Dies ist als eine Einführung für die Implementierung stärkerer Authentifizierung und Server-Sicherheit bezogen auf das Classic UI-Web-Interface gedacht.

Es gibt viele Wege, die Sicherheit Ihres Überwachungs-Servers und des Icinga-Umfeldes zu verbessern. Dies sollte nicht als das Ende aller Bemühungen angesehen werden. Nehmen Sie es statt dessen als eine Einführung für einige der Techniken, die Sie nutzen können, um die Sicherheit Ihres System zu verstärken. Wie immer sollten Sie forschen und die besten Techniken nutzen, die verfügbar sind. Behandeln Sie Ihren Überwachungs-Server, als wäre es der wichtigste Server in Ihrem Netzwerk und Sie werden belohnt werden.

Die Implementierung der Digest Authentication ist einfach. Dazu müssen Sie den neuen Typ der Passwort-Datei mit dem 'htdigest'-Tool anlegen, dann die Apache-Konfiguration für Icinga anpassen (typischerweise /etc/httpd/conf.d/icinga.conf).

Legen Sie eine neue Passwort-Datei mit dem 'htdigest'-Tool an. Den Unterschied, den Sie feststellen werden, wenn Sie mit dem 'htpasswd'-Tool vertraut sind, ist die Anforderung, ein 'Realm'-Parameter anzugeben. In diesem Fall bezieht sich 'realm' auf den Wert der 'AuthName'-Direktive in der Apache-Konfiguration.

 htdigest -c /usr/local/icinga/etc/.digest_pw "Icinga Access" icingaadmin

Als nächstes editieren Sie die Apache-Konfigurationsdatei für Icinga (typischerweise /etc/httpd/conf.d/icinga.conf) mit Hilfe des folgenden Beispiels:

 ## BEGIN APACHE CONFIG SNIPPET - Icinga.CONF
 ScriptAlias /icinga/cgi-bin "/usr/local/icinga/sbin"
 <Directory "/usr/local/icinga/sbin">
    Options ExecCGI
    AllowOverride None
    Order allow,deny
    Allow from all
    AuthType Digest
    AuthName "Icinga Access"
    AuthDigestFile /usr/local/icinga/etc/.digest_pw
    Require valid-user
 </Directory>
 Alias /icinga "/usr/local/icinga/share"
 <Directory "/usr/local/icinga/share">
    Options None
    AllowOverride None
    Order allow,deny
    Allow from all
    AuthType Digest
    AuthName "Icinga Access"
    AuthDigestFile /usr/local/icinga/etc/.digest_pw
    Require valid-user
 </Directory>
 ## END APACHE CONFIG SNIPPETS

Danach starten Sie den Apache-Service, damit die neuen Einstellungen aktiv werden können.

 /etc/init.d/httpd restart

Stellen Sie sicher, dass Sie Apache und OpenSSL installiert haben. Normalerweise sollten Sie mod_ssl-Unterstützung haben. Falls Sie trotzdem Schwierigkeiten haben, finden Sie ggf. Hilfe durch das Lesen von Apaches TLS/SSL Encryption Documentation.

Als nächstes prüfen Sie durch den Aufruf des Icinga-Web-Interfaces über HTTPS (https://your.domain/Icinga), dass die TLS/SSL-Unterstützung funktioniert. Wenn es funktioniert, können Sie mit den nächsten Schritten fortfahren, die die Nutzung von HTTPS erzwingen und alle HTTP-Anfragen an das Icinga-Web-Interface blockiert. Wenn Sie Schwierigkeiten haben, lesen Sie bitte Apaches TLS/SSL Encryption Documentation und nutzen Sie Google für die Suche nach Lösungen zu Ihrer Apache-Installation.

Danach editieren Sie die Apache-Konfigurationsdatei für Icinga (typischerweise /etc/httpd/conf.d/icinga.conf) und fügen Sie den 'sbin'- und 'share'-Verzeichnissen die 'SSLRequireSSL'-Direktive hinzu.

 ## BEGIN APACHE CONFIG SNIPPET - Icinga.CONF
 ScriptAlias /icinga/cgi-bin "/usr/local/icinga/sbin"
 <Directory "/usr/local/icinga/sbin">
    ...
    SSLRequireSSL
    ...
 </Directory>
 Alias /icinga "/usr/local/icinga/share"
 <Directory "/usr/local/icinga/share">
    ...
    SSLRequireSSL
    ...
 </Directory>
 ## END APACHE CONFIG SNIPPETS

Danach starten Sie den Apache-Service, damit die neuen Einstellungen aktiv werden können.

 /etc/init.d/httpd restart

Das folgende Beispiel zeigt, wie Sie den Zugang auf die Icinga-Module auf eine bestimmte IP-Adresse, einen IP-Adressbereich oder ein IP-Subnetz mit Hilfe von Apaches Access Controls beschränken.

Danach editieren Sie die Apache-Konfigurationsdatei für Icinga (typischerweise /etc/httpd/conf.d/icinga.conf) und fügen Sie die 'Allow'-, 'Deny'- und 'Order'-Direktiven hinzu. Dazu folgendes Beispiel:

 ## BEGIN APACHE CONFIG SNIPPET - Icinga.CONF
 ScriptAlias /icinga/cgi-bin "/usr/local/icinga/sbin"
 <Directory "/usr/local/icinga/sbin">
    ...
    AllowOverride None
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1 10.0.0.25               # Allow single IP addresses
    Allow from 10.0.0.0/255.255.255.0            # Allow network/netmask pair
    Allow from 10.0.0.0/24                       # Allow network/nnn CIDR spec
    ...
 </Directory>
 Alias /icinga "/usr/local/icinga/share"
 <Directory "/usr/local/icinga/share">
    ...
    AllowOverride None
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1 10.0.0.25               # Allow single IP addresses
    Allow from 10.0.0.0/255.255.255.0            # Allow network/netmask pair
    Allow from 10.0.0.0/24                       # Allow network/nnn CIDR spec
    ...
 </Directory>
 ## END APACHE CONFIG SNIPPET

© 1999-2009 Ethan Galstad, 2009-2017 Icinga Development Team, https://www.icinga.com