2 LDAP

概要

外部LDAP 認証 を使用して、ユーザー名とパスワードを確認できます。

ZabbixのLDAP認証は、少なくともMicrosoft Active DirectoryおよびOpenLDAPで動作します。

LDAPサインインのみが設定されている場合、ユーザーはZabbixにも存在している必要がありますが、そのZabbixパスワードは使用されません。
認証が成功すると、Zabbixはローカルのユーザー名を、LDAPから返されたユーザー名属性と照合します。

ユーザープロビジョニング

LDAPユーザーに対して、JIT（just-in-time）ユーザープロビジョニングを設定できます。 この場合、ユーザーがあらかじめZabbixに存在している必要はありません。 ユーザーアカウントは、ユーザーが初めてZabbixにログインしたときに作成できます。

LDAPユーザーがLDAPのログイン名とパスワードを入力すると、Zabbixはこのユーザーが存在するかどうかをデフォルトのLDAPサーバーで確認します。 ユーザーが存在し、まだZabbixにアカウントを持っていない場合、Zabbix内に新しいユーザーが作成され、ユーザーはログインできるようになります。

JITプロビジョニングによって作成されたユーザーは、作成時点でデフォルトとして設定されているLDAPサーバー（ディレクトリ）に関連付けられます。 後でデフォルトLDAPサーバーを変更しても、すでにプロビジョニングされたユーザーに関連付けられているLDAPサーバーは変更または更新されません。

JITプロビジョニングでは、LDAPの変更に基づいてプロビジョニング済みユーザーアカウントを更新することもできます。 たとえば、ユーザーがあるLDAPグループから別のLDAPグループに移動された場合、Zabbixでもそのユーザーはあるグループから別のグループへ移動されます。ユーザーがLDAPグループから削除された場合、Zabbixでもそのグループから削除され、他のどのグループにも属していなければ、プロビジョニング解除済みユーザー用のユーザーグループに追加されます。 プロビジョニング済みユーザーアカウントは、設定されたプロビジョニング期間に基づいて、またはユーザーがZabbixにログインしたときに更新されます。

バックグラウンドプロビジョニングは、ユーザーがZabbix Webインターフェースを操作しているとき、または少なくともブラウザでWebインターフェースのページを開いているときに、Zabbix Webインターフェースによって実行されることに注意してください。 ユーザーをプロビジョニングするための専用バックグラウンドプロセスはありません。

LDAPは、認証および検索のためにディレクトリへバインドする3つの方法をサポートしています。

• 匿名バインド — Bind DN / Bind password を指定せず、LDAPサーバーが匿名クエリを許可している場合です。
• 専用バインドユーザー（サービスアカウント） — 特定のLDAPアカウントを Bind DN / Bind password に設定し、Zabbixが検索およびプロビジョニングに使用します。 これは、エンドユーザーの認証情報なしでZabbixが検索やバックグラウンドプロビジョニングを実行できるため、推奨される最も柔軟なオプションです。
• 直接ユーザーバインド — Zabbixは、ユーザーがログイン時に入力した認証情報を使用してバインドを実行します（Bind DN / Bind password は設定しません）。これは、Base DNに uid=%{user} のようなプレースホルダーを含めることで設定します。 このモードでは、Zabbixがユーザーのパスワードにアクセスできるのは対話的ログイン中のみです。 その結果、ユーザーのログインセッション外でLDAPへの認証を必要とするプロビジョニング操作（たとえば、Provision now ボタンの使用や、ユーザーがアクティブにログインしていないときのバックグラウンドプロビジョニングの実行）は認証できないため、動作しません。 直接ユーザーバインドにおけるプロビジョニングおよび更新は、ユーザーがログインした時点でのみ行われます。

複数のサーバー

必要に応じて、複数のLDAPサーバーを定義できます。
例えば、異なるユーザーグループの認証に別々のサーバーを使用できます。
LDAPサーバーを設定すると、ユーザーグループの設定で、それぞれのユーザーグループに必要なLDAPサーバーを選択できるようになります。

ユーザーが複数のユーザーグループに属し、かつ複数のLDAPサーバーに存在する場合、認証にはLDAPサーバーの一覧を名前の昇順で並べ替えた際の先頭のサーバーが使用されます。

設定

設定パラメータ:

LDAPサーバーの設定

LDAPサーバーの設定パラメータ:

以下のフィールドは、Group configuration メソッドとして "groupOfNames" を選択した場合に固有のものです:

アクセスのテスト

テストボタンを使用すると、ユーザーアクセスをテストできます。