3 Autenticazione

Panoramica

La sezione Amministrazione → Autenticazione permette di specificare il metodo di autenticazione utente globale su Zabbix e password interna requisiti. I metodi disponibili sono interni, HTTP, LDAP e SAML autenticazione.

Autenticazione predefinita

Per impostazione predefinita, Zabbix utilizza l'autenticazione Zabbix interna per tutti gli utenti. È possibile modificare il metodo predefinito in LDAP a livello di sistema o abilitare l'autenticazione LDAP solo per gruppi di utenti specifici.

Per impostare LDAP come metodo di autenticazione predefinito per tutti gli utenti, vai nella scheda LDAP e configurare i parametri di autenticazione, quindi tornare alla scheda Autenticazione e imposta il selettore Autenticazione predefinita su LDAP.

Si noti che il metodo di autenticazione può essere messo a punto su user group. Anche se L'autenticazione LDAP è impostata a livello globale, alcuni gruppi di utenti possono ancora essere autenticato da Zabbix. Questi gruppi devono avere frontend access impostato a Interno. Viceversa, se l'autenticazione interna viene utilizzata a livello globale, I dettagli di autenticazione LDAP possono essere specificati e utilizzati per un utente specifici gruppi di utenti cui frontend access è impostato su LDAP. Se un utente è incluso in almeno un gruppo di utenti con Autenticazione LDAP, questo utente non sarà in grado di utilizzare internal Metodo di autenticazione.

HTTP e SAML 2.0 metodi di autenticazione possono essere utilizzati in aggiunta a quello predefinito Metodo di autenticazione.

Autenticazione interna

La scheda Autenticazione consente di definire la complessità della password richiesa per gli utenti interni di Zabbix.

È possibile configurare le seguenti opzioni dei criteri password:

Le modifiche ai requisiti di complessità della password non influiranno sull'esistente password utente, ma se un utente esistente sceglie di modificare una password, la nuova password dovrà soddisfare i requisiti attuali. Un suggerimento con il l'elenco dei requisiti verrà visualizzato accanto al campo Password in il profilo utente e nel user modulo di configurazione accessibile dal menu Amministrazione→Utenti.

Autenticazione HTTP

Autenticazione HTTP o basata su server Web (ad esempio: Basic Autentication, NTLM/Kerberos) possono essere utilizzati per controllare i nomi utente e Le password. Nota che un utente deve esistere anche in Zabbix, comunque sia La password di Zabbix non verrà utilizzata.

Parametri di configurazione:

Autenticazione LDAP

L'autenticazione LDAP esterna può essere utilizzata per controllare i nomi utente e Le password. Nota che un utente deve esistere anche in Zabbix, comunque sia La password di Zabbix non verrà utilizzata.

L'autenticazione Zabbix LDAP funziona almeno con Microsoft Active Directory e OpenLDAP.

Parametri di configurazione:

::: nota avviso In caso di problemi con i certificati, fare a connessione sicura LDAP (ldaps) potrebbe essere necessario aggiungere a TLS_REQCERT allow alla configurazione /etc/openldap/ldap.conf file. Potrebbe diminuire la sicurezza della connessione a LDAP Catalogare. :::

Autenticazione SAML

L'autenticazione SAML 2.0 può essere utilizzata per accedere a Zabbix. Notare che l'utente deve esistere in Zabbix, tuttavia, la sua password Zabbix non lo sarà utilizzata. Se l'autenticazione ha esito positivo, Zabbix corrisponderà a un local username con l'attributo username restituito da SAML.

Impostazione del provider di identità

Per lavorare con Zabbix, un provider di identità SAML (onelogin.com, auth0.com, okta.com, ecc.) deve essere configurato nel file modo seguente:

• Assertion Consumer URL deve essere impostato su <path_to_zabbix_ui>/index_sso.php?acs
• L'URL di logout singolo deve essere impostato su <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> esempi: %% https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix %%

Configurazione di Zabbix

::: nota importante È necessario installare php-openssl se lo si desidera per utilizzare l'autenticazione SAML nel frontend. :::

Per utilizzare l'autenticazione SAML, Zabbix deve essere configurato come segue modo:

1. La chiave privata e il certificato devono essere archiviati nel file ui/conf/certs/, a meno che non siano forniti percorsi personalizzati zabbix.conf.php.

Per impostazione predefinita, Zabbix cercherà nelle seguenti posizioni:

• ui/conf/certs/sp.key - File della chiave privata SP
• ui/conf/certs/sp.crt - File certificato SP
• ui/conf/certs/idp.crt - File certificato IDP

2. Tutte le impostazioni più importanti possono essere configurate in Zabbix fine frontale. Tuttavia, è possibile specificare impostazioni aggiuntive nel file file di configurazione.

Parametri di configurazione, disponibili nel frontend di Zabbix:

Impostazioni avanzate

Ulteriori parametri SAML possono essere configurati nel frontend di Zabbix file di configurazione (zabbix.conf.php):

• $SSO['SP_KEY'] = '<percorso del file della chiave privata SP>';
• $SSO['SP_CERT'] = '<percorso del file certificato SP>';
• $SSO['IDP_CERT'] = '<percorso del file certificato IDP>';
• $SSO['IMPOSTAZIONI']

Solo le seguenti opzioni possono essere impostate come parte di $SSO['SETTINGS']:

• severa
• URL di base
• comprimere
• referente
• organizzazione
• sp (solo le opzioni specificate in questo elenco)
  • attributeConsumingService
  • x509certNuovo
• idp (solo le opzioni specificate in questo elenco)
  • singleLogoutService (solo un'opzione)
    • url di risposta
  • certImpronta digitale
  • certAlgoritmo di impronte digitali
  • x509certMulti
• sicurezza (solo le opzioni specificate in questo elenco)
  • segnoMetadati
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinazioneStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • algoritmo di firma
  • digestAlgoritmo
  • codifica URL minuscola

Tutte le altre opzioni verranno prese dal database e non possono esserlo sovrascritto. L'opzione debug verrà ignorata.

Inoltre, se l'interfaccia utente di Zabbix si trova dietro un proxy o un bilanciatore del carico, il file è possibile utilizzare l'opzione personalizzata use_proxy_headers:

• false (predefinito) - ignora l'opzione;
• true - utilizza le intestazioni HTTP X-Forwarded-* per creare l'URL di base.

Se si utilizza un sistema di bilanciamento del carico per connettersi all'istanza di Zabbix, dove il sistema di bilanciamento del carico utilizza TLS/SSL e Zabbix no, è necessario indicare i parametri 'baseurl', 'strict' e 'use_proxy_headers' come segue:

$SSO_SETTINGS=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true]

Esempio di configurazione:

$SSO['IMPOSTAZIONI'] = [
           'sicurezza' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               //...
           ],
           //...
       ];