabbix Documentation 6.0

サーバーOSの選定(RHEL系)

Zabbixサーバーを RHEL(Red Hat Enterprise Linux)系のサーバーOSにインストールする場合は、サポート期間の長い以下の Linuxディストリビューションをオススメします。いずれもサポート期限は2029年までが予定されています。

  • RHEL 8
  • AlmaLinux OS 8(RHELクローン)
  • Rocky Linux 8(RHELクローン)

関連記事:AlmaLinux と Rocky Linux の比較メモ(2021年9月版)

CentOS Stream 8 はサポート期限が2024年までのため、Zabbix 6.0 のサポート期限となる2027年より前にサーバーOSのサポートが終了してしまうことに留意する必要があります。

また、Zabbix 6.0 では PHP 8.0 がサポートされていません。RHEL 9(現在はベータ版)および CentOS Stream 9 は、PHP 8.0 が標準でインストールされるため、現時点では Zabbixサーバーのインストール先としては避けておいた方が無難でしょう。

今回は、AlmaLinux OS 8 に Zabbix 6.0 をインストールした時の手順になりますが、RHEL 8 や Rocky Linux 8 など RHEL系のサーバーOSであれば同様の手順でインストールおよび設定ができると思います。

MySQL 8.0 のインストールと設定

Zabbix 6.0 のインストールの前に、下準備として MySQL 8.0 をインストールして設定しておきましょう。

MySQL 8.0 のインストール

sudo dnf -y install mysql-devel
sudo dnf -y install mysql-server

・標準では MySQLのログの出力時間が UTC(協定世界時)になるため、MySQLの設定ファイルの最後の行に以下を追加します。(気にならなければそのままで構いません)
sudo vi /etc/my.cnf.d/mysql-server.cnf

log_timestamps=SYSTEM

MySQLの起動と自動起動設定

sudo systemctl enable --now mysqld

mysql_secure_installation の実行

初期状態では、rootユーザーがパスワードなしで MySQLに接続できるようになっていますのでパスワードを設定しておきます。

mysql_secure_installation コマンドを実行すると、root ユーザーのパスワードを変更し、不要なユーザーやDBも削除してくれます。パスワードは、8文字以上で英数大文字小文字と記号が含まれていないとポリシー違反で弾かれてしまいますので注意です。パスワードポリシーを変更したい場合は「--use-default」オプションなしで実行してください。

mysql_secure_installation --use-default
 
(略)
Please set the password for root here.
 
New password: <新しいパスワード>
 
Re-enter new password: <新しいパスワード>
(略)
Do you wish to continue with the password provided?(Press y|Y for Yes, any other key for No) : y
(不要なユーザーやDBを削除)
All done!

Zabbix 6.0 のインストール

本題の Zabbix 6.0 のインストールです。

Zabbix 6.0 のリポジトリを登録します。

sudo rpm -Uvh https://repo.zabbix.com/zabbix/6.0/rhel/8/x86_64/zabbix-release-6.0-1.el8.noarch.rpm

パッケージのキャッシュを削除しておきます。

sudo dnf clean all

Zabbix 6.0 関連のパッケージをインストールします。

sudo dnf -y install zabbix-server-mysql zabbix-web-mysql zabbix-apache-conf
sudo dnf -y install zabbix-web-japanese
sudo dnf -y install zabbix-selinux-policy
sudo dnf -y install zabbix-sql-scripts
sudo dnf -y install zabbix-agent
sudo dnf -y install zabbix-get

Zabbix データベースとユーザーの作成

MySQLに、Zabbix用のデータベース「zabbix」と、ユーザー「zabbix」を作成します。

mysql -u root -p
 
create database zabbix character set utf8mb4 collate utf8mb4_bin;
create user zabbix@localhost identified by '<パスワード>';
grant all on zabbix.* to zabbix@localhost;
quit;

(補足)Zabbix 6.0 から MySQL(および MariaDB)の文字セット「utf8mb4」と照合順序「utf8mb4_bin」がサポートされ、将来の問題を回避するために「utf8mb4」の利用が強く推奨されています。
2 Repairing Zabbix database character set and collation | Zabbix Documentation 6.0

Zabbix 用のデータベーススキーマとデータをインポート(時間がかかります)

zcat /usr/share/doc/zabbix-sql-scripts/mysql/server.sql.gz | mysql -uzabbix -p zabbix
 
Enter password: ←(MySQLのユーザー「zabbix」のパスワードを入力)

SELinux の設定

SELinux を有効にしている場合は、以下のコマンドを実行してポリシーを追加します。

sudo setsebool -P httpd_can_connect_zabbix on
sudo setsebool -P httpd_can_network_connect_db on

Zabbix サーバーの設定と起動

Zabbix サーバーの設定ファイルに、先ほど作成した MySQLのユーザー「zabbix」のパスワードを登録します。

sudo vi /etc/zabbix/zabbix_server.conf

# DBPassword=

DBPassword=<パスワード>

Zabbix サーバーの自動起動設定

sudo systemctl enable zabbix-server

Zabbix サーバーの起動

sudo systemctl start zabbix-server

Zabbix サーバーが起動していることを確認します。

sudo systemctl status zabbix-server
 
● zabbix-server.service - Zabbix Server
Loaded: loaded (/usr/lib/systemd/system/zabbix-server.service; enabled; vendor preset: disabled)
Active: active (running) since Tue 2022-03-01 05:54:47 JST; 8s ago
Process: 11286 ExecStart=/usr/sbin/zabbix_server -c $CONFFILE (code=exited, status=0/SUCCESS)
(略)

Apache httpd(SSL)の設定と起動

Zabbix 公式ドキュメントのベストプラクティスでは、Zabbixの管理画面(フロントエンドと呼ばれます)の SSL設定が推奨されていますので、Apache httpd および SSLの設定を行います。

Best practices for secure Zabbix setup | Zabbix Documentation 6.0

今回の設定手順では、Zabbixサーバーのドメイン名を「zabbix.example.com」として設定していますが、ご自分の環境に合わせて設定してください。

Apache httpd の基本設定

オリジナルの設定ファイルをバックアップ

sudo mv -i /etc/httpd/conf/httpd.conf /etc/httpd/conf/httpd.conf.org

・設定ファイルを作成します。
sudo vi /etc/httpd/conf/httpd.conf

自己署名の SSLサーバー証明書の作成

今回は自己署名の SSLサーバー証明書で設定を行いますが、可能であれば Let's Encrypt など、正規の認証局が発行した SSLサーバー証明書を使うことをオススメします。

関連記事:Let's Encrypt サーバー証明書の取得と自動更新設定メモ

秘密鍵の作成

openssl ecparam -name prime256v1 -genkey -out server.key

CSR(証明書署名要求)の作成(入力するのは Country Name と Common Name の2箇所だけです)

openssl req -new -key server.key > server.csr
 
Country Name (2 letter code) [XX]:JP
State or Province Name (full name) []:<空エンター>
Locality Name (eg, city) [Default City]:<空エンター>
Organization Name (eg, company) [Default Company Ltd]:<空エンター>
Organizational Unit Name (eg, section) []:<空エンター>
Common Name (eg, your name or your server's hostname) []:zabbix.example.com
Email Address []:<空エンター>
 
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:<空エンター>
An optional company name []:<空エンター>

SAN(Subject Alternative Name)フィールド設定用のファイルを作成します。Common Name に入力したドメイン名を設定してください。

echo 'subjectAltName=DNS:zabbix.example.com' > san.txt

SSLサーバー証明書の作成(有効期限30年)

openssl x509 -days 10950 -req -signkey server.key < server.csr > server.crt -extfile san.txt

秘密鍵とSSLサーバー証明書を移動

sudo mv -i server.key /etc/pki/tls/private/
sudo mv -i server.crt /etc/pki/tls/certs/

パーミッションを変更

sudo chmod 600 /etc/pki/tls/private/server.key
sudo chmod 600 /etc/pki/tls/certs/server.crt

SELinux を有効にしている場合は、秘密鍵とSSLサーバー証明書に正しいセキュリティコンテキストをつけておきましょう。(Apache httpd 起動時にエラーが発生することがあります)

restorecon /etc/pki/tls/private/server.key
restorecon /etc/pki/tls/certs/server.crt

CSRとSANフィールド設定用のファイルを削除

rm server.csr san.txt

SSL の設定

Apache httpd の SSLモジュールをインストールします。

sudo dnf -y install mod_ssl

オリジナルのSSL設定ファイルをバックアッップします

sudo mv -i /etc/httpd/conf.d/ssl.conf /etc/httpd/conf.d/ssl.conf.org

SSL設定ファイルを作成します。
sudo vi /etc/httpd/conf.d/ssl.conf

Apache httpd の自動起動を設定し起動ます。

sudo systemctl enable --now httpd

インデックスファイルの配置

今回の設定手順だとドキュメントルート直下にインデックスファイルが配置されないため、テストページが表示されてしまいます。必須ではありませんがインデックスファイルを配置しておくことをオススメします。

例えば下のようなインデックスファイルを配置しておけば、https://zabbix.example.com/ → https://zabbix.example.com/zabbix/ のようにリダイレクトしてくれるので便利です。

sudo vi /var/www/html/index.php

<?php
header('Location: /zabbix/');

PHP の設定と起動

・PHPの設定
sudo vi /etc/php.ini

expose_php = On
 ↓
expose_php = Off
 
;date.timezone =
 ↓
date.timezone = 'Asia/Tokyo'

php-fpm を自動起動を設定し起動します。

sudo systemctl enable --now php-fpm

Zabbix エージェントの起動と動作確認

動作確認用に Zabbix エージェントも起動しておきます。

sudo systemctl enable --now zabbix-agent

Zabbix エージェントの動作確認(Zabbixのバージョンが表示されればOKです)

zabbix_get -s 127.0.0.1 -k agent.version
6.0.1

firewalld設定

HTTP(80/tcp) と HTTPS(443/tcp) を開けておきます。

sudo firewall-cmd --add-port=80/tcp --permanent
sudo firewall-cmd --add-port=443/tcp --permanent
sudo firewall-cmd --reload

・確認
sudo firewall-cmd --list-all

public (default, active)
interfaces: enp0s3 enp0s8
sources:
services: dhcpv6-client ssh
ports: 443/tcp 80/tcp ←この表示があればOK
(略)

Zabbix の初期設定

ブラウザで下記URLを開き、初期設定を開始します(ドメイン名「zabbix.example.com」はご自分の環境に読替えてください)
https://zabbix.example.com/zabbix/

今回は日本語で設定しますので Default language「Japanese(ja_JP)」を選択して(選択すると以下の表示に変わります)「次のステップ」をクリックします。

Zabbixのデフォルトの言語の選択画面

前提条件のチェックがすべて「OK」であることを確認して「次のステップ」をクリックします。

Zabbixの前提条件のチェック画面

「パスワード」欄に、MySQLのユーザー(zabbix)のパスワードを入力し「次のステップ」をクリックします。

データベースの接続設定画面

適当なサーバー名を入力、デフォルトタイムゾーン「Asia/Tokyo」を選択し、お好みのデフォルトのテーマを選択したら「次のステップ」をクリックします。

設定画面

設定した内容の最終確認です。間違えがなければ「次のステップ」をクリックします。

インストール事前準備概要の確認画面

「終了」をクリックすれば、初期設定完了です。

Webインターフェースのインストールの終了画面

ユーザーパスワードの変更

初期設定が終了すると、Zabbixのログイン画面が表示されますので、下の初期ユーザーとパスワードでログインします。

ユーザー名:Admin
パスワード:zabbix

Zabbixのログイン画面

[管理]→[ユーザー] をクリックし、ユーザー名「Admin」をクリックします。

ユーザー設定画面 Adminユーザーをクリック

「パスワード変更」をクリックします。

Adminユーザー情報の設定画面

パスワードの入力欄が表示されますので、パスワードを入力し、「更新」をクリックすればユーザーパスワードの変更完了です。

Adminユーザーのパスワードを変更

初期状態でZabbixサーバー自身のホストが登録されていますので、しばらくしてから [監視データ]→[最新データ] をクリックすると、Zabbixサーバー自身の監視データを閲覧することができます。(Zabbix 6.0 から「データの概要」は削除されました)

Zabbixサーバー自身の監視データ

おわりに

ここ数年でビジネスはもちろん、行政サービスにおいてもデジタル化が急速に進んでいます。社会基盤となるサービスが正常に機能していることの監視や、障害を事前に予測することは、今後さらに求められるでしょう。冒頭にも書きましたが Zabbix 6.0 ではビジネスサービス監視機能など、それらの要望に応えられる機能が追加されています。ぜひ使いこなして活用したいですね。

コメント

タイトルとURLをコピーしました