3 认证

概述

管理 → 认证 部分允许指定Zabbix的全局用户认证方法及内部密码要求。可用的认证方式包括内部认证、HTTP认证、LDAP认证和SAML认证。

默认认证

默认情况下，Zabbix对所有用户使用内部Zabbix认证。可以将默认方法更改为全系统范围的LDAP认证，或仅为特定用户组启用LDAP认证。

要将LDAP设置为所有用户的默认认证方法，请导航至LDAP选项卡并配置认证参数，然后返回Authentication选项卡并将Default authentication选择器切换为LDAP。

请注意，认证方法可以在user group级别进行微调。即使全局设置了LDAP认证，某些用户组仍可通过Zabbix进行认证。这些用户组的配置必须设置为Internal。反之，如果全局使用内部认证，可以为配置设置为LDAP的特定用户组指定并使用LDAP认证详细信息。如果用户被包含在至少一个使用LDAP认证的用户组中，则该用户将无法使用内部认证方法。

除默认认证方法外，还可使用HTTP和SAML 2.0认证方法。

内部认证

认证选项卡允许为Zabbix内部用户定义自定义密码复杂度要求

可配置以下密码策略选项:

密码复杂度要求的变更不会影响现有用户密码，但当现有用户选择修改密码时，新密码必须符合当前要求. 在user profile及通过管理→用户菜单访问的user configuration form中，密码字段旁将显示包含要求列表的提示信息.

HTTP 认证

基于HTTP或Web服务器的认证（例如：Basic） 身份验证（NTLM/Kerberos）可用于检查用户名和 密码。请注意，用户也必须存在于Zabbix中，然而其 Zabbix密码将不会被使用。

配置参数:

参数	描述
Enable HTTP authentication	勾选此复选框以启用HTTP认证。将鼠标悬停在上会显示提示框，警告在启用Web服务器认证的情况下，所有用户（即使配置设置为LDAP/内部）都将由Web服务器而非Zabbix进行认证。
Default login form	指定是否将未认证用户重定向至: Zabbix login 表单 - 标准Zabbix login页面. HTTP login 表单 - HTTP login页面. 建议仅对index_http.php页面启用基于Web服务器的认证. 若默认login表单设置为'HTTP login页面'，当Web服务器认证模块在$_SERVER变量中设置了有效的用户login时，用户将自动登录. 支持的$_SERVER键值为PHP_AUTH_USER, REMOTE_USER, AUTH_USER.
Remove domain name	应从用户名中移除的域名列表（以逗号分隔）。 例如 comp,any - 若用户名为'Admin@any'或'comp\Admin'，用户将以'管理员'身份登录；若用户名为'notacompany\Admin'，则login将被拒绝。
Case sensitive login	取消勾选该复选框以禁用用户名的大小写敏感login（默认启用）。 禁用大小写敏感login后，例如即使用户名为"Admin"或"ADMIN"，仍可以"admin"身份登录。 请注意，如果禁用大小写敏感login且存在多个相似用户名（如Admin和admin），这些用户的login将始终被拒绝并显示错误信息："认证失败：提供的凭据不唯一。"

LDAP 认证

外部LDAP认证可用于验证用户名和 密码。请注意，用户也必须在Zabbix中存在，然而其 Zabbix密码将不会被使用。

Zabbix LDAP认证至少可与Microsoft Active Directory协同工作 目录与OpenLDAP

配置参数:

SAML 认证

SAML 2.0认证可用于登录Zabbix。需要注意的是，用户必须在Zabbix中存在，但其Zabbix密码不会被使用。如果认证成功，Zabbix会将本地用户名与SAML返回的用户名属性进行匹配。

设置身份提供程序

为了与Zabbix配合使用，需要按照以下方式配置SAML身份提供商 (onelogin.com, auth0.com, okta.com等):

• 断言消费者URL应设置为 <path_to_zabbix_ui>/index_sso.php?acs

• 单点登出URL应设置为

  <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui>示例: <https://example.com/zabbix/ui>, <http://another.example.com/zabbix>, <http://><any\_public\_ip\_address>/zabbix

设置Zabbix

要使用SAML认证，需按以下方式配置Zabbix 方式

1. 私钥和证书应存储在 ui/conf/certs/, 除非提供了自定义路径 高级设置.

默认情况下，Zabbix将在以下位置查找：

• ui/conf/certs/sp.key - SP私钥 file
• ui/conf/certs/sp.crt - SP证书 file
• ui/conf/certs/idp.crt - IDP证书 file

2. 所有最重要的设置都可以在Zabbix中进行配置 前端。然而，可以在其中指定额外的设置 configuration file.

Zabbix前端中可用的配置参数:

高级设置

额外的SAML参数可在Zabbix前端配置文件file（zabbix.conf.php）中配置：

• $SSO['SP_KEY'] = '<SP私钥路径 file>';
• $SSO['SP_CERT'] = '<SP证书路径 file>';
• $SSO['IDP_CERT'] = '<IDP证书路径 file>';
• $SSO['SETTINGS']

仅以下选项可作为$SSO['SETTINGS']的一部分进行设置：

• strict

• baseurl

• compress

• contactPerson

• organization

• sp (仅限此列表中指定的选项)

  • attributeConsumingService
  • x509certNew

• idp (仅限此列表中指定的选项)

  • singleLogoutService (仅一个选项)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti

• security (仅限此列表中指定的选项)

  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

所有其他选项将从数据库中获取且无法被覆盖。debug选项将被忽略。

此外，如果Zabbix UI位于proxy或负载均衡器之后，可使用自定义的use_proxy_headers选项：

• false (默认) - 忽略该选项；
• true - 使用X-Forwarded-* HTTP头构建基础URL。

如果使用负载均衡器连接Zabbix实例，且负载均衡器使用TLS/SSL而Zabbix未使用，必须按如下方式指定'baseurl'、'strict'和'use_proxy_headers'参数：

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

配置示例：

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

使用Kerberos/ADFS的前端配置

Zabbix前端配置文件file (zabbix.conf.php)可用于配置基于Kerberos认证和ADFS的SSO:

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

在此情况下，SAML配置中的SP name ID字段应设置为:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified