Áú»¢¶Ä²©

11 Configuration SAML avec Okta

Cette section d¨¦crit comment configurer Okta pour activer l'authentification SAML 2.0 pour Áú»¢¶Ä²©.

Configuration Okta

1. Allez sur et enregistrez-vous ou connectez-vous ¨¤ votre compte.

2. Dans l'interface Web d'Okta, acc¨¦dez ¨¤ * Applications ¡ú Applications * et appuyez sur le bouton "Ajouter une application" ().

3. Appuyez sur le bouton "Cr¨¦er une nouvelle application" (). Dans une fen¨ºtre contextuelle, s¨¦lectionnez Plate-forme : Web, M¨¦thode de connexion : SAML 2.0 et appuyez sur le bouton "Cr¨¦er".

4. Remplissez les champs de l'onglet Param¨¨tres g¨¦n¨¦raux (le premier onglet qui appara?t) selon vos pr¨¦f¨¦rences et appuyez sur "Suivant".

5. Dans l'onglet Configurer SAML, entrez les valeurs fournies ci-dessous, puis appuyez sur "Suivant".

• Dans la section G?N?RAL :
  • URL d'authentification unique : https://<votre-url-zabbix>/ui/index_sso.php?acs
    La case Utiliser ceci pour l'URL du destinataire et l'URL de destination doit ¨ºtre coch¨¦e
  • Audience URI (SP Entity ID): zabbix
    Notez que cette valeur sera utilis¨¦e dans l'assertion SAML en tant qu'identifiant unique du fournisseur de services (si elle ne correspond pas, l'op¨¦ration sera rejet¨¦e). Il est possible de sp¨¦cifier une URL ou toute cha?ne de donn¨¦es dans ce champ.
  • Default RelayState:
    Laissez ce champ vide ; si une redirection personnalis¨¦e est requise, elle peut ¨ºtre ajout¨¦e dans Áú»¢¶Ä²© dans les param¨¨tres Administration ¡ú Utilisateurs.
  • Remplissez les autres champs selon vos pr¨¦f¨¦rences.

• Dans la section ?NONC?S D'ATTRIBUTS (FACULTATIF), ajoutez une d¨¦claration d'attribut avec :
  • Nom : usrEmail
  • Format Nom : Non sp¨¦cifi¨¦
  • Valeur : user.email

6. Dans l'onglet suivant, s¨¦lectionnez "Je suis un ¨¦diteur de logiciels. Je souhaite int¨¦grer mon application ¨¤ Okta" et appuyez sur "Terminer".

7. Maintenant, acc¨¦dez ¨¤ l'onglet Affectations et appuyez sur le bouton "Attribuer", puis s¨¦lectionnez Attribuer aux personnes dans le menu d¨¦roulant.

8. Dans une fen¨ºtre contextuelle qui appara?t, attribuez l'application cr¨¦¨¦e aux personnes qui utiliseront SAML 2.0 pour s'authentifier aupr¨¨s de Áú»¢¶Ä²©, puis appuyez sur "Enregistrer et revenir en arri¨¨re".

9. Acc¨¦dez ¨¤ l'onglet Connexion et appuyez sur le bouton "Afficher les instructions de configuration". Les instructions de configuration seront affich¨¦es dans un nouvel onglet ; gardez cet onglet ouvert lors de la configuration de Áú»¢¶Ä²©.

Configuration de Áú»¢¶Ä²©

1. Dans Áú»¢¶Ä²©, acc¨¦dez aux param¨¨tres SAML dans la section Administration ¡ú Authentification et copier les informations des instructions de la configuration d'Okta dans les champs correspondants :

• URL du service SSO ¡ú URL du service SSO
• ID d'entit¨¦ de l'IdP ¡ú ID d'entit¨¦ IdP
• Attribut du nom d'utilisateur ¡ú Nom d'attribut (usrEmail)
• ID d'entit¨¦ du SP ¡ú URI d'audience

2. T¨¦l¨¦chargez le certificat fourni dans la page des instructions de configuration d'Okta dans le dossier ui/conf/certs en tant que idp.crt et d¨¦finissez l'autorisation 644 par ex¨¦cutant :

chmod 644 idp.crt

Notez que si vous avez mis ¨¤ niveau vers Áú»¢¶Ä²© 5.0 ¨¤ partir d'une version plus ancienne, vous devrait ¨¦galement ajouter manuellement ces lignes au fichier zabbix.conf.php (situ¨¦ dans le r¨¦pertoire /ui/conf/):

// Utilis¨¦ pour l'authentification SAML.
       $SSO['SP_KEY'] = 'conf/certs/sp.key' ; // Chemin vers votre cl¨¦ priv¨¦e.
       $SSO['SP_CERT'] = 'conf/certs/sp.crt' ; // Chemin vers votre cl¨¦ publique.
       $SSO['IDP_CERT'] = 'conf/certs/idp.crt' ; // Chemin d'acc¨¨s ¨¤ la cl¨¦ publique IdP.
       $SSO['SETTINGS'] = [] ; // Param¨¨tres additionnels

Voir les instructions g¨¦n¨¦riques Authentification SAML pour plus de d¨¦tails.

3. Si Assertion Encryption a ¨¦t¨¦ d¨¦fini sur Encrypted dans Okta, la case ¨¤ cocher "Assertions" du param¨¨tre Chiffrement doit ¨ºtre coch¨¦e dans Áú»¢¶Ä²© ¨¦galement.

4. Cliquez sur le bouton "Actualiser" pour enregistrer ces param¨¨tres.

SCIM provisioning

1. To turn on SCIM provisioning, go to "General" -> "App Settings" of the application in Okta.

Mark the Enable SCIM provisioning checkbox. As a result, a new Provisioning tab appears.

2. Go to the "Provisioning" tab to set up a SCIM connection:

• In SCIM connector base URL specify the path to the Áú»¢¶Ä²© frontend and append api_scim.php to it, i.e.:
  https://<your-zabbix-url>/zabbix/api_scim.php
• Unique identifier field for users: email
• Authentication mode: HTTP header
• In Authorization enter a valid API token with Super admin rights

SetEnvIf Authorization "(.*)" HTTP_AUTHORIZATION=$1

3. Click on Test Connector Configuration to test the connection. If all is correct a success message will be displayed.

4. In "Provisioning" -> "To App", make sure to mark the following checkboxes:

• Create Users
• Update User Attributes
• Deactivate Users

This will make sure that these request types will be sent to Áú»¢¶Ä²©.

5. Make sure that all attributes defined in SAML are defined in SCIM. You can access the profile editor for your app in "Provisioning" -> "To App", by clicking on Go to Profile Editor.

Click on Add Attribute. Fill the values for Display name, Variable name, External name with the SAML attribute name, for example, user_name.

Extenal namespace should be the same as user schema: urn:ietf:params:scim:schemas:core:2.0:User

6. Go to "Provisioning" -> "To App" -> "Attribute Mappings" of your application. Click on Show Unmapped Attributes at the bottom. Newly added attributes appear.

7. Map each added attribute.

8. Add users in the "Assignments" tab. The users previously need to be added in Directory -> People. All these assignments will be sent as requests to Áú»¢¶Ä²©.

9. Add groups in the "Push Groups" tab. The user group mapping pattern in Áú»¢¶Ä²© SAML settings must match a group specified here. If there is no match, the user cannot be created in Áú»¢¶Ä²©.

Information about group members is sent every time when some change is made.