Мониторинг на срока на действие на сертификатите в Windows на NetXMS

Наскоро пред нас възникна задачата да следим срока на валидност на сертификатите на сървърите с Windows. Както се случи, сертификатите многократно ставаха невалидни точно в момент, когато отговорният за тяхното подновяване колега с дълга брада беше в отпуск. След това и двамата започнахме да подозираме, че трябва да помислим по този въпрос. Тъй като у нас постепенно се внедрява система за мониторинг NetXMS, тя стана основен и, в принципе, единствен кандидат за решаване на тази задача.

В крайна сметка резултатът беше получен в такъв вид:

А самият процес по-нататък.

Да започнем. В NetXMS няма вградено брояч за изтичащи сертификати, затова трябва да създадем наш собствен и да използваме скриптове за предоставяне на данни. Разбира се, на Powershell, все пак е Windows. Скриптът трябва да прочете всички сертификати в операционната система, да вземе срока на тяхната валидност в дни и да предаде това число в NetXMS. Чрез неговия агент. Точно с него ще започнем.

Първият вариант, най-простият. Просто да получим броя дни до изтичането на сертификата с най-близка дата.

За да може сървърът NetXMS да разбере за съществуването на нашия персонализиран параметър, той трябва да го получи от агента. В противен случай не е възможно да се добави този параметър поради неговото отсъствие. Следователно, в конфигурационния файл на агента nxagentd.conf добавяме ред за външния параметър с името HTTPS.CertificateExpireDateSimple, в който посочваме стартирането на скрипта:

ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

Като се има предвид, че скриптът се стартира по мрежата, не трябва да забравяме за Execution Policy, а също така не бива да забравяме другите „-NoLogo -NoProfile -NonInteractive“, които пропуснах за по-добра четимост на кода.

Следователно конфигурацията на агента изглежда приблизително така:

#
# NetXMS agent configuration file
# Created by agent installer at Thu Jun 13 11:24:43 2019
#
 
MasterServers = netxms.corp.testcompany.ru
ConfigIncludeDir = C:NetXMSetcnxagentd.conf.d
LogFile = {syslog}
FileStore = C:NetXMSvar
SubAgent = ecs.nsm
SubAgent = filemgr.nsm
SubAgent = ping.nsm
SubAgent = logwatch.nsm
SubAgent = portcheck.nsm
SubAgent = winperf.nsm
SubAgent = wmi.nsm
 
ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

След това трябва да запазите конфигурацията и да рестартирате агента. Можете да го направите от конзолата на NetXMS: отворете конфигурацията (Edit agent’s configuration file), редактирайте, изпълнете Save&Apply, след което, всъщност, ще се случи същото. После прочетете отново конфигурацията (Poll > Configuration), ако нямате сили да изчакате. След тези действия трябва да се появи възможност да добавите нашия персонализиран параметър.

В конзолата на NetXMS отиваме в Data Collection Configuration научния сървър, на който ще следим сертификатите и създаваме нов параметър (по-късно, след настройката, има смисъл да го прехвърлим в шаблони). Избираме HTTPS.CertificateExpireDateSimple от списъка, вписваме описание с разбираемо име, тип задаваме Integer и настройваме интервала за запитвания. За времето на отстраняване на грешки има смисъл да го направим по-кратък, 30 секунди, например. Готово, за момента е достатъчно.

Може да проверим… не, все още е рано. В момента, естествено, няма да получим нищо. Просто защото скриптът все още не е написан. Изправяме това пропускане. Скриптът ще връща просто число, броя на дните, останали до изтичането на сертификата. Най-малката от наличните. Пример за скрипт:

try {
    # Получаваме всички сертификати от хранилището на сертификати
    $lmCertificates = @( Get-ChildItem -Recurse -path 'Cert:LocalMachineMy' -ErrorAction Stop )
     
    # Ако сертификатите липсват, връщаме "10 години"
    if ($lmCertificates.Count -eq 0) { return 3650 }
 
    # Получаваме датата на изтичане на всички сертификати
    $expirationDates = @( $lmCertificates | ForEach-Object { return $_.NotAfter } )
 
    # Получаваме най-близката дата на изтичане от всички
    $minExpirationDate = ($expirationDates | Measure-Object -Minimum -ErrorAction Stop ).Minimum
 
    # Конвертираме най-близката дата на изтичане в брой оставащи дни с закръгляне към по-ниска стойност
    $daysLeft = [Math]::Floor( ($minExpirationDate - [DateTime]::Now).TotalDays )
 
    # Връщаме стойността
    return $daysLeft
}
catch {
    return -1
}

Получава се следното:

723 дни, до изтичането на срока на сертификата остават почти две години. Логично, защото сертификатите за тестовия стенд на Exchange ги презаверих съвсем скоро.

Това беше прост вариант. Вероятно, някой ще се почувства удовлетворен и от него, но ние искахме повече. Поставихме си за задача да получим списък на всички сертификати на сървера поименно и да видим колко дни остават до изтичането на всеки сертификат.

Вторият вариант, малко по-сложно.

Отново редактираме конфигурацията на агента и вместо реда с ExternalParameter пишем две други:

ExternalList = HTTPS.CertificateNames: powershell.exe -File "serversharenetxms_CertExternalNames.ps1"
ExternalParameter = HTTPS.CertificateExpireDate(*): powershell.exe -File "serversharenetxms_CertExternalParameter.ps1" -CertificateId "$1"

В ExternalList просто получаваме списък от редове. В нашия случай, списък от редове с имената на сертификатите. Този списък ще получим с помощта на скрипта. Името на списъка е HTTPS.CertificateNames.

Скриптът NetXMS_CertNames.ps1:

#Список возможных имен сертификатов
$nameTypeList = @(
        [System.Security.Cryptography.X509Certificates.X509NameType]::SimpleName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsFromAlternativeName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UrlName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::EmailName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UpnName
)
 
#Ищем все сертификаты, имеющие закрытый ключ
$certList = @( Get-ChildItem -Path 'Cert:LocalMachineMy' | Where-Object { $_.HasPrivateKey -eq $true } )
 
#Проходим по списку сертификатов, формируем строку "Имя сертификата - Дата - Thumbprint" и возвращаем её
foreach ($cert in $certList) {
    $name = '(unknown name)'
    try {
        $thumbprint = $cert.Thumbprint
        $dateExpire = $cert.NotAfter
        foreach ($nameType in $nameTypeList) {
            $name_temp = $cert.GetNameInfo( $nameType, $false)
            if ($name_temp -ne $null -and $name_temp -ne '') {
                $name = $name_temp;
                break;
            }
        }
        Write-Output "$($name) - $($dateExpire.ToString('dd.MM.yyyy')) - [T:$($thumbprint)]"
    }
    catch {
        Write-Error -Message "Error processing certificate list: $($_.Exception.Message)"
    }
}

А вече в ExternalParameter Ние подаваме на входа низи от списъка ExternalList, а на изхода ще получим същото количество дни за всяка. Идентификаторът е Thumbprint на сертификата. Обърнете внимание, че HTTPS.CertificateExpireDate в този вариант съдържа звездичка (*). Това е необходимо, за да може да приема външни променливи, именно нашия CertificateId.

Скриптът NetXMS_CertExpireDate.ps1:

#Определяем входящий параметр $CertificateId
param (
    [Parameter(Mandatory=$false)]
    [String]$CertificateId
)
 
#Проверка на существование
if ($CertificateId -eq $null) {
    Write-Error -Message "CertificateID parameter is required!"
    return
}
 
#По Thumbprint из строки в $CertificateId ищем сертификат и определяем его Expiration Date 
$certId = $CertificateId;
try {
    if ($certId -match '^.*[T:(?<Thumbprint>[A-Z0-9]+)]$') {
        $thumbprint = $Matches['Thumbprint']
        $certificatePath = "Cert:LocalMachineMy$($thumbprint)"
         
        if (Test-Path -PathType Leaf -Path $certificatePath ) {
            $certificate = Get-Item -Path $certificatePath;
            $certificateExpirationDate = $certificate.NotAfter
            $certificateDayToLive = [Math]::Floor( ($certificateExpirationDate - [DateTime]::Now).TotalDays )
            Write-Output "$($certificateDayToLive)";
        }
        else {
            Write-Error -Message "No certificate matching this thumbprint found on this server $($certId)"
        }
    }
    else {
        Write-Error -Message "CertificateID provided in wrong format. Must be FriendlyName [T:<thumbprint>]"
    }
}
catch {
    Write-Error -Message "Error while executing script: $($_.Exception.Message)"
}

В конфигурацията за събиране на данни на сървъра създаваме нов параметър. В полето Parameter избираме нашия HTTPS.CertificateExpireDate(*) от списъка и, (внимание!) сменяме звездичката с {instance}. Този важен момент ще позволи да създадем отделен брояч за всеки инстанс (сертификат). Останалото се запълва, както в предишния вариант:

За да има от какво да се създават броячите, на раздела Instance Discovery трябва да изберете Agent List от списъка и в полето List Name да запишете името на нашия ExternalList от скрипта — HTTPS.CertificateNames.

Почти е готово, малко да изчакаме или да направим ръчно Poll > Configuration и Poll > Instance Discovery, ако не можем да чакаме. В резултат получаваме всичките ни сертификати със срокове на валидност:

Точно това ли е? Е, да, но червеят на перфекционизма гледа на този ненужен Thumbprint в името на брояча с тъжни очи и не му дава да завърши статията. За да го нахраним, отново отваряме свойствата на брояча и на раздела Instance Discovery в полето „Instance discovery filter script“ добавяме написания на NXSL (вътрешния език на NetXMS) скрипт:

instance = $1;
 if (instance ~= "^(.*)s-s[T:[a-zA-Z0-9]+]$")
 {
 return %(true, instance, $1);
 }
 return true;

който ще филтрира Thumbprint:

А за да се покаже отфилтрираният, на раздела General в полето Description променяме CertificateExpireDate: {instance} на CertificateExpireDate: {instance-name}:

Всичко, най-накрая край от КДПВ:

Красива работа нали?

Остава да настроим известия, за да ги получаваме на имейл, когато срокът на сертификата наближава логичния си край.

1. Първо трябва да създадем шаблон за събитие (Event Template), за да се активира при намаляване на стойността на брояча до зададен от нас праг. В Event Configuration създаваме два нови шаблона с имена, да кажем CertificateExpireDate_Threshold_Activate със статус Warning:

и аналогичен CertificateExpireDate_Threshold_Deactivate със статус Normal.

2. След това отиваме в свойствата на брояча и на раздела Tresholds настройваме прага:

къде избираме нашите создани събития CertificateExpireDate_Threshold_Activate и CertificateExpireDate_Threshold_Deactivate, задаваме количество измервания (Samples) 1 (конкретно за този брояч няма смисъл да се задават повече), стойност 30 (дни), например, и, което е важно, настройваме времето за повторение на събитието. За сертификати в продукция задавам веднъж на ден (86400 секунди), иначе можем да се потопим в известия (което, между другото, веднъж се случи, и то така, че пощенската кутия преливаше през уикенда). За времето за отстраняване на грешки има смисъл да зададем по-малко, 60 секунди, например.

3. В Action Configuration създаваме шаблон за уведомителни имейли, подобен на този:

Всички тези %m, %S и т.н. — макроси, в които ще бъдат подставени стойности от нашия параметър. Подробности за тях са описани в мануала NetXMS.

4. И, накрая, съчетавайки предишните точки, в Event Processing Policy създаваме правило, по което ще се създава Alarm и ще се изпраща имейл:

Запазваме политиката, всичко е готово, можем да тестваме. Ще зададем по-висок праг за проверка. Най-близкият ми сертификат изтича след 723 дни, за проверка зададох 724. В резултат получаваме такъв аларм:

и такова уведомление по имейл:

Ето, сега наистина всичко. Можеше да се настрои табло, да се построят графики, но за сертификати това биха били няколко безсмислени и скучни прави линии, в контекста на графики за натоварване на процесора или паметта, например. Но, за това ще говорим друг път.

Източник: habr.com