Installer Zabbix Agent sur Amazon Linux 2023 et Amazon Linux 2

Superviser une instance EC2 sous Amazon Linux avec Zabbix passe par l'installation d'un agent sur le système : un service léger qui collecte les métriques système et les transmet au serveur de supervision. Voir la définition complète de l'agent Zabbix.

Ce guide couvre l'installation manuelle et complète sur Amazon Linux 2023 et Amazon Linux 2, en architecture x86_64 comme ARM (Graviton). CloudWatch remonte l'activité de l'hyperviseur ; l'agent Zabbix voit l'intérieur du système : mémoire, espace disque par partition, services, processus, journaux.

Le plus simple : avec Logiserv

Logiserv s'appuie sur ce même moteur Zabbix et automatise l'ensemble. Depuis la page Agent du tableau de bord :

curl -sSL "https://www.logiserv.app/api/agent-script/linux?token=..." | sudo bash

Le script reconnaît Amazon Linux 2 et 2023 via /etc/os-release, ajoute le bon dépôt amzn2 ou amzn2023, installe le paquet, génère une clé PSK unique, écrit la configuration, crée l'hôte côté serveur dans le groupe de votre parc avec les bons templates et démarre le service. Le lien généré reste valable une heure : de quoi enrôler toutes vos instances existantes, par SSH ou via Systems Manager Run Command.

Comptez 1 à 2 minutes par système avec Logiserv. L'installation manuelle détaillée ci-dessous demande 6 étapes et une douzaine de minutes par instance, sans compter la création de l'hôte côté serveur Zabbix. Voir la comparaison détaillée.

Amazon Linux 2023 ou Amazon Linux 2 ?

Les deux versions disposent d'un dépôt Zabbix officiel, mais pas des mêmes paquets :

Agent 2 est recommandé quand il est disponible : plugins intégrés, connexion persistante unique, empreinte mémoire réduite. Ce guide l'utilise pour Amazon Linux 2023 ; sur Amazon Linux 2, remplacez agent2 par agent et zabbix_agent2.conf par zabbix_agentd.conf.

Prérequis

• un accès sudo (utilisateur ec2-user par défaut)
• l'adresse IP ou le nom DNS de votre serveur Zabbix
• un accès sortant vers le port 10051/TCP du serveur, autorisé par le groupe de sécurité et, le cas échéant, la NACL du sous-réseau

Étape 1 : ajouter le dépôt officiel Zabbix

Le paquet de dépôt est noarch : la même commande vaut pour x86_64 et Graviton. Pour Amazon Linux 2023 :

sudo rpm -Uvh https://repo.zabbix.com/zabbix/7.4/release/amazonlinux/2023/noarch/zabbix-release-latest.amzn2023.noarch.rpm
sudo dnf clean all

Pour Amazon Linux 2 :

sudo rpm -Uvh https://repo.zabbix.com/zabbix/7.4/release/amazonlinux/2/noarch/zabbix-release-latest.amzn2.noarch.rpm
sudo yum clean all

Version automatique, quelle que soit la release :

. /etc/os-release
sudo rpm -Uvh "https://repo.zabbix.com/zabbix/7.4/release/amazonlinux/${VERSION_ID}/noarch/zabbix-release-latest.amzn${VERSION_ID}.noarch.rpm"

Étape 2 : installer l'agent

Sur Amazon Linux 2023 :

sudo dnf install -y zabbix-agent2

Sur Amazon Linux 2 :

sudo yum install -y zabbix-agent

Le paquet crée l'utilisateur système zabbix, installe l'unité systemd et dépose la configuration dans /etc/zabbix/.

Étape 3 : configurer l'agent

sudo nano /etc/zabbix/zabbix_agent2.conf

Les directives essentielles :

# Serveur vers lequel l'agent pousse ses métriques (mode actif)
ServerActive=zabbix.example.com
 
# Doit correspondre EXACTEMENT au nom d'hôte défini côté serveur Zabbix
Hostname=web-prod-01
 
LogFile=/var/log/zabbix/zabbix_agent2.log
LogFileSize=10

Le piège du nom d'hôte EC2

Par défaut, une instance EC2 se nomme d'après son IP privée (ip-10-0-1-23.eu-west-3.compute.internal) ou son identifiant (i-0abc123...). Ce nom est illisible dans un tableau de bord et change si l'instance est recréée depuis une AMI ou par un groupe Auto Scaling.

Fixez un nom explicite dans Hostname, identique au champ « Nom d'hôte » côté serveur, ou renommez l'instance :

sudo hostnamectl set-hostname web-prod-01

Mode actif ou passif

• Passif (Server=) : le serveur interroge l'agent sur le port 10050. Impose d'ouvrir ce port dans le groupe de sécurité.
• Actif (ServerActive=) : l'agent pousse ses données, aucun port entrant à ouvrir. C'est le mode adapté au cloud, en particulier pour une instance en sous-réseau privé derrière une passerelle NAT.

Étape 4 : chiffrer la liaison avec une clé PSK

Sur le cloud public, la liaison agent-serveur traverse souvent Internet : le chiffrement n'est pas optionnel.

openssl rand -hex 32 | sudo tee /etc/zabbix/zabbix_agent2.psk > /dev/null
sudo chown zabbix:zabbix /etc/zabbix/zabbix_agent2.psk
sudo chmod 600 /etc/zabbix/zabbix_agent2.psk

Puis dans la configuration :

TLSConnect=psk
TLSAccept=psk
TLSPSKIdentity=PSK-web-prod-01
TLSPSKFile=/etc/zabbix/zabbix_agent2.psk

Reportez la clé et l'identité dans l'onglet Chiffrement de l'hôte côté serveur. Une identité distincte par instance est nécessaire.

Étape 5 : adapter le groupe de sécurité

Amazon Linux n'active pas de pare-feu local par défaut : le filtrage se fait au niveau du groupe de sécurité de l'instance.

• Sortie : la règle sortante par défaut autorise tout. Si vous l'avez restreinte, autorisez le TCP 10051 vers le serveur Zabbix.
• Entrée (mode passif uniquement) : autorisez le TCP 10050 depuis l'IP du serveur Zabbix, jamais depuis 0.0.0.0/0.

aws ec2 authorize-security-group-ingress \
  --group-id sg-0123456789abcdef0 \
  --protocol tcp --port 10050 --cidr 203.0.113.10/32

Étape 6 : démarrer et vérifier

sudo systemctl enable --now zabbix-agent2
sudo systemctl status zabbix-agent2

Testez des métriques localement :

zabbix_agent2 -t agent.version
zabbix_agent2 -t system.cpu.load[all,avg1]
zabbix_agent2 -t vfs.fs.size[/,pfree]

Consultez le journal :

sudo tail -f /var/log/zabbix/zabbix_agent2.log

Messages d'erreur courants

Sur Amazon Linux 2023, les journaux système ne sont plus écrits dans /var/log/secure mais dans journald. Pour les métriques qui les lisent, ajoutez l'agent au groupe systemd-journal :

sudo usermod -aG systemd-journal zabbix
sudo systemctl restart zabbix-agent2

Superviser une flotte d'instances EC2

Répéter ces six étapes sur chaque instance ne tient pas à l'échelle, surtout avec l'Auto Scaling qui crée et détruit des instances en continu. Les approches classiques sont le user-data (cloud-init) de l'AMI ou du modèle de lancement, AWS Systems Manager Run Command sur un ensemble d'instances étiquetées, ou l'auto-enregistrement Zabbix avec actions et métadonnées configurées côté serveur. Chacune demande de résoudre la distribution des clés PSK et la création des hôtes.

La même installation avec Logiserv

Logiserv s'appuie sur ce même moteur Zabbix et automatise l'ensemble. Depuis la page Agent du tableau de bord :

curl -sSL "https://www.logiserv.app/api/agent-script/linux?token=..." | sudo bash

Le script reconnaît Amazon Linux 2 et 2023 via /etc/os-release, ajoute le bon dépôt amzn2 ou amzn2023, installe le paquet, génère une clé PSK unique, écrit la configuration, crée l'hôte côté serveur dans le groupe de votre parc avec les bons templates et démarre le service. Le lien généré reste valable une heure : de quoi enrôler toutes vos instances existantes, par SSH ou via Systems Manager Run Command.

Installation manuelle ou Logiserv

Versions reconnues

Amazon Linux 2 et 2023

Détection automatique via /etc/os-release, x86_64 et Graviton.

Chiffrement

PSK unique par instance

Clé de 32 octets générée à l'enrôlement, jamais partagée entre deux hôtes.

Port entrant requis

Aucun

Mode actif : seul le trafic sortant vers le serveur est nécessaire, idéal en sous-réseau privé.

Réinstallation

Sans doublon

Une instance réinstallée sous le même nom est ré-enrôlée avec une nouvelle clé PSK.

Le fonctionnement de la page Agent est détaillé dans la documentation Logiserv.

Pour aller plus loin

• Installer Zabbix Agent 2 : le guide par système — vue d'ensemble et autres OS
• Installer Zabbix Agent sur Rocky Linux — la famille RHEL dont Amazon Linux est proche
• Pourquoi superviser un serveur Linux — ce que la supervision détecte avant l'incident
• Surveiller l'espace disque d'un serveur — la panne la plus fréquente, y compris sur un volume EBS
• Quelles métriques surveiller sur un serveur — construire son plan de supervision