Наблюдение на срока на сертификатите в Windows на NetXMS

Неотдавна у нас се постави задача за мониторинг срока на валидност на сертификатите на Windows сървъри. Както се и случи, след като сертификатите няколко пъти станаха невалидни, по време, когато отговорният за тяхното подновяване колега беше в отпуск. След това нещо ни накара да се замислим и решихме да действаме. Тъй като в момента прилагаме система за мониторинг NetXMS, тя стана основният и принципно единствен кандидат за тази задача.

В резултат получихме следната информация:

А самият процес по-нататък.

Да започнем. В NetXMS няма вграден брояч на изтичащи сертификати, затова трябва да създадем свой и да използваме скриптове да осигурим данни за него. Разбира се, на Powershell, все пак това е Windows. Скриптът трябва да прочете всички сертификати в операционната система, да извлече срока им на валидност в дни и да предаде това число на NetXMS. Чрез неговия агент. От него и ще започнем.

Вариант първи, най-простият. Просто получаваме броя дни до изтичане на срока на валидност на сертификата с най-близка дата.

За да знае сървърът NetXMS за съществуването на нашия потребителски параметър, той трябва да го получи от агента. В противен случай този параметър не може да бъде добавен, тъй като го няма. Затова в конфигурационния файл на агента nxagentd.conf добавяме ред с име на външен параметър HTTPS.CertificateExpireDateSimple, в който записваме стартирането на скрипта:

ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

Като се има предвид, че скриптът се стартира по мрежата, не трябва да забравяме за Execution Policy, а също и да не забравим другите „-NoLogo -NoProfile -NonInteractive“, които пропуснах за по-добра четимост на кода.

В резултат конфигурацията на агента изглежда приблизително така:

#
# NetXMS agent configuration file
# Created by agent installer at Thu Jun 13 11:24:43 2019
#
 
MasterServers = netxms.corp.testcompany.ru
ConfigIncludeDir = C:NetXMSetcnxagentd.conf.d
LogFile = {syslog}
FileStore = C:NetXMSvar
SubAgent = ecs.nsm
SubAgent = filemgr.nsm
SubAgent = ping.nsm
SubAgent = logwatch.nsm
SubAgent = portcheck.nsm
SubAgent = winperf.nsm
SubAgent = wmi.nsm
 
ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

След това трябва да запазите конфигурацията и да рестартирате агента. Можете да направите това от конзолата на NetXMS: отворете конфигурацията (Edit agent’s configuration file), редактирайте, изпълнете Save & Apply, в резултат на което ще се случи същото. След това прочетете конфигурацията отново (Poll > Configuration), ако нямате сили да чакате. След тези действия трябва да се появи възможност да добавим нашия потребителски параметър.

В конзолата на NetXMS отиваме в Data Collection Configuration На тестовия сървър, на който ще наблюдаваме сертификатите, създаваме нов параметър (по-късно, след настройка, има смисъл да го преместим в шаблоните). Избираме HTTPS.CertificateExpireDateSimple от списъка, задаваме описание с разбираемо име, типа задаваме на Integer и конфигурираме интервала за запитвания. За времето на отстраняване на грешки е разумно да го направим по-кратък, например 30 секунди. Всичко, готово е, засега е достатъчно.

Можем да проверим... не, още е рано. Сега, разбира се, няма да получим нищо. Просто защото скриптът все още не е написан. Коригираме това пропускане. Скриптът ще изважда просто число, броя на дните, останали до изтичането на сертификата. Минималната от всички налични. Пример за скрипт:

try {
    # Получаваме всички сертификати от хранилището на сертификатите
    $lmCertificates = @( Get-ChildItem -Recurse -path 'Cert:LocalMachineMy' -ErrorAction Stop )
     
    # Ако сертификати няма, върни "10 години"
    if ($lmCertificates.Count -eq 0) { return 3650 }
 
    # Получаваме датите на изтичане на всички сертификати
    $expirationDates = @( $lmCertificates | ForEach-Object { return $_.NotAfter } )
 
    # Получаваме най-близката дата на изтичане от всичките
    $minExpirationDate = ($expirationDates | Measure-Object -Minimum -ErrorAction Stop ).Minimum
 
    # Конвертираме най-близката дата на изтичане в брой оставащи дни, закръглявайки надолу
    $daysLeft = [Math]::Floor( ($minExpirationDate - [DateTime]::Now).TotalDays )
 
    # Връщаме стойността
    return $daysLeft
}
catch {
    return -1
}

Получава се така:

723 дни, до изтичането на сертификата остават почти две години. Логично, тъй като сертификатите на тестовата версия на Exchange ги поднових съвсем наскоро.

Това беше прост вариант. Може би някой ще се задоволи и с такъв, но ние искахме нещо повече. Поставихме си задачата да получим списък на всички сертификати на сървера, поименно, и за всеки да видим колко дни остават до изтичането на сертификата.

Вторият вариант, малко по-сложно.

Отново редактираме конфигурацията на агента и там вместо реда с ExternalParameter пишем две други:

ExternalList = HTTPS.CertificateNames: powershell.exe -File "serversharenetxms_CertExternalNames.ps1"
ExternalParameter = HTTPS.CertificateExpireDate(*): powershell.exe -File "serversharenetxms_CertExternalParameter.ps1" -CertificateId "$1"

В ExternalList получаваме просто списък с низове. В нашия случай, списък с имена на сертификати. Този списък от низове ще получим със скрипта. Името на списъка — HTTPS.CertificateNames.

Скриптът NetXMS_CertNames.ps1:

#Список возможных имен сертификатов
$nameTypeList = @(
        [System.Security.Cryptography.X509Certificates.X509NameType]::SimpleName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsFromAlternativeName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UrlName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::EmailName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UpnName
)
 
#Ищем все сертификаты, имеющие закрытый ключ
$certList = @( Get-ChildItem -Path 'Cert:LocalMachineMy' | Where-Object { $_.HasPrivateKey -eq $true } )
 
#Проходим по списку сертификатов, формируем строку "Имя сертификата - Дата - Thumbprint" и возвращаем её
foreach ($cert in $certList) {
    $name = '(unknown name)'
    try {
        $thumbprint = $cert.Thumbprint
        $dateExpire = $cert.NotAfter
        foreach ($nameType in $nameTypeList) {
            $name_temp = $cert.GetNameInfo( $nameType, $false)
            if ($name_temp -ne $null -and $name_temp -ne '') {
                $name = $name_temp;
                break;
            }
        }
        Write-Output "$($name) - $($dateExpire.ToString('dd.MM.yyyy')) - [T:$($thumbprint)]"
    }
    catch {
        Write-Error -Message "Error processing certificate list: $($_.Exception.Message)"
    }
}

А вече в ExternalParameter На вход подаем строки из списка ExternalList, а на изхода получаваме същото количество дни за всяка. Идентификаторът е Thumbprint на сертификата. Обърнете внимание, че HTTPS.CertificateExpireDate в този вариант съдържа звезда (*). Това е необходимо, за да приеме външни променливи, именно нашия CertificateId.

Скрипт NetXMS_CertExpireDate.ps1:

#Определяем входящий параметр $CertificateId
param (
    [Parameter(Mandatory=$false)]
    [String]$CertificateId
)
 
#Проверка на существование
if ($CertificateId -eq $null) {
    Write-Error -Message "CertificateID parameter is required!"
    return
}
 
#По Thumbprint из строки в $CertificateId ищем сертификат и определяем его Expiration Date 
$certId = $CertificateId;
try {
    if ($certId -match '^.*[T:(?<Thumbprint>[A-Z0-9]+)]$') {
        $thumbprint = $Matches['Thumbprint']
        $certificatePath = "Cert:LocalMachineMy$($thumbprint)"
         
        if (Test-Path -PathType Leaf -Path $certificatePath ) {
            $certificate = Get-Item -Path $certificatePath;
            $certificateExpirationDate = $certificate.NotAfter
            $certificateDayToLive = [Math]::Floor( ($certificateExpirationDate - [DateTime]::Now).TotalDays )
            Write-Output "$($certificateDayToLive)";
        }
        else {
            Write-Error -Message "No certificate matching this thumbprint found on this server $($certId)"
        }
    }
    else {
        Write-Error -Message "CertificateID provided in wrong format. Must be FriendlyName [T:<thumbprint>]"
    }
}
catch {
    Write-Error -Message "Error while executing script: $($_.Exception.Message)"
}

В конфигурацията за събиране на данни на сървъра създаваме нов параметър. В Parameter избираме нашия HTTPS.CertificateExpireDate(*) от списъка и, (внимание!) променяме звездичката на {instance}. Тази важна точка ще позволи да се създаде отделен брояч за всеки инстанс (сертификат). Останалото се попълва както в предишния вариант:

За да има от какво да се създават броячи, на таба Instance Discovery трябва да изберем Agent List от списъка и в полето List Name да напишем името на нашия ExternalList от скрипта — HTTPS.CertificateNames.

Почти е готово, малко да поизчакаме или принудително да направим Poll > Configuration и Poll > Instance Discovery, ако абсолютно не можем да чакаме. В резултат получаваме всички наши сертификати със срокове на действие:

То, което трябва? Да, само че червейчето на перфекционизма гледа на този ненужен Thumbprint в името на брояча с тъжни очи и не позволява да завърша статията. За да го нахраня, отново отваряме свойствата на брояча и на таба Instance Discovery в полето „Instance discovery filter script“ добавяме написания на NXSL (вътрешния език на NetXMS) скрипт:

instance = $1;
 if (instance ~= "^(.*)s-s[T:[a-zA-Z0-9]+]$")
 {
 return %(true, instance, $1);
 }
 return true;

който ще филтрира Thumbprint:

А за да го покажем отфилтриран, на таба General в полето Description променяме CertificateExpireDate: {instance} на CertificateExpireDate: {instance-name}:

Всичко, накрая финиш от КДПВ:

Красота ли?

Остана да настроим известията, за да идват на имейл, когато срокът на сертификата доближава логичния си край.

1. Първо трябва да създадем шаблон на събитие (Event Template) за активация при намаляване на стойността на брояча под определен от нас праг. В Event Configuration създаваме два нови шаблона с имена, да кажем CertificateExpireDate_Threshold_Activate със статус Warning:

и аналогичен CertificateExpireDate_Threshold_Deactivate със статус Normal.

2. След това отиваме в свойствата на брояча и на таба Tresholds настройваме прага:

Къде избираме нашите създадени събития CertificateExpireDate_Threshold_Activate и CertificateExpireDate_Threshold_Deactivate, задаваме брой на измерванията (Samples) 1 (конкретно за този брояч няма смисъл да задаваме повече), стойност от 30 (дни), например, и, което е важно, настройваме времето за повторение на събитието. За сертификатите в продукция задавам веднъж на ден (86400 секунди), в противен случай можем да се затрупаме с известия (което, между другото, се случи веднъж, така че пощенската кутия се препълни за почивните дни). По време на отстраняване на проблеми има смисъл да зададем по-малко, например 60 секунди.

3. В Конфигурация на Действие създаваме шаблон за уведомително писмо, подобен на следния:

Всички тези %m, %S и т.н. — макроси, в които ще бъдат поставени стойности от нашия параметър. Повече информация за тях е описана в ръководството NetXMS.

4. И накрая, обединявайки предишните точки, в Политиката за Обработка на Събития създаваме правило, по което ще се създава аларма и ще се изпраща писмо:

Запазваме политиката, всичко, можем да тестваме. Ще поставим по-висок праг за проверка. Моят най-близък сертификат изтича след 723 дни, за проверка зададох 724. В резултат на това получаваме такава аларма:

и такова уведомление по имейл:

Сега вече наистина е всичко. Можеше, разбира се, да настроим таблото, да построим графики, но за сертификатите това ще бъдат няколко безсмислени и скучни прави линии, за разлика от графиците на натоварването на процесора или паметта, например. Но за това по-късно.

Източник: habr.com