CentOS 6 또는 CentOS 7에서 마스터 / 클라이언트 모델을 사용하도록 Icinga2 수정

• 전제 조건
• 1 단계 : 시스템 업데이트
• 2 단계 : 필수 패키지 설치
• 3 단계 : 데이터베이스 설정
• 4 단계 : 마스터 초기화
• 5 단계 : 클라이언트 초기화
• 6 단계 : 클라이언트 구성
• 7 단계 : 마스터 구성에 클라이언트 추가
• 8 단계 : 사용자 정의 명령 및 검사

Icinga2는 강력한 모니터링 시스템이며 마스터 클라이언트 모델에서 사용될 때 NRPE 기반 모니터링 검사의 필요성을 대체 할 수 있습니다. 마스터 클라이언트 모델은 여러 가지 이유로 더 안전합니다 . 또한 한 서버에서 검사를 수정하고 다른 서버로 전파 할 수 있도록하여보다 분산 된 모니터링이 가능합니다. 또한 하나의 중앙 집중식 위치에서 변경 사항을 제공합니다.

예를 들어, 4 개의 서로 다른로드 균형 조정 웹 서버가 있다고 가정합니다. 판매량이 많거나 활동이 많은 것으로 예상되는로드 스파이크가 발생한다는 것을 알고 있다면 CPU 사용량이 많은 시스템 관리자에게 경고하는 수준을 높이고 싶을 수 있습니다. NRPE 검사를 사용하는 경우 각 서버로 이동하여 각 서버에서 /etc/nrpe.d/common_commands.cfg문서를 수정 해야합니다. 마스터 클라이언트 모델에서는 /etc/icinga2/repository.d/hosts/폴더 에서 호스트 정의를 간단히 수정 한 다음 Icinga를 다시로드 할 수 있습니다 . 검사는 각 서버로 전파되며 자동으로 선택됩니다. /etc/icinga2/repository.d/services/파일 을 수정하여 검사를 매우 쉽게 추가 할 수 있으며 , 플러그인이 클라이언트 서버에 존재하는 한 자동으로 전파되어 인식됩니다.

전제 조건

• Icinga2 및 Icingaweb2가있는 서버 인스턴스는 이미 설치 및 구성 ( 명령 ) 되어 icinga2master.example.com있습니다.
• 모니터링하려는 새로운 Vultr CentOS 6 또는 7 서버 인스턴스가 named icinga2client.example.com입니다.
• Sudo 액세스

이 가이드 중 일부는 위에 나열된 설치 지침을 반영하지만 서버 시스템이 아닌 클라이언트 시스템에서 수행해야합니다.

1 단계 : 시스템 업데이트

"ICINGA"저장소를 클라이언트 시스템에 추가하여 Icinga 패키지를 설치하십시오.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

2 단계 : 필수 패키지 설치

필요한 패키지를 설치하십시오.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7은 MySQL 대신 MariaDB를 사용하므로 필요한 패키지가 약간 다릅니다. 서비스를 시작하고 부팅시 시작되도록 설정하십시오.

sudo chkconfig icinga2 on
sudo service icinga2 start

부팅 할 때 MySQL 서비스를 시작하도록 설정하고 보안을 유지하려면 지금 시작하십시오.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

MySQL / MariaDB 설치를 보호하십시오. CentOS 6과 7 모두 동일한 명령을 사용합니다.

sudo mysql_secure_installation

이 과정에서 다음과 같이 질문에 대답하십시오.

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

$newRootPassword여러 번 필요할 것이므로 메모 해 두십시오 .

3 단계 : 데이터베이스 설정

icinga사용자 이름 을 작성 하고 스키마를 데이터베이스로 가져와야합니다. 이것은 CentOS 6과 7에서 동일한 방식으로 수행됩니다.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

다음으로 방금 만든 데이터베이스로 스키마를 가져옵니다.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

당신은 입력해야합니다 $newRootPassword당신은 동안 사용의 MySQL / MariaDB 암호 mysql_secure_installation, 위의 명령 하지$someIcingaPassword 한 후에 사용하는 것이 - 당신은 방금 만든입니다.

ido(데이터베이스) 모듈을 활성화하십시오 .

sudo icinga2 feature enable ido-mysql

/etc/icinga2/features-enabled/ido-mysql.conf데이터베이스 정보를 추가하려면 파일 을 편집해야합니다 . 다음 명령을 사용하면됩니다.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

해당 파일에서 주석 처리 된 행을 찾으십시오 (로 시작 //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... 방금 만든 사용자 / 암호를 사용하여 편집하십시오.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

처음 두 슬래시를 제거하여 행의 주석을 해제하십시오.

그런 다음 서비스를 다시 시작하여 변경 사항을 적용하십시오.

sudo service icinga2 restart

클라이언트 서버와 이미 구성된 Icinga2 마스터 사이에 연결을 추가해야합니다. CentOS 7에서 방화벽을 사용하거나 CentOS 6 또는 7에서 IPTables를 사용하여이를 수행해야합니다.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

이제 호스트 파일을 편집하여 마스터를 로컬 도메인 이름으로 추가하십시오.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

4 단계 : 마스터 초기화

이 단계는 Icinga2 마스터에서 수행해야합니다. 마스터로 초기화 한 다음 클라이언트가 통신하는 데 사용할 인증서 서명 요청을 생성해야합니다.

sudo icinga2 node wizard

그러면 노드 마법사가 실행되어 몇 가지 질문을합니다. 화면은 다음과 같이 표시되며 답변이 나열됩니다.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

그런 다음 Icinga2를 다시 시작하여 변경 사항을 적용하십시오.

sudo service icinga2 restart

이제 마스터이므로 인증서 서명 요청 문자열을 생성하는 데 사용할 수 있습니다.

sudo icinga2 pki ticket --cn icinga2client.example.com

당신은 약간의 문자열을 얻을 것이다 $pkiString. 클라이언트에 필요할 때 해당 문자열을 복사하십시오.

5 단계 : 클라이언트 초기화

노드 마법사를 실행하여 인증서를 생성하고 마스터에 연결하십시오.

sudo icinga2 node wizard

위와 비슷한 페이지가 나타납니다. 이 페이지는 아래에 답변이 포함되어 있습니다.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

계속해서 Icinga2를 다시 시작하여 변경 사항을 적용하십시오.

sudo icinga2 restart

이미 완료되었을 수도 있지만 명령 및 API 기능이 활성화되어 있는지 확인해야합니다.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

활성화되지 않은 경우 "feature enabled"라고 표시되므로 Icinga2 데몬을 다시 시작해야합니다. 그러나 먼저 /etc/icinga2노드 마법사를 실행 한 후 일부 파일에 잘못된 권한이 있으므로 디렉토리 에서 파일의 소유권을 변경해야합니다 . 모두 소유자와 그룹을로 설정해야 icinga합니다. 다음 명령을 사용하여 권한을 변경하십시오.

sudo chown -R icinga:icinga /etc/icinga2/

이제 Icinga2 데몬을 다시 시작할 수 있습니다.

sudo service icinga2 restart

6 단계 : 클라이언트 구성

클라이언트 구성에는 몇 가지 다른 파일을 편집해야합니다.

• /etc/icinga2/zones.conf: 엔드 포인트 (서버)와이를 포함하는 영역을 포함합니다. 서버가 분할되는 방식입니다. 클라이언트 이름이 서버 이름과 일치하는지 확인하십시오.
• /etc/icinga2/icinga2.conf: 마스터에서 명령 및 구성을 승인하고 있으므로 중복 된 명령 정의를 피하기 위해이 파일을 약간 편집해야합니다.

먼저, zones.conf파일과 서버가있는 영역을 정의하기 위해 파일 을 수정하고 각 서버에 고유하지 않고 모든 서버에 공통적 인 명령 정의에 대한 "글로벌"영역을 생성합니다 (예 : 디스크 검사). .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

현재 영역 당 2 개의 노드 만있을 수 있습니다. 원하는만큼 영역을 만들 수 있지만 영역 당 2 개 이상의 노드가 있으면 Icinga2 서비스가 제대로 작동하지 않을 가능성이 있습니다. 영역에 2 개의 노드가없는 경우가 아니면 클라이언트에서 문제가되지 않습니다. clientZone이 경우 다른 영역 이름을 만들어야합니다.

이제 /etc/icinga2/icinga2.conf파일을 수정 하십시오. 줄을 주석 처리해야합니다 include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

구성이 올바른지 확인하십시오.

sudo icinga2 daemon -C

권한 문제가 발생하면 항목이의 소유 일 가능성이 높습니다 root:root. icinga:icinga해결하기 위해 질식 .

sudo chown -R icinga:icinga /etc/icinga2/

구성에 다른 문제가 있습니다. 일반적으로 sudo icinga2 daemon -C명령 의 출력에서 ​​제공되는 정보 는 추적 할 수있을 정도로 상세합니다. 발생할 수있는 모든 문제를 해결하는 것은이 안내서의 범위를 벗어납니다.

확인에 성공하면 서비스를 다시로드하십시오.

sudo service icinga2 restart

icinga명령을 실행할 수 있도록 사용자 에게 sudo 권한 을 부여해야 합니다. 이러한 sudo 권한은 특정 플러그인 디렉토리로 제한됩니다. 파일 끝에 넣을 수 있습니다.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

이제 클라이언트 구성이 공식적으로 완료되었습니다. 더 이상 수정하지 않아도됩니다. 서비스 검사는 마스터에서 구성되며 클라이언트로 전파됩니다. 그러나 필요한 추가 플러그인을 설치해야합니다. 플러그인은 Python, perl, BASH, PHP 및 기타 스크립트 언어를 사용하여 작성할 수도 있습니다.

7 단계 : 마스터 구성에 클라이언트 추가

클라이언트가 연결될 수 있도록 클라이언트를 구성하려면 마스터로 돌아와야합니다. 몇 가지 단계를 수행해야합니다.

1. 에 호스트 구성을 추가하십시오 repository.d.
2. 엔드 포인트로 영역에 호스트를 추가하십시오.
3. 클라이언트 검사를 구성하십시오. 이 가이드의 범위를 약간 벗어난 것이므로 관련된 단계에 대한 기본 설명 만 제공합니다.

호스트 설정이 /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf파일에 입력 됩니다.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

이제 호스트는 클라이언트 구성에 존재하지만 영역에 배치해야합니다. 이 영역은 /etc/icinga2/repository.d/zones추적하기 쉽도록 영역 이름과 동일한 이름으로 폴더에 있습니다.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

다음으로 global-templates영역 을 추가해야 합니다.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

마지막으로 "clientZone"엔드 포인트 배열이 실행될 때 채워지도록 클라이언트 엔드 포인트를 추가하십시오.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

권한 문제가 없는지 확인하려면 계속해서 소유자 / 그룹을 변경하십시오.

sudo chown -R icinga:icinga /etc/icinga2

더 이상 문제가 없는지 구성 변경을 확인하십시오.

sudo icinga2 daemon -C

확인에 성공하면 다시로드를 진행하십시오.

sudo service icinga2 restart

Icinga2 웹 사이트를 방문하면 서버에 액세스 할 수 있습니다.

8 단계 : 사용자 정의 명령 및 검사

"command not found"또는 "check not defined"에 대한 오류가 발생할 수 있습니다. 이것이 글로벌 템플릿 존이 시작되는 곳입니다. 구성을 /etc/icinga2/conf.d/파일 로 복사하여 파일에 넣어야합니다 /etc/icinga2/zones.d/global-templates/. 예를 들어, "check_software"명령을 작성하려면 다음을 수행해야합니다.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.sh파일이 존재해야합니다 /usr/lib64/nagios/plugins상의 폴더 클라이언트 .

다음으로, 서비스 점검을 /etc/icinga2/repository.d/hosts/services.conf파일에 추가 하십시오.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

권한을 다시 변경해야합니다.

sudo chown -R icinga:icinga /etc/icinga2

그런 다음 구성을 다시 확인하십시오.

sudo icinga2 daemon -C

마지막으로 성공하면 다시로드하십시오.

sudo service icinga2 restart

축하합니다! 이제 마스터 클라이언트 모델에서 Icinga2를 사용하고 있으며 안전하지 않은 NRPE 검사를 사용하지 않아도됩니다!