3 认证

概述

Administration → Authentication 部分允许指定Zabbix 的全局用户认证方法和内部密码要求。 可用internal、HTTP、LDAP 和 SAML方式进行验证。

默认身份验证

默认情况下，Zabbix 对所有用户使用内部 Zabbix 身份验证。可以将默认方法更改为 LDAP 系统范围或仅对特定用户组启用 LDAP 身份验证。

要将 LDAP 设置为所有用户的默认身份验证方法，请导航至LDAP 选项卡并配置身份验证参数，然后返回Authentication 选项卡并将 Default authentication 选择器切换到LDAP

请注意，身份验证方法可以在 用户组 级别。即使LDAP认证全局设置，部分用户组仍然可以 由 Zabbix 认证。这些组必须有 前端访问 设置到内部。反之亦然，如果全局使用内部身份验证，可以为特定用户指定和使用 LDAP 身份验证详细信息 前端访问 是设置为 LDAP。如果一个用户包含在至少一个用户组中LDAP 认证，此用户将无法使用内部身份验证方法。

HTTP 和 SAML 2.0除了默认的身份验证方法之外，还可以使用身份验证方法身份验证方法。

内部认证

Authentication 选项卡允许定义自定义密码复杂性 内部 Zabbix 用户的要求。

可以配置以下密码策略选项：

密码复杂性要求的变化不会影响现有的用户密码，但如果现有用户选择更改密码，新密码必须满足当前要求。一个提示要求列表将显示在 Password 字段旁边用户配置 和 用户配置表单 可访问从管理→用户菜单。

HTTP 认证

基于 HTTP 或 Web 服务器的身份验证（例如：Basic Authentication、NTLM/Kerberos）可用于检查用户名和密码。 请注意，用户也必须存在于 Zabbix 中，但是它的不会使用 Zabbix 密码。

当心！ 确保网络服务器身份验证在切换之前已配置且正常工作。

配置参数：

在 Web 服务器身份验证的情况下，所有用户（即使 前端访问 设置 到 LDAP/内部）将由 Web 服务器进行身份验证，而不是由Zabbix！

对于无法使用 HTTP 登录的内部用户导致 401 的凭据（默认设置为 HTTP 登录表单）错误，您可能需要添加一个 ErrorDocument 401 /index.php?form=default行到基本身份验证指令，将重定向到常规的 Zabbix 登录表单。

LDAP 身份验证

外部 LDAP 身份验证可用于检查用户名和密码。请注意，用户也必须存在于 Zabbix 中，但不会使用其 Zabbix 密码。

Zabbix LDAP 身份验证至少适用于 Microsoft Active Directory 和 OpenLDAP。

配置参数：

如果证书出现问题，要使安全的 LDAP 连接 (ldaps) 正常工作，您可能需要在 /etc/openldap/ldap.conf 配置文件中添加 TLS_REQCERT allow 行。它可能会降低连接到 LDAP 目录的安全性。

建议创建一个单独的 LDAP 帐户 (Bind DN) 以在 LDAP 中以最低权限在 LDAP 服务器上执行绑定和搜索，而不是使用真实用户帐户（用于登录 Zabbix 前端）。这种方法提供了更高的安全性，并且当用户在 LDAP 服务器中更改自己的密码时，不需要更改 Bind password。 在上表中，它是 ldap_search 帐户名。

SAML 身份验证

SAML 2.0 身份验证可用于登录 Zabbix。 请注意，用户必须存在于 Zabbix 中，但不会使用其 Zabbix 密码。 如果身份验证成功，则 Zabbix 会将本地用户名与 SAML 返回的用户名属性进行匹配。

如果启用 SAML 身份验证，用户将能够在本地登录或通过 SAML 单点登录之间进行选择。

设置身份提供者

为了与 Zabbix 合作，SAML 身份提供商 (onelogin.com、auth0.com、okta.com 等) 需要按如下方式配置：

• · Assertion Consumer URL 应该设置为 · <path_to_zabbix_ui>/index_sso.php?acs
• · Single Logout URL 应设置为 · <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> 示例：%% https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix %%

设置 Zabbix

如果要在前端使用 SAML 身份验证，则需要安装 php-openssl。

要使用 SAML 身份验证，Zabbix 应按以下方式配置：

1. 私钥和证书应存储在 ui/conf/certs/ 中，除非 zabbix.conf.php 中提供了自定义路径。

默认情况下，Zabbix 将在以下位置查找：

• · ui/conf/certs/sp.key - SP私钥文件
• · ui/conf/certs/sp.crt - SP 证书文件
• · ui/conf/certs/idp.crt - IDP 证书文件

2. 所有最重要的设置都可以在 Zabbix 前端进行配置。但是，可以在 配置文件 中指定其他设置。

配置参数，在 Zabbix 前端可用：

高级设置

可以在 Zabbix 前端配置文件 (zabbix.conf.php) 中配置额外的 SAML 参数：

• $SSO[‘SP_KEY’] = ‘<SP 私钥文件的路径>’;
• $SSO[‘SP_CERT’] = ‘<SP 证书文件的路径>’;
• $SSO[‘IDP_CERT’] = ‘<IDP 证书文件的路径>’;
• $SSO[‘设置’]

Zabbix 使用 OneLogin 的 SAML PHP Toolkit 库（版本 3.4.1）。 $SSO[‘SETTINGS’] 部分的结构应该与库使用的结构相似。配置选项的说明见官方库文档。

只有以下选项可以设置为 $SSO[‘SETTINGS’] 的一部分：

• strict
• baseurl
• compress
• contactPerson
• organization
• sp（仅在此列表中指定的选项）
• attributeConsumingService
• x509certNew
• idp（仅在此列表中指定的选项）
  • singleLogoutService（只有一个选项）
  • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security（仅在此列表中指定的选项）
• signMetadata · - wantNameId
• requestedAuthnContext
• requestedAuthnContextComparison
• wantXMLValidation
• relaxDestinationValidation
• destinationStrictlyMatches
• rejectUnsolicitedResponsesWithInResponseTo
• 签名算法
• digestAlgorithm
• 小写Urlencoding

所有其他选项将从数据库中获取并且不能被覆盖。 debug 选项将被忽略。

此外，如果 Zabbix UI 位于代理或负载均衡器之后，则可以使用自定义 use_proxy_headers 选项：

• false (默认) - 忽略该选项；
• true - 使用 X-Forwarded-* HTTP 标头来构建基本 URL。

如果使用负载均衡器连接到 Zabbix 实例，其中负载均衡器使用 TLS/SSL 而 Zabbix 不使用，您必须指明 ‘baseurl’、’strict’ 和 ‘use_proxy_headers’ 参数，如下所示：

$SSO_SETTINGS=[‘strict’ => false, ‘baseurl’ => “https://zabbix.example.com/zabbix/“, ‘use_proxy_headers’ => true] 配置示例：

$SSO[‘SETTINGS’] = [ ‘security’ => [ ‘signatureAlgorithm’ => ‘http://www.w3.org/2001/04/xmldsig-more#rsa-sha384‘ ‘digestAlgorithm’ => ‘http://www.w3.org/2001/04/xmldsig-more#sha384‘, // … ], // … ];