Heute habe ich etwas nützliches gelernt, was ich weitergeben möchte.
Ausgangspunkt: Ich möchte wissen, ob /etc/passwd geändert wurde, sprich, ob User hinzugefügt oder gelöscht wurden.
Dazu habe ich mir ein neues Template erstellt (es soll noch mehr security-Zeug dort hinein, später). Darin ein Item "vfs.file.cksum[/etc/passwd,sha256]" - das speichert den Hash der Datei. Dann ein Trigger mit dieser Expression: "change(/<Template-Name>/vfs.file.cksum[/etc/passwd,sha256])<>0"
Funktioniert. Sobald die Datei geändert wird und damit ihr Hash, feuert der Trigger und Zabbix malt ein Problem.
Doch ach: da sich der gänderte Hah ja nicht gleich wieder ändert, betrachtet Zabbix beim nächsten Durchlauf das Problem als gelöst und schließt es. Völlig logisches Verhalten, aber ungewünschtes Verhalten.
Lösung:
"OK event generation" auf "none" setzen
Und "Allow manual close" anhaken!