11 Configuració de SAML amb Microsoft Entra ID

Vista general

Aquesta secció ofereix directrius per configurar l'inici de sessió únic i el subministrament d'usuaris a Zabbix des de Microsoft Entra ID (abans Microsoft Azure Active Directory) mitjançant l'autenticació SAML 2.0.

Configuració de Microsoft Entra ID

Crear aplicació

1. Inicieu sessió al centre d'administració de Microsoft Entra, a Microsoft Entra ID. Amb finalitats de prova, podeu crear un compte de prova de franc a Microsoft Entra ID.

2. Al centre d'administració de Microsoft Entra, trieu Aplicacions -> Aplicacions empresarials -> Afegir una aplicació nova -> Creeu la vostra pròpia aplicació.

3. Afegiu el nom de la vostra aplicació i trieu l'opció Integra qualsevol altra aplicació.... Després d'això, feu clic a Crear.

Configuració de l'inici de sessió únic (single sign-on)

1. A la pàgina de la vostra aplicació, aneu a Configurar l'inici de sessió únic i feu clic a Comença. A continuació, seleccioneu SAML.

2. Editeu Configuració bàsica de SAML:

• A Identificador (ID d'entitat), establiu un nom únic per identificar la vostra aplicació a Entra Active Directory, per exemple, zabbix;
• A Reply URL (Assertion Consumer Service URL) establiu el punt final d'inici de sessió únic de Zabbix: https://<ruta-a-zabbix-ui>/zabbix/index_sso.php?acs:

Tingueu en compte que aquest camp requereix "https". Perquè això funcioni amb Zabbix, cal afegir a conf/zabbix.conf.php la línia següent:

$SSO['SETTINGS'] = ['use_proxy_headers' => true];

3. Editeu Atributs i reclamacions. Heu d'afegir tots els atributs que vulgueu passar a Zabbix (nom_usuari, cognom_usuari, correu electrònic_usuari, mòbil_usuari, grups).

Els noms dels atributs són arbitraris. Es poden emprar diferents noms d'atributs, però cal que coincideixin amb el valor del camp respectiu a la configuració de Zabbix SAML.

• Feu clic a Afegeix una nova reclamació per afegir un atribut:

• Feu clic a Afegir una reclamació de grup per afegir un atribut per passar grups a Zabbix:

És important en aquesta afirmació que els noms de grup (en lloc dels ID de grup) es passin a Zabbix per l'atribut Font seleccionat. En cas contrari, l'aprovisionament d'usuaris JIT no funcionarà correctament.

4. A SAML Certificates, descarregueu el certificat de Base64 proporcionat per Entra ID i col·loqueu-lo a conf/certs de la instal·lació de la interfície Zabbix.

Establiu-hi permisos 664 executant:

 chmod 644 entra.cer

Assegureu-vos que conf/zabbix.conf.php contingui la línia:

$SSO['IDP_CERT'] = 'conf/certs/entra.cer';

5. Empreu els valors de Configurar <nom de l'aplicació> a Entra ID per configurar l'autenticació SAML de Zabbix (vegeu la secció següent):

Configuració de Zabbix

1. A Zabbix, aneu a Configuració SAML i ompliu les opcions de configuració basades en la configuració d'Entra ID:

També és necessari per configurar l'assignació de grups d'usuaris. El mapatge de mitjans és opcional.

Feu clic a Actualitzar per desar aquesta configuració.

Aprovisionament d'usuaris SCIM

1. A la pàgina d'Entra ID, des del menú principal obriu la pàgina Aprovisionament. Feu clic a Començar i, a continuació, trieu Mode d'aprovisionament automàtic:

• A Tenant URL, establiu el valor següent: https://<zabbix-instance-url>/zabbix/api_scim.php
• A Token secret, introduïu un token de l'API Zabbix amb permisos de superadministrador.
• Feu clic a Provar connexió per veure si la connexió s'estableix.

Deseu la configuració.

2. Ara podeu afegir tots els atributs que es passaran amb SCIM a Zabbix. Per fer-ho, feu clic a Mapatges i després a Aprovisionar usuaris de Microsoft Entra ID.

A la part inferior de la llista de mapatge d'atributs, activeu Veure les opcions avançades i feu clic a Editar la llista d'atributs per a customappsso.

A la part inferior de la llista d'atributs, afegiu els vostres propis atributs de tipus "Cadena":

Deseu la llista.

3. Ara podeu afegir mapes per als atributs afegits. A la part inferior de la llista de mapes d'atributs, feu clic a Afegirun mapa nou i creeu mapes tal com es mostra a continuació:

Quan s'afegeixin tots els mapes, deseu la llista de mapes.

4. Com a requisit previ per a l'aprovisionament d'usuaris a Zabbix, heu de tindre usuaris i grups configurats a Entra ID.

Per fer-ho, aneu al centre d'administració de Microsoft Entra i afegiu usuaris/grups a les pàgines d'usuaris i grups respectius.

5. Quan s'hagin creat usuaris i grups a Entra AD, podeu anar al menú Usuaris i grups de la vostra aplicació i afegir-los a l'aplicació.

6. Aneu al menú Aprovisionament de la vostra aplicació i feu clic a Començar l'aprovisionament perquè els usuaris s'aprovisionin a Zabbix.

Tingueu en compte que la petició de PATCH d'usuaris a Entra ID no admet els canvis als suports.