SAML

Обзор

SAML 2.0 аутентификация может использоваться для входа в Zabbix.

Если вход по SAML настроен без JIT-подготовки пользователей, пользователь должен уже существовать в Zabbix; пароль пользователя Zabbix не используется для аутентификации. После успешной аутентификации SAML Zabbix сопоставляет атрибут имени пользователя, полученный из SAML, с существующим локальным именем пользователя Zabbix.

Подготовка пользователей

Можно настроить JIT (just-in-time) подготовку пользователей для пользователей SAML. В этом случае не требуется, чтобы пользователь уже существовал в Zabbix. Учетная запись пользователя может быть создана при первом входе пользователя в Zabbix.

Помимо JIT-подготовки также можно включить и настроить SCIM (System for Cross-domain Identity Management) provisioning — непрерывное управление учетными записями пользователей для тех пользователей, которые были созданы с помощью подготовки пользователей. Для аутентификации в Zabbix SCIM provisioning требует API-токен Zabbix (с правами Super admin).

Например, если пользователь перемещается из одной группы SAML в другую, то в Zabbix он также будет перемещен из одной группы в другую; если пользователь удаляется из группы SAML, он также будет удален из группы в Zabbix и, если не принадлежит ни к какой другой группе, добавлен в группу пользователей для деактивированных пользователей.

Если SCIM включен и настроен, пользователь SAML будет подготовлен в момент входа пользователя в Zabbix и будет непрерывно обновляться на основе изменений в SAML. Уже существующие пользователи SAML не будут подготовлены, и обновляться будут только подготовленные пользователи. Обратите внимание, что при подготовке или обновлении пользователя будут добавляться только допустимые способы оповещения.

Если SCIM не включен, пользователь SAML будет подготовлен (а затем обновляться) в момент входа пользователя в Zabbix.

Настройка поставщика удостоверений

Чтобы работать с Zabbix, поставщик удостоверений SAML (onelogin.com, auth0.com, okta.com и т. д.) должен быть настроен следующим образом:

• Assertion Consumer URL должен быть установлен в <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL должен быть установлен в <path_to_zabbix_ui>/index_sso.php?sls

Примеры <path_to_zabbix_ui>: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Настройка Zabbix

Для использования аутентификации SAML Zabbix необходимо настроить следующим образом:

1. Укажите закрытый ключ и сертификаты SP. Для активации SAML через веб-интерфейс необходимо указать сертификат IdP (вставить текст или выбрать файл). Сертификат SP и закрытый ключ SP необходимо указать, если выбраны параметры Подписывать или Шифровать.

Если в файле конфигурации веб-интерфейса (zabbix.conf.php) задано $SSO['CERT_STORAGE'] = 'database', во время настройки SAML в веб-интерфейсе можно вставить текст сертификата или загрузить файл сертификата — файлы в файловой системе не требуются.

Если в файле конфигурации задано $SSO['CERT_STORAGE'] = 'file', сертификат должен быть доступен в файловой системе (по умолчанию в ui/conf/certs или по пути, настроенному в файле конфигурации), а веб-интерфейс не будет сохранять сертификаты в базе данных. Обратите внимание: если $SSO['CERT_STORAGE'] не задан или закомментирован, предполагается использование файлового хранилища.

По умолчанию Zabbix будет искать файлы в следующих расположениях:

• ui/conf/certs/sp.key - файл закрытого ключа SP
• ui/conf/certs/sp.crt - файл сертификата SP
• ui/conf/certs/idp.crt - файл сертификата IdP

2. Все наиболее важные параметры можно настроить в веб-интерфейсе Zabbix. Однако дополнительные параметры можно указать в файле конфигурации.

Параметры конфигурации, доступные в веб-интерфейсе Zabbix:

Примеры настройки поставщиков удостоверений SAML для входа и предоставления пользователей в Zabbix:

• Microsoft Azure AD
• Okta
• Onelogin

Примечания о подготовке SCIM

Для подготовки SCIM укажите путь к веб-интерфейсу Zabbix и добавьте к нему api_scim.php на стороне поставщика удостоверений, то есть:

https://<path-to-zabbix-ui>/api_scim.php

Атрибуты пользователей, используемые в Zabbix (имя пользователя, имя, фамилия пользователя и атрибуты средств связи), необходимо добавить как пользовательские атрибуты. При необходимости внешнее пространство имён должно совпадать со схемой пользователя: urn:ietf:params:scim:schemas:core:2.0:User.

Расширенные настройки

Дополнительные параметры SAML можно настроить в файле конфигурации веб-интерфейса Zabbix (zabbix.conf.php):

• $SSO['SP_KEY']
• $SSO['SP_CERT']
• $SSO['IDP_CERT']
• $SSO['SETTINGS']

Примеры конфигурации

Пример 1. Подключение к экземпляру Zabbix с использованием балансировщика нагрузки через TLS/SSL

Если для подключения к экземпляру Zabbix используется балансировщик нагрузки, который применяет TLS/SSL, а Zabbix его не использует, укажите параметры baseurl, strict и use_proxy_headers следующим образом:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Пример 2. Настройка пользовательских алгоритмов подписи и дайджеста SAML

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Пример 3. Настройка единого входа (SSO) с аутентификацией Kerberos с использованием ADFS

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

В этом случае в поле SP name ID конфигурации SAML укажите:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified