3 認証

概要

管理 → 認証セクションでは、Zabbixおよび内部パスワード要件に対するグローバルユーザー認証方法を指定できます。使用可能な方法は、内部,HTTP,LDAPおよびSAML認証です。

デフォルト認証

デフォルトでは、Zabbixはすべてのユーザーに内部Zabbix認証を使用します。デフォルトの方法をシステム全体でLDAPに変更したり、特定のユーザーグループに対してのみLDAP認証を有効にしたりすることもできます。

LDAPをすべてのユーザーのデフォルトの認証方法として設定するには、LDAPタブに移動して認証パラメーターを構成してから、認証タブに戻り、デフォルト認証セレクターをLDAPに切り替えます。

認証方法はユーザーグループレベルで微調整できることに注意してください。 LDAP認証がグローバルに設定されている場合でも、一部のユーザーグループをZabbixで認証することもできます。これらのグループではフロントエンドアクセスを内部に設定する必要があります。逆に、内部認証をグローバルに使用する場合は、LDAP認証の詳細を指定して、フロントエンドアクセスがLDAPに設定されている特定のユーザーグループに使用できます。ユーザーが少なくともLDAP認証を使用している1つのユーザーグループに含まれている場合、このユーザーは内部認証方式を使用できません。

デフォルトの認証方法に加えてHTTPおよびSAML 2.0認証方法を使用できます。

認証

認証タブでは、Zabbix内部ユーザーのカスタムパスワード要件を定義できます。

次のパスワードポリシーオプションを設定できます。

パスワードの複雑さの要件を変更しても、既存のユーザーパスワードには影響しませんが、既存のユーザーが管理 → ユーザーメニューからパスワードを変更する場合、新しいパスワードは現在の要件を満たす必要があります。要件のリストを含むヒントが、ユーザープロファイルおよびユーザー構成フォームのPasswordフィールドの横に表示されます。

HTTP認証の設定

HTTPまたはWebサーバーベースの認証（例：Basic認証、NTLM / Kerberos）を使用して、ユーザー名とパスワードを確認できます。ユーザーはZabbixにも存在する必要がありますが、そのZabbixパスワードは使用されないことに注意してください。

設定値:

LDAP認証の設定

外部LDAP認証を使用して、ユーザー名とパスワードを確認できます。ユーザーはZabbixにも存在する必要がありますが、そのZabbixパスワードは使用されないことに注意してください。

Zabbix LDAP認証は、少なくともMicrosoft Active DirectoryとOpen LDAPで機能します。

設定値:

SAML認証の設定

SAML 2.0認証を使用して、Zabbixにサインインできます。ユーザーはZabbixに存在する必要がありますが、そのZabbixパスワードは使用されないことに注意してください。認証が成功すると、Zabbixはローカルユーザー名をSAMLによって返されたユーザー名属性と照合します。

IDプロバイダーの設定

SAML IDプロバイダーであるZabbix（(onelogin.com, auth0.com,okta.com,など）を次の方法で設定する必要があります。

• アサーションコンシューマURLは<path_to_zabbix_ui>/index_sso.php?acsに設定する必要があります
• シングルログアウトURLは<path_to_zabbix_ui>/index_sso.php?slsに設定する必要があります

<path_to_zabbix_ui>の例：%% https://example.com/zabbix/ui,http://another.example.com/zabbix,<http：//> <any_public  _ip _address> / zabbix %%

Zabbixのセッティング

SAML 認証を使用するには、Zabbix を次のように設定する必要があります。

1. zabbix.conf.phpでカスタム パスが指定されていない限り、秘密鍵と証明書は ui/conf/certs/ に保存する必要があります。

デフォルトでは、Zabbix は次の場所を検索します。

• ui/conf/certs/sp.key - SP 秘密鍵ファイル
• ui/conf/certs/sp.crt - SP 証明書ファイル
• ui/conf/certs/idp.crt - IDP 証明書ファイル

2. 最も重要な設定はすべて、Zabbix フロントエンドで構成できます。 ただし、設定ファイルで追加設定を指定することも可能です。

Zabbix フロントエンドで利用可能な設定パラメータ:

高度な設定

追加のSAMLパラメーターは、Zabbixフロントエンド設定ファイル(zabbix.conf.php)で設定できます。 Additional SAML parameters can be configured in the Zabbix frontend configuration file (zabbix.conf.php):

• $SSO['SP_KEY'] = '<SP 秘密鍵ファイルへのパス>';
• $SSO['SP_CERT'] = '<SP 証明書ファイルへのパス>';
• $SSO['IDP_CERT'] = '<IDP 証明書ファイルへのパス>';
• $SSO['SETTINGS']

$SSO['SETTINGS']の一部として設定できるのは、次のオプションです。

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (only options specified in this list)
  • attributeConsumingService
  • x509certNew
• idp (only options specified in this list)
  • singleLogoutService (only one option)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (only options specified in this list)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

他のすべてのオプションはデータベースから取得され、オーバーライドすることはできません。 debugオプションは無視されます。

さらに、Zabbix UIがプロキシまたはロードバランサーの背後にある場合は、カスタムのuse_proxy_headersオプションを使用できます。

• false (default) - オプションを無効に;
• true - use X-Forwarded-* ベースURLを構築するためのHTTPヘッダー.

ロードバランサーを使用してZabbixインスタンスに接続する場合に、ロードバランサーはTLS/SSLを使用し、Zabbixは使用しない場合は、次のように「baseurl」「strict」および「use_proxy_headers」パラメーターを指定する必要があります。

$SSO['SETTINGS']=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true]

設定例

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];