3 SAML

概要

SAML 2.0 認証を使用してZabbixにサインインできます。

SAMLサインインのみが設定されている場合、ユーザーはZabbixにも存在している必要がありますが、そのZabbixパスワードは使用されません。 認証が成功すると、ZabbixはSAMLから返されたユーザー名属性とローカルのユーザー名を照合します。

ユーザーのプロビジョニング

SAMLユーザーに対してJIT（ジャストインタイム）ユーザープロビジョニングを設定することができます。 この場合、Zabbixにユーザーがすでに存在している必要はありません。 ユーザーアカウントは、ユーザーが初めてZabbixにログインしたときに作成できます。

JITプロビジョニングに加えて、SCIM（System for Cross-domain Identity Management）プロビジョニング、つまりユーザープロビジョニングによって作成されたユーザーの継続的なユーザーアカウント管理を有効化および設定することも可能です。 SCIMプロビジョニングには、Zabbixへの認証のためにZabbixのAPIトークン（スーパ管理者権限付き）が必要です。

たとえば、ユーザーがあるSAMLグループから別のグループに移動された場合、Zabbixでもユーザーは一方のグループからもう一方のグループに移動されます。ユーザーがSAMLグループから削除された場合、Zabbixでもそのグループから削除され、他のグループに属していない場合はプロビジョニング解除されたユーザー用のユーザーグループに追加されます。

SCIMが有効かつ設定されている場合、SAMLユーザーはZabbixにログインした時点でプロビジョニングされ、その後SAMLの変更に基づいて継続的に更新されます。 すでに存在するSAMLユーザーはプロビジョニングされず、プロビジョニングされたユーザーのみが更新されます。 ユーザーがプロビジョニングまたは更新される際、有効なメディアのみがユーザーに追加されることに注意してください。

SCIMが有効でない場合、SAMLユーザーはZabbixにログインした時点でプロビジョニング（および後で更新）されます。

アイデンティティプロバイダーの設定

Zabbixで動作させるためには、SAMLアイデンティティプロバイダー(onelogin.com、auth0.com、okta.comなど)を以下のように設定する必要があります。

• Assertion Consumer URLには<path_to_zabbix_ui>/index_sso.php?acsを設定します
• Single Logout URLには<path_to_zabbix_ui>/index_sso.php?slsを設定します

<path_to_zabbix_ui>の例: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Zabbixのセットアップ

SAML認証を使用するには、Zabbixを以下のように設定する必要があります。

1. SPの秘密鍵と証明書を用意します。 SAMLをフロントエンドで有効にするには、IdP証明書を指定する必要があります（貼り付けまたはファイル選択）。 署名または暗号化オプションを選択した場合は、SP証明書とSP秘密鍵を指定する必要があります。

zabbix.conf.phpで$SSO['CERT_STORAGE'] = 'database'が設定されている場合、SAML設定時にフロントエンドで証明書テキストを貼り付けるか、証明書ファイルをアップロードできます。ファイルシステム上にファイルは不要です。

zabbix.conf.phpで$SSO['CERT_STORAGE'] = 'file'が設定されている場合、証明書はファイルシステム上（デフォルトではui/conf/certsまたはzabbix.conf.phpで設定したパス）に配置する必要があり、フロントエンドは証明書をデータベースに保存しません。 $SSO['CERT_STORAGE']が設定されていない、またはコメントアウトされている場合は、ファイル保存が前提となります。

デフォルトでは、Zabbixは以下の場所を参照します。

• ui/conf/certs/sp.key - SP秘密鍵ファイル
• ui/conf/certs/sp.crt - SP証明書ファイル
• ui/conf/certs/idp.crt - IDP証明書ファイル

2. 主要な設定はすべてZabbixフロントエンドで設定できます。 ただし、設定ファイルで追加設定を指定することも可能です。

Zabbixフロントエンドで設定可能なパラメータ：

Zabbixへのサインインやユーザープロビジョニング用のSAMLアイデンティティプロバイダー設定例：

• Microsoft Azure AD
• Okta
• Onelogin

SCIMプロビジョニングに関する注意事項

SCIMプロビジョニングの場合、Zabbixフロントエンドへのパスを指定し、api_scim.phpを追加して、アイデンティティプロバイダー側で指定します。例:

https://<path-to-zabbix-ui>/api_scim.php

Zabbixで使用されるユーザー属性（ユーザー名、名、姓、メディア属性）はカスタム属性として追加する必要があり、必要に応じて外部名前空間はユーザースキーマと同じである必要があります: urn:ietf:params:scim:schemas:core:2.0:User。

詳細設定

追加のSAMLパラメータは、Zabbixフロントエンドの設定ファイル（zabbix.conf.php）で設定できます。

• $SSO['SP_KEY'] = '<SP秘密鍵ファイルへのパス>';
• $SSO['SP_CERT'] = '<SP証明書ファイルへのパス>';
• $SSO['IDP_CERT'] = '<IDP証明書ファイルへのパス>';
• $SSO['SETTINGS']

$SSO['SETTINGS']の一部として設定できるオプションは以下の通りです。

• strict
• baseurl
• compress
• contactPerson
• organization
• sp（このリストで指定されたオプションのみ）
  • attributeConsumingService
  • x509certNew
• idp（このリストで指定されたオプションのみ）
  • singleLogoutService（1つのオプションのみ）
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security（このリストで指定されたオプションのみ）
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

その他のすべてのオプションはデータベースから取得され、上書きできません。 debugオプションは無視されます。

さらに、Zabbix UIがプロキシやロードバランサの背後にある場合は、カスタムのuse_proxy_headersオプションを使用できます。

• false（デフォルト）- オプションを無視する
• true - base URLの構築にX-Forwarded-* HTTPヘッダーを使用する

ロードバランサを使用してZabbixインスタンスに接続し、ロードバランサがTLS/SSLを使用しZabbixが使用しない場合は、'baseurl'、'strict'、'use_proxy_headers'パラメータを次のように指定する必要があります。

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://zabbix.example.com/zabbix/',
           'use_proxy_headers' => true
       ];

設定例:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];

Kerberos/ADFSによるフロントエンドの設定

Zabbixフロントエンドの設定ファイル（zabbix.conf.php）を使用して、Kerberos認証およびADFSによるSSOを設定できます。

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

この場合、SAML設定のSP name IDフィールドには以下を設定します。

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified