3 SAML

Overzicht

SAML 2.0 authenticatie kan worden gebruikt om in te loggen bij Zabbix.

Als alleen SAML-aanmelding is geconfigureerd, moet de gebruiker ook in Zabbix bestaan, echter, het Zabbix-wachtwoord wordt niet gebruikt. Als de authenticatie succesvol is, zal Zabbix de lokale gebruikersnaam afstemmen op de gebruikersnaamattribuut die wordt teruggegeven door SAML.

Gebruikersprovisionering

Het is mogelijk om JIT (just-in-time) gebruikersprovisionering te configureren voor SAML-gebruikers. In dit geval is het niet vereist dat een gebruiker al bestaat in Zabbix. Het gebruikersaccount kan worden aangemaakt wanneer de gebruiker voor de eerste keer inlogt bij Zabbix.

Naast JIT-provisionering is het ook mogelijk om SCIM (System for Cross-domain Identity Management) provisioning in te schakelen en te configureren - continue gebruikersaccountbeheer voor die gebruikers die zijn aangemaakt via gebruikersprovisionering. SCIM-provisionering vereist een Zabbix API-token (met Super admin-rechten) voor authenticatie bij Zabbix.

Bijvoorbeeld, als een gebruiker van de ene SAML-groep naar de andere wordt verplaatst, wordt de gebruiker ook van de ene groep naar de andere verplaatst in Zabbix; als een gebruiker uit een SAML-groep wordt verwijderd, wordt de gebruiker ook uit de groep in Zabbix verwijderd en, als deze niet tot een andere groep behoort, toegevoegd aan de gebruikersgroep voor gedeactiveerde gebruikers.

Als SCIM is ingeschakeld en geconfigureerd, wordt een SAML-gebruiker geprovisioneerd op het moment dat de gebruiker inlogt bij Zabbix en continu bijgewerkt op basis van wijzigingen in SAML. Al bestaande SAML-gebruikers worden niet geprovisioneerd en alleen geprovisioneerde gebruikers worden bijgewerkt. Merk op dat alleen geldige media worden toegevoegd aan een gebruiker wanneer de gebruiker wordt geprovisioneerd of bijgewerkt.

Als SCIM niet is ingeschakeld, wordt een SAML-gebruiker geprovisioneerd (en later bijgewerkt) op het moment dat de gebruiker inlogt bij Zabbix.

Setting up identity provider

In order to work with Zabbix, a SAML identity provider - (onelogin.com, auth0.com, okta.com, etc.) needs to be configured in the following way:

• Assertion Consumer URL should be set to <path_to_zabbix_ui>/index_sso.php?acs
• Single Logout URL should be set to <path_to_zabbix_ui>/index_sso.php?sls

<path_to_zabbix_ui> examples: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix#### Meerdere SAML-identiteitsproviders

Zabbix ondersteunt meerdere SAML-identiteitsproviders. Hiermee kunt u gebruikers toestaan zich aan te melden bij Zabbix met behulp van verschillende identiteitsproviders. U kunt elke identiteitsprovider afzonderlijk configureren en de bijbehorende SAML-metadatabestanden importeren.

Wanneer een gebruiker zich probeert aan te melden bij Zabbix via SAML SSO, wordt de identiteitsprovider bepaald op basis van het doeldomein van de aanvraag. Zabbix vergelijkt het doeldomein met de domeinen die zijn geconfigureerd voor elke identiteitsprovider. Als er een overeenkomst wordt gevonden, wordt de gebruiker doorgestuurd naar de juiste identiteitsprovider voor authenticatie.

Dit biedt flexibiliteit voor het beheren van meerdere SAML-identiteitsproviders in uw Zabbix-implementatie. U kunt bijvoorbeeld één identiteitsprovider configureren voor interne gebruikers en een andere voor externe partners.

Hier zijn de stappen om meerdere SAML-identiteitsproviders in Zabbix in te stellen:

1. Configureer elke SAML-identiteitsprovider: Ga naar het tabblad SAML 2.0 Authenticatie in de Zabbix-configuratie en configureer elke identiteitsprovider afzonderlijk. Voer de relevante SAML-metadata in voor elke identiteitsprovider.

2. Importeer de SAML-metadata: Importeer de SAML-metadata voor elke identiteitsprovider. Dit zal Zabbix helpen bij het identificeren van de identiteitsprovider op basis van het doeldomein van de aanvraag.

3. Test de configuratie: Test elke identiteitsprovider om ervoor te zorgen dat de SAML-authenticatie correct werkt.

4. Pas de doeldomeinen aan: Voor elke identiteitsprovider moet u het doeldomein definiëren. Dit is het domein waarop de identiteitsprovider moet reageren. Als een gebruiker probeert in te loggen met een e-mailadres dat overeenkomt met een van de geconfigureerde doeldomeinen, wordt de juiste identiteitsprovider geactiveerd.

5. Test met verschillende doeldomeinen: Test de configuratie met verschillende doeldomeinen om te controleren of de gebruiker naar de juiste identiteitsprovider wordt doorgestuurd.

Met deze aanpak kunt u meerdere SAML-identiteitsproviders integreren in uw Zabbix-implementatie en gebruikers de mogelijkheid bieden om zich aan te melden met behulp van verschillende identiteitsbronnen. Dit is handig voor organisaties die te maken hebben met meerdere externe partners of meerdere interne gebruikersgroepen met verschillende identiteitsproviders.

Instellingen van Zabbix

Om SAML-authenticatie te gebruiken, moet Zabbix als volgt worden geconfigureerd:

1. De privésleutel en het certificaat moeten worden opgeslagen in de map ui/conf/certs/, tenzij aangepaste paden worden opgegeven in zabbix.conf.php.

Standaard zal Zabbix zoeken in de volgende locaties:

• ui/conf/certs/sp.key - SP-privésleutelbestand
• ui/conf/certs/sp.crt - SP-certificaatbestand
• ui/conf/certs/idp.crt - IDP-certificaatbestand

2. Alle belangrijke instellingen kunnen worden geconfigureerd in de Zabbix-frontend. Het is echter mogelijk om aanvullende instellingen op te geven in het configuratiebestand.

Configuratieparameters, beschikbaar in de Zabbix-frontend:

Zie voorbeelden van het configureren van SAML-identiteitsproviders voor aanmelding en gebruikersprovisionering in Zabbix met:

• Microsoft Azure AD
• Okta
• Onelogin

Opmerkingen over SCIM-provisionering

Voor SCIM-provisionering moet het pad naar de Zabbix-frontend worden opgegeven en hieraan api_scim.php worden toegevoegd, aan de kant van de identity provider, dus:

https://<uw-zabbix-url>/zabbix/api_scim.php

Gebruikersattributen die in Zabbix worden gebruikt (gebruikersnaam, gebruikersnaam, gebruikersachternaam en mediakentekens) moeten als aangepaste attributen worden toegevoegd en, indien nodig, moet de externe namespace hetzelfde zijn als het gebruikersschema: urn:ietf:params:scim:schemas:core:2.0:User.

To configure advanced SAML settings in Zabbix, you can make modifications to the zabbix.conf.php file. Here are the steps:

1. Open the zabbix.conf.php file for editing. This file is typically located in the Zabbix frontend directory.

2. Add or modify the following SAML parameters under the $SSO array:

$SSO['SP_KEY'] = '<path to the SP private key file>';
       $SSO['SP_CERT'] = '<path to the SP cert file>';
       $SSO['IDP_CERT'] = '<path to the IDP cert file>';
       $SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384',
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // Add more security settings as needed...
           ],
           // Add other SAML settings as needed...
       ];

3. Customize the SAML parameters as required for your SAML configuration. You can refer to the OneLogin's SAML PHP Toolkit documentation for details on the available SAML configuration options.

4. Save the zabbix.conf.php file.

5. After making these changes, you may need to restart your web server or the Zabbix frontend service for the changes to take effect.

Please ensure that you correctly specify the paths to the SP private key, SP cert file, and IDP cert file, and configure other SAML settings as per your SAML identity provider's requirements.

Here's a sample configuration example within the $SSO['SETTINGS'] array:

$SSO['SETTINGS'] = [
           'strict' => false,
           'baseurl' => 'https://your-zabbix-url/zabbix/',
           'compress' => true,
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384',
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               // Add more security settings as needed...
           ],
           // Add other SAML settings as needed...
       ];

Make sure to adjust the values to match your specific SAML configuration.