3 Authenticatie

Overzicht

De sectie Administratie → Authenticatie stelt u in staat de globale gebruikersauthenticatiemethode voor Zabbix te specificeren, evenals de interne wachtwoordvereisten. De beschikbare methoden zijn interne, HTTP, LDAP en SAML-authenticatie.

Standaard authenticatie

Standaard maakt Zabbix gebruik van interne Zabbix-authenticatie voor alle gebruikers. Het is mogelijk om de standaard methode voor systeembrede LDAP authenticatie te wijzigen of LDAP-authenticatie alleen in te schakelen voor specifieke gebruikersgroepen.

Om LDAP in te stellen als standaard authenticatiemethode voor alle gebruikers, ga naar het tabblad LDAP en configureer de authenticatieparameters. Ga vervolgens terug naar het tabblad Authenticatie en schakel de schakelaar voor Standaard authenticatie over naar LDAP.

Merk op dat de authenticatiemethode op gebruikersgroepniveau verder kan worden verfijnd. Zelfs als LDAP-authenticatie wereldwijd is ingesteld, kunnen sommige gebruikersgroepen nog steeds worden geauthenticeerd door Zabbix. Deze groepen moeten toegang tot frontend ingesteld hebben op Intern. Andersom, als interne authenticatie wereldwijd wordt gebruikt, kunnen LDAP-authenticatiegegevens worden gespecificeerd en gebruikt voor specifieke gebruikersgroepen waarvan toegang tot frontend is ingesteld op LDAP. Als een gebruiker is opgenomen in ten minste één gebruikersgroep met LDAP-authenticatie, kan deze gebruiker de interne authenticatiemethode niet gebruiken.

HTTP en SAML 2.0 authenticatiemethoden kunnen worden toegevoegd naast de standaard authenticatiemethode.

Interne authenticatie

Het tabblad Authenticatie maakt het mogelijk om aangepaste wachtwoordcomplexiteitseisen te definiëren voor interne Zabbix-gebruikers.

De volgende opties voor wachtwoordbeleid kunnen geconfigureerd worden:

Wijzigingen in de eisen voor wachtwoordcomplexiteit hebben geen invloed op bestaande wachtwoorden van gebruikers. Als een bestaande gebruiker echter ervoor kiest om het wachtwoord te wijzigen, moet het nieuwe wachtwoord voldoen aan de huidige vereisten. Een hint met de lijst van vereisten wordt weergegeven naast het Wachtwoord veld in het gebruikersprofiel en in het gebruikersconfiguratieformulier dat bereikbaar is via het Beheer→Gebruikers menu.

HTTP-authenticatie

HTTP- of webservergebaseerde authenticatie (bijvoorbeeld: basisauthenticatie, NTLM/Kerberos) kan worden gebruikt om gebruikersnamen en wachtwoorden te controleren. Merk op dat een gebruiker ook in Zabbix moet bestaan, maar dat het Zabbix-wachtwoord niet wordt gebruikt.

Configuratieparameters:

Parameter	Omschrijving
HTTP-authenticatie inschakelen	Vink het selectievakje aan om HTTP-authenticatie in te schakelen. Als je met de muis over beweegt, verschijnt er een hulppop-up die waarschuwt dat in het geval van webserverauthenticatie alle gebruikers (zelfs met frontend-toegang ingesteld op LDAP/Internal) geauthenticeerd zullen worden door de webserver, niet door Zabbix.
Standaard inlogformulier	Specificeer of niet-geauthenticeerde gebruikers doorgestuurd moeten worden naar: Zabbix inlogformulier - de standaard Zabbix inlogpagina. HTTP inlogformulier - de HTTP-inlogpagina. Het wordt aanbevolen om alleen authenticatie op basis van de webserver in te schakelen voor de pagina index_http.php. Als Standaard inlogformulier is ingesteld op 'HTTP-inlogpagina', wordt de gebruiker automatisch ingelogd als het webserverauthenticatiemodule een geldige gebruikersnaam instelt in de $_SERVER-variabele. Ondersteunde $_SERVER-sleutels zijn PHP_AUTH_USER, REMOTE_USER, AUTH_USER.
Domeinnaam verwijderen	Een door komma's gescheiden lijst van domeinnamen die uit de gebruikersnaam moeten worden verwijderd. Bijvoorbeeld bedr,ijf - als de gebruikersnaam 'Admin@bedrijf' is, 'bedr\Admin', zal de gebruiker worden ingelogd als 'Admin'; als de gebruikersnaam 'geenbedrijf\Admin' is, wordt de login geweigerd.
Hoofdlettergevoelige inlog	Deselecteer het selectievakje om hoofdlettergevoelige inlog (standaard ingeschakeld) voor gebruikersnamen uit te schakelen. Bijvoorbeeld, schakel hoofdlettergevoelige inlog uit en log in met bijvoorbeeld de gebruiker 'ADMIN' zelfs als de Zabbix-gebruiker 'Admin' is. Let op dat als hoofdlettergevoelige inlog is uitgeschakeld, de inlog wordt geweigerd als meerdere gebruikers met vergelijkbare gebruikersnamen in de Zabbix-database bestaan (bijvoorbeeld Admin, admin).

LDAP-authenticatie

Externe LDAP-authenticatie kan worden gebruikt om gebruikersnamen en wachtwoorden te controleren. Merk op dat een gebruiker ook in Zabbix moet bestaan, maar dat het Zabbix-wachtwoord niet wordt gebruikt.

Zabbix LDAP-authenticatie werkt minimaal met Microsoft Active Directory en OpenLDAP.

Configuratieparameters:

SAML-authenticatie

SAML 2.0-authenticatie kan worden gebruikt om in te loggen bij Zabbix. Merk op dat een gebruiker ook in Zabbix moet bestaan, maar dat het Zabbix-wachtwoord niet wordt gebruikt. Als de authenticatie succesvol is, zal Zabbix een lokale gebruikersnaam matchen met het gebruikersnaamattribuut dat wordt teruggestuurd door SAML.

Het instellen van de identiteitsprovider

Om met Zabbix te werken, moet een SAML-identiteitsprovider (onelogin.com, auth0.com, okta.com, enz.) als volgt worden geconfigureerd:

• Assertion Consumer URL moet worden ingesteld op <pad_naar_zabbix_ui>/index_sso.php?acs
• Single Logout URL moet worden ingesteld op <pad_naar_zabbix_ui>/index_sso.php?sls

Voorbeelden van <pad_naar_zabbix_ui>: %% https://voorbeeld.com/zabbix/ui, http://nogeen.voorbeeld.com/zabbix, http://<een_publiek_ip_adres>/zabbix %%

Het instellen van Zabbix

Om SAML-authenticatie te gebruiken, moet Zabbix als volgt worden geconfigureerd:

1. De privésleutel en het certificaat moeten worden opgeslagen in de map ui/conf/certs/, tenzij aangepaste paden zijn opgegeven in zabbix.conf.php.

   Standaard zal Zabbix zoeken in de volgende locaties:

   • ui/conf/certs/sp.key - SP privésleutelbestand
   • ui/conf/certs/sp.crt - SP certificaatbestand
   • ui/conf/certs/idp.crt - IDP certificaatbestand

2. Alle belangrijke instellingen kunnen geconfigureerd worden in de Zabbix frontend. Het is echter ook mogelijk om aanvullende instellingen op te geven in het configuratiebestand.

Configuratieparameters die beschikbaar zijn in de Zabbix frontend:

Geavanceerde instellingen

Aanvullende SAML-parameters kunnen geconfigureerd worden in het Zabbix frontend configuratiebestand (zabbix.conf.php):

• $SSO['SP_KEY'] = '<pad naar het SP privésleutelbestand>';
• $SSO['SP_CERT'] = '<pad naar het SP certificaatbestand>';
• $SSO['IDP_CERT'] = '<pad naar het IDP certificaatbestand>';
• $SSO['SETTINGS']

Alleen de volgende opties kunnen worden ingesteld als onderdeel van $SSO['SETTINGS']:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (alleen opties gespecificeerd in deze lijst)
  • attributeConsumingService
  • x509certNew
• idp (alleen opties gespecificeerd in deze lijst)
  • singleLogoutService (slechts één optie)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (alleen opties gespecificeerd in deze lijst)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Alle andere opties worden uit de database gehaald en kunnen niet overschreven worden. De debug optie wordt genegeerd.

Bovendien, als de Zabbix UI achter een proxy of een load balancer staat, kan de aangepaste use_proxy_headers optie worden gebruikt:

• false (standaard) - negeer de optie;
• true - gebruik de X-Forwarded-* HTTP-headers voor het opbouwen van de basis-URL.

Als je een load balancer gebruikt om verbinding te maken met de Zabbix-instantie, waarbij de load balancer TLS/SSL gebruikt en Zabbix niet, moet je de parameters 'baseurl', 'strict' en 'use_proxy_headers' als volgt aangeven:

$SSO_SETTINGS=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true]

Voorbeeld configuratie:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384',
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // ...
           ],
           // ...
       ];