3 认证

概述

Administration → Authentication 部分允许指定Zabbix 的全局用户认证方法和内部密码要求。 可用internal、HTTP、LDAP 和 SAML方式进行验证。

默认身份验证

默认情况下，Zabbix 对所有用户使用内部 Zabbix 身份验证。可以将默认方法更改为 LDAP 系统范围或仅对特定用户组启用 LDAP 身份验证。

要将 LDAP 设置为所有用户的默认身份验证方法，请导航至LDAP 选项卡并配置身份验证参数，然后返回Authentication 选项卡并将 Default authentication 选择器切换到LDAP

请注意，身份验证方法可以在 用户组 级别。即使LDAP认证全局设置，部分用户组仍然可以 由 Zabbix 认证。这些组必须有 前端访问 设置到内部。反之亦然，如果全局使用内部身份验证，可以为特定用户指定和使用 LDAP 身份验证详细信息 前端访问 是设置为 LDAP。如果一个用户包含在至少一个用户组中LDAP 认证，此用户将无法使用内部身份验证方法。

HTTP 和 SAML 2.0除了默认的身份验证方法之外，还可以使用身份验证方法身份验证方法。

内部认证

Authentication 选项卡允许定义自定义密码复杂性 内部 Zabbix 用户的要求。

可以配置以下密码策略选项：

密码复杂性要求的变化不会影响现有的用户密码，但如果现有用户选择更改密码，新密码必须满足当前要求。一个提示要求列表将显示在 Password 字段旁边用户配置 和 用户配置表单 可访问从管理→用户菜单。

HTTP 认证

基于 HTTP 或 Web 服务器的身份验证（例如：Basic Authentication、NTLM/Kerberos）可用于检查用户名和密码。 请注意，用户也必须存在于 Zabbix 中，但是它的不会使用 Zabbix 密码。

配置参数：

LDAP 身份验证

外部 LDAP 身份验证可用于检查用户名和密码。请注意，用户也必须存在于 Zabbix 中，但不会使用其 Zabbix 密码。

Zabbix LDAP 身份验证至少适用于 Microsoft Active Directory 和 OpenLDAP。

配置参数：

SAML 身份验证

SAML 2.0 身份验证可用于登录 Zabbix。 请注意，用户必须存在于 Zabbix 中，但不会使用其 Zabbix 密码。 如果身份验证成功，则 Zabbix 会将本地用户名与 SAML 返回的用户名属性进行匹配。

设置身份提供者

为了与 Zabbix 合作，SAML 身份提供商 (onelogin.com、auth0.com、okta.com 等) 需要按如下方式配置：

• · Assertion Consumer URL 应该设置为 · <path_to_zabbix_ui>/index_sso.php?acs
• · Single Logout URL 应设置为 · <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> 示例：%% https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix %%

设置 Zabbix

要使用 SAML 身份验证，Zabbix 应按以下方式配置：

1. 私钥和证书应存储在 ui/conf/certs/ 中，除非 zabbix.conf.php 中提供了自定义路径。

默认情况下，Zabbix 将在以下位置查找：

• · ui/conf/certs/sp.key - SP私钥文件
• · ui/conf/certs/sp.crt - SP 证书文件
• · ui/conf/certs/idp.crt - IDP 证书文件

2. 所有最重要的设置都可以在 Zabbix 前端进行配置。但是，可以在 配置文件 中指定其他设置。

配置参数，在 Zabbix 前端可用：

高级设置

可以在 Zabbix 前端配置文件 (zabbix.conf.php) 中配置额外的 SAML 参数：

• $SSO['SP_KEY'] = '<SP 私钥文件的路径>';
• $SSO['SP_CERT'] = '<SP 证书文件的路径>';
• $SSO['IDP_CERT'] = '<IDP 证书文件的路径>';
• $SSO['设置']

只有以下选项可以设置为 $SSO['SETTINGS'] 的一部分：

• strict
• baseurl
• compress
• contactPerson
• organization
• sp（仅在此列表中指定的选项）
• attributeConsumingService
• x509certNew
• idp（仅在此列表中指定的选项）
  • singleLogoutService（只有一个选项）
  • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security（仅在此列表中指定的选项）
• signMetadata · - wantNameId
• requestedAuthnContext
• requestedAuthnContextComparison
• wantXMLValidation
• relaxDestinationValidation
• destinationStrictlyMatches
• rejectUnsolicitedResponsesWithInResponseTo
• 签名算法
• digestAlgorithm
• 小写Urlencoding

所有其他选项将从数据库中获取并且不能被覆盖。 debug 选项将被忽略。

此外，如果 Zabbix UI 位于代理或负载均衡器之后，则可以使用自定义 use_proxy_headers 选项：

• false (默认) - 忽略该选项；
• true - 使用 X-Forwarded-* HTTP 标头来构建基本 URL。

如果使用负载均衡器连接到 Zabbix 实例，其中负载均衡器使用 TLS/SSL 而 Zabbix 不使用，您必须指明 'baseurl'、'strict' 和 'use_proxy_headers' 参数，如下所示：

$SSO_SETTINGS=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true] 配置示例：

$SSO['SETTINGS'] = [ 'security' => [ 'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384' 'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384', // ... ], // ... ];