2 LDAP

概要

外部LDAP認証を使用して、ユーザー名とパスワードを確認できます。

ZabbixのLDAP認証は、少なくともMicrosoft Active DirectoryおよびOpenLDAPで動作します。

LDAPサインインのみが設定されている場合、ユーザーはZabbixにも存在する必要がありますが、そのZabbixパスワードは使用されません。 認証が成功すると、ZabbixはLDAPから返されたユーザー名属性とローカルのユーザー名を照合します。

ユーザーのプロビジョニング

LDAPユーザーに対して、JIT（ジャストインタイム）ユーザーのプロビジョニングを設定できます。 この場合、ユーザーがZabbixにすでに存在している必要はありません。 ユーザーアカウントは、ユーザーが初めてZabbixにログインしたときに作成できます。

LDAPユーザーがLDAPのログイン名とパスワードを入力すると、Zabbixはこのユーザーが存在するかどうかをデフォルトのLDAPサーバーで確認します。 ユーザーが存在し、まだZabbixにアカウントを持っていない場合、Zabbixに新しいユーザーが作成され、ユーザーはログインできるようになります。

JITプロビジョニングによって作成されたユーザーは、作成時にデフォルトとして設定されていたLDAPサーバー（ディレクトリ）に関連付けられます。 後からデフォルトのLDAPサーバーを変更しても、すでにプロビジョニングされたユーザーに関連付けられているLDAPサーバーは変更または更新されません。

JITプロビジョニングでは、LDAPの変更に基づいて、プロビジョニングされたユーザーアカウントを更新することもできます。 たとえば、ユーザーがあるLDAPグループから別のLDAPグループに移動された場合、Zabbixでもユーザーはあるグループから別のグループに移動されます。ユーザーがLDAPグループから削除された場合、Zabbixでもそのユーザーはグループから削除され、他のグループにも所属していなければ、プロビジョニング解除されたユーザー用のユーザーグループに追加されます。 プロビジョニングされたユーザーアカウントは、設定されたプロビジョニング期間に基づいて、またはユーザーがZabbixにログインしたときに更新されます。

バックグラウンドプロビジョニングは、ユーザーがWebインターフェースを操作している場合、または少なくともブラウザーでWebインターフェースのページを開いている場合に、ZabbixのWebインターフェースによって実行されることに注意してください。 ユーザーをプロビジョニングする専用のバックグラウンドプロセスはありません。

LDAPでは、認証および検索のためにディレクトリへバインドする方法として、次の3つがサポートされています。

• 匿名バインド - Bind DN / Bind passwordを指定せず、LDAPサーバーが匿名クエリを許可する方法です。
• 専用バインドユーザー（サービスアカウント） - 特定のLDAPアカウントをBind DN / Bind passwordに設定し、Zabbixが検索およびプロビジョニングに使用する方法です。 これは、最も推奨される柔軟なオプションです。エンドユーザーの認証情報がなくても、Zabbixが検索およびバックグラウンドプロビジョニングを実行できるためです。
• 直接ユーザーバインド - ユーザーがログイン時に入力した認証情報を使用して、Zabbixがバインドを実行する方法です（Bind DN / Bind passwordは設定しません）。これは、uid=%{user}のようなプレースホルダーをBase DNに含めることで設定します。 このモードでは、Zabbixは対話型ログイン中にのみユーザーのパスワードにアクセスできます。 そのため、ユーザーのログインセッション外でLDAPへの認証を必要とするプロビジョニング操作（たとえば、今すぐプロビジョニングボタンの使用や、ユーザーがアクティブにログインしていない状態でのバックグラウンドプロビジョニングの実行）では認証できず、機能しません。 直接ユーザーバインドでのプロビジョニングおよび更新は、ユーザーがログインした時点でのみ実行されます。

複数のサーバー

必要に応じて、複数のLDAPサーバーを定義できます。 たとえば、異なるユーザーグループを認証するために異なるサーバーを使用できます。 LDAPサーバーが設定されると、ユーザーグループの設定で、該当するユーザーグループに必要なLDAPサーバーを選択できるようになります。

ユーザーが複数のユーザーグループおよび複数のLDAPサーバーに属している場合、名前で昇順にソートされたLDAPサーバーのリストの最初のサーバーが認証に使用されます。

設定

設定パラメータ:

LDAPサーバーの設定

LDAPサーバーの設定パラメータ:

以下のフィールドは、Group configuration方式として「groupOfNames」を選択した場合に固有のものです:

アクセスのテスト

テスト ボタンを使用すると、ユーザーアクセスをテストできます。