3 Authentification

Aperçu

La section Administration → Authentification permet de spécifier la méthode d'authentification globale de l'utilisateur à Zabbix et les conditions du mot de passe interne. Les méthodes disponibles sont internes, HTTP, LDAP et authentification SAML.

Authentification par défaut

Par défaut, Zabbix utilise l'authentification interne Zabbix pour tous les utilisateurs. Il est possible de changer la méthode par défaut en LDAP à l'échelle du système ou d'activer l'authentification LDAP uniquement pour des groupes d'utilisateurs spécifiques.

Pour définir LDAP comme méthode d'authentification par défaut pour tous les utilisateurs, accédez à l'onglet LDAP et configurez les paramètres d'authentification, puis revenez à l'onglet Authentification et basculez le sélecteur Authentification par défaut sur LDAP.

Notez que la méthode d'authentification peut être affinée au niveau groupe d'utilisateurs. Même si l'authentification LDAP est définie globalement, certains groupes d'utilisateurs peuvent toujours être authentifiés par Zabbix. Ces groupes doivent avoir un accès frontal défini sur Interne. Inversement, si l'authentification interne est utilisée globalement, les détails d'authentification LDAP peuvent être spécifiés et utilisés pour des groupes d'utilisateurs spécifiques dont l'accès frontal est défini sur LDAP. Si un utilisateur est inclus dans au moins un groupe d'utilisateurs avec authentification LDAP, cet utilisateur ne pourra pas utiliser la méthode d'authentification interne.

Les méthodes d'authentification HTTP et SAML 2.0 peuvent être utilisées en plus de la méthode d'authentification par défaut.

Authentification interne

L'onglet Authentification permet de définir des exigences de complexité de mot de passe personnalisées pour les utilisateurs internes de Zabbix.

Les options de stratégie de mot de passe suivantes peuvent être configurées :

Les modifications des exigences de complexité des mots de passe n'affecteront pas les mots de passe des utilisateurs existants, mais si un utilisateur existant choisit de modifier un mot de passe, le nouveau mot de passe devra répondre aux exigences actuelles. Un indice avec la liste des exigences sera affiché à côté du champ Mot de passe dans le profil utilisateur et dans le formulaire de configuration utilisateur accessible depuis le menu Administration→Utilisateurs.

Authentification HTTP

L'authentification HTTP ou basée sur un serveur Web (par exemple : authentification de base, NTLM/Kerberos) peut être utilisée pour vérifier les noms d'utilisateur et les mots de passe. Notez qu'un utilisateur doit également exister dans Zabbix, mais son mot de passe Zabbix ne sera pas utilisé.

Paramètres de configuration :

Paramètre	Description
Activer l'authentification HTTP	Cochez la case pour activer l'authentification HTTP. Passer la souris sur fera apparaître une boîte d'avertissement avertissant que dans le cas d'authentification du serveur Web, tous les utilisateurs (même pour l'accès à l'interface défini sur LDAP/Interne) seront authentifiés par le serveur Web, pas par Zabbix.
Formulaire de connexion par défaut	Indiquez si vous souhaitez rediriger les utilisateurs non authentifiés vers : Formulaire de connexion Zabbix - Page de connexion Zabbix standard. Formulaire de connexion HTTP - Page de connexion HTTP. Il est recommandé d'activer l'authentification basée sur le serveur Web pour la page index_http.php uniquement. Si Formulaire de connexion par défaut est défini sur 'Page de connexion HTTP', l'utilisateur sera automatiquement connecté si le module d'authentification du serveur Web définit une connexion utilisateur valide dans la variable $_SERVER. Les clés $_SERVER prises en charge sont PHP_AUTH_USER, REMOTE_USER, AUTH_USER.
Supprimer le nom de domaine	Une liste délimitée par des virgules de noms de domaine qui doivent être supprimés du nom d'utilisateur. Par ex. comp,any - si le nom d'utilisateur est 'Admin@any', 'comp\Admin', l'utilisateur sera connecté en tant que 'Admin'; si le nom d'utilisateur est 'notacompany\Admin', la connexion sera refusée.
Connexion sensible à la casse	Décochez la case pour désactiver la connexion sensible à la casse (activée par défaut) pour les noms d'utilisateur. Par ex. désactivez la connexion sensible à la casse et connectez-vous avec, par exemple, 'ADMIN' utilisateur même si l'utilisateur Zabbix est 'Admin'. Notez qu'avec la connexion sensible à la casse désactivée, la connexion sera refusée si plusieurs utilisateurs existent dans la base de données Zabbix avec des noms d'utilisateur similaires (par ex. Admin, admin).

LDAP authentication

L'authentification LDAP externe peut être utilisée pour vérifier les noms d'utilisateur et les mots de passe. Notez qu'un utilisateur doit également exister dans Zabbix, mais son mot de passe Zabbix ne sera pas utilisé.

L'authentification LDAP Zabbix fonctionne au moins avec Microsoft Active Directory et OpenLDAP.

Paramètres de configuration :

Authentification SAML

L'authentification SAML 2.0 peut être utilisée pour se connecter à Zabbix. Notez qu'un utilisateur doit exister dans Zabbix, cependant, son mot de passe Zabbix ne sera pas utilisé. Si l'authentification réussit, Zabbix associera un nom d'utilisateur local à l'attribut de nom d'utilisateur renvoyé par SAML.

Configuration du fournisseur d'identité

Pour travailler avec Zabbix, un fournisseur d'identité SAML (onelogin.com, auth0.com, okta.com, etc.) doit être configuré de la manière suivante :

• L'URL du consommateur d'assertion doit être définie sur <path_to_zabbix_ui>/index_sso.php?acs
• URL de déconnexion unique doit être défini sur <path_to_zabbix_ui>/index_sso.php?sls

Exemple <path_to_zabbix_ui> : %% https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix %%

Configurer Zabbix

Pour utiliser l'authentification SAML, Zabbix doit être configuré de la manière suivante :

1. La clé privée et le certificat doivent être stockés dans ui/conf/certs/, sauf si des chemins personnalisés sont fournis dans zabbix.conf.php.

Par défaut, Zabbix cherchera dans les emplacements suivants :

• ui/conf/certs/sp.key - Fichier de clé privée SP
• ui/conf/certs/sp.crt - Fichier de certificat SP
• ui/conf/certs/idp.crt - Fichier de certificat IDP

2. Tous les paramètres les plus importants peuvent être configurés dans l'interface Zabbix. Cependant, il est possible de spécifier des paramètres supplémentaires dans le fichier de configuration.

Paramètres de configuration, disponibles dans l'interface Zabbix :

Réglages avancés

Des paramètres SAML supplémentaires peuvent être configurés dans le fichier de configuration de l'interface Zabbix (zabbix.conf.php) :

• $SSO['SP_KEY'] = '<chemin d'accès au fichier de clé privée du SP>';
• $SSO['SP_CERT'] = '<chemin d'accès au fichier de certificat SP>';
• $SSO['IDP_CERT'] = '<chemin d'accès au fichier de certificat IDP>';
• $SSO['SETTINGS']

Seules les options suivantes peuvent être définies dans le cadre de $SSO['SETTINGS'] :

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (uniquement les options spécifiées dans cette liste)
  • attributeConsumingService
  • x509certNew
• idp (uniquement les options spécifiées dans cette liste)
  • singleLogoutService (une seule option)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (uniquement les options spécifiées dans cette liste)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Toutes les autres options seront extraites de la base de données et ne peuvent pas être remplacées. L'option debug sera ignorée.

De plus, si l'interface utilisateur Zabbix se trouve derrière un proxy ou un équilibreur de charge, l'option personnalisée use_proxy_headers peut être utilisée :

• false (par défaut) - ignorer l'option ;
• true - use X-Forwarded-* En-têtes HTTP pour la création de l'URL de base.

Si vous utilisez un équilibreur de charge pour vous connecter à l'instance Zabbix, où l'équilibreur de charge utilise TLS/SSL et pas Zabbix, vous devez indiquer les paramètres 'baseurl', 'strict' et 'use_proxy_headers' comme suit :

$SSO_SETTINGS=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true]

Exemple de configuration :

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];