3. Аутентификация

Обзор

В разделе Администрирование → Аутентификация можно задать глобальный метод аутентификации в Zabbix и требования к паролю. Доступны следующие методы аутентификации: внутренний, HTTP, LDAP и SAML.

Аутентификация по умолчанию

По умолчанию Zabbix использует внутреннюю аутентификацию Zabbix для всех пользователей. Можно изменить метод по умолчанию на LDAP для всей системы или включить аутентификацию LDAP только для конкретных групп пользователей.

Чтобы установить LDAP в качестве метода аутентификации по умолчанию для всех пользователей, перейдите к вкладке LDAP и настройте параметры аутентификации, затем вернитесь на вкладку Аутентификация и установите переключатель Аутентификация по умолчанию в положение LDAP.

Обратите внимание, что метод аутентификации можно точно настроить на уровне групп пользователей. Даже если глобально настроена аутентификация LDAP, некоторые группы пользователей по-прежнему могут проходить аутентификацию средствами Zabbix. У этих групп доступ к веб-интерфейсу должен быть выставлен как Внутренний. И наоборот, если глобально используется внутренняя аутентификация, подробности аутентификации LDAP можно указать и использовать для конкретных групп пользователей, чей доступ к веб-интерфейсу настроен как LDAP. Если пользователь входит хотя бы в одну группу пользователей с аутентификацией LDAP, то этот пользователь не сможет использовать метод внутренней аутентификации.

Методы аутентификации HTTP и SAML 2.0 могут использоваться в дополнение к методам аутентификации по умолчанию.

Внутренняя аутентификация

Вкладка Аутентификация позволяет определить настраиваемые требования к сложности пароля для внутренних пользователей Zabbix.

Можно настроить следующие параметры политики паролей:

Изменения в требованиях к сложности пароля не повлияют на существующие пароли пользователей, но если существующий пользователь решит изменить пароль, то новый пароль должен соответствовать текущим требованиям. Подсказка со списком требований будет отображаться рядом с полем Пароль в профиле пользователя и в диалоге настройки пользователя, доступном из меню Администрирование→Пользователи.

Аутентификация HTTP

Для проверки имён пользователей и паролей можно использовать аутентификацию на основе HTTP или веб-сервера (например: базовая аутентификация, NTLM/Kerberos). Обратите внимание, что пользователь также должен существовать в Zabbix; однако, его пароль Zabbix не будет использоваться.

Параметры конфигурации:

Параметр	Описание
Активация HTTP аутентификации (Enable HTTP authentication)	Отметьте флажок, чтобы включить аутентификацию HTTP. При наведении указателя мыши на появится подсказка с предупреждением, что в случае аутентификации веб-сервера все пользователи (даже с доступом к веб-интерфейсу, установленному в LDAP/внутренний) будут аутентифицироваться веб-сервером, а не сервером Zabbix.
Диалог входа в систему по умолчанию (Default login form)	Укажите, следует ли направлять неаутентифицированных пользователей на: Диалог входа в систему Zabbix — стандартную страницу входа Zabbix. HTTP диалог входа в систему — страницу входа HTTP. Рекомендуется включать аутентификацию на основе веб-сервера только для страницы index_http.php. Если для Диалога входа в систему по умолчанию установлено значение «HTTP диалог входа в систему», пользователь будет входить в систему автоматически, если модуль аутентификации веб-сервера установит действительный логин пользователя в переменной $_SERVER. Поддерживаемые ключи $_SERVER: PHP_AUTH_USER, REMOTE_USER, AUTH_USER.
Удаление имени домена (Remove domain name)	Список доменных имен через запятую, которые следует удалить из имени пользователя. Например: comp,any - если имя пользователя «Admin@any» или «comp\Admin», пользователь войдет в систему как «Admin»; если имя пользователя «notacompany\Admin», вход будет запрещён.
Регистрозависимый вход (Case sensitive login)	Снимите флажок, чтобы отключить для имен пользователей вход с учётом регистра (включённый по умолчанию). Отключение входа с учётом регистра позволяет, например, войти в систему пользователем «admin», даже если пользователем Zabbix является «Admin» или «ADMIN». Обратите внимание, что если вход с учётом регистра отключён и существует несколько Zabbix пользователей с похожими именами пользователей (например, Admin и admin), вход для этих пользователей всегда будет запрещён со следующим сообщением об ошибке: «Authentication failed: supplied credentials are not unique (Аутентификация не удалась: предоставленные учётные данные не уникальны)».

Аутентификация LDAP

Внешнюю аутентификацию LDAP можно использовать для проверки имён пользователей и паролей. Обратите внимание, что пользователь также должен существовать в Zabbix, однако его пароль Zabbix не будет использоваться.

Аутентификация Zabbix LDAP работает как минимум с Microsoft Active Directory и OpenLDAP.

Параметры конфигурации:

Аутентификация SAML

Для входа в Zabbix можно использовать аутентификацию SAML 2.0. Обратите внимание, что пользователь должен существовать в Zabbix, однако его пароль Zabbix не будет использоваться. Если аутентификация прошла успешно, Zabbix сопоставит локальное имя пользователя с атрибутом имени пользователя, возвращаемым SAML.

Настройка поставщика идентификационных данных

Для работы с Zabbix, поставщика идентификационных данных SAML (onelogin.com, auth0.com, okta.com и т.д.) необходимо настроить следующим образом:

• Утверждение Потребителя URL (Assertion Consumer URL) должно быть установлено в <путь_к_веб-интерфейсу_zabbix>/index_sso.php?acs
• Единый URL-адрес выхода (Single Logout URL) должен быть установлен в <путь_к_веб-интерфейсу_zabbix>/index_sso.php?sls

Примеры <пути_к_веб-интерфейсу_zabbix>: <https://example.com/zabbix/ui>,<http://another.example.com/zabbix>,<http://><any\_public\_ip\_address>/zabbix

Настройка Zabbix

Для использования аутентификации SAML Zabbix должен быть настроен следующим образом:

1. Закрытый ключ (private key) и сертификат должны храниться в ui/conf/certs/, если только пользовательские пути не указаны в файле zabbix.conf.php.

По умолчанию, Zabbix будет искать в следующих местах:

• ui/conf/certs/sp.key — файл закрытого ключа SP
• ui/conf/certs/sp.crt — файл сертификата SP
• ui/conf/certs/idp.crt — файл сертификата IDP

2. Все наиболее важные настройки могут быть сделаны через веб-интерфейс Zabbix. Однако, в конфигурационном файле можно указать дополнительные настройки.

Параметры конфигурации, доступные в веб-интерфейсе Zabbix:

Расширенные настройки

Дополнительные параметры SAML можно настроить в файле конфигурации веб-интерфейса Zabbix (zabbix.conf.php):

• $SSO['SP_KEY'] = '<путь к файлу закрытого ключа SP>';
• $SSO['SP_CERT'] = '<путь к файлу сертификата SP>';
• $SSO['IDP_CERT'] = '<путь к файлу сертификата IDP>';
• $SSO['SETTINGS']

В рамках $SSO['SETTINGS'] можно задать только следующие параметры:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (только опции, указанные в этом списке)
  • attributeConsumingService
  • x509certNew
• idp (только опции, указанные в этом списке)
  • singleLogoutService (только одна опция)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (только опции, указанные в этом списке)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Все остальные параметры будут взяты из базы данных и не могут быть переопределены. Опция debug будет игнорироваться.

Кроме того, если пользовательский интерфейс Zabbix находится за прокси-сервером или балансировщиком нагрузки, можно использовать пользовательскую опцию use_proxy_headers:

• false (по умолчанию) - игнорировать эту опцию;
• true - для построения базового URL использовать HTTP-заголовки X-Forwarded-*.

Если вы используете балансировщик нагрузки для подключения к экземпляру Zabbix, где балансировщик нагрузки использует TLS/SSL, а Zabbix — нет, вы должны указать параметры «baseurl», «strict» и «use_proxy_headers» следующим образом:

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

Пример конфигурации:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

Настройка веб-интерфейса с Kerberos/ADFS

Можно использовать файл конфигурации веб-интерфейса Zabbix (zabbix.conf.php), чтобы настроить SSO с аутентификацией Kerberos и ADFS:

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

В этом случае, в настройках SAML в поле ID объекта SP (SP name ID) задайте:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified