4 MFA

Descripción general

La autenticación multifactor (MFA) se puede utilizar para iniciar sesión en Zabbix, proporcionando una capa adicional de seguridad más allá de solo un nombre de usuario y contraseña.

Con MFA, el usuario debe existir en Zabbix, debe proporcionar las credenciales de Zabbix al iniciar sesión y también debe demostrar su identidad por otros medios, generalmente, un código generado por una aplicación autenticadora en el teléfono del usuario.

Hay disponibles varios métodos de MFA, lo que permite a los usuarios elegir la opción que mejor se adapte a sus requisitos de seguridad y preferencias. Estos métodos son Contraseña de un solo uso basada en tiempo (TOTP) y Duo Universal Prompt.

Configuración

Parámetros de configuración:

Parámetro Descripción
Habilitar autenticación multifactor Marque la casilla para habilitar la autenticación multifactor.
Métodos Haga clic en Añadir para configurar un método MFA (consulte la configuración del método a continuación).

Configuración del método

Parámetros de configuración del método:

Parámetro Descripción
Tipo Seleccione el tipo de método MFA:
TOTP: utilice una aplicación de autenticación para generar contraseñas de un solo uso basadas en el tiempo;
Duo Universal Prompt: utilice el servicio de autenticación Duo para proporcionar autenticación multifactor.
Nombre Introduzca un nombre que se mostrará como el nombre de la cuenta a todos los usuarios MFA en las aplicaciones de autenticación (por ejemplo, "Zabbix").
Función hash Seleccione la función hash (SHA-1, SHA-256 o SHA-512) para generar los códigos TOTP.
Este parámetro está disponible si el tipo de método MFA está configurado en "TOTP".
Tenga en cuenta que elegir SHA-256 o SHA-512 puede limitar significativamente la compatibilidad, ya que muchas aplicaciones actualmente no admiten estas funciones.
Longitud del código Seleccione la longitud del código de verificación (6 u 8).
Este parámetro está disponible si el tipo de método MFA está configurado en "TOTP".
API hostname Introduzca el nombre de equipo de la API proporcionado por el servicio de autenticación Duo.
Este parámetro está disponible si el tipo de método MFA está configurado en "Duo Universal Prompt".
Client ID Introduzca el ID de cliente proporcionado por el servicio de autenticación Duo.
Este parámetro está disponible si el tipo de método MFA está configurado en "Duo Universal Prompt".
Client secret Introduzca el secreto de cliente proporcionado por el servicio de autenticación Duo.
Este parámetro está disponible si el tipo de método MFA está configurado en "Duo Universal Prompt".

Ejemplos de configuración

Esta sección proporciona ejemplos de configuración de MFA utilizando Contraseña de un solo uso basada en tiempo (TOTP) y Duo Universal Prompt.

TOTP

Para TOTP, los usuarios deben verificar su identidad utilizando una aplicación de autenticación (por ejemplo, la aplicación Google Authenticator).

1. Vaya a la configuración de MFA en Zabbix en Usuarios → Autenticación y habilite la autenticación multifactor.

2. Añada un nuevo método de MFA con la siguiente configuración:

  • Tipo: TOTP
  • Nombre: Zabbix TOTP
  • Función hash: SHA-1
  • Longitud del código: 6

3. Haga clic en el botón Añadir y luego en el botón Actualizar.

4. Vaya a Usuarios → Grupos de usuarios y cree un nuevo grupo de usuarios con la siguiente configuración:

  • Nombre del grupo: Grupo TOTP
  • Usuarios: Admin
  • Autenticación multifactor: Por defecto (o "Zabbix TOTP" si no está configurado como predeterminado)

5. Cierre la sesión de Zabbix y vuelva a iniciar sesión utilizando sus credenciales. Tras iniciar sesión correctamente, se le pedirá que se registre en MFA, mostrando un código QR y una clave secreta.

6. Escanee el código QR o introduzca la clave secreta en la aplicación Google Authenticator. La aplicación generará un código de verificación que deberá introducir para completar el proceso de inicio de sesión.

7. Para los siguientes inicios de sesión, obtenga el código de verificación de la aplicación Google Authenticator e introdúzcalo durante el inicio de sesión.

Duo Universal Prompt

Para Duo Universal Prompt, los usuarios deben verificar su identidad usando la aplicación autenticadora Duo Mobile.

El método MFA Duo Universal Prompt requiere la instalación de la extensión php-curl, acceso a Zabbix mediante HTTPS y permiso para conexiones salientes a los servidores de Duo. Además, si ha habilitado Content Security Policy (CSP) en el web server, asegúrese de agregar "duo.com" a la directiva CSP en el archivo de configuración de su virtual host.

1. Regístrese para obtener una cuenta gratuita de administrador de Duo en Duo Signup.

2. Abra el panel de administración de Duo, vaya a Applications → Protect an Application, busque la aplicación Web SDK y haga clic en Protect.

3. Anote las credenciales (Client ID, Client secret, API hostname) necesarias para configurar el método MFA en Zabbix.

4. Vaya a la configuración de MFA en Zabbix en Users → Authentication y habilite la autenticación multifactor.

5. Añada un nuevo method MFA con la siguiente configuración:

  • Type: Duo Universal Prompt
  • Name: Zabbix Duo
  • API hostname: (use API hostname from Duo)
  • Client ID: (use Client ID from Duo)
  • Client secret: (use Client secret from Duo)

6. Haga clic en el botón Add y luego en el botón Update.

7. Vaya a Users → User groups y cree un nuevo grupo de usuarios con la siguiente configuration:

  • Group name: Duo group
  • Users: Admin
  • Multi-factor authentication: Default (or "Zabbix Duo" if it is not set as default)

8. Cierre sesión en Zabbix y vuelva a iniciarla con sus credenciales. Tras iniciar sesión correctamente, se le pedirá que se inscriba en MFA y se le redirigirá a Duo. Complete la configuración de Duo y verifique su usuario con la aplicación Duo de su teléfono para iniciar sesión.

9. Para los inicios de sesión posteriores, use el método MFA adecuado proporcionado por la aplicación Duo (por ejemplo, obtener un código de verificación, responder a notificaciones push o usar llaves de seguridad) e introduzca la información requerida durante el inicio de sesión.