3 SAML

概述

SAML 2.0 authentication
可用于登录 Zabbix。

如果仅配置了 SAML 登录，则用户也必须存在于 Zabbix 中，但其 Zabbix 密码将不会被使用。
如果认证成功，Zabbix 将把本地用户名与 SAML 返回的用户名属性进行匹配。

用户配置

可以为 SAML 用户配置 JIT（实时）用户供应（user provisioning）。
在这种情况下，用户无需预先存在于 Zabbix 中。
用户首次登录 Zabbix 时即可创建用户账户。

在启用 Top 的同时，还可以启用和配置 SCIM（跨域身份管理）供应——用于通过用户供应创建的用户的 持续 用户账户管理。
启用 SCIM 供应需要一个 Zabbix API token（具有超级管理员权限）用于认证进入 Zabbix。

例如，如果一个用户从一个 SAML 组移动到另一个 SAML 组，该用户在 Zabbix 中也会相应地从一个用户组移动到另一个用户组；
如果一个用户从 SAML 组中被移除，该用户也会从 Zabbix 的对应组中被移除，如果不再属于任何其他组，则会被添加到用于注销用户的用户组中。

如果启用了并配置了 SCIM，则 SAML 用户将在登录 Zabbix 时被供应，并根据 SAML 中的变化持续更新。
已经存在的 SAML 用户不会被供应，只有已供应的用户才会被更新。
请注意，只有有效的媒介信息会在用户供应或更新时被添加到用户账户中。

如果未启用 SCIM，则 SAML 用户将在登录 Zabbix 时被供应（并在之后根据需要更新）。

配置身份验证提供程序

为了能够使用 Zabbix，需要以如下方式配置 SAML 身份提供者（onelogin.com、auth0.com、 okta.com 等）：

• 断言消费者 URL 应设置为 <path_to_zabbix_ui>/index_sso.php?acs
• 单点注销 URL 应设置为 <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> 示例：https://example.com/zabbix/ui、 http://another.example.com/zabbix、http://<any_public_ip_address>/zabbix

设置Zabbix

要使用SAML身份验证，Zabbix应按照以下方式配置：

1. 私钥和证书应存储在ui/conf/certs/中，除非在zabbix.conf.php中提供了自定义路径。

默认情况下，Zabbix将在以下位置查找：

• ui/conf/certs/sp.key - SP私钥 file
• ui/conf/certs/sp.crt - SP证书 file
• ui/conf/certs/idp.crt - IDP证书 file

2. 所有最重要的设置都可以在Zabbix前端进行配置。 但是，也可以在配置文件中指定其他设置。

Zabbix前端中可用的配置参数：

请参阅配置SAML身份提供者的示例，以便在Zabbix中进行登录和用户配置：

• Microsoft Azure AD
• Okta
• Onelogin

SCIM配置注意事项

对于 SCIM 配置，需在身份提供商端指定 Zabbix 前端的路径，并在其后附加 api_scim.php，例如：

https://<path-to-zabbix-ui>/api_scim.php

Zabbix 中使用的用户属性（用户名、用户名称、用户姓氏和媒介属性）需要作为自定义属性添加，并且如有必要，外部命名空间应与用户模式相同：urn:ietf:params:scim:schemas:core:2.0:User。

高级设置

可以在Zabbix前端配置中配置额外的SAML参数 file（zabbix.conf.php）：

• $SSO['SP_KEY'] = '<SP私钥文件的路径>';
• $SSO['SP_CERT'] = '<SP证书文件的路径>';
• $SSO['IDP_CERT'] = '<IDP证书文件的路径>';
• $SSO['SETTINGS']

只能将以下选项设置为$SSO['SETTINGS']的一部分：

• strict
• baseurl
• compress
• contactPerson
• organization
• sp（仅限此列表中指定的选项）
  • attributeConsumingService
  • x509certNew
• idp（仅限此列表中指定的选项）
  • singleLogoutService（仅一个选项）
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security（仅限此列表中指定的选项）
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

所有其他选项将从数据库中获取，无法覆盖。 debug选项将被忽略。

此外，如果Zabbix UI位于proxy或负载均衡器之后，可以使用自定义的use_proxy_headers选项：

• false（默认）- 忽略该选项；
• true - 使用X-Forwarded-* HTTP头来构建基础URL。

如果使用负载均衡器连接到Zabbix实例，其中负载均衡器使用TLS/SSL而Zabbix不使用，则必须如下所示指定'baseurl'、'strict'和'use_proxy_headers'参数：

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

配置示例：

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

使用Kerberos/ADFS的前端配置

Zabbix前端配置 file（zabbix.conf.php）可用于配置带有Kerberos认证和ADFS的SSO：

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

在这种情况下，在SAML配置中将SP name ID字段设置为：

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified