2 LDAP

概要

外部LDAP 認証 を使用して、ユーザー名とパスワードを確認できます。

ZabbixのLDAP認証は、少なくともMicrosoft Active DirectoryおよびOpenLDAPで動作します。

LDAPサインインのみが設定されている場合、ユーザーはZabbixにも存在している必要がありますが、そのZabbixパスワードは使用されません。
認証に成功すると、Zabbixはローカルのユーザー名を、LDAPから返されたユーザー名属性と照合します。

ユーザープロビジョニング

LDAPユーザーに対して、JIT（just-in-time）ユーザープロビジョニングを設定できます。
この場合、ユーザーがZabbixに既に存在している必要はありません。
ユーザーがZabbixに初めてログインしたときに、ユーザーアカウントを作成できます。

LDAPユーザーがLDAPのログイン名とパスワードを入力すると、Zabbixはこのユーザーが存在するかどうかをデフォルトのLDAPサーバーで確認します。
ユーザーが存在し、まだZabbixにアカウントがない場合は、Zabbixに新しいユーザーが作成され、ログインできるようになります。

JITプロビジョニングで作成されたユーザーは、作成時点でデフォルトに設定されているLDAPサーバー（ディレクトリ）に関連付けられます。
後でデフォルトのLDAPサーバーを変更しても、すでにプロビジョニングされたユーザーに関連付けられているLDAPサーバーは変更または更新されません。

JITプロビジョニングでは、LDAPの変更に基づいてプロビジョニング済みユーザーアカウントを更新することもできます。
たとえば、ユーザーがあるLDAPグループから別のLDAPグループに移動された場合、Zabbixでも同様にあるグループから別のグループへ移動されます。ユーザーがLDAPグループから削除された場合は、Zabbixのグループからも削除され、他のグループに属していなければ、プロビジョニング解除されたユーザー用のユーザーグループに追加されます。
プロビジョニング済みユーザーアカウントは、設定されたプロビジョニング期間に基づいて、またはユーザーがZabbixにログインしたときに更新されます。

バックグラウンドでのプロビジョニングは、ユーザーがZabbix Webインターフェースを操作しているとき、または少なくともブラウザーでWebインターフェースのページを開いているときに、Zabbix Webインターフェースによって実行されることに注意してください。
ユーザーをプロビジョニングするための専用のバックグラウンドプロセスはありません。

LDAPは、認証と検索のためにディレクトリへバインドする3つの方法をサポートしています。

• 匿名バインド — Bind DN / Bind password が指定されておらず、LDAPサーバーが匿名クエリを許可している場合。
• 専用のバインドユーザー（サービスアカウント） — 特定のLDAPアカウントを Bind DN / Bind password に設定し、Zabbixが検索とプロビジョニングに使用する場合。
  これは推奨される最も柔軟な方法です。Zabbixはエンドユーザーの認証情報なしで検索とバックグラウンドプロビジョニングを実行できるためです。
• 直接ユーザーバインド — Zabbixは、ログイン時にユーザーが入力した認証情報を使用してバインドを実行します（Bind DN / Bind password は設定しません）。これは、Base DNに uid=%{user} のようなプレースホルダーを含めることで設定します。
  このモードでは、Zabbixがユーザーのパスワードにアクセスできるのは対話的なログイン中のみです。
  その結果、ユーザーのログインセッション外でLDAP認証が必要なプロビジョニング操作（たとえば、Provision now ボタンの使用や、ユーザーがアクティブにログインしていない状態でのバックグラウンドプロビジョニングの実行）は認証できないため、動作しません。
  直接ユーザーバインドでのプロビジョニングと更新は、ユーザーがログインした瞬間にのみ行われます。

複数のサーバー

必要に応じて、複数のLDAPサーバーを定義できます。
例えば、異なるユーザーグループの認証に別のサーバーを使用できます。
LDAPサーバーを設定すると、ユーザーグループの設定で、それぞれのユーザーグループに必要なLDAPサーバーを選択できるようになります。

ユーザーが複数のユーザーグループおよび複数のLDAPサーバーに属している場合、認証にはLDAPサーバーの一覧を名前の昇順で並べ替えた際の先頭のサーバーが使用されます。

設定

設定パラメータ:

LDAPサーバーの設定

LDAPサーバーの設定パラメータ:

次のフィールドは、グループ設定方式として「groupOfNames」を選択した場合に固有のものです:

アクセスのテスト

テストボタンを使用すると、ユーザーアクセスをテストできます。