SAML

Panoramica

L'autenticazione SAML 2.0 authentication può essere utilizzata per accedere a Zabbix.

Se l'accesso SAML è configurato senza provisioning utente JIT, l'utente deve già esistere in Zabbix; la password Zabbix dell'utente non viene utilizzata per l'autenticazione. Dopo l'autenticazione SAML riuscita, Zabbix confronta l'attributo username ricevuto da SAML con un nome utente Zabbix locale esistente.

Provisioning utenti

È possibile configurare il provisioning utenti JIT (just-in-time) per gli utenti SAML. In questo caso, non è necessario che un utente esista già in Zabbix. L'account utente può essere creato quando l'utente accede a Zabbix per la prima volta.

Oltre al provisioning JIT, è anche possibile abilitare e configurare il provisioning SCIM (System for Cross-domain Identity Management), ovvero la gestione continua degli account utente per quegli utenti che sono stati creati tramite il provisioning utenti. Il provisioning SCIM richiede un API token di Zabbix (con permessi di Super admin) per l'autenticazione in Zabbix.

Ad esempio, se un utente viene spostato da un gruppo SAML a un altro, anche l'utente verrà spostato da un gruppo a un altro in Zabbix; se un utente viene rimosso da un gruppo SAML, anche l'utente verrà rimosso dal gruppo in Zabbix e, se non appartiene ad alcun altro gruppo, verrà aggiunto al gruppo utenti per gli utenti deprovisionati.

Se SCIM è abilitato e configurato, un utente SAML verrà provisionato nel momento in cui accede a Zabbix e aggiornato continuamente in base alle modifiche in SAML. Gli utenti SAML già esistenti non verranno provisionati e solo gli utenti provisionati verranno aggiornati. Si noti che solo i supporti validi verranno aggiunti a un utente quando l'utente viene provisionato o aggiornato.

Se SCIM non è abilitato, un utente SAML verrà provisionato (e successivamente aggiornato) nel momento in cui accede a Zabbix.

Configurazione del provider di identità

Per funzionare con Zabbix, un provider di identità SAML (onelogin.com, auth0.com, okta.com, ecc.) deve essere configurato nel seguente modo:

• Assertion Consumer URL deve essere impostato su <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL deve essere impostato su <path_to_zabbix_ui>/index_sso.php?sls

Esempi di <path_to_zabbix_ui>: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Configurazione di Zabbix

Per utilizzare l'autenticazione SAML, Zabbix deve essere configurato nel modo seguente:

1. Fornire la chiave privata e i certificati SP. È necessario fornire un certificato IdP (incollando il testo o scegliendo un file) per attivare SAML tramite il frontend. È necessario fornire un certificato SP e una chiave privata SP se sono selezionate le opzioni Firma o Crittografa.

Se nel file di configurazione del frontend (zabbix.conf.php) è impostato $SSO['CERT_STORAGE'] = 'database', è possibile incollare il testo del certificato o caricare il file del certificato nel frontend durante la configurazione SAML — non sono necessari file nel filesystem.

Se nel file di configurazione è impostato $SSO['CERT_STORAGE'] = 'file', il certificato deve essere disponibile nel filesystem (per impostazione predefinita in ui/conf/certs o nel percorso configurato nel file di configurazione) e il frontend non memorizzerà i certificati nel database. Se $SSO['CERT_STORAGE'] non è impostato o è commentato, viene utilizzata la memorizzazione su file.

Per impostazione predefinita, Zabbix cercherà nei seguenti percorsi:

• ui/conf/certs/sp.key - file della chiave privata SP
• ui/conf/certs/sp.crt - file del certificato SP
• ui/conf/certs/idp.crt - file del certificato IDP

2. Tutte le impostazioni più importanti possono essere configurate nel frontend Zabbix. Tuttavia, è possibile specificare impostazioni aggiuntive nel file di configurazione.

Parametri di configurazione disponibili nel frontend Zabbix:

Vedere gli esempi di configurazione degli identity provider SAML per l'accesso e il provisioning degli utenti in Zabbix con:

• Microsoft Azure AD
• Okta
• Onelogin

Note sul provisioning SCIM

Per il provisioning SCIM, specificare il percorso al frontend Zabbix e aggiungervi api_scim.php, sul lato del provider di identità, ovvero:

https://<path-to-zabbix-ui>/api_scim.php

Gli attributi utente utilizzati in Zabbix (username, nome utente, cognome utente e attributi dei media) devono essere aggiunti come attributi personalizzati e, se necessario, lo spazio dei nomi esterno deve corrispondere allo schema utente: urn:ietf:params:scim:schemas:core:2.0:User.

Impostazioni avanzate

È possibile configurare parametri SAML aggiuntivi nel file di configurazione del frontend di Zabbix (zabbix.conf.php):

• $SSO['SP_KEY']
• $SSO['SP_CERT']
• $SSO['IDP_CERT']
• $SSO['SETTINGS']

Esempi di configurazione

Esempio 1: Connessione a un'istanza Zabbix con un bilanciatore del carico che utilizza TLS/SSL

Se viene utilizzato un bilanciatore del carico per connettersi a un'istanza Zabbix e il bilanciatore del carico utilizza TLS/SSL mentre Zabbix non lo utilizza, specificare i parametri baseurl, strict e use_proxy_headers come segue:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Esempio 2: Configurazione di algoritmi personalizzati per la firma e il digest SAML

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Esempio 3: Configurazione dell'SSO con autenticazione Kerberos tramite ADFS

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

In questo caso, nel campo SP name ID della configurazione SAML, impostare:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified