SAML

Przegląd

Uwierzytelnianie SAML 2.0 authentication może być używane do logowania do Zabbix.

Jeśli skonfigurowano tylko logowanie SAML, użytkownik musi również istnieć w Zabbix, jednak jego hasło Zabbix nie będzie używane. Jeśli uwierzytelnienie zakończy się powodzeniem, Zabbix dopasuje lokalną nazwę użytkownika do atrybutu nazwy użytkownika zwróconego przez SAML.

Provisioning użytkowników

Można skonfigurować provisioning użytkowników JIT (just-in-time) dla użytkowników SAML. W takim przypadku nie jest wymagane, aby użytkownik istniał już w Zabbix. Konto użytkownika może zostać utworzone, gdy użytkownik zaloguje się do Zabbix po raz pierwszy.

Oprócz provisioningu JIT można również włączyć i skonfigurować provisioning SCIM (System for Cross-domain Identity Management) — ciągłe zarządzanie kontami użytkowników dla tych użytkowników, którzy zostali utworzeni przez provisioning użytkowników. Provisioning SCIM wymaga tokena API Zabbix (z uprawnieniami Super admin) do uwierzytelniania w Zabbix.

Na przykład, jeśli użytkownik zostanie przeniesiony z jednej grupy SAML do innej, użytkownik zostanie również przeniesiony z jednej grupy do innej w Zabbix; jeśli użytkownik zostanie usunięty z grupy SAML, użytkownik zostanie również usunięty z grupy w Zabbix i, jeśli nie należy do żadnej innej grupy, zostanie dodany do grupy użytkowników dla użytkowników, którym odebrano provisioning.

Jeśli SCIM jest włączony i skonfigurowany, użytkownik SAML zostanie provisionowany w momencie zalogowania się do Zabbix i będzie stale aktualizowany na podstawie zmian w SAML. Istniejący już użytkownicy SAML nie będą provisionowani, a aktualizowani będą tylko użytkownicy provisionowani. Należy pamiętać, że do użytkownika zostaną dodane tylko prawidłowe media, gdy użytkownik zostanie provisionowany lub zaktualizowany.

Jeśli SCIM nie jest włączony, użytkownik SAML zostanie provisionowany (a później zaktualizowany) w momencie zalogowania się do Zabbix.

Konfigurowanie dostawcy tożsamości

Aby pracować z Zabbix, dostawca tożsamości SAML (onelogin.com, auth0.com, okta.com itp.) musi zostać skonfigurowany w następujący sposób:

• Assertion Consumer URL należy ustawić na <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL należy ustawić na <path_to_zabbix_ui>/index_sso.php?sls

Przykłady <path_to_zabbix_ui>: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Konfigurowanie Zabbixa

Aby używać uwierzytelniania SAML, Zabbix powinien być skonfigurowany w następujący sposób:

1. Udostępnij prywatny klucz SP i certyfikaty. Aby aktywować SAML we frontendzie, należy podać certyfikat IdP (wklejając go lub wybierając plik). Jeśli wybrano opcje Sign lub Encrypt, należy podać certyfikat SP oraz prywatny klucz SP.

Jeśli w pliku zabbix.conf.php ustawiono $SSO['CERT_STORAGE'] = 'database', podczas konfiguracji SAML we frontendzie można wkleić tekst certyfikatu lub przesłać plik certyfikatu — pliki nie są wymagane w systemie plików.

Jeśli w pliku zabbix.conf.php ustawiono $SSO['CERT_STORAGE'] = 'file', certyfikat musi być dostępny w systemie plików (domyślnie w ui/conf/certs lub w ścieżce skonfigurowanej w zabbix.conf.php), a frontend nie będzie przechowywać certyfikatów w bazie danych. Należy pamiętać, że jeśli $SSO['CERT_STORAGE'] nie jest ustawione lub jest zakomentowane, przyjmowane jest przechowywanie w plikach.

Domyślnie Zabbix będzie szukać w następujących lokalizacjach:

• ui/conf/certs/sp.key - plik prywatnego klucza SP
• ui/conf/certs/sp.crt - plik certyfikatu SP
• ui/conf/certs/idp.crt - plik certyfikatu IDP

2. Wszystkie najważniejsze ustawienia można skonfigurować we frontendzie Zabbixa. Możliwe jest jednak określenie dodatkowych ustawień w pliku konfiguracyjnym.

Parametry konfiguracyjne dostępne we frontendzie Zabbixa:

Przykłady konfiguracji dostawców tożsamości SAML do logowania i aprowizacji użytkowników w Zabbiksie:

• Microsoft Azure AD
• Okta
• Onelogin

Uwagi dotyczące provisioningu SCIM

W przypadku provisioningu SCIM należy określić ścieżkę do frontend Zabbix i dodać do niej api_scim.php po stronie dostawcy tożsamości, tj.:

https://<path-to-zabbix-ui>/api_scim.php

Atrybuty użytkownika używane w Zabbix (nazwa użytkownika, imię użytkownika, nazwisko użytkownika oraz atrybuty mediów) należy dodać jako atrybuty niestandardowe, a w razie potrzeby zewnętrzna przestrzeń nazw powinna być taka sama jak w schemacie użytkownika: urn:ietf:params:scim:schemas:core:2.0:User.

Zaawansowane ustawienia

Dodatkowe parametry SAML można skonfigurować w pliku konfiguracyjnym frontend Zabbixa (zabbix.conf.php):

• $SSO['SP_KEY'] = '<ścieżka do pliku prywatnego klucza SP>';
• $SSO['SP_CERT'] = '<ścieżka do pliku certyfikatu SP>';
• $SSO['IDP_CERT'] = '<ścieżka do pliku certyfikatu IDP>';
• $SSO['SETTINGS']

W ramach $SSO['SETTINGS'] można ustawić tylko następujące opcje:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (tylko opcje określone na tej liście)
  • attributeConsumingService
  • x509certNew
• idp (tylko opcje określone na tej liście)
  • singleLogoutService (tylko jedna opcja)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (tylko opcje określone na tej liście)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Wszystkie pozostałe opcje będą pobierane z bazy danych i nie można ich nadpisać. Opcja debug będzie ignorowana.

Dodatkowo, jeśli interfejs Zabbixa znajduje się za proxy lub load balancerem, można użyć niestandardowej opcji use_proxy_headers:

• false (domyślnie) - zignoruj opcję;
• true - użyj nagłówków HTTP X-Forwarded-* do budowania adresu URL bazowego.

Jeśli do połączenia z instancją Zabbixa używany jest load balancer, a load balancer korzysta z TLS/SSL, a Zabbix nie, należy wskazać parametry baseurl, strict i use_proxy_headers w następujący sposób:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Przykład konfiguracji:

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Konfiguracja frontend z Kerberos/ADFS

Plik konfiguracyjny frontend Zabbixa (zabbix.conf.php) można wykorzystać do skonfigurowania SSO z uwierzytelnianiem Kerberos i ADFS:

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

W tym przypadku w polu SP name ID konfiguracji SAML ustaw:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified