3 Аутентификация

Обзор

В разделе Администрирование → Аутентификация можно задать глобальный метод аутентификации в Zabbix и требования к паролю. Доступны следующие методы аутентификации: внутренний, HTTP, LDAP, SAML.

Аутентификация по умолчанию

По умолчанию Zabbix использует внутреннюю аутентификацию Zabbix для всех пользователей. Это можно изменить по умолчанию на LDAP для всей системы или включить аутентификацию LDAP только для определенных групп пользователей.

Чтобы установить LDAP в качестве метода аутентификации по умолчанию для всех пользователей, перейдите к вкладке LDAP и настройте параметры аутентификации, затем вернитесь в вкладку Аутентификация и установите переключатель Аутентификация по умолчанию в положение LDAP.

Обратите внимание, что метод аутентификации можно точно настроить на странице user group. Даже если Аутентификация LDAP устанавливается глобально, некоторые группы пользователей по-прежнему могут проходить аутентификацию через Zabbix. У этих групп должен быть выставлен доступ к веб-интерфейсу как Внутренний. И наоборот, если внутренняя аутентификация используется глобально, детали аутентификации LDAP можно указать и использовать для определенных групп пользователей, чей интерфейсный доступ настроен на LDAP. Если пользователь входит хотя бы в одну группу пользователей с аутентификацией LDAP, этот пользователь не сможет использовать метод внутренней аутентификации.

HTTP и SAML 2.0 методы аутентификации могут использоваться в дополнение к стандартным методам аутентификации.

Внутренняя аутентификация

Вкладка Аутентификация позволяет определить сложность пользовательского пароля для внутренних пользователей Zabbix.

Можно настроить следующие параметры политики паролей:

Изменения в требованиях к сложности пароля не повлияют на существующие пароли пользователей, но если существующий пользователь решит изменить пароль, новый пароль должен соответствовать текущим требованиям. Подсказка с списком требований будет отображаться рядом с полем Пароль в профиле пользователя и в пользовательском форме конфигурации, которая доступна из меню Администрирование→Пользователи.

HTTP-аутентификация

Аутентификацию на основе HTTP или веб-сервера (например: базовая аутентификация, NTLM/Kerberos) можно использовать для проверки имен пользователей и паролей. Обратите внимание, что пользователь также должен существовать в Zabbix, однако его пароль Zabbix не будет использоваться.

Параметры конфигурации:

Аутентификация LDAP

Внешнюю аутентификацию LDAP можно использовать для проверки имен пользователей и паролей. Обратите внимание, что пользователь также должен существовать в Zabbix, однако его пароль Zabbix не будет использоваться.

Аутентификация Zabbix LDAP работает как минимум с Microsoft Active Directory и OpenLDAP.

Параметры конфигурации:

SAML-аутентификация

Для входа в Zabbix можно использовать аутентификацию SAML 2.0. Обратите внимание, что пользователь должен существовать в Zabbix, однако его пароль Zabbix не будет использоваться. Если аутентификация прошла успешно, Zabbix сопоставит локальное имя пользователя с атрибутом имени пользователя, возвращаемым SAML.

Настройка поставщика удостоверений

Для работы с Zabbix, поставщиком идентификации SAML (onelogin.com, auth0.com, okta.com и др.) необходимо настроить следующим образом:

• · Утверждение Потребителя URL должно быть установлено на · <path_to_zabbix_ui>/index_sso.php?acs
• · Единый URL-адрес выхода должен быть установлен на · <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> примеры: %% https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<любой_общедоступный_ip_адрес>/zabbix %%

Setting up Zabbix

To use SAML authentication Zabbix should be configured in the following way:

1. Private key and certificate should be stored in the ui/conf/certs/, unless custom paths are provided in zabbix.conf.php.

By default, Zabbix will look in the following locations:

• ui/conf/certs/sp.key - SP private key file
• ui/conf/certs/sp.crt - SP cert file
• ui/conf/certs/idp.crt - IDP cert file

2. All of the most important settings can be configured in the Zabbix frontend. However, it is possible to specify additional settings in the configuration file.

Configuration parameters, available in the Zabbix frontend:

Advanced settings

Additional SAML parameters can be configured in the Zabbix frontend configuration file (zabbix.conf.php):

• $SSO['SP_KEY'] = '<path to the SP private key file>';
• $SSO['SP_CERT'] = '<path to the SP cert file>';
• $SSO['IDP_CERT'] = '<path to the IDP cert file>';
• $SSO['SETTINGS']

Only the following options can be set as part of $SSO['SETTINGS']:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (only options specified in this list)
  • attributeConsumingService
  • x509certNew
• idp (only options specified in this list)
  • singleLogoutService (only one option)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (only options specified in this list)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

All other options will be taken from the database and cannot be overridden. The debug option will be ignored.

In addition, if Zabbix UI is behind a proxy or a load balancer, the custom use_proxy_headers option can be used:

• false (default) - ignore the option;
• true - use X-Forwarded-* HTTP headers for building the base URL.

Configuration example:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];