Modification de Icinga2 pour utiliser le modèle maître / client sur CentOS 6 ou CentOS 7

• Conditions préalables
• Étape 1: mettre à jour le système
• Étape 2: installer les packages requis
• Étape 3: configurer la base de données
• Étape 4: initialiser le maître
• Étape 5: initialiser le client
• Étape 6: configurer le client
• Étape 7: ajouter un client à la configuration principale
• Étape 8: commandes et vérifications personnalisées

Icinga2 est un système de surveillance puissant et, lorsqu'il est utilisé dans un modèle maître-client, il peut remplacer le besoin de contrôles de surveillance basés sur NRPE. Le modèle maître-client est plus sûr pour diverses raisons . Il permet également une surveillance plus distribuée en permettant aux contrôles d'être modifiés sur un serveur et de se propager aux autres. Il fournit également un emplacement centralisé pour les modifications.

Par exemple: supposons que vous disposez de 4 serveurs Web à charge équilibrée différents. Si vous savez que vous allez avoir un pic de charge à venir (peut-être une vente ou quelque chose pour lequel vous prévoyez beaucoup d'activité), vous voudrez peut-être augmenter les niveaux auxquels une utilisation élevée du processeur alerte les administrateurs système. Si vous utilisez des vérifications NRPE, vous devrez vous rendre sur chaque serveur et modifier le /etc/nrpe.d/common_commands.cfgdocument sur chacun d'eux. Dans le modèle maître-client, vous pouvez simplement modifier leurs définitions d'hôte dans le /etc/icinga2/repository.d/hosts/dossier, puis recharger Icinga. Les chèques se propageront à chaque serveur et seront récupérés automatiquement. Vous pouvez également ajouter des vérifications très facilement en modifiant les /etc/icinga2/repository.d/services/fichiers, et ils se propageront automatiquement et seront reconnus, tant que les plug-ins existent sur les serveurs clients.

Conditions préalables

• Une instance de serveur avec Icinga2 et Icingaweb2 déjà installé et configuré ( instructions ) nommé icinga2master.example.com.
• Une nouvelle instance de serveur Vultr CentOS 6 ou 7 que vous souhaitez surveiller nommée icinga2client.example.com.
• Accès Sudo.

Une partie de ce guide reflétera les instructions d'installation répertoriées ci-dessus, mais cela doit être fait sur la machine client et non sur la machine serveur.

Étape 1: mettre à jour le système

Ajoutez le référentiel "ICINGA" au système client pour installer les packages Icinga.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Étape 2: installer les packages requis

Installez les packages requis.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 utilise MariaDB au lieu de MySQL, les packages nécessaires sont donc légèrement différents. Démarrez les services et configurez-les pour qu'ils démarrent au démarrage.

sudo chkconfig icinga2 on
sudo service icinga2 start

Configurez le service MySQL pour qu'il démarre au démarrage et démarrez-le maintenant afin que nous puissions le sécuriser.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Sécurisez l'installation MySQL / MariaDB. CentOS 6 et 7 utilisent la même commande.

sudo mysql_secure_installation

Pendant le processus, répondez aux questions comme indiqué:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Notez $newRootPasswordque vous en aurez besoin plusieurs fois, et c'est difficile de réinitialiser.

Étape 3: configurer la base de données

Vous devez créer le icinganom d'utilisateur et importer le schéma dans la base de données. Cela se fait de la même manière sur CentOS 6 et 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Ensuite, importez le schéma dans la base de données que vous venez de créer.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Vous devrez entrer le $newRootPasswordmot de passe MySQL / MariaDB que vous avez utilisé lors de la mysql_secure_installationcommande ci-dessus, pas celui que $someIcingaPasswordvous venez de créer - celui-ci est utilisé plus tard.

Activez le idomodule (base de données).

sudo icinga2 feature enable ido-mysql

Vous devrez modifier le /etc/icinga2/features-enabled/ido-mysql.conffichier pour ajouter les informations de la base de données. Vous pouvez le faire avec la commande suivante.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Dans ce fichier, recherchez les lignes commentées (commencez par //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... et modifiez-les en utilisant l'utilisateur / mot de passe que vous venez de créer.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Assurez-vous de ne pas commenter les lignes en supprimant les deux barres obliques initiales.

Ensuite, redémarrez le service pour récupérer les modifications.

sudo service icinga2 restart

Vous devrez ajouter une connexion entre le serveur client et le maître Icinga2 déjà configuré. Vous devrez le faire en utilisant soit Firewalld sur CentOS 7, soit IPTables dans CentOS 6 ou 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Maintenant, modifiez le fichier hosts pour ajouter le maître en tant que nom de domaine local.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Étape 4: initialiser le maître

Cette étape doit être effectuée sur le maître Icinga2. Vous devrez l'initialiser en tant que maître, puis générer une demande de signature de certificat que votre client utilisera pour communiquer.

sudo icinga2 node wizard

Cela lancera l'assistant de nœud, qui posera plusieurs questions. L'écran ressemblera à ce qui suit et les réponses que vous donnerez sont répertoriées.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Redémarrez ensuite Icinga2 pour reprendre les modifications.

sudo service icinga2 restart

Maintenant qu'il s'agit d'un maître, vous pouvez l'utiliser pour générer la chaîne de demande de signature de certificat.

sudo icinga2 pki ticket --cn icinga2client.example.com

Vous obtiendrez une chaîne $pkiString. Copiez cette chaîne, car vous en aurez besoin sur le client.

Étape 5: initialiser le client

Exécutez l'assistant de nœud pour générer les certificats et vous connecter au maître.

sudo icinga2 node wizard

Il y aura une page similaire à celle ci-dessus. Cette page est affichée ci-dessous avec les réponses incluses.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Allez-y et redémarrez Icinga2 pour reprendre les modifications.

sudo icinga2 restart

Cela peut déjà être fait, mais vous devez vous assurer que les fonctions de commande et d'API sont activées.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

S'ils n'étaient pas activés, il dira "fonctionnalité activée", vous devrez donc redémarrer le démon Icinga2. Mais d'abord, vous devez changer la propriété des fichiers dans le /etc/icinga2répertoire, car certains d'entre eux ont les mauvaises autorisations après avoir exécuté l'assistant de nœud. Ils devraient tous avoir leur propriétaire et leur groupe sur icinga. Modifiez les autorisations à l'aide de la commande suivante:

sudo chown -R icinga:icinga /etc/icinga2/

Maintenant, vous pouvez redémarrer le démon Icinga2.

sudo service icinga2 restart

Étape 6: configurer le client

La configuration du client nécessite la modification de quelques fichiers différents.

• /etc/icinga2/zones.conf: Contient les points de terminaison (serveurs) et les zones qui les contiennent. C'est ainsi que les serveurs sont partitionnés. Assurez-vous que les noms des clients correspondent aux noms des serveurs.
• /etc/icinga2/icinga2.conf: Vous acceptez les commandes et les configurations du maître, vous devez donc effectuer une modification mineure sur ce fichier pour éviter les définitions de commande en double.

Tout d'abord, nous allons modifier le zones.conffichier pour définir le serveur et la zone dans laquelle il se trouve, ainsi que créer une zone "globale" pour les définitions de commandes qui sont universelles pour TOUS les serveurs, au lieu d'être uniques pour chacun (comme les vérifications de disque) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Il est important de savoir qu'il ne peut y avoir pour l'instant que 2 nœuds par zone. Vous pouvez créer autant de zones que vous le souhaitez, mais s'il y a plus de 2 nœuds par zone, il est possible que le service Icinga2 ne fonctionne pas correctement. Ce n'est pas un problème sur le client, sauf si vous avez déjà 2 nœuds dans la zone clientZone, auquel cas vous devrez faire un autre nom de zone.

Maintenant, faites la modification dans le /etc/icinga2/icinga2.conffichier. Vous devez commenter la ligne include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Vérifiez la configuration pour vous assurer que tout est correctement formaté.

sudo icinga2 daemon -C

Si vous rencontrez des problèmes d'autorisations, c'est probablement parce que l'élément appartient à root:root. Montré icinga:icingaà résoudre.

sudo chown -R icinga:icinga /etc/icinga2/

Il y a d'autres problèmes avec les configurations, généralement les informations fournies par la sortie de la sudo icinga2 daemon -Ccommande seront suffisamment verbeuses pour les retrouver. La résolution de tous les problèmes potentiels qui se posent sort du cadre de ce guide.

Si la vérification réussit, continuez et rechargez le service:

sudo service icinga2 restart

Vous devrez donner à l' icingautilisateur sudo des autorisations pour que les commandes puissent être exécutées. Ces autorisations sudo seront limitées au répertoire spécifique du plugin. Cela peut simplement être mis à la fin du fichier.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Maintenant, la configuration du client est officiellement terminée. Vous ne devriez plus avoir à faire de modifications, les vérifications de service seront configurées sur le maître et se propageront au client. Cependant, vous devrez installer tous les plug-ins supplémentaires dont vous pourriez avoir besoin. Les plug-ins peuvent également être écrits en utilisant python, perl, BASH, PHP et d'autres langages de script.

Étape 7: ajouter un client à la configuration principale

Vous devrez revenir sur le maître pour configurer le client afin qu'il puisse être connecté. Il y a quelques étapes à suivre:

1. Ajoutez la configuration d'hôte à repository.d.
2. Ajoutez l'hôte à la zone comme point de terminaison.
3. Configurez toutes les vérifications pour le client. Ceci est légèrement hors de portée de ce guide, je ne fournirai qu'une explication de base des étapes impliquées.

La configuration de l'hôte sera entrée dans le /etc/icinga2/repository.d/hosts/icinga2client.example.com.conffichier.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

L'hôte existe maintenant dans la configuration client, mais il doit être placé dans une zone. Cette zone sera dans le /etc/icinga2/repository.d/zonesdossier, avec le même nom que le nom de la zone pour faciliter le suivi.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Ensuite, vous devez ajouter la global-templateszone.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Enfin, ajoutez le point de terminaison client afin que le tableau de points de terminaison «clientZone» soit rempli lors de son exécution.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Afin de vous assurer qu'il n'y a pas de problèmes d'autorisations, allez-y et changez de nouveau le propriétaire / groupe.

sudo chown -R icinga:icinga /etc/icinga2

Vérifiez les modifications de configuration pour vous assurer qu'il n'y a plus de problème.

sudo icinga2 daemon -C

Si la vérification réussit, poursuivez le rechargement.

sudo service icinga2 restart

Si vous visitez votre site Web Icinga2, vous verrez le serveur devenir accessible.

Étape 8: commandes et vérifications personnalisées

Vous pouvez rencontrer des erreurs concernant «commande introuvable» ou «vérification non définie». C'est là que la zone des modèles globaux entre en jeu. Vous devrez copier la configuration dans des /etc/icinga2/conf.d/fichiers et les mettre dans des /etc/icinga2/zones.d/global-templates/fichiers. Par exemple, pour créer une commande "check_software", vous devez procéder comme suit.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

Le software_service_check.shfichier devra exister dans le /usr/lib64/nagios/pluginsdossier du client .

Ensuite, ajoutez la vérification de service dans le /etc/icinga2/repository.d/hosts/services.conffichier.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Vous devrez à nouveau modifier les autorisations.

sudo chown -R icinga:icinga /etc/icinga2

Ensuite, revérifiez la configuration.

sudo icinga2 daemon -C

Enfin, s'il réussit, rechargez:

sudo service icinga2 restart

Toutes nos félicitations! Vous utilisez maintenant Icinga2 dans un modèle maître-client et vous pouvez désormais éviter d'avoir à utiliser les contrôles NRPE non sécurisés!