Table of Contents
4 MFA
Visão geral
A autenticação multifator (MFA) pode ser usada para fazer login no Zabbix, fornecendo uma camada adicional de segurança além do nome de usuário e senha.
Com MFA, o usuário deve existir no Zabbix, deve fornecer as credenciais do Zabbix ao fazer login e também deve provar sua identidade por outros meios, geralmente um código gerado por um aplicativo autenticador no telefone do usuário.
Vários métodos de MFA estão disponíveis, permitindo que os usuários escolham a opção que melhor se adapta aos seus requisitos de segurança e preferências. Esses métodos são Senha Única Baseada em Tempo (TOTP) e Duo Universal Prompt.
Configuração
Parâmetros de configuração:
| Parâmetro | Descrição |
|---|---|
| Habilitar autenticação multifator | Marque a caixa de seleção para habilitar a autenticação multifator. |
| Métodos | Clique em Adicionar para configurar um método MFA (veja configuração do método abaixo). |
Configuração do método
Parâmetros de configuração do método:
| Parâmetro | Descrição |
|---|---|
| Tipo | Selecione o tipo de método MFA: TOTP - use um aplicativo autenticador para gerar senhas únicas baseadas em tempo; Duo Universal Prompt - use o serviço de autenticação Duo para fornecer autenticação multifator. |
| Nome | Insira um nome que será exibido como o nome da conta para todos os usuários MFA nos aplicativos autenticadores (por exemplo, "Zabbix"). |
| Função hash | Selecione a função hash (SHA-1, SHA-256 ou SHA-512) para gerar códigos TOTP. Este parâmetro está disponível se o tipo de método MFA estiver definido como "TOTP". Observe que escolher SHA-256 ou SHA-512 pode limitar significativamente a compatibilidade, pois muitos aplicativos atualmente não suportam essas funções. |
| Comprimento do código | Selecione o comprimento do código de verificação (6 ou 8). Este parâmetro está disponível se o tipo de método MFA estiver definido como "TOTP". |
| Hostname da API | Insira o hostname da API fornecido pelo serviço de autenticação Duo. Este parâmetro está disponível se o tipo de método MFA estiver definido como "Duo Universal Prompt". |
| Client ID | Insira o client ID fornecido pelo serviço de autenticação Duo. Este parâmetro está disponível se o tipo de método MFA estiver definido como "Duo Universal Prompt". |
| Client secret | Insira o client secret fornecido pelo serviço de autenticação Duo. Este parâmetro está disponível se o tipo de método MFA estiver definido como "Duo Universal Prompt". |
Exemplos de configuração
Esta seção fornece exemplos de configuração de MFA usando Senha Única Baseada em Tempo (TOTP) e Duo Universal Prompt.
TOTP
Para TOTP, os usuários devem verificar sua identidade usando um aplicativo autenticador (por exemplo, o aplicativo Google Authenticator).
1. Vá para as configurações de MFA no Zabbix em Usuários → Autenticação e habilite a autenticação multifator.
2. Adicione um novo método de MFA com a seguinte configuração:
- Tipo: TOTP
- Nome: Zabbix TOTP
- Função hash: SHA-1
- Comprimento do código: 6
3. Clique no botão Adicionar e depois no botão Atualizar.
4. Vá para Usuários → Grupos de usuários e crie um novo grupo de usuários com a seguinte configuração:
- Nome do grupo: Grupo TOTP
- Usuários: Admin
- Autenticação multifator: Padrão (ou "Zabbix TOTP" se não estiver definido como padrão)
5. Saia do Zabbix e faça login novamente usando suas credenciais. Após o login bem-sucedido, você será solicitado a se inscrever na MFA, exibindo um código QR e uma chave secreta.
6. Escaneie o código QR ou insira a chave secreta no aplicativo Google Authenticator. O aplicativo irá gerar um código de verificação que você deve inserir para concluir o processo de login.
7. Para logins subsequentes, recupere o código de verificação no aplicativo Google Authenticator e insira-o durante o login.
Duo Universal Prompt
Para o Duo Universal Prompt, os usuários devem verificar sua identidade usando o aplicativo autenticador Duo Mobile.
O método de MFA Duo Universal Prompt requer a instalação da extensão php-curl, acesso ao Zabbix via HTTPS e permissão para conexões de saída para os servidores Duo. Além disso, se você habilitou o Content Security Policy (CSP) no servidor web, certifique-se de adicionar "duo.com" à diretiva CSP no arquivo de configuração do seu host virtual.
1. Cadastre-se para uma conta de administrador Duo gratuita em Duo Signup.
2. Abra o Painel de Administração Duo, vá para Applications → Protect an Application, pesquise pela aplicação Web SDK e clique em Protect.
3. Anote as credenciais (Client ID, Client secret, API hostname) necessárias para configurar o método de MFA no Zabbix.
4. Vá para as configurações de MFA no Zabbix em Usuários → Autenticação e habilite a autenticação multifator.
5. Adicione um novo método de MFA com a seguinte configuração:
- Tipo: Duo Universal Prompt
- Nome: Zabbix Duo
- API hostname: (use o API hostname do Duo)
- Client ID: (use o Client ID do Duo)
- Client secret: (use o Client secret do Duo)
6. Clique no botão Adicionar e depois no botão Atualizar.
7. Vá para Usuários → Grupos de usuários e crie um novo grupo de usuários com a seguinte configuração:
- Nome do grupo: Duo group
- Usuários: Admin
- Autenticação multifator: Padrão (ou "Zabbix Duo" se não estiver definido como padrão)
8. Saia do Zabbix e faça login novamente usando suas credenciais. Após o login bem-sucedido, você será solicitado a se inscrever na MFA e será redirecionado para o Duo. Conclua a configuração do Duo e verifique seu usuário com o aplicativo Duo do seu telefone para fazer login.
9. Para logins subsequentes, use o método de MFA apropriado fornecido pelo aplicativo Duo (como recuperar um código de verificação, responder a notificações push ou usar chaves físicas) e insira as informações necessárias durante o login.