Ændring af Icinga2 til at bruge Master/Client Model på CentOS 6 eller CentOS 7

Icinga2 er et kraftfuldt overvågningssystem, og når det bruges i en master-klient-model, kan det erstatte behovet for NRPE-baserede overvågningstjek. Master-klient-modellen er mere sikker af forskellige årsager . Det giver også mulighed for mere distribueret overvågning ved at tillade, at kontroller kan ændres på én server og udbredes til andre. Det giver også ét centraliseret sted for ændringer.

For eksempel: Lad os sige, at du har 4 forskellige belastningsbalancerede webservere. Hvis du ved, at du vil have en belastningsspids på vej (måske et salg eller noget, som du forventer en masse aktivitet for), vil du måske øge de niveauer, hvor højt CPU-brug advarer systemadministratorerne. Hvis du bruger NRPE-tjek, skal du gå ind på hver server og ændre /etc/nrpe.d/common_commands.cfgdokumentet på hver af dem. I master-klient-modellen kan du blot ændre deres /etc/icinga2/repository.d/hosts/værtsdefinitioner i mappen og derefter genindlæse Icinga. Kontrollerne forplanter sig til hver server og afhentes automatisk. Du kan også tilføje kontroller meget nemt ved at ændre /etc/icinga2/repository.d/services/filerne, og de vil automatisk udbredes og blive genkendt, så længe plug-ins'erne findes på klientserverne.

Forudsætninger

• En serverinstans med Icinga2 og Icingaweb2 allerede installeret og konfigureret ( instruktioner ) navngivet icinga2master.example.com.
• En frisk Vultr CentOS 6 eller 7 serverinstans, du ønsker at overvåge, hedder icinga2client.example.com.
• Sudo adgang.

Nogle af denne guide vil afspejle installationsinstruktionerne ovenfor, men dette skal gøres på klientmaskinen og ikke servermaskinen.

Trin 1: Opdater systemet

Tilføj "ICINGA"-repoen til klientsystemet for at installere Icinga-pakkerne.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Trin 2: Installer nødvendige pakker

Installer de nødvendige pakker.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 bruger MariaDB i stedet for MySQL, så de nødvendige pakker er lidt anderledes. Start tjenesterne, og indstil dem til at starte ved opstart.

sudo chkconfig icinga2 on
sudo service icinga2 start

Indstil MySQL-tjenesten til at starte ved opstart, og start den nu, så vi kan sikre den.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Sikre MySQL/MariaDB-installationen. Både CentOS 6 og 7 bruger den samme kommando.

sudo mysql_secure_installation

Under processen skal du besvare spørgsmålene som vist:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Noter $newRootPassworddig, da du får brug for det flere gange, og det er en smerte at nulstille.

Trin 3: Opsæt databasen

Du skal oprette icingabrugernavnet og importere skemaet til databasen. Dette gøres på samme måde på både CentOS 6 og 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Derefter skal du importere skemaet til den database, du lige har oprettet.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Du skal indtaste den $newRootPasswordMySQL/MariaDB-adgangskode, du brugte under mysql_secure_installationkommandoen ovenfor, ikke den, $someIcingaPassworddu lige har oprettet - den bruges senere.

Aktiver ido(database) modulet.

sudo icinga2 feature enable ido-mysql

Du skal redigere /etc/icinga2/features-enabled/ido-mysql.conffilen for at tilføje databaseoplysningerne. Du kan gøre det med følgende kommando.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

I den fil skal du finde de linjer, der er kommenteret ud (start med //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...og rediger dem ved hjælp af den bruger/adgangskode, du lige har oprettet.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Sørg for at fjerne kommentering af linjerne ved at fjerne de første to skråstreger.

Genstart derefter tjenesten for at hente ændringerne.

sudo service icinga2 restart

Du skal tilføje en forbindelse mellem klientserveren og Icinga2-masteren, der allerede er konfigureret. Du skal gøre det ved at bruge enten Firewalld på CentOS 7 eller IPTables i enten CentOS 6 eller 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Rediger nu værtsfilen for at tilføje masteren som et lokalt domænenavn.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Trin 4: Initialiser masteren

Dette trin skal udføres på Icinga2-masteren. Du skal initialisere den som en master og derefter generere en certifikatsigneringsanmodning, som din klient vil bruge til at kommunikere.

sudo icinga2 node wizard

Dette vil køre node-guiden, som vil stille flere spørgsmål. Skærmen vil se ud som følgende, og de svar, du vil give, er listet.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Genstart derefter Icinga2 for at hente ændringerne.

sudo service icinga2 restart

Nu hvor det er en master, kan du bruge det til at generere certifikatsigneringsanmodningsstrengen.

sudo icinga2 pki ticket --cn icinga2client.example.com

Du får noget snor $pkiString. Kopier den streng, da du skal bruge den på klienten.

Trin 5: Initialiser klienten

Kør node-guiden for at generere certifikaterne og oprette forbindelse til masteren.

sudo icinga2 node wizard

Det vil komme op med en side svarende til ovenstående. Denne side er vist nedenfor med svar inkluderet.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Gå videre og genstart Icinga2 for at opfange ændringerne.

sudo icinga2 restart

Dette er muligvis allerede gjort, men du skal sikre dig, at kommando- og API-funktionerne er aktiveret.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

If they weren't enabled, it will say "feature enabled", so you'll need to restart the Icinga2 daemon. But first, you need to change ownership of the files in the /etc/icinga2 directory, as some of them have the wrong permissions after running the node wizard. They should all have their owner and group set to icinga. Change the permissions by using the following command:

sudo chown -R icinga:icinga /etc/icinga2/

Now, you can restart the Icinga2 daemon.

sudo service icinga2 restart

Step 6: Configure the client

The client configuration requires editing a few different files.

• /etc/icinga2/zones.conf: Contains the endpoints (servers) and zones that contain them. This is how the servers are partitioned. Make sure the client names match the server names.
• /etc/icinga2/icinga2.conf: You are accepting commands and configs from the master, so you need to do a minor edit on this file to avoid duplicate command definitions.

First, we're going to modify the zones.conf file to define the server and the zone it's in, as well as creating a "global" zone for command definitions that are universal to ALL servers, instead of unique to each (such as disk checks).

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

It is important to know, there can only be 2 nodes per zone at the moment. You can make as many zones as you wish, but if there are more than 2 nodes per zone there is a chance that the Icinga2 service will not work properly. This is not a problem on the client, unless you already have 2 nodes in the zone clientZone, in which case you will need to make another zone name.

Now, make the modification in the /etc/icinga2/icinga2.conf file. You need to comment out the line include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verify config to ensure that everything is formatted correctly.

sudo icinga2 daemon -C

Hvis du får problemer med tilladelser, er det sandsynligvis fordi varen ejes af root:root. Chown til icinga:icingaat løse.

sudo chown -R icinga:icinga /etc/icinga2/

Der er andre problemer med konfigurationerne, generelt vil informationen fra sudo icinga2 daemon -Ckommandoens output være omfattende nok til at spore dem. At løse alle potentielle problemer, der opstår, er uden for denne vejlednings omfang.

Hvis bekræftelsen lykkes, skal du gå videre og genindlæse tjenesten:

sudo service icinga2 restart

Du skal give icingabrugeren sudo-tilladelser, så kommandoerne kan køres. Disse sudo-tilladelser vil være begrænset til den specifikke plugin-mappe. Dette kan blot sættes i slutningen af ​​filen.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Nu er klientkonfigurationen officielt færdig. Du behøver ikke at foretage flere ændringer, alle servicetjek vil konfigureres på masteren og spredes ned til klienten. Du bliver dog nødt til at installere eventuelle ekstra plug-ins, du måtte have brug for. Plug-ins kan også skrives ved hjælp af python, perl, BASH, PHP og andre scriptsprog.

Trin 7: Tilføj klient til masterkonfiguration

Du bliver nødt til at komme tilbage til masteren for at konfigurere klienten, så den kan tilsluttes. Der er et par skridt, der skal tages:

1. Tilføj værtskonfiguration til repository.d.
2. Tilføj vært til zone som slutpunkt.
3. Konfigurer eventuelle kontroller for klienten. Dette er lidt uden for denne vejlednings omfang, jeg vil kun give en grundlæggende forklaring af de involverede trin.

Værtskonfigurationen vil blive indtastet i /etc/icinga2/repository.d/hosts/icinga2client.example.com.conffilen.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Nu eksisterer værten i klientkonfigurationen, men den skal placeres i en zone. Denne zone vil være i /etc/icinga2/repository.d/zonesmappen med samme navn som zonenavnet for at gøre det nemmere at holde styr på.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Dernæst skal du tilføje global-templateszonen.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Tilføj endelig klientslutpunktet, så "clientZone"-endepunkters array er udfyldt, når det kører.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

For at sikre, at der ikke er nogen tilladelsesproblemer, skal du gå videre og ændre ejeren/gruppen igen.

sudo chown -R icinga:icinga /etc/icinga2

Bekræft konfigurationsændringer for at sikre, at der ikke er flere problemer.

sudo icinga2 daemon -C

Hvis bekræftelsen lykkes, skal du fortsætte med genindlæsningen.

sudo service icinga2 restart

Hvis du besøger dit Icinga2-websted, vil du se serveren blive tilgængelig.

Trin 8: Brugerdefinerede kommandoer og kontroller

Du kan støde på fejl om "kommando ikke fundet" eller "check ikke defineret". Det er her, global-templates zone kommer ind i billedet. Du skal kopiere konfigurationen i /etc/icinga2/conf.d/filer og indsætte dem i /etc/icinga2/zones.d/global-templates/filer. For eksempel, for at oprette en "check_software"-kommando, skal du gøre følgende.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

Den software_service_check.shfil skal eksistere i /usr/lib64/nagios/pluginsmappen på klienten .

Tilføj derefter servicechecket til /etc/icinga2/repository.d/hosts/services.conffilen.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Du skal ændre tilladelserne igen.

sudo chown -R icinga:icinga /etc/icinga2

Bekræft derefter konfigurationen igen.

sudo icinga2 daemon -C

Til sidst, hvis det lykkes, genindlæs:

sudo service icinga2 restart

Tillykke! Du bruger nu Icinga2 i en master-klient-model og kan nu undgå at skulle bruge de usikre NRPE-tjek!