レガシーモードでの Linux の監視

deb またはrpm パッケージからのインストールについては、「Linux の監視」の記事で詳しく説明していますので、ここではその手順を簡単に説明します。

Checkmk Raw では、Setup > Agents > Linux からエージェントの Linux パッケージを見つけることができます。 商業版では、まずAgents > Windows, Linux, Solaris, AIX からSetup メニューの「Agent Bakery」にアクセスし、そこでパッケージを見つけることができます。 そこから「Related > Linux, Solaris, AIX files 」メニュー項目を選択すると、エージェントファイルのリストが表示されます。

これらのファイルは、ブラウザからダウンロードするか、wget またはcurl を使用して、監視中のホストに直接ダウンロードすることができます。

RHEL、SLES および関連ディストリビューションでは、RPM パッケージはroot としてインストールされており、コマンドrpm -U でインストールできます。

ちなみに、-U オプションは「更新」を意味しますが、初期インストールも正しく実行できます。

Debian、Ubuntu、および関連ディストリビューションでの DEB パッケージのインストールは、root というコマンドで、次のように実行します。dpkg -i

ディストリビューションに依存しない便利なインストールを行うには、TGZ アーカイブ形式（「Tarball」）の Linux エージェントが必要です。これは、Agents > Windows, Linux, Solaris, AIX のセットアップメニューから商業版としてダウンロードできます。 TGZ アーカイブには、監視対象のホストのルートディレクトリに解凍するための、Linux エージェントのディレクトリ構造全体が含まれています。

解凍する際には、すべてのファイルパスが正しいことを確認するため、-C （「ディレクトリを変更」）パラメータが不可欠です。 また、既存のディレクトリの許可が変更されないように、--no-overwrite-dir も使用します。

すべて正しく実行した場合、エージェントスクリプトはコマンドとして実行可能になり、通常の出力が表示されます。| head は、出力の 11 行目以降をすべて切り捨てます。

ここに2.2.0 よりも低いバージョン番号が表示された場合は、/usr/local/bin/check_mk_agent として古いバージョンのエージェントスクリプトがインストールされている可能性があります。 この古いスクリプトを移動するか、ファイル名に.bak を追加して名前を変更してください。

エージェントスクリプトを手動でインストールする必要はほとんどありませんが、その手順もそれほど難しくはありません。 このタイプのインストールでは、最初はエージェントスクリプトのみがインストールされ、アクセス設定は実行されません。 この設定を行うには、エージェントファイルページから「Agents 」ボックスが必要です。 このボックスには、「check_mk_agent.linux 」というファイルがあります。

このファイルをターゲットシステムにロードし、root で実行可能なディレクトリにコピーします。/usr/local/bin/ は、検索パスにあり、カスタム拡張用であるため、適切な選択です。 または、/usr/bin または/opt のサブディレクトリを使用することもできます。 すべてのテストが他のインストール方法と一致するように、/usr/bin を使用しています。wget が利用可能な場合は、 を使用して直接インストールを行うこともできます。

最後の 2 つのコマンドは忘れないでください。これらは、.linux 拡張機能を削除し、ファイルを実行可能にするものです。 これで、エージェントはコマンドとして実行可能になり、通常の出力が表示されます。| head は、出力の 10 行目以降をすべて切り捨てます。

エージェントを設定または拡張する場合は、必要なディレクトリを自分で作成する必要があります。 3 つの必須ディレクトリの場所は、MK_ で始まる変数でエージェントにハードコードされており、システム環境を介してプラグインにも提供されています。

これら 3 つのディレクトリ（デフォルトのアクセス許可は 755、所有者はroot ）を作成してください。

別のパスを使用する場合は、/usr/bin/check_mk_agent を編集してください。

/etc/xinetd.d/ ディレクトリを使用して設定を行う既存のxinetd を設定するには、TGZ アーカイブ、DEB パッケージ、および RPM パッケージに、必要な 2 つの手順を自動化するスクリプトが含まれています。まず、設定をインストールし、次にxinetd に変更した設定を再読み込みさせます。 スクリプトは、ファイルのフルパスで呼び出す必要があります。

エージェントスクリプトを手動でインストールする場合は、エディタを使用して設定ファイル/etc/xinetd.d/check-mk-agent を作成してください。 内容は次のとおりです。

ここでは、2 台の Checkmk サーバーへのアクセスを制限する行（コメントアウト）を追加しています。 その他の設定オプションは、Checkmk サーバーの~/share/check_mk/agents/scripts/super-server/1_xinetd/check-mk-agent ファイルで確認できます。

xinetd が古い構成方式（/etc/xinetd.conf のみ）を使用している場合、/etc/check_mk/xinetd-service-template.cfg から/etc/xinetd.conf にサンプル構成を転送してください。

xinetd の設定が完了したら、再起動してください。

これで、接続テストの準備が整いました。

まず、/etc/services にポート 6556 のエントリがすでに存在しているかどうかを、チェックしてください。

そうでない場合は、Checkmk をサービスとして登録する必要があります。 そのためには、次の行を追加してください。ここでの表記は、IANA テーブルに登録されている表記とまったく同じで、ハイフンは 1 つだけです。

/etc/inetd.conf 設定ファイルのフォーマットは、個々のバリエーションによって異なります。inetd に一致するフォーマットについては、設定ファイル内のコメントおよびマニュアルページ (man 5 inetd.conf) を参照してください。 その後に、openbsd-inetd に一致する設定が、IPv4 および IPv6 サポート用の 2 行で続きます。 ここでも、正しい表記に注意することが重要です。

設定ファイルを編集したら、inetd を再起動します。

使用している init システムおよびインストールされているスーパーサーバーによっては、このコマンドは異なる場合があります。

まず、xinetd またはinetd が (再)起動できるかどうかを チェックします。

これで、TCP ポート 6556 でtelnet またはnc (netcat) に接続できます。まずホスト自体から、次に Checkmk サーバーから接続してください。

(x)inetd がアクティブであるにもかかわらず、接続が拒否されたという通知を受け取った場合は、ファイアウォールの設定を確認してください。

SSH は「公開鍵認証」で動作します。 これを行うには、まず、一致する鍵のペアを生成します。 アルゴリズムを選択すると、rsa 、ecdsa 、ed25519 から選択できます。 以下の例では、サイトユーザーとしてssh-keygen -t ed25519 コマンドを使用しています。

ファイル名は空のままにしておくと、提案されたファイル名が使用されます。 もちろん、個別のホスト用に個別の鍵を使用したい場合など、別のパスを指定することもできます。

重要：パスフレーズは指定しないでください。 秘密鍵でファイルを暗号化しても意味がありません。Checkmk サーバーを起動するたびにパスフレーズを入力するのは面倒でしょう。

その結果、.ssh ディレクトリに2つのファイルが作成されます。

秘密鍵はid_ed25519 という名前で、サイトユーザー (-rw-------) だけが読み取ることができます。これは良いことです。 公開鍵id_ed25519.pub は、次のような形式です。

次のステップは、SSH 経由で監視する Linux ホスト（それぞれ）で実行する必要があります。root としてログインし、ホームディレクトリ（/root ）にサブディレクトリ.ssh が存在しない場合は作成します。 次のコマンドを実行すると、アクセス権限が 700 に正しく設定されます。

次に、お好みの (コンソールベースの) テキストエディタでauthorized_keys ファイルを開きます。 このファイルが存在しない場合は、エディタによって自動的に作成されます。

公開鍵の内容をこのファイルにコピーします。 マウスとコピー＆ペーストで実行できます。 正確に実行してください！ すべてのスペースが重要です。 また、1 行に2 つのスペースが入らないようにしてください。 そして：全体が1 行でなければなりません！ ファイルが既に存在する場合は、単に新しい行を末尾に追加してください。

ここからの手順は非常に重要です。 SSH キーは、エージェントの実行にのみ使用してください。 SSH には、コマンド制限という機能があります。 この機能を使用するには、先ほど作成した行の先頭に「command="/usr/bin/check_mk_agent" 」と入力し、その後に1 文字分のスペースを入れてください。 次のような内容になります。

ファイルを保存し、許可をチェックします。 このファイルへの書き込み許可は、所有者のみが持つ必要があります。

次に、ssh コマンドでエージェントへのアクセスをテストします。

初回は、yes と入力して、キーのフィンガープリントを確認する必要があります。 それ以降は、Checkmk サーバーによる 1 分ごとのエージェントスクリプトの自動ポーリングを含め、ユーザーの操作なしでアクセスできるようになります。

動作しない場合は、以下を確認してください。

非常に古いターゲットシステムでは、楕円曲線（ed25519 およびecdsa ）を使用したキーが認識されない場合もあります。 その場合は、追加の RSA キーを生成し、これをauthorized_keys にも入力してください。 SSH は、接続に最も強力な既知のキーを自動的に使用します。

これで、ターゲットシステムの準備は完了です。 あとは、Checkmk 自体の設定を行うだけです。 これは、Setup > Agents > Other integrations> Custom integrations > Individual program call instead of agent access ルールセットを使用して行います。 ここで、対象ホストのルールを作成し、コマンドとしてssh -T root@$HOSTNAME$ またはssh -C -T root@$HOSTNAME$ (エージェントデータの追加圧縮用) を入力します。

GUI の [Setup > Hosts > Properties of host > Test connection to host ] で、[Run tests ] ボタンを使用して接続テストを実行できます。 テストがタイムアウトまたはアクセス拒否で失敗した場合は、コマンドラインでテストしたときと同じスペルでホスト名を使用しているかどうかを確認してください。OpenSSH は、短いホスト名、FQDN、および IP アドレスを区別します。 または、ホストの IP アドレスを使用してホストにアクセスすることもできます。 この場合、マクロ$HOSTADDRESS$ を使用する必要があります。このマクロは、ホストの (Checkmk によってキャッシュされた) IP アドレスに置き換えられます。

変更をアクティブにするを保存して実行すると、ホストが監視対象に追加されます。 監視では、サービスCheck-MK Agent が「Transport via SSH」という注記とともに表示されます。 さらに診断を行うには、コマンドcmk -D およびcmk -d を使用できます。これらのコマンドについては、コマンドラインに関する記事で説明しています。

複数の SSH キーを使用することもできます。 キーは任意のディレクトリに配置してください。Individual program call instead of agent access ルールで、-i オプションを使用して、それぞれの秘密鍵へのパスを指定する必要があります。 ここでは、サイトディレクトリへのパス (/omd/sites/mysite) の代わりに$OMD_ROOT を使用することをお勧めします。 完全なコマンドは、ssh -i $OMD_ROOT/.ssh/my_key -T root@$HOSTADDRESS$ となり、これにより、別の名前を持つサイトでも設定を実行できるようになります。

これにより、複数の異なるルールを使用して、ホストのグループごとに異なる SSH キーを使用することができます。

SSH トンネルにもかかわらず、潜在的な攻撃者にプレーンテキストデータを提供することを避けるため、ホストの監視でまだ利用可能なポート 6556 へのアクセスをすべて無効にする必要があります。 上記のコマンド ss -tulpn | grep 6556 でTCP ポート 6556 をリッスンしているプロセスが見つからなかった場合、SSH トンネルの設定は完了です。 行が出力された場合、見つかったプロセスを永久的に無効にする必要があります。

いずれの場合も、最終テストを行うことをお忘れなく。 これで、ポート 6556 への接続はできなくなったはずです。

エージェントベーカリーを使用して暗号化を設定する手順は、次のとおりです。 最初のステップである「Symmetric encryption (Linux, Windows) 」ルールの作成で、ほぼ設定は完了です。 あとは、新しいエージェントをベイクして配布するだけです。/etc/check_mk/encryption.cfg ファイルは自動的に作成され、エージェントパッケージに含まれます。 あとは、3番目のステップである「Enforce agent data encryption 」ルールの作成だけです。

攻撃者がコマンドを実行できない場合でも、エージェントの監視データは、システム上で実行中のすべてのプロセスのリストなど、さまざまな情報を含んでいるため、攻撃者に有用となる可能性があります。 したがって、データは誰からも簡単にアクセスできないようにすることが最善です。

xinetd を使用して Checkmk エージェントを共有している場合、特定の IP アドレス（もちろん、監視サーバーの IP アドレスも）へのアクセスを制限するのは非常に簡単で効果的です。 これは、xinetd 設定ファイルのonly_from ディレクティブを使用して、すばやく実現できます。 IP アドレスまたはアドレス範囲（12.34.56.78/29 または1234::/46 のフォーム）をスペースで区切って入力します。 ホスト名も使用できます。 この場合、システムは、要求元のホストの IP アドレスの逆解像度によって決定されたホスト名が、入力したホスト名と一致するかどうかをチェックします。

商業版では、エージェントベーカリーのユーザーは、Allowed agent access via IP address (Linux, Windows) ルールセットを使用して、許可するIPアドレスを設定できます。 このルールセットは、Setup > Agents > Windows, Linux, Solaris, AIX > Agent rules > Generic Options で確認できます。

もちろん、攻撃者は IP アドレスを偽装してエージェントに接続することは非常に簡単です。 しかし、その場合は、応答が正当な監視サーバーに送信されるため、応答を受け取れない可能性が非常に高くなります。 あるいは、攻撃者は実際に応答を受け取っても、Checkmk サーバーはデータを受信しないため、すぐにエラーをレポートします。