NetXMS-এ উইন্ডোজে সার্টিফিকেটের মেয়াদ শেষ হওয়ার তারিখ পর্যবেক্ষণ করা

সম্প্রতি আমরা উইন্ডোজ সার্ভারে শংসাপত্রের বৈধতা সময়কাল পর্যবেক্ষণ করার কাজের মুখোমুখি হয়েছি। ঠিক আছে, শংসাপত্রগুলি বেশ কয়েকবার কুমড়ায় পরিণত হওয়ার পরে আমি কীভাবে উঠেছিলাম, যখন তাদের পুনর্নবীকরণের জন্য দায়ী দাড়িওয়ালা সহকর্মী ছুটিতে ছিলেন। এর পরে, তিনি এবং আমি কিছু সন্দেহ করেছি এবং এটি সম্পর্কে চিন্তা করার সিদ্ধান্ত নিয়েছি। যেহেতু আমরা ধীরে ধীরে NetXMS মনিটরিং সিস্টেম বাস্তবায়ন করছি, তাই এটি প্রধান এবং নীতিগতভাবে, এই কাজের জন্য একমাত্র প্রার্থী হয়ে উঠেছে।

ফলাফলটি অবশেষে নিম্নলিখিত আকারে প্রাপ্ত হয়েছিল:

এবং প্রক্রিয়া নিজেই চলতে থাকে।

যাওয়া. NetXMS-এ মেয়াদোত্তীর্ণ শংসাপত্রের জন্য কোনও অন্তর্নির্মিত কাউন্টার নেই, তাই আপনাকে আপনার নিজস্ব তৈরি করতে হবে এবং ডেটা সরবরাহ করতে স্ক্রিপ্ট ব্যবহার করতে হবে। অবশ্যই, পাওয়ারশেলে, এটি উইন্ডোজ। স্ক্রিপ্টের অপারেটিং সিস্টেমের সমস্ত শংসাপত্র পড়তে হবে, সেখান থেকে কয়েক দিনের মধ্যে তাদের মেয়াদ শেষ হওয়ার তারিখ নিতে হবে এবং এই নম্বরটি NetXMS-এ পাঠাতে হবে। তার এজেন্টের মাধ্যমে। যে যেখানে আমরা শুরু করব.

বিকল্প এক, সহজতম। নিকটতম তারিখ সহ শংসাপত্রের মেয়াদ শেষ হওয়ার তারিখ পর্যন্ত দিনের সংখ্যা পান।

NetXMS সার্ভারের জন্য আমাদের কাস্টম প্যারামিটারের অস্তিত্ব সম্পর্কে জানতে, এটি অবশ্যই এজেন্টের কাছ থেকে গ্রহণ করবে। অন্যথায়, এই প্যারামিটারটি অনুপস্থিতির কারণে যোগ করা যাবে না। অতএব, এজেন্ট কনফিগারেশন ফাইলে nxagentd.conf আমরা একটি বাহ্যিক পরামিতি স্ট্রিং নামক যোগ করুন HTTPS.CertificateExpireDateSimple, যেখানে আমরা স্ক্রিপ্টের লঞ্চ নিবন্ধন করি:

ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

নেটওয়ার্কের মাধ্যমে স্ক্রিপ্টটি চালু করা হয়েছে তা বিবেচনা করে, আপনাকে মনে রাখতে হবে নির্বাহ নীতি, এবং অন্য "-NoLogo -NoProfile -NonInteractive" ভুলে যাবেন না, যা আমি আরও ভালো কোড পঠনযোগ্যতার জন্য বাদ দিয়েছি।

ফলস্বরূপ, এজেন্ট কনফিগারেশনটি এরকম কিছু দেখায়:

#
# NetXMS agent configuration file
# Created by agent installer at Thu Jun 13 11:24:43 2019
#
 
MasterServers = netxms.corp.testcompany.ru
ConfigIncludeDir = C:NetXMSetcnxagentd.conf.d
LogFile = {syslog}
FileStore = C:NetXMSvar
SubAgent = ecs.nsm
SubAgent = filemgr.nsm
SubAgent = ping.nsm
SubAgent = logwatch.nsm
SubAgent = portcheck.nsm
SubAgent = winperf.nsm
SubAgent = wmi.nsm
 
ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

এর পরে, আপনাকে কনফিগারেশনটি সংরক্ষণ করতে হবে এবং এজেন্টটি পুনরায় চালু করতে হবে। আপনি NetXMS কনসোল থেকে এটি করতে পারেন: কনফিগারেশন খুলুন (এজেন্টের কনফিগারেশন ফাইল সম্পাদনা করুন), এটি সম্পাদনা করুন, সংরক্ষণ করুন এবং প্রয়োগ করুন, যার ফলস্বরূপ, বাস্তবে একই জিনিস ঘটবে। তারপরে কনফিগারেশনটি পুনরায় পড়ুন (পোল> কনফিগারেশন), যদি আপনার কাছে অপেক্ষা করার শক্তি না থাকে। এই পদক্ষেপগুলির পরে, আপনি আমাদের কাস্টম প্যারামিটার যোগ করতে সক্ষম হবেন।

NetXMS কনসোলে যান ডেটা সংগ্রহ কনফিগারেশন পরীক্ষামূলক সার্ভার যেখানে আমরা শংসাপত্রগুলি নিরীক্ষণ করতে যাচ্ছি এবং সেখানে একটি নতুন প্যারামিটার তৈরি করতে যাচ্ছি (ভবিষ্যতে, কনফিগারেশনের পরে, এটি টেমপ্লেটগুলিতে স্থানান্তর করা বোধগম্য হয়)। তালিকা থেকে HTTPS.CertificateExpireDateSimple নির্বাচন করুন, একটি পরিষ্কার নাম সহ একটি বিবরণ লিখুন, প্রকারটি পূর্ণসংখ্যাতে সেট করুন এবং ভোটদানের ব্যবধানটি কনফিগার করুন৷ ডিবাগিং উদ্দেশ্যে, এটি 30 সেকেন্ড, উদাহরণস্বরূপ, ছোট করা অর্থপূর্ণ। সবকিছু প্রস্তুত, আপাতত এটাই যথেষ্ট।

আপনি চেক করতে পারেন... না, এটা খুব তাড়াতাড়ি। এখন, অবশ্যই, আমরা কিছুই পাব না। স্ক্রিপ্টটি এখনও লেখা হয়নি বলেই। আসুন এই বাদ পড়া সংশোধন করা যাক. স্ক্রিপ্টটি কেবল একটি সংখ্যা প্রদর্শন করবে, শংসাপত্রের মেয়াদ শেষ না হওয়া পর্যন্ত বাকি দিনের সংখ্যা। সব উপলব্ধ সবচেয়ে ন্যূনতম. উদাহরণ স্ক্রিপ্ট:

try {
    # Получаем все сертификаты из хранилища сертификатов
    $lmCertificates = @( Get-ChildItem -Recurse -path 'Cert:LocalMachineMy' -ErrorAction Stop )
     
    # Если сертификатов нет, вернуть "10 лет"
    if ($lmCertificates.Count -eq 0) { return 3650 }
 
    # Получаем Expiration Date всех сертификатов
    $expirationDates = @( $lmCertificates | ForEach-Object { return $_.NotAfter } )
 
    # Получаем наиболее близкий Expiration Date из всех
    $minExpirationDate = ($expirationDates | Measure-Object -Minimum -ErrorAction Stop ).Minimum
 
    # Конвертируем наиболее близкий Expiration Date в количество оставшихся дней с округлением в меньшую сторону
    $daysLeft = [Math]::Floor( ($minExpirationDate - [DateTime]::Now).TotalDays )
 
    # Возвращаем значение
    return $daysLeft
}
catch {
    return -1
}

এটি এর মতো দেখা যাচ্ছে:

723 দিন, শংসাপত্রের মেয়াদ শেষ হতে প্রায় দুই বছর বাকি। এটা যৌক্তিক, কারণ আমি সম্প্রতি এক্সচেঞ্জ টেস্ট বেঞ্চের জন্য সার্টিফিকেট পুনরায় জারি করেছি।

এটি একটি সহজ বিকল্প ছিল। সম্ভবত, কেউ এতে সন্তুষ্ট হবে, তবে আমরা আরও চেয়েছিলাম। আমরা সার্ভারে সমস্ত শংসাপত্রের একটি তালিকা, নামের দ্বারা এবং প্রত্যেকটির জন্য শংসাপত্রের মেয়াদ শেষ না হওয়া পর্যন্ত বাকি দিনের সংখ্যা দেখার জন্য নিজেদেরকে সেট করি৷

দ্বিতীয় বিকল্প, কিছুটা জটিল।

আবার আমরা এজেন্ট কনফিগার সম্পাদনা করি এবং সেখানে, ExternalParameter-এর সাথে লাইনের পরিবর্তে, আমরা আরও দুটি লিখি:

ExternalList = HTTPS.CertificateNames: powershell.exe -File "serversharenetxms_CertExternalNames.ps1"
ExternalParameter = HTTPS.CertificateExpireDate(*): powershell.exe -File "serversharenetxms_CertExternalParameter.ps1" -CertificateId "$1"

В বাহ্যিক তালিকা আমরা শুধু স্ট্রিং একটি তালিকা পেতে. আমাদের ক্ষেত্রে, শংসাপত্রের নাম সহ স্ট্রিংয়ের একটি তালিকা। আমরা স্ক্রিপ্ট ব্যবহার করে এই লাইনগুলির একটি তালিকা পাব। তালিকা নাম - HTTPS.CertificateNames.

স্ক্রিপ্ট NetXMS_CertNames.ps1:

#Список возможных имен сертификатов
$nameTypeList = @(
        [System.Security.Cryptography.X509Certificates.X509NameType]::SimpleName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsFromAlternativeName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UrlName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::EmailName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UpnName
)
 
#Ищем все сертификаты, имеющие закрытый ключ
$certList = @( Get-ChildItem -Path 'Cert:LocalMachineMy' | Where-Object { $_.HasPrivateKey -eq $true } )
 
#Проходим по списку сертификатов, формируем строку "Имя сертификата - Дата - Thumbprint" и возвращаем её
foreach ($cert in $certList) {
    $name = '(unknown name)'
    try {
        $thumbprint = $cert.Thumbprint
        $dateExpire = $cert.NotAfter
        foreach ($nameType in $nameTypeList) {
            $name_temp = $cert.GetNameInfo( $nameType, $false)
            if ($name_temp -ne $null -and $name_temp -ne '') {
                $name = $name_temp;
                break;
            }
        }
        Write-Output "$($name) - $($dateExpire.ToString('dd.MM.yyyy')) - [T:$($thumbprint)]"
    }
    catch {
        Write-Error -Message "Error processing certificate list: $($_.Exception.Message)"
    }
}

এবং ইতিমধ্যেই এক্সটার্নাল প্যারামিটার আমরা ExternalList তালিকা থেকে সারি ইনপুট করি, এবং আউটপুটে আমরা প্রতিটির জন্য একই সংখ্যক দিন পাই। শনাক্তকারী হল শংসাপত্রের থাম্বপ্রিন্ট। মনে রাখবেন যে HTTPS.CertificateExpireDate এই ভেরিয়েন্টে একটি তারকাচিহ্ন (*) রয়েছে। এটি প্রয়োজনীয় যাতে এটি বহিরাগত ভেরিয়েবল গ্রহণ করে, শুধুমাত্র আমাদের সার্টিফিকেট আইডি।

স্ক্রিপ্ট NetXMS_CertExpireDate.ps1:

#Определяем входящий параметр $CertificateId
param (
    [Parameter(Mandatory=$false)]
    [String]$CertificateId
)
 
#Проверка на существование
if ($CertificateId -eq $null) {
    Write-Error -Message "CertificateID parameter is required!"
    return
}
 
#По Thumbprint из строки в $CertificateId ищем сертификат и определяем его Expiration Date 
$certId = $CertificateId;
try {
    if ($certId -match '^.*[T:(?<Thumbprint>[A-Z0-9]+)]$') {
        $thumbprint = $Matches['Thumbprint']
        $certificatePath = "Cert:LocalMachineMy$($thumbprint)"
         
        if (Test-Path -PathType Leaf -Path $certificatePath ) {
            $certificate = Get-Item -Path $certificatePath;
            $certificateExpirationDate = $certificate.NotAfter
            $certificateDayToLive = [Math]::Floor( ($certificateExpirationDate - [DateTime]::Now).TotalDays )
            Write-Output "$($certificateDayToLive)";
        }
        else {
            Write-Error -Message "No certificate matching this thumbprint found on this server $($certId)"
        }
    }
    else {
        Write-Error -Message "CertificateID provided in wrong format. Must be FriendlyName [T:<thumbprint>]"
    }
}
catch {
    Write-Error -Message "Error while executing script: $($_.Exception.Message)"
}

সার্ভারের ডেটা সংগ্রহ কনফিগারেশনে, আমরা একটি নতুন প্যারামিটার তৈরি করি। প্যারামিটারে আমরা আমাদের নির্বাচন করি HTTPS.CertificateExpireDate(*) তালিকা থেকে, এবং (মনোযোগ!) তারকাচিহ্ন পরিবর্তন করুন {দৃষ্টান্ত}. এই গুরুত্বপূর্ণ পয়েন্টটি আপনাকে প্রতিটি উদাহরণের (শংসাপত্র) জন্য একটি পৃথক কাউন্টার তৈরি করার অনুমতি দেবে। বাকিগুলি পূর্ববর্তী সংস্করণের মতো পূরণ করা হয়েছে:

কাউন্টার তৈরি করার জন্য কিছু পাওয়ার জন্য, ইনস্ট্যান্স ডিসকভারি ট্যাবে আপনাকে তালিকা থেকে এজেন্ট তালিকা নির্বাচন করতে হবে এবং তালিকার নাম ক্ষেত্রে স্ক্রিপ্ট থেকে আমাদের বহিরাগত তালিকার নাম লিখুন - HTTPS.CertificateNames।

প্রায় প্রস্তুত, একটু অপেক্ষা করুন বা জোর করে পোল > কনফিগারেশন এবং পোল > ইনস্ট্যান্স ডিসকভারি যদি অপেক্ষা করা সম্পূর্ণ অসম্ভব হয়। ফলস্বরূপ, আমরা বৈধতার মেয়াদ সহ আমাদের সমস্ত শংসাপত্র পাই:

তোমার কি দরকার? ঠিক আছে, হ্যাঁ, কেবল পারফেকশনিজমের কীট এই অপ্রয়োজনীয় থাম্বপ্রিন্টের দিকে কাউন্টারের নামে বিষণ্ণ চোখে দেখে এবং আমাকে নিবন্ধটি শেষ করতে দেয় না। এটি খাওয়ানোর জন্য, কাউন্টার বৈশিষ্ট্যগুলি আবার খুলুন এবং ইনস্ট্যান্স ডিসকভারি ট্যাবে, "ইনস্ট্যান্স আবিষ্কার ফিল্টার স্ক্রিপ্ট" ক্ষেত্রে, লেখাটি যোগ করুন এনএক্সএসএল (NetXMS অভ্যন্তরীণ ভাষা) স্ক্রিপ্ট:

instance = $1;
 if (instance ~= "^(.*)s-s[T:[a-zA-Z0-9]+]$")
 {
 return %(true, instance, $1);
 }
 return true;

যা থাম্বপ্রিন্ট ফিল্টার করবে:

এবং এটিকে ফিল্টার করা প্রদর্শন করতে, বর্ণনা ক্ষেত্রের সাধারণ ট্যাবে, CertificateExpireDate: {instance}-এ পরিবর্তন করুন CertificateExpireDate: {instance-name}:

এটাই, অবশেষে KDPV থেকে শেষ লাইন:

এটা কি সৌন্দর্য?

যা অবশিষ্ট থাকে তা হল সতর্কতা সেট আপ করা যাতে শংসাপত্রের মেয়াদ শেষ হয়ে গেলে তারা ইমেলের মাধ্যমে পৌঁছায়।

1. প্রথমে আমাদের একটি ইভেন্ট টেমপ্লেট তৈরি করতে হবে এটি সক্রিয় করার জন্য যখন কাউন্টার মান আমাদের সেট করা কিছু থ্রেশহোল্ডে কমে যায়। ভিতরে ইভেন্ট কনফিগারেশন এর মতো নাম দিয়ে দুটি নতুন টেমপ্লেট তৈরি করি শংসাপত্রের মেয়াদ শেষ হওয়ার তারিখ_থ্রেশহোল্ড_অ্যাক্টিভেট সতর্কতা অবস্থা সহ:

এবং অনুরূপ CertificateExpireDate_Threshold_Deactivate স্বাভাবিক অবস্থা সহ।

2. এরপর, কাউন্টার বৈশিষ্ট্যে যান এবং Tresholds ট্যাবে থ্রেশহোল্ড সেট করুন:

যেখানে আমরা আমাদের তৈরি ইভেন্টগুলি নির্বাচন করি CertificateExpireDate_Threshold_Activate এবং CertificateExpireDate_Threshold_Deactivate, নমুনার সংখ্যা (নমুনা) 1 এ সেট করি (বিশেষত এই কাউন্টারের জন্য আরও সেট করার কোন অর্থ নেই), মানটি 30 (দিন), উদাহরণস্বরূপ, এবং, গুরুত্বপূর্ণভাবে, সেট করুন। ঘটনার পুনরাবৃত্তির সময়। উৎপাদনে শংসাপত্রের জন্য, আমি এটি দিনে একবার সেট করি (86400 সেকেন্ড), অন্যথায় আপনি বিজ্ঞপ্তিগুলিতে ডুবে যেতে পারেন (যা, যাইহোক, একবার ঘটেছিল, এতটাই যে সপ্তাহান্তে মেলবক্সটি পূর্ণ ছিল)। ডিবাগিং সময়ের জন্য, উদাহরণস্বরূপ, 60 সেকেন্ড, এটি কম সেট করা অর্থপূর্ণ।

3. ইন অ্যাকশন কনফিগারেশন একটি বিজ্ঞপ্তি চিঠি টেমপ্লেট তৈরি করুন, যেমন:

এই সমস্ত %m, %S, ইত্যাদি — ম্যাক্রো যার মধ্যে আমাদের প্যারামিটার থেকে মান প্রতিস্থাপিত হবে। এগুলি আরও বিশদে বর্ণনা করা হয়েছে ম্যানুয়াল নেটএক্সএমএস।

4. এবং পরিশেষে, পূর্ববর্তী পয়েন্ট একত্রিত, মধ্যে ইভেন্ট প্রসেসিং নীতি একটি নিয়ম তৈরি করুন যা অনুসারে একটি অ্যালার্ম তৈরি করা হবে এবং একটি চিঠি পাঠানো হবে:

আমরা নীতি সংরক্ষণ করি, সবকিছু পরীক্ষা করা যেতে পারে। চেক করতে থ্রেশহোল্ড উচ্চতর সেট করা যাক। আমার নিকটতম শংসাপত্রের মেয়াদ 723 দিনের মধ্যে শেষ হয়, আমি এটি পরীক্ষা করার জন্য 724 এ সেট করেছি। ফলস্বরূপ, আমরা নিম্নলিখিত অ্যালার্ম পাই:

এবং এই ইমেল বিজ্ঞপ্তি:

এটাই এখন নিশ্চিত। অবশ্যই, একটি ড্যাশবোর্ড সেট আপ করা এবং গ্রাফ তৈরি করা সম্ভব হবে, কিন্তু শংসাপত্রের জন্য এগুলি কিছুটা অর্থহীন এবং বিরক্তিকর সরল রেখা হবে, উদাহরণস্বরূপ, প্রসেসর বা মেমরি লোডের গ্রাফের বিপরীতে। কিন্তু, অন্য কোনো সময় এই সম্পর্কে আরো.

উত্স: www.habr.com