用户目录 object

以下 objects 直接与 userdirectory API 相关。

用户目录

用户目录 object 具有以下属性。

属性 数据类型 描述
userdirectoryid ID 用户目录的ID。

如果删除用户目录,所有关联到该目录的用户其User object属性userdirectoryid将被设为"0"。

属性行为:
- 只读
- update操作中必填
idp_type integer 身份提供商用于用户目录的认证协议类型。
注意只能存在一个SAML类型的用户目录。

可选值:
1 - LDAP类型用户目录;
2 - SAML类型用户目录。

属性行为:
- create操作中必填
group_name string LDAP/SAML用户目录中用于映射LDAP/SAML用户目录与Zabbix之间用户组的属性名。

示例:cn

属性行为:
- 当provision_status设为"启用"且认证saml_jit_status设为"为配置的SAML IdP启用"时必填
user_username string LDAP/SAML用户目录属性(若scim_status设为"启用SCIM配置"则也是SCIM属性),包含用户名,用于在用户配置时作为User object属性name的值。

示例:cncommonNamedisplayNamename
user_lastname string LDAP/SAML用户目录属性(若scim_status设为"启用SCIM配置"则也是SCIM属性),包含用户姓氏,用于在用户配置时作为User object属性surname的值。

示例:snsurnamelastName
provision_status integer 用户目录的配置状态。

可选值:
0 - (默认) 禁用(禁止通过此用户目录创建用户);
1 - 启用(允许通过此用户目录创建用户;此外需同时启用LDAP或SAML配置状态(认证ldap_jit_statussaml_jit_status))。
provision_groups array 配置组映射 objects的array,用于将LDAP/SAML用户组模式映射到Zabbix用户组和角色。

属性行为:
- 当provision_status设为"启用"时必填
provision_media array 媒介类型映射 objects的array,用于将用户的LDAP/SAML媒体属性(如邮箱)映射到Zabbix用户媒体以发送通知。
LDAP-specific properties:
name string 用户目录的唯一名称。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时必填
host string LDAP服务器的主机名、IP或URI。
URI必须包含协议(ldap://ldaps://)、主机及端口(可选)。

示例:
主机.example.com
127.0.0.1
ldap://ldap.example.com:389

属性行为:
- 当idp_type设为"LDAP类型用户目录"时必填
port integer LDAP服务器端口。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时必填
base_dn string LDAP用户目录中用户账户的基础路径。

示例:
ou=Users,dc=example,dc=org
ou=Users,ou=system(OpenLDAP)
DC=company,DC=com(Microsoft Active Directory)
uid=%{user},dc=example,dc=com(直接用户绑定;占位符"%{user}"必须保留)

属性行为:
- 当idp_type设为"LDAP类型用户目录"时必填
search_attribute string LDAP用户目录中用于从login请求信息识别用户账户的属性。

示例:
uid(OpenLDAP)
sAMAccountName(Microsoft Active Directory)

属性行为:
- 当idp_type设为"LDAP类型用户目录"时必填
bind_dn string 用于绑定和搜索LDAP服务器的账户。

直接用户绑定和匿名绑定时,bind_dn必须为空。

示例:
uid=ldap_search,ou=system(OpenLDAP)
CN=ldap_search,OU=user_group,DC=company,DC=com(Microsoft Active Directory)
CN=Admin,OU=Users,OU=Zabbix,DC=zbx,DC=local

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
bind_password string 用于绑定和搜索LDAP服务器的账户密码。

直接用户绑定和匿名绑定时,bind_password必须为空。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
description string 用户目录的描述。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
group_basedn string LDAP用户目录中用户组的基础路径,用于配置LDAP用户目录中的用户成员资格检查。

group_membership设置时,在配置用户时忽略此属性。

示例:ou=Groups,dc=example,dc=com

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
group_filter string 用于检索用户所属LDAP用户目录组的过滤string,用于配置LDAP用户目录中的用户成员资格检查。

group_membership设置时,在配置用户时忽略此属性。

支持的group_filter占位符:
%{attr} - 搜索属性(替换为search_attribute属性值);
%{groupattr} - 组属性(替换为group_member属性值);
%{主机} - LDAP服务器的主机名、IP或URI(替换为host属性值);
%{user} - Zabbix用户名。

默认:(%{groupattr}=%{user})

示例:
- (member=uid=%{ref},ou=Users,dc=example,dc=com) 当LDAP组object包含值为"uid=User1,ou=Users,dc=example,dc=com"的"member"属性时匹配"User1",并返回"User1"所属的组;
- (%{groupattr}=cn=%{ref},ou=Users,ou=Zabbix,DC=example,DC=com) 当LDAP组object包含group_member属性指定的值为"cn=User1,ou=Users,ou=Zabbix,DC=example,DC=com"时匹配"User1",并返回"User1"所属的组。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
group_member string LDAP用户目录中包含组成员信息的属性,用于配置LDAP用户目录中的用户成员资格检查。

group_membership设置时,在配置用户时忽略此属性。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
group_membership string LDAP用户目录中包含用户所属组信息的属性。

示例:memberOf

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
search_filter string 自定义过滤string,用于根据login请求信息在LDAP用户目录中定位和认证用户。

支持的search_filter占位符:
%{attr} - 搜索属性名(如uidsAMAccountName);
%{user} - Zabbix用户名。

默认:(%{attr}=%{user})

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
start_tls integer LDAP服务器配置选项,允许使用传输层安全(TLS)保护与LDAP服务器的通信。

注意使用ldaps://协议进行主机时必须将start_tls设为"禁用"。

可选值:
0 - (默认) 禁用;
1 - 启用。

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
user_ref_attr string LDAP用户目录中用于引用用户object的属性。user_ref_attr的值用于get用户目录中指定属性的值,并替换group_filter string中的%{ref}占位符。

示例:cnuidmemberuniqueMember

属性行为:
- 当idp_type设为"LDAP类型用户目录"时支持
SAML-specific properties:
idp_entityid string 标识身份提供商的URI,用于在SAML消息中与身份提供商通信。

示例:https://idp.example.com/idp

属性行为:
- 当idp_type设为"SAML类型用户目录"时必填
sp_entityid string 标识身份提供商服务提供商的URL或任意string。

示例:
https://idp.example.com/sp
zabbix

属性行为:
- 当idp_type设为"SAML类型用户目录"时必填
username_attribute string SAML用户目录属性(若scim_status设为"启用SCIM配置"则也是SCIM属性),包含用户名,在认证时与User object属性username的值进行比较。

示例:uiduserprincipalnamesamaccountnameusernameuserusernameurn:oid:0.9.2342.19200300.100.1.1urn:oid:1.3.6.1.4.1.5923.1.1.1.13urn:oid:0.9.2342.19200300.100.1.44

属性行为:
- 当idp_type设为"SAML类型用户目录"时必填
sso_url | string | 身份提供商的SAML单点登录服务URL,Zabbix将向该URL发送SAML认证请求。

示例:http://idp.example.com/idp/sso/saml

属性行为:
- 当idp_type设为"SAML类型用户目录"时必填 |
slo_url | string | URL of the identity provider's SAML single log-out service, to which Zabbix will send the SAML logout requests.

Example: https://idp.example.com/idp/slo/saml

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
encrypt_nameid | integer | Whether the SAML name ID should be encrypted.

Possible values:
0 - (default) Do not encrypt name ID;
1 - Encrypt name ID.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
encrypt_assertions | integer | Whether the SAML assertions should be encrypted.

Possible values:
0 - (default) Do not encrypt assertions;
1 - Encrypt assertions.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
nameid_format | string | Name ID format of the SAML identity provider's service provider.

Examples:
urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:2.0:nameid-format:kerberos
urn:oasis:names:tc:SAML:2.0:nameid-format:entity

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
scim_status | integer | Whether SCIM provisioning for SAML is enabled or disabled.

Possible values:
0 - (default) SCIM provisioning is disabled;
1 - SCIM provisioning is enabled.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
sign_assertions | integer | Whether the SAML assertions should be signed with a SAML signature.

Possible values:
0 - (default) Do not sign assertions;
1 - Sign assertions.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
sign_authn_requests | integer | Whether the SAML AuthN requests should be signed with a SAML signature.

Possible values:
0 - (default) Do not sign AuthN requests;
1 - Sign AuthN requests.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
sign_messages | integer | Whether the SAML messages should be signed with a SAML signature.

Possible values:
0 - (default) Do not sign messages;
1 - Sign messages.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
sign_logout_requests | integer | Whether the SAML logout requests should be signed with a SAML signature.

Possible values:
0 - (default) Do not sign logout requests;
1 - Sign logout requests.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |
sign_logout_responses | integer | Whether the SAML logout responses should be signed with a SAML signature.

Possible values:
0 - (default) Do not sign logout responses;
1 - Sign logout responses.

属性行为:
- supported if idp_type is set to "User directory of type SAML" |

媒介类型映射

媒体类型映射 object 具有以下属性。

属性 数据类型 描述
userdirectory_mediaid ID 媒体类型映射 ID。

属性行为:
- 只读
name string 媒体类型映射列表中的可见名称。

属性行为:
- 必填
mediatypeid ID 要创建的媒体类型的 ID;用作 媒介 属性 mediatypeid 的值。

属性行为:
- 必填
attribute string LDAP/SAML 用户目录属性(如果 scim_status 设置为“启用 SCIM 配置”,则也是 SCIM 属性),包含用户的媒体(例如 [email protected]),用作 媒介 属性 sendto 的值。

如果在从 LDAP/SAML 身份提供者接收到的数据中存在,并且值不为空,则会触发为已配置的用户创建媒体。

属性行为:
- 必填
active integer 为已配置的用户创建媒体时的用户媒体 active 属性值。

可能的值:
0 - (默认) 启用;
1 - 禁用。
severity integer 为已配置的用户创建媒体时的用户媒体 severity 属性值。

默认值: 63。
period string 为已配置的用户创建媒体时的用户媒体 period 属性值。

默认值: 1-7,00:00-24:00。

配置组映射

自动注册主机组映射具有以下属性。

属性 数据类型 描述
name string LDAP/SAML 用户目录(如果 scim_status 设置为 "SCIM provisioning is enabled",也包括 SCIM)中用户组的完整名称(例如 Zabbix administrators)。
支持通配符 "*"。
在所有预配用户组映射中必须唯一。

属性行为:
- 必填
roleid ID 分配给用户用户角色的ID。

如果匹配了多个供应组映射,则将最高用户类型(UserAdminSuper admin)的角色分配给用户。如果有多个相同用户类型的角色,则将第一个角色(按字母顺序排序)分配给用户。

属性行为:
- 必填
user_groups array array 的 Zabbix 用户组 ID objects。每个 object 具有以下属性:
usrgrpid - 要分配给用户的 Zabbix 用户组的 (ID) ID。

如果匹配到多个自动注册组映射,则会将所有匹配到的映射中的 Zabbix 用户组分配给该用户。

属性行为
- 必填