12 使用 Okta 设置 SAML

本节提供配置 Okta 以启用 Zabbix 的 SAML 2.0 身份验证和用户配置的指南。

1. 前往 https://developer.okta.com/signup/ 并注册/登录您的帐户。

2. 在 Okta Web 界面中导航至 应用程序 → 应用程序。

3. 单击 创建应用程序集成。

选择“SAML 2.0”作为登录方法，然后单击 下一步。

4. 在常规设置中，填写应用程序名称，然后单击 下一步。

5. 在 SAML 配置中，输入下面提供的值，然后

单击 下一步。

在 General 中添加：
单点登录 URL： http://<your-zabbix-url>/zabbix/index_sso.php?acs
请注意使用“http”，而不是“https”，这样 acs 参数就不会在请求中被截断。还应标记 将其用于收件人 URL 和目标 URL 复选框。
受众 URI（SP 实体 ID）：zabbix
请注意，此值将在 SAML 断言中用作唯一服务提供商标识符（如果不匹配，则操作将被拒绝）。可以在此字段中指定 URL 或任何数据字符串。
默认 RelayState:
将此字段留空；如果需要自定义重定向，可以在 Zabbix 的 用户 → 用户 设置中添加。
根据您的偏好填写其他字段。
在 属性语句/组属性语句 中添加：这些属性语句插入到与 Zabbix 共享的 SAML 断言中。此处使用的属性名称是任意示例。您可以使用不同的属性名称，但是，它们必须与 Zabbix SAML 设置中的相应字段值匹配。如果您想在没有 JIT 用户配置的情况下将 SAML 登录配置到 Zabbix，则只需要电子邮件属性。 :: noteclassic 如果计划使用加密连接，请生成私有和公共加密证书，然后将公共证书上传到 Okta。当“断言加密”设置为“已加密”时，将出现证书上传表单（单击“显示高级设置”以找到此参数）。 :::

6. 在下一个选项卡中，选择“我是软件供应商。我想将我的应用程序与 Okta 集成”，然后按“完成”。

7. 导航到新创建的应用程序的“分配”选项卡，然后单击“分配”按钮，然后从下拉菜单中选择“分配给人员”。

8. 在出现的弹出窗口中，将应用程序分配给将使用 SAML 2.0 与 Zabbix 进行身份验证的人员，然后单击“保存并返回”。

9. 导航到“登录”选项卡，然后单击“查看设置说明”按钮。

安装说明将在新选项卡中打开；配置 Zabbix 时保持此选项卡打开。

1. 在 Zabbix 中，转到 SAML 设置并根据 Okta 的设置说明填写配置选项：

还需要配置用户组和媒体映射。

2. 将 Okta SAML 设置说明中提供的证书下载到 ui/conf/certs 文件夹中，作为 idp.crt。

通过运行以下命令为其设置 644 权限：

chmod 644 idp.crt

3. 如果 Okta 中的 断言加密 已设置为“加密”，则 Zabbix 中也应勾选加密参数的 “断言”复选框。

4. 按“更新”按钮保存这些设置。

1. 要打开 SCIM 配置，请转到 Okta 中应用程序的“常规”->“应用程序设置”。

选中 启用 SCIM 配置 复选框。结果，会出现一个新的配置选项卡。

2.转到“Provisioning”选项卡以设置 SCIM 连接：

在 SCIM 连接器基本 URL 中指定 Zabbix 前端的路径并将 api_scim.php 附加到其中，即：
https://<your-zabbix-url>/zabbix/api_scim.php
用户的唯一标识符字段：email
身份验证模式：HTTP header
在授权中输入具有超级管理员权限的有效 API 令牌