LDAP

概要

外部LDAP認証を使用して、ユーザー名とパスワードを確認できます。

ZabbixのLDAP認証は、少なくともMicrosoft Active DirectoryおよびOpenLDAPで動作します。

LDAPサインインのみが設定されている場合、ユーザーはZabbixにも存在する必要がありますが、そのZabbixパスワードは使用されません。 認証が成功すると、ZabbixはLDAPから返されたユーザー名属性とローカルのユーザー名を照合します。

ユーザーのプロビジョニング

LDAPユーザーに対して、JIT（Just-In-Time）ユーザーのプロビジョニングを設定できます。 この場合、ユーザーがZabbixにすでに存在している必要はありません。 ユーザーアカウントは、ユーザーが初めてZabbixにログインしたときに作成できます。

LDAPユーザーがLDAPのログイン名とパスワードを入力すると、ZabbixはこのユーザーがデフォルトのLDAPサーバーに存在するかどうかを確認します。 ユーザーが存在し、まだZabbixにアカウントを持っていない場合、Zabbixに新しいユーザーが作成され、ユーザーはログインできるようになります。

JITプロビジョニングによって作成されたユーザーは、作成時にデフォルトとして設定されていたLDAPサーバー（ディレクトリ）に関連付けられます。 後からデフォルトのLDAPサーバーを変更しても、すでにプロビジョニングされたユーザーにリンクされているLDAPサーバーは変更または更新されません。

JITプロビジョニングを使用すると、LDAPの変更に基づいて、プロビジョニングされたユーザーアカウントを更新することもできます。 たとえば、ユーザーがあるLDAPグループから別のLDAPグループに移動された場合、Zabbixでも別のグループに移動されます。ユーザーがLDAPグループから削除された場合、Zabbixでもそのグループから削除され、他のグループにも所属していなければ、プロビジョニング解除されたユーザー用のユーザーグループに追加されます。 プロビジョニングされたユーザーアカウントは、設定されたプロビジョニング期間に基づいて、またはユーザーがZabbixにログインしたときに更新されます。

バックグラウンドプロビジョニングは、ユーザーがWebインターフェースを操作している場合、または少なくともブラウザーでWebインターフェースのページを開いている場合に、ZabbixのWebインターフェースによって実行されることに注意してください。 ユーザーをプロビジョニングする専用のバックグラウンドプロセスはありません。

LDAPでは、認証および検索のためにディレクトリにバインドする方法として、次の3つがサポートされています。

• 匿名バインド - Bind DN / Bind passwordを指定せず、LDAPサーバーが匿名クエリを許可する方法です。
• 専用バインドユーザー（サービスアカウント） - 特定のLDAPアカウントをBind DN / Bind passwordに設定し、Zabbixが検索およびプロビジョニングに使用する方法です。 これは、Zabbixがエンドユーザーの認証情報なしで検索およびバックグラウンドプロビジョニングを実行できるため、推奨される最も柔軟な方法です。
• 直接ユーザーバインド - ユーザーがログイン時に入力した認証情報を使用してZabbixがバインドを実行する方法です（Bind DN / Bind passwordは設定しません）。これは、Base DNにuid=%{user}のようなプレースホルダーを含めることで設定します。 このモードでは、Zabbixは対話型ログイン中にのみユーザーのパスワードにアクセスできます。 そのため、ユーザーのログインセッション外でLDAPへの認証を必要とするプロビジョニング操作（たとえば、今すぐプロビジョニングボタンの使用や、ユーザーがアクティブにログインしていない状態でのバックグラウンドプロビジョニングの実行）は認証できず、機能しません。 直接ユーザーバインドでのプロビジョニングおよび更新は、ユーザーがログインした時点でのみ実行されます。

複数のサーバー

必要に応じて、複数のLDAPサーバーを定義できます。 たとえば、異なるユーザーグループを認証するために異なるサーバーを使用できます。 LDAPサーバーが設定されると、ユーザーグループの設定で、該当するユーザーグループに必要なLDAPサーバーを選択できるようになります。

ユーザーが複数のユーザーグループおよび複数のLDAPサーバーに属している場合、名前で昇順にソートされたLDAPサーバーのリストの最初のサーバーが認証に使用されます。

設定

設定パラメータ:

LDAPサーバーの設定

LDAPサーバーの設定パラメータ:

以下のフィールドは、グループ設定方法として「groupOfNames」を選択した場合に固有のものです:

アクセスのテスト

テスト ボタンを使用すると、ユーザーアクセスをテストできます。