SAML

Vue d'ensemble

L'authentification SAML 2.0 peut être utilisée pour se connecter à Zabbix.

Si la connexion SAML est configurée sans provisionnement JIT des utilisateurs, l'utilisateur doit déjà exister dans Zabbix ; le mot de passe Zabbix de l'utilisateur n'est pas utilisé pour l'authentification. Après une authentification SAML réussie, Zabbix associe l'attribut de nom d'utilisateur reçu de SAML à un nom d'utilisateur Zabbix local existant.

Provisionnement des utilisateurs

Il est possible de configurer le provisionnement JIT (just-in-time) des utilisateurs SAML. Dans ce cas, il n'est pas nécessaire qu'un utilisateur existe déjà dans Zabbix. Le compte utilisateur peut être créé lorsque l'utilisateur se connecte à Zabbix pour la première fois.

En plus du provisionnement JIT, il est également possible d'activer et de configurer le provisionnement SCIM (System for Cross-domain Identity Management) - une gestion continue des comptes utilisateurs pour les utilisateurs créés par le provisionnement des utilisateurs. Le provisionnement SCIM nécessite un jeton d'API Zabbix (avec des autorisations Super admin) pour l'authentification dans Zabbix.

Par exemple, si un utilisateur est déplacé d'un groupe SAML à un autre, l'utilisateur sera également déplacé d'un groupe à un autre dans Zabbix ; si un utilisateur est supprimé d'un groupe SAML, l'utilisateur sera également supprimé du groupe dans Zabbix et, s'il n'appartient à aucun autre groupe, ajouté au groupe d'utilisateurs pour les utilisateurs déprovisionnés.

Si SCIM est activé et configuré, un utilisateur SAML sera provisionné au moment où il se connecte à Zabbix et sera mis à jour en continu en fonction des changements dans SAML. Les utilisateurs SAML déjà existants ne seront pas provisionnés, et seuls les utilisateurs provisionnés seront mis à jour. Notez que seuls les médias valides seront ajoutés à un utilisateur lorsque celui-ci est provisionné ou mis à jour.

Si SCIM n'est pas activé, un utilisateur SAML sera provisionné (puis mis à jour ultérieurement) au moment où il se connecte à Zabbix.

Configuration du fournisseur d'identité

Afin de fonctionner avec Zabbix, un fournisseur d'identité SAML (onelogin.com, auth0.com, okta.com, etc.) doit être configuré de la manière suivante :

• Assertion Consumer URL doit être définie sur <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL doit être définie sur <path_to_zabbix_ui>/index_sso.php?sls

Exemples de <path_to_zabbix_ui> : https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Configuration de Zabbix

Pour utiliser l'authentification SAML, Zabbix doit être configuré comme suit :

1. Fournissez la clé privée et les certificats du SP. Un certificat IdP doit être fourni (collez-le ou sélectionnez un fichier) pour activer SAML via l'interface. Un certificat SP et une clé privée SP doivent être fournis si les options Signer ou Chiffrer sont sélectionnées.

Si $SSO['CERT_STORAGE'] = 'database' est défini dans le fichier de configuration de l'interface (zabbix.conf.php), vous pouvez coller le texte du certificat ou téléverser le fichier du certificat dans l'interface pendant la configuration de SAML — aucun fichier n'est requis sur le système de fichiers.

Si $SSO['CERT_STORAGE'] = 'file' est défini dans le fichier de configuration, le certificat doit être disponible sur le système de fichiers (par défaut dans ui/conf/certs ou dans le chemin configuré dans le fichier de configuration) et l'interface ne stockera pas les certificats dans la base de données. Notez que si $SSO['CERT_STORAGE'] n'est pas défini ou est commenté, le stockage dans des fichiers est utilisé.

Par défaut, Zabbix recherchera les fichiers aux emplacements suivants :

• ui/conf/certs/sp.key - fichier de clé privée SP
• ui/conf/certs/sp.crt - fichier de certificat SP
• ui/conf/certs/idp.crt - fichier de certificat IdP

2. Tous les paramètres les plus importants peuvent être configurés dans l'interface Zabbix. Cependant, il est possible de spécifier des paramètres supplémentaires dans le fichier de configuration.

Paramètres de configuration disponibles dans l'interface Zabbix :

Consultez les exemples de configuration des fournisseurs d'identité SAML pour la connexion et le provisionnement des utilisateurs dans Zabbix avec :

• Microsoft Azure AD
• Okta
• Onelogin

Remarques sur le provisionnement SCIM

Pour le provisionnement SCIM, indiquez le chemin vers l’interface Zabbix et ajoutez api_scim.php à celui-ci, du côté du fournisseur d’identité, c’est-à-dire :

https://<path-to-zabbix-ui>/api_scim.php

Les attributs utilisateur utilisés dans Zabbix (nom d’utilisateur, prénom, nom de famille et attributs de média) doivent être ajoutés en tant qu’attributs personnalisés et, si nécessaire, l’espace de noms externe doit être identique au schéma utilisateur : urn:ietf:params:scim:schemas:core:2.0:User.

Paramètres avancés

Des paramètres SAML supplémentaires peuvent être configurés dans le fichier de configuration de l'interface Zabbix (zabbix.conf.php) :

• $SSO['SP_KEY']
• $SSO['SP_CERT']
• $SSO['IDP_CERT']
• $SSO['SETTINGS']

Exemples de configuration

Exemple 1 : Connexion à une instance Zabbix avec un équilibreur de charge utilisant TLS/SSL

Si un équilibreur de charge est utilisé pour se connecter à une instance Zabbix et que l'équilibreur de charge utilise TLS/SSL alors que Zabbix ne l'utilise pas, spécifiez les paramètres baseurl, strict et use_proxy_headers comme suit :

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Exemple 2 : Configuration d'algorithmes personnalisés de signature et de condensat SAML

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Exemple 3 : Configuration du SSO avec authentification Kerberos à l'aide d'ADFS

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

Dans ce cas, dans le champ SP name ID de la configuration SAML, définissez :

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified