2 LDAP

概要

外部LDAP 認証 を使用して、ユーザー名とパスワードを確認できます。

ZabbixのLDAP認証は、少なくともMicrosoft Active DirectoryおよびOpenLDAPで動作します。

LDAPサインインのみが設定されている場合、ユーザーはZabbixにも存在している必要がありますが、そのZabbixパスワードは使用されません。
認証に成功すると、Zabbixはローカルのユーザー名を、LDAPから返されたユーザー名属性と照合します。

ユーザープロビジョニング

LDAPユーザーに対して、JIT（just-in-time）ユーザープロビジョニングを設定できます。 この場合、ユーザーがあらかじめZabbixに存在している必要はありません。 ユーザーアカウントは、ユーザーが初めてZabbixにログインしたときに作成できます。

LDAPユーザーがLDAPのログイン名とパスワードを入力すると、Zabbixはこのユーザーが存在するかどうかをデフォルトのLDAPサーバーで確認します。 ユーザーが存在し、かつまだZabbixにアカウントを持っていない場合は、Zabbixに新しいユーザーが作成され、そのユーザーはログインできるようになります。

JITプロビジョニングによって作成されたユーザーは、作成時点でデフォルトとして設定されているLDAPサーバー（ディレクトリ）に関連付けられます。 後でデフォルトLDAPサーバーを変更しても、すでにプロビジョニングされたユーザーに関連付けられているLDAPサーバーは変更または更新されません。

JITプロビジョニングでは、LDAPの変更に基づいてプロビジョニング済みユーザーアカウントを更新することもできます。 たとえば、ユーザーがあるLDAPグループから別のLDAPグループに移動された場合、Zabbixでもそのユーザーはあるグループから別のグループに移動されます。ユーザーがLDAPグループから削除された場合、Zabbixでもそのグループから削除され、さらに他のどのグループにも属していなければ、プロビジョニング解除されたユーザー用のユーザーグループに追加されます。 プロビジョニング済みユーザーアカウントは、設定されたプロビジョニング期間に基づいて、またはユーザーがZabbixにログインしたときに更新されます。

バックグラウンドプロビジョニングは、ユーザーがZabbix Webインターフェースを操作しているとき、または少なくともブラウザでWebインターフェースのページを開いているときに、Zabbix Webインターフェースによって実行される点に注意してください。 ユーザーをプロビジョニングするための専用バックグラウンドプロセスはありません。

LDAPは、認証および検索のためにディレクトリへバインドする3つの方法をサポートしています。

• 匿名バインド — Bind DN / Bind password を指定せず、LDAPサーバーが匿名クエリを許可している場合です。
• 専用バインドユーザー（サービスアカウント） — 特定のLDAPアカウントを Bind DN / Bind password に設定し、Zabbixが検索およびプロビジョニングに使用します。 これは、Zabbixがエンドユーザーの認証情報なしで検索やバックグラウンドプロビジョニングを実行できるため、推奨される最も柔軟なオプションです。
• 直接ユーザーバインド — Zabbixは、ユーザーがログイン時に入力した認証情報を使用してバインドを実行します（Bind DN / Bind password は設定しません）。これは、Base DNに uid=%{user} のようなプレースホルダーを含めることで設定します。 このモードでは、Zabbixがユーザーのパスワードにアクセスできるのは対話的ログイン中のみです。 その結果、ユーザーのログインセッション外でLDAPへの認証を必要とするプロビジョニング操作（たとえば、Provision now ボタンの使用や、ユーザーがアクティブにログインしていないときのバックグラウンドプロビジョニングの実行）は認証できないため、動作しません。 直接ユーザーバインドにおけるプロビジョニングおよび更新は、ユーザーがログインした瞬間にのみ行われます。

複数のサーバー

必要に応じて、複数のLDAPサーバーを定義できます。
例えば、異なるユーザーグループの認証に別のサーバーを使用できます。
LDAPサーバーを設定すると、ユーザーグループの設定で、それぞれのユーザーグループに必要なLDAPサーバーを選択できるようになります。

ユーザーが複数のユーザーグループおよび複数のLDAPサーバーに属している場合、認証にはLDAPサーバーの一覧を名前の昇順で並べ替えた際の先頭のサーバーが使用されます。

設定

設定パラメータ:

LDAPサーバーの設定

LDAPサーバーの設定パラメータ:

以下のフィールドは、Group configuration 方法として "groupOfNames" を選択した場合に固有のものです:

アクセスのテスト

テストボタンを使用すると、ユーザーアクセスをテストできます。