3 SAML

Descripción general

La autenticación SAML 2.0 puede utilizarse para iniciar sesión en Zabbix.

Si solo se configura el inicio de sesión SAML, entonces el usuario también debe existir en Zabbix; sin embargo, su contraseña de Zabbix no se utilizará. Si la autenticación es exitosa, Zabbix buscará un nombre de usuario local que coincida con el atributo de nombre de usuario devuelto por SAML.

Aprovisionamiento de usuarios

Es posible configurar el aprovisionamiento de usuarios JIT (just-in-time) para usuarios SAML. En este caso, no es necesario que un usuario ya exista en Zabbix. La cuenta de usuario puede crearse cuando el usuario inicia sesión en Zabbix por primera vez.

Además del aprovisionamiento JIT, también es posible habilitar y configurar el aprovisionamiento SCIM (System for Cross-domain Identity Management): gestión continua de cuentas de usuario para aquellos usuarios que han sido creados mediante aprovisionamiento de usuarios. El aprovisionamiento SCIM requiere un token de API de Zabbix (con permisos de Super administrador) para la autenticación en Zabbix.

Por ejemplo, si un usuario se mueve de un grupo SAML a otro, el usuario también se moverá de un grupo a otro en Zabbix; si un usuario se elimina de un grupo SAML, el usuario también se eliminará del grupo en Zabbix y, si no pertenece a ningún otro grupo, se añadirá al grupo de usuarios para usuarios desaprovisionados.

Si SCIM está habilitado y configurado, un usuario SAML será aprovisionado en el momento en que el usuario inicie sesión en Zabbix y se actualizará continuamente en función de los cambios en SAML. Los usuarios SAML ya existentes no serán aprovisionados, y solo los usuarios aprovisionados serán actualizados. Tenga en cuenta que solo los medios válidos se añadirán a un usuario cuando este sea aprovisionado o actualizado.

Si SCIM no está habilitado, un usuario SAML será aprovisionado (y posteriormente actualizado) en el momento en que el usuario inicie sesión en Zabbix.

Configuración del proveedor de identidad

Para trabajar con Zabbix, es necesario configurar un proveedor de identidad SAML (onelogin.com, auth0.com, okta.com, etc.) de la siguiente manera:

• La URL de consumidor de aserciones debe establecerse en <path_to_zabbix_ui>/index_sso.php?acs
• La URL de cierre de sesión único debe establecerse en <path_to_zabbix_ui>/index_sso.php?sls

Ejemplos de <path_to_zabbix_ui>: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Configuración de Zabbix

Para utilizar la autenticación SAML, Zabbix debe configurarse de la siguiente manera:

1. La clave privada y el certificado deben almacenarse en ui/conf/certs/, a menos que se proporcionen rutas personalizadas en zabbix.conf.php.

Por defecto, Zabbix buscará en las siguientes ubicaciones:

• ui/conf/certs/sp.key - Archivo de clave privada del SP
• ui/conf/certs/sp.crt - Archivo de certificado del SP
• ui/conf/certs/idp.crt - Archivo de certificado del IDP

2. Todas las configuraciones más importantes pueden configurarse en la interfaz web de Zabbix. Sin embargo, es posible especificar configuraciones adicionales en el archivo de configuración.

Parámetros de configuración disponibles en la interfaz web de Zabbix:

Consulte ejemplos de configuración de proveedores de identidad SAML para inicio de sesión y aprovisionamiento de usuarios en Zabbix con:

• Microsoft Azure AD
• Okta
• Onelogin

Notas sobre el aprovisionamiento SCIM

Para el aprovisionamiento SCIM, especifique la ruta a la interfaz web de Zabbix y añada api_scim.php al final, en el lado del proveedor de identidad, es decir:

https://<ruta-a-la-ui-de-zabbix>/api_scim.php

Los atributos de usuario que se utilizan en Zabbix (nombre de usuario, nombre, apellido y atributos de medios) deben añadirse como atributos personalizados y, si es necesario, el espacio de nombres externo debe ser el mismo que el esquema de usuario: urn:ietf:params:scim:schemas:core:2.0:User.

Configuración avanzada

Se pueden configurar parámetros SAML adicionales en el archivo de configuración de la interfaz web de Zabbix (zabbix.conf.php):

• $SSO['SP_KEY'] = '<ruta al archivo de clave privada del SP>';
• $SSO['SP_CERT'] = '<ruta al archivo de certificado del SP>';
• $SSO['IDP_CERT'] = '<ruta al archivo de certificado del IDP>';
• $SSO['SETTINGS']

Solo se pueden establecer las siguientes opciones como parte de $SSO['SETTINGS']:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (solo las opciones especificadas en esta lista)
  • attributeConsumingService
  • x509certNew
• idp (solo las opciones especificadas en esta lista)
  • singleLogoutService (solo una opción)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (solo las opciones especificadas en esta lista)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Todas las demás opciones se tomarán de la base de datos y no se pueden sobrescribir. La opción debug será ignorada.

Además, si la interfaz de Zabbix está detrás de un proxy o un balanceador de carga, se puede utilizar la opción personalizada use_proxy_headers:

• false (por defecto): ignora la opción;
• true: utiliza las cabeceras HTTP X-Forwarded-* para construir la URL base.

Si utiliza un balanceador de carga para conectarse a la instancia de Zabbix, donde el balanceador de carga utiliza TLS/SSL y Zabbix no, debe indicar los parámetros 'baseurl', 'strict' y 'use_proxy_headers' de la siguiente manera:

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

Ejemplo de configuración:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

Configuración del frontend con Kerberos/ADFS

El archivo de configuración del frontend de Zabbix (zabbix.conf.php) se puede utilizar para configurar SSO con autenticación Kerberos y ADFS:

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exacto'
           ]
       ]; 

En este caso, en el campo SP name ID de la configuración SAML establezca:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified