სერტიფიკატის ვადის გასვლის თარიღის მონიტორინგი Windows-ში NetXMS-ზე

ცოტა ხნის წინ ჩვენ დაგვხვდა დავალება, დავაკვირდეთ სერთიფიკატების მოქმედების პერიოდს Windows სერვერებზე. აბა, როგორ ავდექი მას შემდეგ, რაც სერთიფიკატები რამდენჯერმე გოგრად იქცა, სწორედ იმ დროს, როცა მათ განახლებაზე პასუხისმგებელი წვერიანი კოლეგა შვებულებაში იყო. ამის შემდეგ მე და მას რაღაც ვეჭვიანობდით და გადავწყვიტეთ ამაზე გვეფიქრა. ვინაიდან ჩვენ ნელ-ნელა ვახორციელებთ NetXMS მონიტორინგის სისტემას, ის გახდა ამ ამოცანის მთავარი და პრინციპში ერთადერთი კანდიდატი.

შედეგი საბოლოოდ მიიღეს შემდეგ ფორმაში:

და თავად პროცესი გრძელდება.

წადი. NetXMS-ში არ არის ჩაშენებული მრიცხველი ვადაგასული სერთიფიკატებისთვის, ასე რომ თქვენ უნდა შექმნათ თქვენი საკუთარი და გამოიყენოთ სკრიპტები მისი მონაცემების მოსაწოდებლად. რა თქმა უნდა, Powershell-ზე ეს არის Windows. სკრიპტმა უნდა წაიკითხოს ოპერაციული სისტემის ყველა სერთიფიკატი, აიღოს მათი ვარგისიანობის ვადა დღეებში და გადასცეს ეს ნომერი NetXMS-ს. მისი აგენტის მეშვეობით. სწორედ აქედან დავიწყებთ.

ვარიანტი ერთი, უმარტივესი. უბრალოდ მიიღეთ დღეების რაოდენობა სერტიფიკატის ვადის გასვლამდე უახლოესი თარიღით.

იმისათვის, რომ NetXMS სერვერმა იცოდეს ჩვენი მორგებული პარამეტრის არსებობის შესახებ, მან ის უნდა მიიღოს აგენტისგან. წინააღმდეგ შემთხვევაში, ამ პარამეტრის დამატება შეუძლებელია მისი არარსებობის გამო. ამიტომ, აგენტის კონფიგურაციის ფაილში nxagentd.conf ჩვენ ვამატებთ გარე პარამეტრის სტრიქონს, რომელსაც ე.წ HTTPS.CertificateExpireDateSimple, რომელშიც ჩვენ ვარეგისტრირებთ სკრიპტის გაშვებას:

ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

იმის გათვალისწინებით, რომ სკრიპტი გაშვებულია ქსელში, თქვენ უნდა გახსოვდეთ ამის შესახებ შესრულების პოლიტიკადა ასევე არ დაგავიწყდეთ სხვა „-NoLogo -NoProfile -NonInteractive“, რომელიც მე გამოვტოვე კოდის უკეთესი წაკითხვისთვის.

შედეგად, აგენტის კონფიგურაცია ასე გამოიყურება:

#
# NetXMS agent configuration file
# Created by agent installer at Thu Jun 13 11:24:43 2019
#
 
MasterServers = netxms.corp.testcompany.ru
ConfigIncludeDir = C:NetXMSetcnxagentd.conf.d
LogFile = {syslog}
FileStore = C:NetXMSvar
SubAgent = ecs.nsm
SubAgent = filemgr.nsm
SubAgent = ping.nsm
SubAgent = logwatch.nsm
SubAgent = portcheck.nsm
SubAgent = winperf.nsm
SubAgent = wmi.nsm
 
ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

ამის შემდეგ, თქვენ უნდა შეინახოთ კონფიგურაცია და გადატვირთოთ აგენტი. ამის გაკეთება შეგიძლიათ NetXMS კონსოლიდან: გახსენით კონფიგურაცია (Edit agent's configuration file), დაარედაქტირეთ, შეასრულეთ Save&Apply, რის შედეგადაც, ფაქტობრივად, იგივე მოხდება. შემდეგ ხელახლა წაიკითხეთ კონფიგურაცია (გამოკითხვა > კონფიგურაცია), თუ ლოდინის ძალა საერთოდ არ გაქვთ. ამ ნაბიჯების შემდეგ, თქვენ უნდა შეძლოთ ჩვენი მორგებული პარამეტრის დამატება.

NetXMS კონსოლში გადადით მონაცემთა შეგროვების კონფიგურაცია ექსპერიმენტული სერვერი, რომელზეც ვაპირებთ სერთიფიკატების მონიტორინგს და იქ ახალი პარამეტრის შექმნას (მომავალში, კონფიგურაციის შემდეგ, აზრი აქვს შაბლონებზე გადატანას). აირჩიეთ HTTPS.CertificateExpireDateSimple სიიდან, შეიყვანეთ აღწერა მკაფიო სახელით, დააყენეთ ტიპი მთელ რიცხვზე და დააკონფიგურირეთ კენჭისყრის ინტერვალი. გამართვის მიზნით, აზრი აქვს, რომ ის უფრო მოკლე იყოს, მაგალითად, 30 წამი. ყველაფერი მზადაა, ჯერ საკმარისია.

შეგიძლიათ შეამოწმოთ... არა, ჯერ ადრეა. ახლა, რა თქმა უნდა, ვერაფერს მივიღებთ. უბრალოდ იმიტომ, რომ სცენარი ჯერ არ დაწერილა. გამოვასწოროთ ეს გამოტოვება. სკრიპტი უბრალოდ აჩვენებს რიცხვს, სერთიფიკატის ვადის ამოწურვამდე დარჩენილი დღეების რაოდენობას. ყველაზე მინიმალური ყველა ხელმისაწვდომი. სკრიპტის მაგალითი:

try {
    # Получаем все сертификаты из хранилища сертификатов
    $lmCertificates = @( Get-ChildItem -Recurse -path 'Cert:LocalMachineMy' -ErrorAction Stop )
     
    # Если сертификатов нет, вернуть "10 лет"
    if ($lmCertificates.Count -eq 0) { return 3650 }
 
    # Получаем Expiration Date всех сертификатов
    $expirationDates = @( $lmCertificates | ForEach-Object { return $_.NotAfter } )
 
    # Получаем наиболее близкий Expiration Date из всех
    $minExpirationDate = ($expirationDates | Measure-Object -Minimum -ErrorAction Stop ).Minimum
 
    # Конвертируем наиболее близкий Expiration Date в количество оставшихся дней с округлением в меньшую сторону
    $daysLeft = [Math]::Floor( ($minExpirationDate - [DateTime]::Now).TotalDays )
 
    # Возвращаем значение
    return $daysLeft
}
catch {
    return -1
}

ასე გამოდის:

სერტიფიკატის ვადის ამოწურვამდე დარჩა 723 დღე, თითქმის ორი წელი. ლოგიკურია, რადგან ცოტა ხნის წინ ხელახლა გავცე სერთიფიკატები Exchange ტესტის სკამისთვის.

მარტივი ვარიანტი იყო. ალბათ, ვინმე ამით დაკმაყოფილდება, მაგრამ მეტი გვინდოდა. ჩვენ დავავალეთ, რომ მოვიპოვოთ სერვერზე არსებული ყველა სერთიფიკატის სია, სახელის მიხედვით და თითოეულმა ვნახოთ სერთიფიკატის ვადის ამოწურვამდე დარჩენილი დღეების რაოდენობა.

მეორე ვარიანტი, გარკვეულწილად უფრო რთული.

ჩვენ კვლავ ვასწორებთ აგენტის კონფიგურაციას და იქ, ExternalParameter-ის ხაზის ნაცვლად, ვწერთ ორ სხვას:

ExternalList = HTTPS.CertificateNames: powershell.exe -File "serversharenetxms_CertExternalNames.ps1"
ExternalParameter = HTTPS.CertificateExpireDate(*): powershell.exe -File "serversharenetxms_CertExternalParameter.ps1" -CertificateId "$1"

В გარე სია ჩვენ უბრალოდ ვიღებთ სტრიქონების ჩამონათვალს. ჩვენს შემთხვევაში, სტრიქონების სია სერტიფიკატების სახელებით. ჩვენ მივიღებთ ამ ხაზების ჩამონათვალს სკრიპტის გამოყენებით. სიის სახელი - HTTPS.CertificateNames.

სკრიპტი NetXMS_CertNames.ps1:

#Список возможных имен сертификатов
$nameTypeList = @(
        [System.Security.Cryptography.X509Certificates.X509NameType]::SimpleName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsFromAlternativeName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UrlName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::EmailName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UpnName
)
 
#Ищем все сертификаты, имеющие закрытый ключ
$certList = @( Get-ChildItem -Path 'Cert:LocalMachineMy' | Where-Object { $_.HasPrivateKey -eq $true } )
 
#Проходим по списку сертификатов, формируем строку "Имя сертификата - Дата - Thumbprint" и возвращаем её
foreach ($cert in $certList) {
    $name = '(unknown name)'
    try {
        $thumbprint = $cert.Thumbprint
        $dateExpire = $cert.NotAfter
        foreach ($nameType in $nameTypeList) {
            $name_temp = $cert.GetNameInfo( $nameType, $false)
            if ($name_temp -ne $null -and $name_temp -ne '') {
                $name = $name_temp;
                break;
            }
        }
        Write-Output "$($name) - $($dateExpire.ToString('dd.MM.yyyy')) - [T:$($thumbprint)]"
    }
    catch {
        Write-Error -Message "Error processing certificate list: $($_.Exception.Message)"
    }
}

და უკვე შიგნით გარე პარამეტრი ჩვენ შევიყვანთ რიგებს ExternalList სიიდან და გამოსავალზე ვიღებთ დღეების ერთსა და იმავე რაოდენობას თითოეულისთვის. იდენტიფიკატორი არის სერტიფიკატის ცერა ანაბეჭდი. გაითვალისწინეთ, რომ HTTPS.CertificateExpireDate შეიცავს ვარსკვლავს (*) ამ ვარიანტში. ეს აუცილებელია იმისათვის, რომ მან მიიღოს გარე ცვლადები, მხოლოდ ჩვენი CertificateId.

სკრიპტი NetXMS_CertExpireDate.ps1:

#Определяем входящий параметр $CertificateId
param (
    [Parameter(Mandatory=$false)]
    [String]$CertificateId
)
 
#Проверка на существование
if ($CertificateId -eq $null) {
    Write-Error -Message "CertificateID parameter is required!"
    return
}
 
#По Thumbprint из строки в $CertificateId ищем сертификат и определяем его Expiration Date 
$certId = $CertificateId;
try {
    if ($certId -match '^.*[T:(?<Thumbprint>[A-Z0-9]+)]$') {
        $thumbprint = $Matches['Thumbprint']
        $certificatePath = "Cert:LocalMachineMy$($thumbprint)"
         
        if (Test-Path -PathType Leaf -Path $certificatePath ) {
            $certificate = Get-Item -Path $certificatePath;
            $certificateExpirationDate = $certificate.NotAfter
            $certificateDayToLive = [Math]::Floor( ($certificateExpirationDate - [DateTime]::Now).TotalDays )
            Write-Output "$($certificateDayToLive)";
        }
        else {
            Write-Error -Message "No certificate matching this thumbprint found on this server $($certId)"
        }
    }
    else {
        Write-Error -Message "CertificateID provided in wrong format. Must be FriendlyName [T:<thumbprint>]"
    }
}
catch {
    Write-Error -Message "Error while executing script: $($_.Exception.Message)"
}

სერვერის მონაცემთა შეგროვების კონფიგურაციაში ჩვენ ვქმნით ახალ პარამეტრს. პარამეტრში ვირჩევთ ჩვენს HTTPS.CertificateExpireDate(*) სიიდან და (ყურადღება!) შეცვალეთ ვარსკვლავი {მაგალითი}. ეს მნიშვნელოვანი წერტილი საშუალებას მოგცემთ შექმნათ ცალკე მრიცხველი თითოეული ინსტანციისთვის (სერთიფიკატი). დანარჩენი ივსება როგორც წინა ვერსიაში:

იმისთვის, რომ გქონდეთ მრიცხველების შექმნა, Instance Discovery ჩანართზე თქვენ უნდა აირჩიოთ Agent List სიიდან და List Name ველში შეიყვანეთ ჩვენი ExternalList-ის სახელი სკრიპტიდან - HTTPS.CertificateNames.

თითქმის მზადაა, მოიცადე ცოტა ან აიძულე გამოკითხვა > კონფიგურაცია და გამოკითხვა > ინსტანციის აღმოჩენა, თუ ლოდინი სრულიად შეუძლებელია. შედეგად, ჩვენ ვიღებთ ყველა ჩვენს სერტიფიკატს მოქმედების ვადით:

Რა გჭირდება? ჰოდა, მხოლოდ პერფექციონიზმის ჭია სევდიანი თვალებით უყურებს დახლის სახელზე ამ ზედმეტ ცერს და არ მაძლევს სტატიის დასრულებას. მის შესანახად კვლავ გახსენით მრიცხველის თვისებები და Instance Discovery ჩანართზე „ინსტანციის აღმოჩენის ფილტრის სკრიპტის“ ველში დაამატეთ NXSL (NetXMS შიდა ენა) სკრიპტი:

instance = $1;
 if (instance ~= "^(.*)s-s[T:[a-zA-Z0-9]+]$")
 {
 return %(true, instance, $1);
 }
 return true;

რომელიც გაფილტრავს თითის ანაბეჭდს:

და გაფილტრული საჩვენებლად, აღწერილობის ველში ზოგადი ჩანართზე შეცვალეთ CertificateExpireDate: {instance} Certificate ExpireDate: {instance-name}:

ესე იგი, საბოლოოდ დასრულება KDPV-დან:

სილამაზე არაა?

რჩება მხოლოდ შეტყობინებების დაყენება ისე, რომ ისინი მივიდნენ ელექტრონული ფოსტით, როდესაც სერტიფიკატი ამოიწურება.

1. პირველ რიგში, ჩვენ უნდა შევქმნათ Event Template, რათა გავააქტიუროთ ის, როდესაც მრიცხველის მნიშვნელობა მცირდება ჩვენს მიერ დაყენებულ ზღვრამდე. IN ღონისძიების კონფიგურაცია მოდით შევქმნათ ორი ახალი შაბლონი მსგავსი სახელებით CertificateExpireDate_Threshold_Activate გაფრთხილების სტატუსით:

და მსგავსი CertificateExpireDate_Threshold_Deactivate ნორმალური სტატუსით.

2. შემდეგ გადადით მრიცხველის თვისებებზე და დააყენეთ ბარიერი Tresholds ჩანართზე:

სადაც ჩვენ ვირჩევთ ჩვენს მიერ შექმნილ მოვლენებს CertificateExpireDate_Threshold_Activate და CertificateExpireDate_Threshold_Deactivate, ვაყენებთ ნიმუშების რაოდენობას (ნიმუშები) 1-ზე (კონკრეტულად ამ მრიცხველისთვის აზრი არ აქვს მეტის დაყენებას), მნიშვნელობა არის 30 (დღე), მაგალითად, და, რაც მთავარია, დააყენეთ ღონისძიების განმეორების დრო. წარმოებაში სერთიფიკატებისთვის, მე დავაყენე იგი დღეში ერთხელ (86400 წამი), წინააღმდეგ შემთხვევაში შეგიძლიათ დაიხრჩოთ შეტყობინებებში (რაც, სხვათა შორის, ერთხელ მოხდა, იმდენად, რომ საფოსტო ყუთი სავსე იყო შაბათ-კვირას). გამართვის დროს, აზრი აქვს დაყენდეს უფრო დაბალი, მაგალითად, 60 წამი.

3. In მოქმედების კონფიგურაცია შექმენით შეტყობინების წერილის შაბლონი, როგორიცაა:

ყველა ეს %m, %S და ა.შ. - მაკროები, რომლებშიც შეიცვლება ჩვენი პარამეტრის მნიშვნელობები. ისინი უფრო დეტალურად არის აღწერილი სახელმძღვანელო NetXMS.

4. და ბოლოს, წინა პუნქტების გაერთიანება, შევიდა ღონისძიების დამუშავების პოლიტიკა შექმენით წესი, რომლის მიხედვითაც შეიქმნება სიგნალიზაცია და გაიგზავნება წერილი:

ჩვენ ვზოგავთ პოლიტიკას, ყველაფრის შემოწმება შესაძლებელია. მოდით დავაყენოთ ბარიერი უფრო მაღალი შესამოწმებლად. ჩემს უახლოეს სერტიფიკატს ვადა ეწურება 723 დღეში, შევამოწმებ 724-ზე. შედეგად ვიღებთ შემდეგ სიგნალიზაციას:

და ეს ელფოსტის შეტყობინება:

ეს ყველაფერი ახლა დარწმუნებულია. რა თქმა უნდა, შესაძლებელი იქნებოდა დაფის დაყენება და გრაფიკების აგება, მაგრამ სერთიფიკატებისთვის ეს იქნება გარკვეულწილად უაზრო და მოსაწყენი სწორი ხაზები, განსხვავებით პროცესორის ან მეხსიერების დატვირთვის გრაფიკებისგან, მაგალითად. მაგრამ ამის შესახებ სხვა დროს.

წყარო: www.habr.com