3 身份验证

概述

在 Administration → Authentication（管理 → 身份验证） 验证中，可以指定对Zabbix的全局用户身份验证方法。可用的方法有内部，HTTP，LDAP和SAML身份验证。

请注意，可以在用户组级别上微调身份验证方法。

默认情况下，全局使用内部Zabbix身份验证。改变：

• 到HTTP-导航到“ HTTP设置”标签并输入身份验证详细信息；
• 到LDAP-选择LDAP作为默认身份验证，然后在LDAP设置标签中输入身份验证详细信息；
• 到SAML-导航到“ SAML设置”标签，然后输入身份验证详细信息。

完成后，单击表单底部的“更新”。

HTTP认证

基于HTTP或Web服务器的身份验证（例如：基本身份验证，NTLM / Kerberos）可用于检查用户名和密码。请注意，用户也必须存在于Zabbix中，但是不会使用其Zabbix密码。

配置参数：

LDAP验证

外部LDAP身份验证可用于检查用户名和密码。请注意，用户也必须存在于Zabbix中，但是不会使用其Zabbix密码。

全局设置LDAP身份验证后，Zabbix仍可以对某些用户组进行身份验证。这些组必须将前端访问权限设置为“内部”。反之亦然，如果全局使用内部身份验证，则可以指定LDAP身份验证详细信息，并将其用于前端访问设置为LDAP的特定用户组。

Zabbix LDAP身份验证至少与Microsoft Active Directory和OpenLDAP一起使用。

配置参数：

<note Warning> 万一证书出现问题，为了使LDAP连接（ldaps）正常工作，您可能需要TLS_REQCERT allow在/etc/openldap/ldap.conf配置文件中添加一行。这可能会降低与LDAP目录连接的安全性。 :::

SAML身份验证

SAML 2.0身份验证可用于登录Zabbix。请注意，用户必须存在于Zabbix中，但是不会使用其Zabbix密码。如果身份验证成功，则Zabbix将匹配本地用户名（别名）与SAML返回的用户名属性。

设置身份提供者

为了使用Zabbix，需要以以下方式配置SAML身份提供程序（onelogin.com，auth0.com，okta.com等）

• 断言使用者URL应设置为<path_to_zabbix_ui>/index_sso.php?acs
• 单一登出网址应设置为<path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> 示例：

 https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<任意公网IP地址>/zabbix

设置ZABBIX

要使用SAML身份验证，应按以下方式配置Zabbix：

1.除非zabbix.conf.php中提供了自定义路径，否则私钥和证书应存储在ui/conf/certs/中。

默认情况下，Zabbix将在以下位置查找：

• ui/conf/certs/sp.key-SP 私钥文件
• ui/conf/certs/sp.crt-SP 证书文件
• ui/conf/certs/idp.crt-IDP 证书文件

2.所有最重要的设置都可以在Zabbix前端中进行配置。但是，可以在配置文件中指定其他设置。

在Zabbix前端中可用的配置参数：

高级设置

可以在Zabbix前端配置文件（zabbix.conf.php）中配置其他SAML参数：

• $ SSO ['SP_KEY'] ='<SP私钥文件的路径>';
• $ SSO ['SP_CERT'] ='<SP证书文件的路径>';
• $ SSO ['IDP_CERT'] ='<IDP证书文件的路径>';
• $ SSO ['SETTINGS']

只能将以下选项设置为$ SSO ['SETTINGS']的一部分：

• strict（严格的）
• compress（压缩）
• contactPerson（联系人）
• organization（组织）
• sp（仅此列表中指定的选项）

    * attributeConsumingService
           * x509certNew
         
       * idp（仅此列表中指定的选项）
         * singleLogoutService（仅一个选项）
           * responseUrl（响应Url）
          
         * certFingerprint（证书指纹）
         * certFingerprintAlgorithm（证书指纹算法）
         * x509certMulti

• 安全性（仅此列表中指定的选项）
  • signMetadata（符号元数据）
  • wantNameId（想要的名称标识）
  • requestAuthnContext（请求认证上下文）
  • requestAuthnContextComparison（请求认证上下文比较）
  • wantXMLValidation（想要的XML验证）
  • RelaxDestinationValidation（目的验证）
  • destinationStrictlyMatches（严格匹配）
  • rejectUnsolicitedResponsesWithInResponseTo（拒绝未经请求的响应）
  • signatureAlgorithm（签名算法）
  • digestAlgorithm（摘要算法）
  • lowercaseUrlencoding

所有其他选项将从数据库中获取，并且不能被覆盖。在调试选项将被忽略。

配置示例：

$SSO['SETTINGS'] = [
         'security' => [
             'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
             'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
             // ...
         ],
         // ...
       ];