3 SAML

Aperçu

L’authentification SAML 2.0 peut être utilisée pour se connecter à Zabbix.

Si seule la connexion SAML est configurée, l’utilisateur doit également exister dans Zabbix ; toutefois, son mot de passe Zabbix ne sera pas utilisé. Si l’authentification réussit, Zabbix fera correspondre un nom d’utilisateur local avec l’attribut de nom d’utilisateur renvoyé par SAML.

Provisionnement des utilisateurs

Il est possible de configurer le provisionnement JIT (just-in-time) des utilisateurs SAML. Dans ce cas, il n'est pas nécessaire qu'un utilisateur existe déjà dans Zabbix. Le compte utilisateur peut être créé lorsque l'utilisateur se connecte à Zabbix pour la première fois.

En plus du provisionnement JIT, il est également possible d'activer et de configurer le provisionnement SCIM (System for Cross-domain Identity Management) - une gestion continue des comptes utilisateurs pour les utilisateurs créés par le provisionnement des utilisateurs. Le provisionnement SCIM nécessite un jeton d'API Zabbix (avec des autorisations Super admin) pour l'authentification dans Zabbix.

Par exemple, si un utilisateur est déplacé d'un groupe SAML à un autre, l'utilisateur sera également déplacé d'un groupe à un autre dans Zabbix ; si un utilisateur est supprimé d'un groupe SAML, l'utilisateur sera également supprimé du groupe dans Zabbix et, s'il n'appartient à aucun autre groupe, ajouté au groupe d'utilisateurs pour les utilisateurs déprovisionnés.

Si SCIM est activé et configuré, un utilisateur SAML sera provisionné au moment où il se connecte à Zabbix et sera mis à jour en continu en fonction des changements dans SAML. Les utilisateurs SAML déjà existants ne seront pas provisionnés, et seuls les utilisateurs provisionnés seront mis à jour. Notez que seuls les médias valides seront ajoutés à un utilisateur lorsque celui-ci est provisionné ou mis à jour.

Si SCIM n'est pas activé, un utilisateur SAML sera provisionné (puis mis à jour ultérieurement) au moment où il se connecte à Zabbix.

Configuration du fournisseur d'identité

Afin de fonctionner avec Zabbix, un fournisseur d'identité SAML (onelogin.com, auth0.com, okta.com, etc.) doit être configuré de la manière suivante :

• Assertion Consumer URL doit être définie sur <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL doit être définie sur <path_to_zabbix_ui>/index_sso.php?sls

Exemples de <path_to_zabbix_ui> : https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Configuration de Zabbix

Pour utiliser l’authentification SAML, Zabbix doit être configuré de la manière suivante :

1. Fournissez la clé privée SP et les certificats. Un certificat IdP doit être fourni (coller ou choisir un fichier) pour activer SAML via le frontend. Un certificat SP et une clé privée SP doivent être fournis si les options Sign ou Encrypt sont sélectionnées.

Si $SSO['CERT_STORAGE'] = 'database' est défini dans zabbix.conf.php, vous pouvez coller le texte du certificat ou téléverser le fichier de certificat dans le frontend pendant la configuration SAML — aucun fichier n’est requis sur le système de fichiers.

Si $SSO['CERT_STORAGE'] = 'file' est défini dans zabbix.conf.php, le certificat doit être disponible sur le système de fichiers (par défaut dans ui/conf/certs ou dans le chemin configuré dans zabbix.conf.php) et le frontend ne stockera pas les certificats dans la base de données. Notez que si $SSO['CERT_STORAGE'] n’est pas défini ou est commenté, le stockage dans des fichiers est supposé.

Par défaut, Zabbix recherchera aux emplacements suivants :

• ui/conf/certs/sp.key - fichier de clé privée SP
• ui/conf/certs/sp.crt - fichier de certificat SP
• ui/conf/certs/idp.crt - fichier de certificat IDP

2. Tous les paramètres les plus importants peuvent être configurés dans le frontend Zabbix. Cependant, il est possible de spécifier des paramètres supplémentaires dans le fichier de configuration.

Paramètres de configuration disponibles dans le frontend Zabbix :

Consultez des exemples de configuration de fournisseurs d’identité SAML pour la connexion et le provisionnement des utilisateurs dans Zabbix avec :

• Microsoft Azure AD
• Okta
• Onelogin

Remarques sur l’approvisionnement SCIM

Pour l’approvisionnement SCIM, indiquez le chemin vers le frontend Zabbix et ajoutez-y api_scim.php du côté du fournisseur d’identité, c’est-à-dire :

https://<path-to-zabbix-ui>/api_scim.php

Les attributs utilisateur utilisés dans Zabbix (nom d’utilisateur, prénom, nom de famille et attributs de média) doivent être ajoutés en tant qu’attributs personnalisés et, si nécessaire, l’espace de noms externe doit être identique à celui du schéma utilisateur : urn:ietf:params:scim:schemas:core:2.0:User.

Paramètres avancés

Des paramètres SAML supplémentaires peuvent être configurés dans le fichier de configuration du frontend Zabbix (zabbix.conf.php) :

• $SSO['SP_KEY'] = '<chemin vers le fichier de clé privée du SP>';
• $SSO['SP_CERT'] = '<chemin vers le fichier de certificat du SP>';
• $SSO['IDP_CERT'] = '<chemin vers le fichier de certificat de l'IDP>';
• $SSO['SETTINGS']

Seules les options suivantes peuvent être définies dans $SSO['SETTINGS'] :

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (uniquement les options spécifiées dans cette liste)
  • attributeConsumingService
  • x509certNew
• idp (uniquement les options spécifiées dans cette liste)
  • singleLogoutService (une seule option)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (uniquement les options spécifiées dans cette liste)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Toutes les autres options seront prises depuis la base de données et ne peuvent pas être remplacées. L'option debug sera ignorée.

En outre, si l'interface utilisateur Zabbix se trouve derrière un proxy ou un équilibreur de charge, l'option personnalisée use_proxy_headers peut être utilisée :

• false (par défaut) - ignorer l'option ;
• true - utiliser les en-têtes HTTP X-Forwarded-* pour construire l'URL de base.

Si vous utilisez un équilibreur de charge pour vous connecter à une instance Zabbix, où l'équilibreur de charge utilise TLS/SSL et Zabbix non, vous devez indiquer les paramètres 'baseurl', 'strict' et 'use_proxy_headers' comme suit :

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Exemple de configuration :

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Configuration de l’interface avec Kerberos/ADFS

Le fichier de configuration de l’interface Zabbix (zabbix.conf.php) peut être utilisé pour configurer le SSO avec l’authentification Kerberos et ADFS :

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

Dans ce cas, dans la configuration SAML, définissez le champ SP name ID sur :

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified