NetXMS वर Windows मध्ये प्रमाणपत्र कालबाह्यता तारखेचे निरीक्षण करणे

अलीकडेच आम्हाला विंडोज सर्व्हरवरील प्रमाणपत्रांच्या वैधतेच्या कालावधीचे निरीक्षण करण्याचे काम आले. बरं, त्यांच्या नूतनीकरणासाठी जबाबदार दाढीवाले सहकारी सुट्टीवर असताना, प्रमाणपत्रे अनेक वेळा भोपळ्यात बदलल्यानंतर मी कसा उठलो. त्यानंतर, त्याला आणि मला काहीतरी संशय आला आणि त्याबद्दल विचार करण्याचे ठरवले. आम्‍ही नेटएक्सएमएस मॉनिटरिंग सिस्‍टम हळुहळू लागू करत असल्‍याने, ती या कार्यासाठी मुख्य आणि तत्त्वतः एकमेव उमेदवार बनली आहे.

परिणाम शेवटी खालील फॉर्ममध्ये प्राप्त झाला:

आणि प्रक्रिया स्वतःच चालू राहते.

जा. NetXMS मध्‍ये कालबाह्य होणार्‍या प्रमाणपत्रांसाठी अंगभूत काउंटर नाही, त्यामुळे तुम्‍हाला तुमच्‍या स्‍क्रिप्‍ट तयार करण्‍याची आवश्‍यकता आहे आणि डेटा प्रदान करण्‍यासाठी स्क्रिप्ट वापरणे आवश्‍यक आहे. अर्थात, पॉवरशेलवर, हे विंडोज आहे. स्क्रिप्टने ऑपरेटिंग सिस्टममधील सर्व प्रमाणपत्रे वाचली पाहिजेत, तिथून काही दिवसांत त्यांची कालबाह्यता तारीख घ्यावी आणि हा नंबर NetXMS ला पास करावा. त्याच्या एजंटच्या माध्यमातून. तिथूनच आपण सुरुवात करू.

पर्याय एक, सर्वात सोपा. फक्त जवळच्या तारखेसह प्रमाणपत्राच्या कालबाह्य तारखेपर्यंत दिवसांची संख्या मिळवा.

NetXMS सर्व्हरला आमच्या सानुकूल पॅरामीटरच्या अस्तित्वाबद्दल जाणून घेण्यासाठी, तो एजंटकडून प्राप्त करणे आवश्यक आहे. अन्यथा, हे पॅरामीटर त्याच्या अनुपस्थितीमुळे जोडले जाऊ शकत नाही. म्हणून, एजंट कॉन्फिगरेशन फाइलमध्ये nxagentd.conf आम्ही एक बाह्य पॅरामीटर स्ट्रिंग जोडतो HTTPS.CertificateExpireDateSimple, ज्यामध्ये आम्ही स्क्रिप्टच्या लाँचची नोंदणी करतो:

ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

स्क्रिप्ट नेटवर्कवर लॉन्च केली आहे हे लक्षात घेऊन, आपल्याला त्याबद्दल लक्षात ठेवणे आवश्यक आहे अंमलबजावणी धोरण, आणि इतर "-NoLogo -NoProfile -NonInteractive" देखील विसरू नका, जे मी चांगल्या कोड वाचनीयतेसाठी वगळले आहे.

परिणामी, एजंट कॉन्फिगरेशन यासारखे काहीतरी दिसते:

#
# NetXMS agent configuration file
# Created by agent installer at Thu Jun 13 11:24:43 2019
#
 
MasterServers = netxms.corp.testcompany.ru
ConfigIncludeDir = C:NetXMSetcnxagentd.conf.d
LogFile = {syslog}
FileStore = C:NetXMSvar
SubAgent = ecs.nsm
SubAgent = filemgr.nsm
SubAgent = ping.nsm
SubAgent = logwatch.nsm
SubAgent = portcheck.nsm
SubAgent = winperf.nsm
SubAgent = wmi.nsm
 
ExternalParameter = HTTPS.CertificateExpireDateSimple: powershell.exe -File "servershareNetXMS_CertExpireDateSimple.ps1"

यानंतर, तुम्हाला कॉन्फिगरेशन सेव्ह करणे आणि एजंट रीस्टार्ट करणे आवश्यक आहे. तुम्ही हे नेटएक्सएमएस कन्सोलवरून करू शकता: कॉन्फिगरेशन उघडा (एजंटची कॉन्फिगरेशन फाइल संपादित करा), ते संपादित करा, जतन करा आणि लागू करा, परिणामी, प्रत्यक्षात, तेच होईल. जर तुमच्याकडे अजिबात प्रतीक्षा करण्याची ताकद नसेल तर कॉन्फिगरेशन (पोल > कॉन्फिगरेशन) पुन्हा वाचा. या चरणांनंतर, तुम्ही आमचे कस्टम पॅरामीटर जोडण्यास सक्षम असाल.

NetXMS कन्सोलमध्ये वर जा डेटा संकलन कॉन्फिगरेशन प्रायोगिक सर्व्हर ज्यावर आम्ही प्रमाणपत्रांचे परीक्षण करणार आहोत आणि तेथे एक नवीन पॅरामीटर तयार करणार आहोत (भविष्यात, कॉन्फिगरेशननंतर, ते टेम्पलेट्समध्ये हस्तांतरित करणे अर्थपूर्ण आहे). सूचीमधून HTTPS.CertificateExpireDateSimple निवडा, स्पष्ट नावासह वर्णन प्रविष्ट करा, प्रकार पूर्णांक वर सेट करा आणि मतदान मध्यांतर कॉन्फिगर करा. डीबगिंग हेतूंसाठी, उदाहरणार्थ, 30 सेकंद लहान करणे अर्थपूर्ण आहे. सर्व काही तयार आहे, आता पुरेसे आहे.

तुम्ही तपासू शकता... नाही, खूप लवकर आहे. आता, अर्थातच, आम्हाला काहीही मिळणार नाही. फक्त स्क्रिप्ट अजून लिहिलेली नाही म्हणून. चला ही चूक दुरुस्त करूया. स्क्रिप्ट फक्त एक संख्या प्रदर्शित करेल, प्रमाणपत्र कालबाह्य होईपर्यंत उर्वरित दिवसांची संख्या. सर्व उपलब्ध सर्वात किमान. उदाहरण स्क्रिप्ट:

try {
    # Получаем все сертификаты из хранилища сертификатов
    $lmCertificates = @( Get-ChildItem -Recurse -path 'Cert:LocalMachineMy' -ErrorAction Stop )
     
    # Если сертификатов нет, вернуть "10 лет"
    if ($lmCertificates.Count -eq 0) { return 3650 }
 
    # Получаем Expiration Date всех сертификатов
    $expirationDates = @( $lmCertificates | ForEach-Object { return $_.NotAfter } )
 
    # Получаем наиболее близкий Expiration Date из всех
    $minExpirationDate = ($expirationDates | Measure-Object -Minimum -ErrorAction Stop ).Minimum
 
    # Конвертируем наиболее близкий Expiration Date в количество оставшихся дней с округлением в меньшую сторону
    $daysLeft = [Math]::Floor( ($minExpirationDate - [DateTime]::Now).TotalDays )
 
    # Возвращаем значение
    return $daysLeft
}
catch {
    return -1
}

हे असे बाहेर वळते:

723 दिवस, प्रमाणपत्राची मुदत संपेपर्यंत जवळजवळ दोन वर्षे शिल्लक आहेत. हे तार्किक आहे, कारण मी अलीकडेच एक्सचेंज चाचणी खंडपीठासाठी प्रमाणपत्रे पुन्हा जारी केली आहेत.

तो एक सोपा पर्याय होता. कदाचित, कोणीतरी यासह समाधानी असेल, परंतु आम्हाला आणखी हवे होते. आम्ही सर्व्हरवर सर्व प्रमाणपत्रांची यादी, नावानुसार आणि प्रत्येक प्रमाणपत्राची मुदत संपेपर्यंत शिल्लक राहिलेल्या दिवसांची संख्या पाहण्यासाठी स्वतःला सेट करतो.

दुसरा पर्याय, काहीसे अधिक क्लिष्ट.

पुन्हा आम्ही एजंट कॉन्फिगरेशन संपादित करतो आणि तेथे, ExternalParameter सह ओळीऐवजी, आम्ही आणखी दोन लिहितो:

ExternalList = HTTPS.CertificateNames: powershell.exe -File "serversharenetxms_CertExternalNames.ps1"
ExternalParameter = HTTPS.CertificateExpireDate(*): powershell.exe -File "serversharenetxms_CertExternalParameter.ps1" -CertificateId "$1"

В बाह्यसूची आम्हाला फक्त तारांची यादी मिळते. आमच्या बाबतीत, प्रमाणपत्रांच्या नावांसह स्ट्रिंगची सूची. स्क्रिप्ट वापरून आम्हाला या ओळींची यादी मिळेल. यादीचे नाव - HTTPS.CertificateNames.

स्क्रिप्ट NetXMS_CertNames.ps1:

#Список возможных имен сертификатов
$nameTypeList = @(
        [System.Security.Cryptography.X509Certificates.X509NameType]::SimpleName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::DnsFromAlternativeName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UrlName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::EmailName,
        [System.Security.Cryptography.X509Certificates.X509NameType]::UpnName
)
 
#Ищем все сертификаты, имеющие закрытый ключ
$certList = @( Get-ChildItem -Path 'Cert:LocalMachineMy' | Where-Object { $_.HasPrivateKey -eq $true } )
 
#Проходим по списку сертификатов, формируем строку "Имя сертификата - Дата - Thumbprint" и возвращаем её
foreach ($cert in $certList) {
    $name = '(unknown name)'
    try {
        $thumbprint = $cert.Thumbprint
        $dateExpire = $cert.NotAfter
        foreach ($nameType in $nameTypeList) {
            $name_temp = $cert.GetNameInfo( $nameType, $false)
            if ($name_temp -ne $null -and $name_temp -ne '') {
                $name = $name_temp;
                break;
            }
        }
        Write-Output "$($name) - $($dateExpire.ToString('dd.MM.yyyy')) - [T:$($thumbprint)]"
    }
    catch {
        Write-Error -Message "Error processing certificate list: $($_.Exception.Message)"
    }
}

आणि आधीच आत बाह्य पॅरामीटर आम्ही ExternalList सूचीमधून पंक्ती इनपुट करतो आणि आउटपुटवर आम्हाला प्रत्येकासाठी समान दिवस मिळतात. आयडेंटिफायर हा प्रमाणपत्राचा थंबप्रिंट आहे. लक्षात ठेवा की HTTPS.CertificateExpireDate मध्ये या प्रकारात तारांकन (*) आहे. हे आवश्यक आहे जेणेकरून ते बाह्य व्हेरिएबल्स स्वीकारेल, फक्त आमचे प्रमाणपत्र आयडी.

स्क्रिप्ट NetXMS_CertExpireDate.ps1:

#Определяем входящий параметр $CertificateId
param (
    [Parameter(Mandatory=$false)]
    [String]$CertificateId
)
 
#Проверка на существование
if ($CertificateId -eq $null) {
    Write-Error -Message "CertificateID parameter is required!"
    return
}
 
#По Thumbprint из строки в $CertificateId ищем сертификат и определяем его Expiration Date 
$certId = $CertificateId;
try {
    if ($certId -match '^.*[T:(?<Thumbprint>[A-Z0-9]+)]$') {
        $thumbprint = $Matches['Thumbprint']
        $certificatePath = "Cert:LocalMachineMy$($thumbprint)"
         
        if (Test-Path -PathType Leaf -Path $certificatePath ) {
            $certificate = Get-Item -Path $certificatePath;
            $certificateExpirationDate = $certificate.NotAfter
            $certificateDayToLive = [Math]::Floor( ($certificateExpirationDate - [DateTime]::Now).TotalDays )
            Write-Output "$($certificateDayToLive)";
        }
        else {
            Write-Error -Message "No certificate matching this thumbprint found on this server $($certId)"
        }
    }
    else {
        Write-Error -Message "CertificateID provided in wrong format. Must be FriendlyName [T:<thumbprint>]"
    }
}
catch {
    Write-Error -Message "Error while executing script: $($_.Exception.Message)"
}

सर्व्हरच्या डेटा कलेक्शन कॉन्फिगरेशनमध्ये, आम्ही एक नवीन पॅरामीटर तयार करतो. पॅरामीटरमध्ये आम्ही आमची निवड करतो HTTPS.CertificateExpirateDate(*) सूचीमधून, आणि (लक्ष!) तारकाला बदला {उदाहरण}. हा महत्त्वाचा मुद्दा तुम्हाला प्रत्येक उदाहरणासाठी (प्रमाणपत्र) स्वतंत्र काउंटर तयार करण्यास अनुमती देईल. उर्वरित मागील आवृत्तीप्रमाणे भरले आहे:

काउंटर तयार करण्यासाठी काहीतरी मिळण्यासाठी, इन्स्टन्स डिस्कवरी टॅबवर तुम्हाला सूचीमधून एजंट सूची निवडणे आवश्यक आहे आणि यादी नाव फील्डमध्ये स्क्रिप्टमधून आमच्या बाह्य सूचीचे नाव प्रविष्ट करा - HTTPS.CertificateNames.

जवळजवळ तयार आहे, प्रतीक्षा करणे पूर्णपणे अशक्य असल्यास, थोडी प्रतीक्षा करा किंवा मतदान > कॉन्फिगरेशन आणि पोल > इन्स्टन्स डिस्कवरी करा. परिणामी, आम्हाला वैधता कालावधीसह आमची सर्व प्रमाणपत्रे मिळतात:

तुला काय हवे आहे? बरं, हो, फक्त परफेक्शनिझमचा किडा काउंटरच्या नावाच्या या अनावश्यक थंबप्रिंटकडे खिन्न डोळ्यांनी पाहतो आणि मला लेख पूर्ण करू देत नाही. ते फीड करण्यासाठी, काउंटर गुणधर्म पुन्हा उघडा आणि इन्स्टन्स डिस्कवरी टॅबवर, "इंस्टन्स डिस्कव्हरी फिल्टर स्क्रिप्ट" फील्डमध्ये, त्यात लिहिलेले जोडा NXSL (NetXMS अंतर्गत भाषा) स्क्रिप्ट:

instance = $1;
 if (instance ~= "^(.*)s-s[T:[a-zA-Z0-9]+]$")
 {
 return %(true, instance, $1);
 }
 return true;

जे थंबप्रिंट फिल्टर करेल:

आणि ते फिल्टर केलेले प्रदर्शित करण्यासाठी, वर्णन फील्डमधील सामान्य टॅबवर, CertificateExpireDate: {instance} मध्ये बदला CertificateExpireDate: {instance-name}:

तेच, शेवटी KDPV ची शेवटची रेषा:

सौंदर्य?

बाकी फक्त अलर्ट सेट करणे आहे जेणेकरून प्रमाणपत्र कालबाह्य झाल्यावर ते ईमेलद्वारे पोहोचतील.

1. काउंटर व्हॅल्यू आम्ही सेट केलेल्या काही थ्रेशोल्डपर्यंत कमी झाल्यावर ते सक्रिय करण्यासाठी प्रथम आम्हाला इव्हेंट टेम्पलेट तयार करणे आवश्यक आहे. IN इव्हेंट कॉन्फिगरेशन यांसारख्या नावांसह दोन नवीन टेम्पलेट तयार करू CertificateExpireDate_Threshold_Activate चेतावणी स्थितीसह:

आणि तत्सम CertificateExpireDate_Threshold_Deactivate सामान्य स्थितीसह.

2. पुढे, काउंटर गुणधर्मांवर जा आणि ट्रेशोल्ड टॅबवर थ्रेशोल्ड सेट करा:

जिथे आम्ही आमचे तयार केलेले इव्हेंट CertificateExpireDate_Threshold_Activate आणि CertificateExpireDate_Threshold_Deactivate निवडतो, नमुन्यांची संख्या (नमुने) 1 वर सेट करतो (विशेषत: या काउंटरसाठी अधिक सेट करण्यात काही अर्थ नाही), मूल्य 30 (दिवस) आहे, उदाहरणार्थ, आणि, महत्त्वाचे म्हणजे, सेट करा. कार्यक्रमाची पुनरावृत्ती वेळ. उत्पादनातील प्रमाणपत्रांसाठी, मी ते दिवसातून एकदा (86400 सेकंद) सेट केले आहे, अन्यथा आपण सूचनांमध्ये बुडू शकता (जे, तसे, एकदाच घडले, इतके की आठवड्याच्या शेवटी मेलबॉक्स भरला होता). डीबगिंग वेळेसाठी, उदाहरणार्थ, 60 सेकंद कमी सेट करणे अर्थपूर्ण आहे.

२.इन् क्रिया कॉन्फिगरेशन सूचना पत्र टेम्पलेट तयार करा, जसे की:

हे सर्व %m, %S, इ. — मॅक्रो ज्यामध्ये आमच्या पॅरामीटरमधील मूल्ये बदलली जातील. मध्ये त्यांचे अधिक तपशीलवार वर्णन केले आहे मॅन्युअल NetXMS.

4. आणि शेवटी, मागील बिंदू एकत्र करून, मध्ये इव्हेंट प्रक्रिया धोरण एक नियम तयार करा ज्यानुसार अलार्म तयार केला जाईल आणि एक पत्र पाठवले जाईल:

आम्ही पॉलिसी जतन करतो, सर्वकाही तपासले जाऊ शकते. तपासण्यासाठी थ्रेशोल्ड जास्त सेट करूया. माझे सर्वात जवळचे प्रमाणपत्र 723 दिवसांत संपेल, मी ते तपासण्यासाठी 724 वर सेट केले आहे. परिणामी, आम्हाला खालील अलार्म मिळतो:

आणि ही ईमेल सूचना:

आता एवढेच निश्चित. नक्कीच, डॅशबोर्ड सेट करणे आणि आलेख तयार करणे शक्य होईल, परंतु प्रमाणपत्रांसाठी हे काहीसे निरर्थक आणि कंटाळवाणे सरळ रेषा असतील, उदाहरणार्थ, प्रोसेसर किंवा मेमरी लोडच्या आलेखाच्या विपरीत. परंतु, याविषयी अधिक काही इतर वेळी.

स्त्रोत: www.habr.com