Shinken. Shinken - Guide de la supervision. Guide de la supervision. (de l installation à l exploitation) Shinken. Philippe PIERRE

Transcription

1 Ce livre sur (en version 2.4 au moment de l écriture) s adresse à des administrateurs d infrastructures ainsi qu à des utilisateurs avertis et initiés à la supervision. Il a pour objectif, d une part de démontrer l utilité de la surveillance accrue d une infrastructure et d autre part de guider le lecteur dans le déploiement de cette solution de supervision et l adaptation de son paramétrage au plus près des besoins de l entreprise tout en évitant certains écueils. Dans un premier temps, l auteur détaille le concept même de la supervision et sélectionne une architecture type pour installer la solution (sur un serveur Red Hat 6.x dans le livre) et décrire les bonnes pratiques à mettre en œuvre pour concevoir une plateforme de supervision pérenne. Les chapitres suivants présentent des fonctionnalités de qui permettent une supervision avancée de l infrastructure (bases de données, serveurs web, réseau SAN ) mais aussi la mise en place de la sécurisation de la solution. Un chapitre est dédié au développement de la solution via la programmation ou l utilisation d outils tiers pour étendre les capacités de. Tout au long du livre, l auteur propose une démarche didactique mettant en œuvre une plateforme complète de supervision sécurisée. Il illustre ses propos par un exemple concret de gestion de parc informatique avec déploiement d un centre de support au travers d outils complémentaires comme GLPI et FusionInventory. Des éléments complémentaires sont en téléchargement sur le site Les chapitres du livre Avant-propos Conception et architecture Préparation et installation Conception d architecture de supervision Gestion de la configuration Supervision avancée Sécurisation et redondance Développement et programmation Applications et cas pratiques Conclusion ISSN : ISBN : Pour plus d informations : Philippe PIERRE a exercé de nombreuses années en tant qu Administrateur de bases de données puis Administrateur système et réseau et a enseigné au CNAM Paris. Aujourd hui, il exerce en tant qu Ingénieur d infrastructure au sein d un laboratoire pharmaceutique. Il connaît parfaitement les systèmes Linux et Unix dans le cadre d un environnement d entreprise à haute disponibilité. Cette expertise et sa grande connaissance des exigences des utilitéléchargement sateurs, lui.frpermet de proposer aux lecteurs un livre efficace sur la supervision avec. sur : b Exemples de codes, scripts et programmes décrits dans le livre. - Guide de la supervision Guide de la supervision (de l installation à l exploitation) Philippe PIERRE

2 Table des matières 1 Les éléments à télécharger sont disponibles à l'adresse suivante : Saisissez la référence de l'ouvrage EPSHIN dans la zone de recherche et validez. Cliquez sur le titre du livre puis sur le bouton de téléchargement. Avant-propos 1. Objectifs Public visé Prérequis et connaissances nécessaires Structure de l'ouvrage Chapitre 1 Conception et architecture 1. Supervision : concepts et rappels Définition Fonctionnalités de la supervision La surveillance Les notifications Les sondes Les patrons ou templates Les dépendances Les escalades Différentes catégories de supervision Supervision système Supervision réseau Supervision sécurité Supervision applicative Supervision métier Les protocoles utilisés Protocole TCP/IP Protocole ICMP

3 Protocole SNMP Héritage de Nagios Généralités sur Nagios Découpage des rôles Les flux de données Les différents services Découpage des rôles Arbiter Scheduler Poller Broker Reactionner Receiver Apports de Garantie de la disponibilité des services Alertes en cas d'incidents Proactivité et réaction en cas de panne Répartition de charge Création de packs Agrégation de packs Envoi de configurations L'infrastructure d'entreprise Hypothèses de travail Recensement des équipements à superviser Liste des sites et répartition Énumération des groupes de machines et services Conception de la globalité de l'infrastructure

4 Table des matières 3 Chapitre 2 Préparation et installation 1. Prérequis et préparation Installation des prérequis communs Installation du référentiel MongoDB Installation des options Création de l'environnement Installation par package Python Installation via l'installeur Cas particulier de l installeur Installation directe Installation via un proxy Installation par rpm Commande shinken Installation de modules Mise à jour des plugins Installation de modules Le site shinken.io Modules et addons pour l'interface graphique Interface WebUI Interface Livestatus Interface Thruk Paramétrage particulier : SELinux Répertoires essentiels Répertoires de Répertoires des services Répertoires des modules Répertoires de traces Configuration principale Première prise de contact Ajout de widgets

5 4 7.3 Ajout de packs Ajout de services Administration de base Procédure de mise à jour de Chapitre 3 Conception d architecture de supervision 1. Recensement d infrastructure Déclaration des services et des équipements Déclaration de l hôte local Activation des serveurs Linux Activation des serveurs Windows Gestion de la supervision passive Gestion de la supervision active Supervision des switches Supervision des châssis HP Blades Supervision des équipements de virtualisation Supervision du cluster vmotion Supervision de la machine physique Supervision des machines virtuelles Supervision du centre d'administration Supervision des équipements utilisateurs Supervision des serveurs d'infrastructure Serveur DHCP Serveur de temps Serveur DNS Activation des dépendances et des notifications Les notifications Les contacts et leurs groupes Les dépendances Architecture de DMZ

6 Table des matières 5 6. L interface WebUI Le dashboard Le menu latéral La barre de résumé L'espace widget Les hôtes Les services Les incidents Chapitre 4 Gestion de la configuration 1. De quoi s'agit-il? Liste des éléments de la configuration Gestion de la configuration Enregistrements des états Audit et catalogage Utilisation de modèles (ou templates) Principe de la factorisation Concentration de services Application des templates Automatisation de la découverte Mise en application pour les serveurs windows-srv windows-svc linux-srv linux-svc Mise en application pour les équipements réseau switch-srv switch-svc Mise en application pour les équipements de virtualisation Blades-srv Blades-svc

7 Vmware-srv Vmware-svc Vm-srv Vm-svc Groupes et découpage Groupes d'hôtes Groupes de services Découverte avancée L'autodécouverte avancée avec nmap Les règles de découverte avancées pour les hôtes Les règles de découverte avancées pour les services Module MySQL-Import Intégration et couplage Puppet De quoi s'agit-il? Installation et configuration Puppet et la sécurité Principe de fonctionnement Application Chapitre 5 Supervision avancée 1. Introduction Supervision des bases de données Bases de données Oracle Bases de données MySQL Bases de données SQL Server Supervision web Pack HTTP Supervision au travers de pare-feu Supervision nginx Mise en place d'un proxy nginx Supervision d'application Tomcat

8 Table des matières 7 4. Supervision SAN Cas des baies IBM Storwize Supervision du virtualiseur SVC Cas des switches SAN Supervision de la messagerie Serveur SMTP Serveur POP Corrélations et KPI Corrélations simples Business impact Corrélations avancées Sophistication ultime : les KPI Utilisation de la modularité et des tags Module de tag Tag de qualification Définition de la topologie réseau Changement dynamique Changement des dépendances Changement de l'importance d'un service sur Android Chapitre 6 Sécurisation et redondance 1. Redondance et haute disponibilité Redondance des processus Configuration des processus Paramétrage supplémentaire Configuration des clients Notion de "spare" Mise en œuvre des processus de spare Clonage du serveur principal

9 Synchronisation depuis Sécurisation Les services volatiles Quelles particularités pour ce type de services? Exemple : détection de scan de ports TCP Sécurisation de la connexion WebUI Sécurisation du shell SSH Modification du numéro de port SSH Filtrage d'accès aux utilisateurs Interdiction du compte root Sécurisation des protocoles de messagerie Protocole POP3S Protocole SMTPS Authentification Authentification SSO Utilisation de certificats Configuration primaire Service de surveillance des certificats Contrôleur de domaine Classification par royaume Réplication de bases MySQL Un mot sur SNMP Chapitre 7 Développement et programmation 1. et le code Python Les modules Les fonctions Les classes Code Exemple de programme : le module WebUI

10 Table des matières 9 2. Développement de modules Rappels sur les modules de supervision Module en shell Module en Python Activation des nouveaux plugins Focus sur l'interface WebUI Ajout de module pour l'arbiter Illustration : création d'un module arbiter Définition du plugin dans Ajout de module pour le broker Initialisation du module Méthode d'initialisation Définition du nouveau module Modification de WebUI Création d'un plugin WebUI Modèle de page HTML Cas particulier d'un widget Chapitre 8 Applications et cas pratiques 1. Gestion de parc informatique avec GLPI Qu'est-ce que GLPI? Intégration à l'outil de supervision Installation de GLPI Ajout de modules GLPI Plugin Webservices Plugin FusionInventory Plugin Monitoring Inventaire automatisé avec FusionInventory Configuration du module Déploiement de l agent

11 Automatisation du déploiement Puppet Mise à jour de GLPI Reporting et évolutions À quoi sert ITIL? Les processus ITIL Le centre de services La gestion d'incidents Démarche de mise en place d'un SLA Conclusion 1. Synthèse des capacités de l'outil Les bases de la supervision La mise en œuvre de L'utilisation avancée de La fiabilité et la sécurisation de Ouverture du champ des possibles Mise en pratique Conclusions Index

12 Chapitre 5 Supervision avancée 1. Introduction Supervision avancée Après avoir vu comment réaliser une supervision de base des différents équipements ou infrastructures d'entreprise, on peut ensuite déployer la supervision applicative : bases de données, serveurs web, virtualisation de stockage 2. Supervision des bases de données La supervision des bases de données diffère selon que l'on souhaite surveiller des bases Oracle, SQL Server ou MySQL. Les auteurs de ont bien pensé aux administrateurs de bases de données en préparant des packs pour chacun des cas cités ci-dessus. Remarque Il existe également un pack pour les moteurs de bases PostgreSQL et les clusters PostgreSQL.

13 270 Seul le fichier de déclaration des hôtes est commun, quel que soit le type de base de données. On peut se servir des groupes pour spécifier tel ou tel moteur de base de données : define hostgroup{ hostgroup_name Oracle ; The name of the hostgroup alias Serveurs Oracle ; Long name of the group define hostgroup{ hostgroup_name MySQL ; The name of the hostgroup alias Serveurs MySQL ; Long name of the group define hostgroup{ hostgroup_name MS-SQL ; The name of the hostgroup alias Serveurs MS-SQL ; Long name of the group Ensuite, on peut également définir le fichier des serveurs dédiés aux bases de données, sachant que d'après le modèle de base défini lors des préambules, on dispose de trois bases de données. Exemple de définition du fichier host-bdd.cfg avec une base Oracle, une base MS-SQL et une base MySQL define host{ use host_name address hostgroup_name Oracle define host{ use host_name address hostgroup_name MS-SQL define host{ use host_name address hostgroup_name MySQL generic-host srvbdd01 srvbdd01 generic-host srvbdd02 srvbdd02 generic-host srvbdd03 srvbdd03 Editions ENI - All rights reserved

14 Supervision avancée Chapitre Bases de données Oracle D'après le contenu des commandes utilisées par le pack oracle, il est nécessaire de récupérer le fichier.tar.gz du programme check_oracle_health sur le site afin de le décompresser dans le répertoire temporaire /tmp et le configurer avec le compte root : #./configure --prefix=/var/lib/shinken/libexec --with-user-nagios=shinken --with-group-nagios=shinken # make all # cp plugins-scripts/check_oracle_health /var/lib/shinken/libexec Ensuite il faut récupérer, comme on l'aura fait préalablement avec les autres packs, les fichiers de configuration commands.cfg ainsi que l'ensemble des fichiers se trouvant dans le sous-répertoire services. On peut alors utiliser le modèle se trouvant dans le fichier templates.cfg afin de réaliser les paramétrages nécessaires à la supervision des hôtes et des services de bases de données. Rappel : un autre moyen plus direct d'installer ce plugin consiste à se connecter sur le compte et à exécuter l'instruction d'installation du module nécessaire : $ install -p check_oracle_health Lorsque cela est réalisé, il faut alors intervenir au niveau des bases de données à surveiller pour autoriser l'accès à leurs fonctions internes et permettre la collecte des informations nécessaires. Dans ce but, il faut fournir à un utilisateur dédié (shinken par exemple) des privilèges spécifiques : create user shinken identified by oradbmon; grant create session to shinken; grant select any dictionary to shinken; grant select on V_$SYSSTAT to shinken; grant select on V_$INSTANCE to shinken; grant select on V_$LOG to shinken; grant select on SYS.DBA_DATA_FILES to shinken; grant select on SYS.DBA_FREE_SPACE to shinken;

15 272 Au cas où certaines bases Oracle existeraient encore aujourd'hui, voici les droits particuliers à appliquer pour autoriser le compte shinken à y accéder : grant select on sys.dba_tablespaces to shinken ; grant select on dba_temp_files to shinken; grant select on sys.v_$temp_extent_pool to shinken; grant select on sys.v_$temp_space_header to shinken; grant select on sys.v_$session to shinken; La commande check_oracle_health présente de nombreuses options permettant de fournir l'ensemble des paramètres d'authentification, de fonctionnalités et de seuils liés à une instance de base Oracle : Option --connect --user --password --tablespace --datafile --name --name2 (--mode=sql) --warning --critical --runas --environment Commentaire Fournit le nom de l'instance de base de données. Précise le nom du compte Oracle à utiliser. Fournit le mot de passe du compte pour l'authentification. Permet d'effectuer les vérifications uniquement sur le tablespace indiqué en paramètre. Permet d'effectuer les vérifications uniquement sur le fichier indiqué en paramètre. Permet de limiter les vérifications aux types d'objets en paramètres (latch, queues ). Permet en plus de la limitation aux types d'objets passés en paramètre de faire apparaître la requête SQL associée. Précise le seuil d'alerte WARNING. Précise le seuil d'alerte CRITICAL. Permet d'exécuter le script de vérification via une règle sudo (autre compte que celui du propriétaire). Permet de passer des variables d'environnement au script de vérification. Editions ENI - All rights reserved

16 Supervision avancée Chapitre Option --method --units --dbthreshold --statefilsdir --mode Commentaire Permet de préciser la méthode de connexion à l'instance : dbi ou sqlplus. Permet de préciser l'unité du paramètre : %, KB, MB, GB. Permet de lire le seuil depuis la table interne check_oracle_health_threshold. Permet de dérouter les fichiers temporaires de /tmp pour les rediriger vers un répertoire personnel. Permet de préciser quels genres de vérifications on souhaite exécuter. Il existe de nombreuses valeurs. Consulter l'aide en ligne. Exemples de services pour Oracle : Objets invalides define service{ service_description use host_name check_command duplicate_foreach aggregation Tnsping define service{ service_description use host_name check_command duplicate_foreach Oracle-$KEY$-invalid-objects 1hour_short,oracle-service oracle check_oracle_invalid_objects!$key$ _databases /oracle/$key$ Oracle-$KEY$-tnsping 5min_short,oracle-service oracle check_oracle_tnsping!$key$ _databases

17 274 Il est possible de se passer de l'option --connect (et a fortiori des options --user et --password) à condition de préciser la chaîne de connexion à l'instance au travers de variables d'environnement : NAGIOS SERVICEORACLE_SID : pour préciser le SID de l'instance. NAGIOS SERVICEORACLE_USER : pour préciser le compte Oracle. NAGIOS SERVICEORACLE_PASS : pour préciser le password associé au compte. En termes de supervision des bases de données Oracle, on peut suggérer quelques commandes pratiques permettant non seulement d'assurer un service de qualité mais également d'être certain de la cohérence des données : # permet de s'assurer de la connectivité de l'instance define command { command_name check_oracle_tnsping command_line $PLUGINSDIR$/check_oracle_health --connect "$ARG1$" --user "$ORACLEUSER$" --password "$ORACLEPASSWORD$" --mode tnsping # permet de surveiller les sessions actives define command { command_name check_oracle_session_usage command_line $PLUGINSDIR$/check_oracle_health --connect "$ARG1$" --user "$ORACLEUSER$" --password "$ORACLEPASSWORD$" --dbthreshold --mode session-usage warning 80 --critical 100 # permet de vérifier l'utilisation mémoire des processus define command { command_name check_oracle_process_usage command_line $PLUGINSDIR$/check_oracle_health --connect "$ARG1$" --user "$ORACLEUSER$" --password "$ORACLEPASSWORD$" --dbthreshold --mode process-usage warning 80 --critical 100 # permet de vérifier le bon fonctionnement RMAN (backups) define command { command_name check_oracle_rman_backup_problems command_line $PLUGINSDIR$/check_oracle_health --connect "$ARG1$" --user "$ORACLEUSER$" --password "$ORACLEPASSWORD$" Editions ENI - All rights reserved