SAML

Visão geral

A autenticação SAML 2.0 pode ser usada para entrar no Zabbix.

Se o login via SAML for configurado sem provisionamento de usuário JIT, o usuário já deve existir no Zabbix; a senha do usuário no Zabbix não é usada para autenticação. Após a autenticação SAML bem-sucedida, o Zabbix compara o atributo de nome de usuário recebido do SAML com um nome de usuário local existente no Zabbix.

Provisionamento de usuários

É possível configurar o provisionamento de usuários JIT (just-in-time) para usuários SAML. Neste caso, não é necessário que um usuário já exista no Zabbix. A conta de usuário pode ser criada quando o usuário faz login no Zabbix pela primeira vez.

Além do provisionamento JIT, também é possível habilitar e configurar o provisionamento SCIM (System for Cross-domain Identity Management) - gerenciamento contínuo de contas de usuários para aqueles usuários que foram criados pelo provisionamento de usuários. O provisionamento SCIM requer um token de API do Zabbix (com permissões de Super admin) para autenticação no Zabbix.

Por exemplo, se um usuário for movido de um grupo SAML para outro, o usuário também será movido de um grupo para outro no Zabbix; se um usuário for removido de um grupo SAML, o usuário também será removido do grupo no Zabbix e, se não pertencer a nenhum outro grupo, adicionado ao grupo de usuários para usuários desprovisionados.

Se o SCIM estiver habilitado e configurado, um usuário SAML será provisionado no momento em que fizer login no Zabbix e continuamente atualizado com base nas alterações no SAML. Usuários SAML já existentes não serão provisionados, e apenas usuários provisionados serão atualizados. Observe que apenas mídias válidas serão adicionadas a um usuário quando o usuário for provisionado ou atualizado.

Se o SCIM não estiver habilitado, um usuário SAML será provisionado (e posteriormente atualizado) no momento em que fizer login no Zabbix.

Configurando o provedor de identidade

Para funcionar com o Zabbix, um provedor de identidade SAML (onelogin.com, auth0.com, okta.com, etc.) precisa ser configurado da seguinte forma:

• Assertion Consumer URL deve ser definido como <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL deve ser definido como <path_to_zabbix_ui>/index_sso.php?sls

Exemplos de <path_to_zabbix_ui>: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Configurando o Zabbix

Para usar a autenticação SAML, o Zabbix deve ser configurado da seguinte maneira:

1. Forneça a chave privada e os certificados do SP. Um certificado do IdP deve ser fornecido (cole o conteúdo ou escolha um arquivo) para ativar o SAML por meio do frontend. Um certificado do SP e uma chave privada do SP devem ser fornecidos se as opções Assinar ou Criptografar estiverem selecionadas.

Se $SSO['CERT_STORAGE'] = 'database' estiver definido no arquivo de configuração do frontend (zabbix.conf.php), você poderá colar o texto do certificado ou carregar o arquivo do certificado no frontend durante a configuração do SAML — não serão necessários arquivos no sistema de arquivos.

Se $SSO['CERT_STORAGE'] = 'file' estiver definido no arquivo de configuração, o certificado deverá estar disponível no sistema de arquivos (por padrão, em ui/conf/certs ou no caminho configurado no arquivo de configuração), e o frontend não armazenará os certificados no banco de dados. Observe que, se $SSO['CERT_STORAGE'] não estiver definido ou estiver comentado, o armazenamento em arquivo será considerado.

Por padrão, o Zabbix procurará nos seguintes locais:

• ui/conf/certs/sp.key - arquivo da chave privada do SP
• ui/conf/certs/sp.crt - arquivo do certificado do SP
• ui/conf/certs/idp.crt - arquivo do certificado do IdP

2. Todas as configurações mais importantes podem ser definidas no frontend do Zabbix. No entanto, é possível especificar configurações adicionais no arquivo de configuração.

Parâmetros de configuração disponíveis no frontend do Zabbix:

Veja exemplos de configuração de provedores de identidade SAML para login e provisionamento de usuários no Zabbix com:

• Microsoft Azure AD
• Okta
• Onelogin

Observações sobre o provisionamento SCIM

Para o provisionamento SCIM, especifique o caminho para o frontend do Zabbix e acrescente api_scim.php a ele, no lado do provedor de identidade, ou seja:

https://<path-to-zabbix-ui>/api_scim.php

Os atributos de usuário usados no Zabbix (nome de usuário, nome, sobrenome e atributos de mídia) precisam ser adicionados como atributos personalizados e, se necessário, o namespace externo deve ser o mesmo do esquema de usuário: urn:ietf:params:scim:schemas:core:2.0:User.

Configurações avançadas

Parâmetros SAML adicionais podem ser configurados no arquivo de configuração do frontend do Zabbix (zabbix.conf.php):

• $SSO['SP_KEY']
• $SSO['SP_CERT']
• $SSO['IDP_CERT']
• $SSO['SETTINGS']

Exemplos de configuração

Exemplo 1: Conexão com uma instância do Zabbix usando um balanceador de carga com TLS/SSL

Se um balanceador de carga for usado para conectar-se a uma instância do Zabbix, e o balanceador de carga usar TLS/SSL enquanto o Zabbix não usar, especifique os parâmetros baseurl, strict e use_proxy_headers da seguinte forma:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

Exemplo 2: Configuração de algoritmos personalizados de assinatura e resumo SAML

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Exemplo 3: Configuração de SSO com autenticação Kerberos usando ADFS

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

Nesse caso, no campo SP name ID da configuração SAML, defina:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified