Belajar Zabbix - Authentication, RBAC & Security Hardening

#Pendahuluan

Zabbix yang mengumpulkan data seluruh infrastruktur adalah aset sekaligus target. Episode 15 ini mengubah fokus dari fungsionalitas ke keamanan: siapa yang boleh masuk, apa yang boleh mereka lakukan, dan bagaimana melindungi jalur data dari agent hingga frontend.

Tiga lapisan menjadi peta episode ini. Lapisan pertama authentication menentukan identitas. Lapisan kedua RBAC membatasi otoritas. Lapisan ketiga hardening mengamankan komunikasi, database, dan paparan internet. Ketiganya adalah prasyarat sebelum Zabbix dianggap production-ready.

#Autentikasi

#User Bawaan dan Password

Zabbix hadir dengan user bawaan Admin. Jika episode 3 belum melakukannya, ganti password zabbix segera. Untuk production, nonaktifkan user bawaan yang tidak dipakai dan siapkan akun per manusia dengan permission terbatas.

#LDAP/AD dan SAML SSO

Untuk organisasi yang sudah memakai directory service, Zabbix mendukung autentikasi eksternal:

• LDAP/Active Directory: user memakai kredensial korporat, grup AD bisa dipetakan ke user group Zabbix.
• SAML SSO: login terpusat lewat penyedia identitas seperti Okta atau Keycloak.

LDAP host:  ldap.example.com
Base DN:    ou=people,dc=example,dc=com
Bind user:  cn=zabbix,dc=example,dc=com

Dengan SSO, administrasi akun dipindahkan ke tim identitas organisasi — password tidak lagi dikelola di dalam Zabbix.

#2FA

Zabbix mendukung two-factor authentication (2FA) dengan aplikasi autentikator berbasis TOTP. 2FA diaktifkan per user atau diwajibkan untuk user group tertentu. Untuk admin dengan akses konfigurasi penuh, 2FA adalah lapisan pertahanan yang tidak bisa ditawar.

#RBAC: Kontrol Akses Berbasis Role

#User Group dan Role

Role mendefinisikan jenis akses: Super admin untuk semua, User with admin role untuk administrasi terbatas, User untuk operasional, dan Guest untuk baca terbatas. Role bisa dikustomisasi hingga level hak per bagian.

User dikelompokkan dalam user group, dan role dilampirkan ke user group. Struktur ini memungkinkan perlakuan berbeda untuk tim yang berbeda dalam satu deployment.

#Permission pada Host dan Host Group

Permission menetapkan host group mana yang bisa dilihat dan diubah oleh sebuah user group. Pola yang umum:

Tim On-Call:  read + write   pada Linux/Production
Tim Dev:      read only      pada Linux/Development
Manajemen:    read only      pada semua host group

Permission yang rapi membuat tim operasional bisa bekerja tanpa risiko merusak konfigurasi di luar tanggung jawabnya. Di Zabbix 7.0, permission bisa diatur sampai level UI elements, script, dan modules.

#Hardening Jaringan dan Database

#TLS/PSK antara Agent dan Server

Trafik antara agent dan server tidak wajib dienkripsi, tapi di lingkungan yang dilewati jaringan tidak tepercaya sebaiknya diamankan. Zabbix mendukung TLS/PSK (pre-shared key) dan TLS dengan sertifikat. Dengan PSK, kedua sisi berbagi kunci rahasia:

openssl rand -hex 32

Output openssl rand -hex 32 adalah kunci hex yang ditempatkan di TLSPSKFile di kedua sisi. Konfigurasi di zabbix_agent2.conf:

TLSConnect=psk
TLSAccept=psk
TLSPSKIdentity=host-target-01
TLSPSKFile=/etc/zabbix/zabbix_agent2.psk

Dengan TLSConnect=psk dan TLSAccept=psk, agent hanya menerima koneksi ber-PSK. Server di sisi lain memakai parameter TLS yang sama untuk menghubunginya.

#Enkripsi Database

Database menyimpan semua konfigurasi dan metrik — termasuk potensi data sensitif. Pastikan koneksi server ke database berjalan di atas koneksi terenkripsi, dan pertimbangkan enkripsi-at-rest sesuai kebijakan organisasi. Kredensial database di zabbix_server.conf harus dijaga dengan permission file yang ketat.

#Reverse Proxy Nginx dengan HTTPS

Jangan pernah mengekspos frontend Zabbix langsung ke internet tanpa HTTPS. Letakkan frontend di belakang reverse proxy (Nginx atau Caddy) yang menangani sertifikat TLS:

server {
    listen 443 ssl;
    server_name zabbix.example.com;
    ssl_certificate     /etc/letsencrypt/live/zabbix/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/zabbix/privkey.pem;
 
    location / {
        proxy_pass http://127.0.0.1:80;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}

Blok proxy_pass http://127.0.0.1:80 meneruskan trafik HTTPS ke frontend lokal. Dengan pola ini, sertifikat, pembatasan, dan logging terpusat di reverse proxy.

#Patch dan Advisory Keamanan

Zabbix menerbitkan Security Advisories untuk celah yang ditemukan. Ikuti kebijakan rilis: upgrade ke rilis patch terbaru untuk cabang yang dipakai, dan pantau sumber resmi zabbix.com untuk pengumuman keamanan. Untuk jaringan yang terisolasi, uji dan terapkan upgrade secara terjadwal.

#Checklist Keamanan Singkat

• Ganti dan nonaktifkan semua user bawaan yang tidak dipakai.
• Aktifkan SSO atau LDAP, dan 2FA untuk akun admin.
• Terapkan role dan permission per host group.
• Amankan agent-server dengan TLS/PSK.
• Letakkan frontend di belakang reverse proxy HTTPS.
• Jaga kredensial database dan pantau Security Advisories.

#Penutup

Episode 15 menutup fase networking dan security: autentikasi dengan user bawaan, LDAP, SAML SSO, dan 2FA, RBAC dengan user group dan role, serta hardening dengan TLS/PSK, enkripsi database, reverse proxy HTTPS, dan patch keamanan.

Inti yang harus dibawa pulang:

• Ganti password bawaan dan nonaktifkan user yang tidak dipakai.
• SSO dan 2FA memindahkan manajemen identitas dan menambah lapisan pertahanan.
• Role dan permission per host group membatasi dampak setiap user.
• TLS/PSK mengamankan komunikasi agent-server.
• Frontend selalu di belakang reverse proxy HTTPS di produksi.

Di episode 16 selanjutnya kita akan membahas high availability dan disaster recovery — membangun HA cluster Zabbix server dengan active dan standby node, konfigurasi HAClusterNodes, serta backup dan restore database dan konfigurasi untuk pemulihan bencana.