用户目录对象

以下对象与userdirectory API直接相关。

用户目录

用户目录对象具有以下属性。

属性 类型 描述
userdirectoryid ID 用户目录的 ID。

如果删除用户目录，则所有链接到该已删除用户目录的用户，其用户对象属性 userdirectoryid 的值都会设置为 "0"。

属性行为：
- 只读
- 更新操作中为必需
idp_type integer 用户目录的身份提供商所使用的身份验证协议类型。
请注意，只能存在一个 SAML 类型的用户目录。

可能的值：
1 - LDAP 类型的用户目录；
2 - SAML 类型的用户目录。

属性行为：
- 创建操作中为必需
group_name string LDAP/SAML 用户目录属性，其中包含用于在 LDAP/SAML 用户目录与 Zabbix 之间映射用户组的组名称。

示例：cn

属性行为：
- 当 provision_status 设置为 "Enabled"，且身份验证对象的 saml_jit_status 设置为 "Enabled for configured SAML IdPs" 时为必需
user_username string LDAP/SAML 用户目录属性（如果 scim_status 设置为 "SCIM provisioning is enabled"，则也包括 SCIM 属性），其中包含用户名称。配置用户时，该名称将用作用户对象属性 name 的值。

示例：cn、commonName、displayName、name
user_lastname string LDAP/SAML 用户目录属性（如果 scim_status 设置为 "SCIM provisioning is enabled"，则也包括 SCIM 属性），其中包含用户姓氏。配置用户时，该姓氏将用作用户对象属性 surname 的值。

示例：sn、surname、lastName
provision_status integer 用户目录的配置状态。

可能的值：
0 - (默认) Disabled（禁用由此用户目录创建的用户的配置）；
1 - Enabled（启用由此用户目录创建的用户的配置；此外，LDAP 或 SAML 配置的状态（身份验证对象的 ldap_jit_status 或 saml_jit_status）也必须启用）。
provision_groups array 用于将 LDAP/SAML 用户组模式映射到 Zabbix 用户组和用户角色的配置组映射对象数组。

属性行为：
- 当 provision_status 设置为 "Enabled" 时为必需
provision_media array 用于将用户的 LDAP/SAML 媒体属性（例如电子邮件）映射到 Zabbix 用户媒体，以发送通知的媒体类型映射对象数组。
LDAP 专用属性：
name string 用户目录的唯一名称。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时为必需
host string LDAP 服务器的主机名、IP 或 URI。
URI 必须包含架构（ldap:// 或 ldaps://）、主机和端口（可选）。

示例：
host.example.com
127.0.0.1
ldap://ldap.example.com:389

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时为必需
port integer LDAP 服务器的端口。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时为必需
base_dn string LDAP 用户目录中用户账户的基础路径。

示例：
ou=Users,dc=example,dc=org
ou=Users,ou=system（用于 OpenLDAP）
DC=company,DC=com（用于 Microsoft Active Directory）
uid=%{user},dc=example,dc=com（用于直接用户绑定；占位符 "%{user}" 为必需）

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时为必需
search_attribute string LDAP 用户目录属性，用于根据登录请求中提供的信息识别用户账户。

示例：
uid（用于 OpenLDAP）
sAMAccountName（用于 Microsoft Active Directory）

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时为必需
bind_dn string 用于绑定并搜索 LDAP 服务器的 LDAP 服务器账户。

对于直接用户绑定和匿名绑定，bind_dn 必须为空。

示例：
uid=ldap_search,ou=system（用于 OpenLDAP）
CN=ldap_search,OU=user_group,DC=company,DC=com（用于 Microsoft Active Directory）
CN=Admin,OU=Users,OU=Zabbix,DC=zbx,DC=local

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
bind_password string 用于绑定并搜索 LDAP 服务器的账户的 LDAP 密码。

对于直接用户绑定和匿名绑定，bind_password 必须为空。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
description string 用户目录的描述。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
group_basedn string LDAP 用户目录中组的基础路径；用于配置 LDAP 用户目录中的用户成员资格检查。

如果设置了 group_membership，则在配置用户时会忽略此属性。

示例：ou=Groups,dc=example,dc=com

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
group_filter string 用于检索用户所属 LDAP 用户目录组的过滤器字符串；用于配置 LDAP 用户目录中的用户成员资格检查。

如果设置了 group_membership，则在配置用户时会忽略此属性。

支持的 group_filter 占位符：
%{attr} - 搜索属性（替换为 search_attribute 属性值）；
%{groupattr} - 组属性（替换为 group_member 属性值）；
%{host} - LDAP 服务器的主机名、IP 或 URI（替换为 host 属性值）；
%{user} - Zabbix 用户名。

默认值：(%{groupattr}=%{user})

示例：
- (member=uid=%{ref},ou=Users,dc=example,dc=com) 将在 LDAP 组对象包含值为 "uid=User1,ou=Users,dc=example,dc=com" 的 "member" 属性时匹配 "User1"，并返回 "User1" 所属的组；
- (%{groupattr}=cn=%{ref},ou=Users,ou=Zabbix,DC=example,DC=com) 将在 LDAP 组对象包含 group_member 属性中指定的属性，且其值为 "cn=User1,ou=Users,ou=Zabbix,DC=example,DC=com" 时匹配 "User1"，并返回 "User1" 所属的组。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
group_member string LDAP 用户目录属性，其中包含组成员信息；用于配置 LDAP 用户目录中的用户成员资格检查。

如果设置了 group_membership，则在配置用户时会忽略此属性。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
group_membership string LDAP 用户目录属性，其中包含用户所属组的信息。

示例：memberOf

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
search_filter string 自定义过滤器字符串，用于根据登录请求中提供的信息，在 LDAP 用户目录中定位并验证用户。

支持的 search_filter 占位符：
%{attr} - 搜索属性名称（例如 uid、sAMAccountName）；
%{user} - Zabbix 用户名。

默认值：(%{attr}=%{user})

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
start_tls integer LDAP 服务器配置选项，允许使用传输层安全性（TLS）保护与 LDAP 服务器之间的通信。

请注意，对于使用 ldaps:// 协议的主机，start_tls 必须设置为 "Disabled"。

可能的值：
0 - (默认) Disabled；
1 - Enabled。

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
user_ref_attr string 用于引用用户对象的 LDAP 用户目录属性。user_ref_attr 的值用于从用户目录中指定的属性获取值，并将其替换到 group_filter 字符串中的 %{ref} 占位符。

示例：cn、uid、member、uniqueMember

属性行为：
- 当 idp_type 设置为 "User directory of type LDAP" 时支持
SAML 专用属性：
idp_entityid string 用于标识身份提供商，并用于在 SAML 消息中与身份提供商通信的 URI。

示例：https://idp.example.com/idp

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时为必需
sp_entityid string 用于标识身份提供商服务提供商的 URL 或任意字符串。

示例：
https://idp.example.com/sp
zabbix

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时为必需
username_attribute string SAML 用户目录属性（如果 scim_status 设置为 "SCIM provisioning is enabled"，则也包括 SCIM 属性），其中包含用户的用户名。身份验证时，该用户名会与用户对象属性 username 的值进行比较。

示例：uid、userprincipalname、samaccountname、username、userusername、urn:oid:0.9.2342.19200300.100.1.1、urn:oid:1.3.6.1.4.1.5923.1.1.1.13、urn:oid:0.9.2342.19200300.100.1.44

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时为必需
sso_url string 身份提供商的 SAML 单点登录服务 URL，Zabbix 将向该 URL 发送 SAML 身份验证请求。

示例：http://idp.example.com/idp/sso/saml

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时为必需
slo_url string 身份提供商的 SAML 单点注销服务 URL，Zabbix 将向该 URL 发送 SAML 注销请求。

示例：https://idp.example.com/idp/slo/saml

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
encrypt_nameid integer 是否应加密 SAML 名称 ID。

可能的值：
0 - (默认) 不加密名称 ID；
1 - 加密名称 ID。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
encrypt_assertions integer 是否应加密 SAML 断言。

可能的值：
0 - (默认) 不加密断言；
1 - 加密断言。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
nameid_format string SAML 身份提供商服务提供商的名称 ID 格式。

示例：
urn:oasis:names:tc:SAML:2.0:nameid-format:persistent
urn:oasis:names:tc:SAML:2.0:nameid-format:transient
urn:oasis:names:tc:SAML:2.0:nameid-format:kerberos
urn:oasis:names:tc:SAML:2.0:nameid-format:entity

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
scim_status integer 是否启用或禁用 SAML 的 SCIM 配置。

可能的值：
0 - (默认) SCIM 配置已禁用；
1 - SCIM 配置已启用。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
sign_assertions integer 是否应使用 SAML 签名对 SAML 断言进行签名。

可能的值：
0 - (默认) 不对断言进行签名；
1 - 对断言进行签名。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
sign_authn_requests integer 是否应使用 SAML 签名对 SAML AuthN 请求进行签名。

可能的值：
0 - (默认) 不对 AuthN 请求进行签名；
1 - 对 AuthN 请求进行签名。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
sign_messages integer 是否应使用 SAML 签名对 SAML 消息进行签名。

可能的值：
0 - (默认) 不对消息进行签名；
1 - 对消息进行签名。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
sign_logout_requests integer 是否应使用 SAML 签名对 SAML 注销请求进行签名。

可能的值：
0 - (默认) 不对注销请求进行签名；
1 - 对注销请求进行签名。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
sign_logout_responses integer 是否应使用 SAML 签名对 SAML 注销响应进行签名。

可能的值：
0 - (默认) 不对注销响应进行签名；
1 - 对注销响应进行签名。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML" 时支持
idp_certificate string 用于设置 SAML 单点登录（SSO）服务的服务提供商（SP）证书内容。

示例：
-----BEGIN CERTIFICATE-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7...
...more encoded data...
-----END CERTIFICATE-----

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只写
sp_private_key string 用于设置 SAML 单点登录（SSO）服务的服务提供商（SP）私钥内容。
用于与身份提供商（IdP）进行安全身份验证和数据交换。

示例：
-----BEGIN CERTIFICATE-----
MIIEvQIBADANBgkqhkiG9w0BA...
...more encoded data...
-----END CERTIFICATE-----

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只写
sp_certificate string 用于设置 SAML 单点登录（SSO）服务的服务提供商（SP）证书内容。

示例：
-----BEGIN CERTIFICATE-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7...
...more encoded data...
-----END CERTIFICATE-----

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只写
idp_certificate_hash string idp_certificate 值的 md5 哈希。对于空的 idp_certificate，将返回空字符串。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只读
sp_private_key_hash string sp_private_key 值的 md5 哈希。对于空的 sp_private_key，将返回空字符串。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只读
sp_certificate_hash string sp_certificate 值的 md5 哈希。对于空的 sp_certificate，将返回空字符串。

属性行为：
- 当 idp_type 设置为 "User directory of type SAML"，且前端配置文件中的 $SSO['CERT_STORAGE'] 设置为 database 时支持
- 只读

媒介类型映射

媒介类型映射对象具有以下属性。

属性 类型 描述
userdirectory_mediaid ID 媒介类型映射 ID。

属性行为:
- 只读
name string 在媒介类型映射列表中显示的名称。

属性行为:
- 必填
mediatypeid ID 要创建的媒介类型 ID；用作 Media object 属性 mediatypeid 的值。

属性行为:
- 必填
attribute string 包含用户媒介的 LDAP/SAML 用户目录属性（如果 scim_status 设置为“已启用 SCIM 配置”，也可以是 SCIM 属性，例如 [email protected]），该值将用作 Media object 属性 sendto 的值。

如果该属性存在于从 LDAP/SAML 身份提供方接收的数据中，且其值非空，则会为已配置的用户触发媒介创建。

属性行为:
- 必填
active integer 为已配置的用户创建媒介时，用户媒介 active 属性的值。

可能的值：
0 - (默认) 已启用；
1 - 已禁用。
severity integer 为已配置的用户创建媒介时，用户媒介 severity 属性的值。

默认值：63。
period string 为已配置的用户创建媒介时，用户媒介 period 属性的值。

默认值：1-7,00:00-24:00。

Provisioning 组映射

Provisioning 组映射具有以下属性。

属性 类型 描述
name string LDAP/SAML 用户目录中的组全名（例如 Zabbix administrators）（如果 scim_status 设置为“已启用 SCIM provisioning”，也包括 SCIM）。
支持通配符字符“*”。
在所有 provisioning 组映射中必须唯一。

属性行为：
- 必填
roleid ID 要分配给用户的用户角色 ID。

如果匹配到多个 provisioning 组映射，则将最高用户类型（User、Admin 或 Super admin）的角色分配给该用户。如果存在多个具有相同用户类型的角色，则将第一个角色（按字母顺序排序）分配给该用户。

属性行为：
- 必填
user_groups array Zabbix 用户组 ID 对象数组。每个对象具有以下属性：
usrgrpid - (ID) 要分配给用户的 Zabbix 用户组 ID。

如果匹配到多个 provisioning 组映射，则会将所有匹配映射中的 Zabbix 用户组分配给该用户。

属性行为：
- 必填