Áú»¢¶Ä²©

3 SAML

¶Ù±ð²õ³¦°ù¾±±è³¦¾±¨®²Ô general

La ²¹³Ü³Ù±ð²Ô³Ù¾±³¦²¹³¦¾±¨®²Ô SAML 2.0 se puede utilizar para iniciar sesi¨®n en Áú»¢¶Ä²©.

Si solo se configura el inicio de sesi¨®n SAML, entonces el usuario tambi¨¦n debe existir en Áú»¢¶Ä²©; sin embargo, no se utilizar¨¢ su contrase?a de Áú»¢¶Ä²©. Si la ²¹³Ü³Ù±ð²Ô³Ù¾±³¦²¹³¦¾±¨®²Ô es exitosa, Áú»¢¶Ä²© buscar¨¢ la coincidencia con un nombre de usuario local con el atributo de nombre de usuario devuelto por SAML.

Aprovisionamiento de usuarios

Es posible configurar aprovisionamiento de usuarios JIT (justo a tiempo) para usuarios SAML. En este caso, no es necesario que ya exista un usuario en Áú»¢¶Ä²©. La cuenta de usuario se puede crear cuando el usuario inicia sesi¨®n en Áú»¢¶Ä²© por primera vez.

Adem¨¢s del aprovisionamiento JIT, tambi¨¦n es posible habilitar y configurar el aprovisionamiento SCIM (Sistema para la gesti¨®n de identidades entre dominios): gesti¨®n continua de cuentas de usuario. para aquellos usuarios que han sido creados mediante el aprovisionamiento de usuarios. El aprovisionamiento SCIM requiere un token API de Áú»¢¶Ä²© (con permisos de superadministrador) para la ²¹³Ü³Ù±ð²Ô³Ù¾±³¦²¹³¦¾±¨®²Ô en Áú»¢¶Ä²©.

Por ejemplo, si un usuario se mueve de un grupo SAML a otro, el usuario tambi¨¦n se mover¨¢ de un grupo a otro en Áú»¢¶Ä²©; Si un usuario es eliminado de un grupo SAML, el usuario tambi¨¦n ser¨¢ eliminado del grupo en Áú»¢¶Ä²© y, si no pertenece a ning¨²n otro grupo, se agregar¨¢ al grupo de usuarios para usuarios dados de baja.

Si SCIM est¨¢ habilitado y configurado, se aprovisionar¨¢ un usuario SAML en el momento en que el usuario inicie sesi¨®n en Áú»¢¶Ä²© y se actualizar¨¢ continuamente en funci¨®n de los cambios en SAML. Los usuarios SAML ya existentes no se aprovisionar¨¢n y solo se actualizar¨¢n los usuarios aprovisionados. Tenga en cuenta que solo se agregar¨¢n medios v¨¢lidos a un usuario cuando el usuario sea aprovisionado o actualizado.

Si SCIM no est¨¢ habilitado, se aprovisionar¨¢ un usuario SAML (y luego se actualizar¨¢) en el momento en que el usuario inicie sesi¨®n en Áú»¢¶Ä²©.

°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô del proveedor de identidad

Para trabajar con Áú»¢¶Ä²©, un proveedor de identidad SAML (, , , etc.) debe configurarse de la siguiente manera:

• La URL del consumidor de aserci¨®n debe establecerse en <ruta_a_zabbix_ui>/index_sso.php?acs
• La URL de cierre de sesi¨®n ¨²nica debe configurarse en <ruta_a_zabbix_ui>/index_sso.php?sls

<ruta_a_zabbix_ui> ejemplos: https://example.com/zabbix/ui, http://otro.ejemplo.com/zabbix, ³ó³Ù³Ù±è://&±ô³Ù;³¦³Ü²¹±ô±ç³Ü¾±±ð°ù³å»å¾±°ù±ð³¦³¦¾±¨®²Ô³å¾±±è³å±è¨²²ú±ô¾±³¦²¹&²µ³Ù;/³ú²¹²ú²ú¾±³æ

°ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨®²Ô de Áú»¢¶Ä²©

Para utilizar la ²¹³Ü³Ù±ð²Ô³Ù¾±³¦²¹³¦¾±¨®²Ô SAML, Áú»¢¶Ä²© debe configurarse de la siguiente manera:

1. La clave privada y el certificado deben almacenarse en ui/conf/certs/, a menos que se proporcionen rutas personalizadas en zabbix.conf.php.

De forma predeterminada, Áú»¢¶Ä²© buscar¨¢ en las siguientes ubicaciones:

• ui/conf/certs/sp.key - Archivo de clave privada SP
• ui/conf/certs/sp.crt - Archivo de certificado SP
• ui/conf/certs/idp.crt - Archivo de certificado IDP

2. Todos los ajustes m¨¢s importantes se pueden configurar en la interfaz de Áú»¢¶Ä²©. Sin embargo, es posible especificar configuraciones adicionales en el archivo de configuraci¨®n.

±Ê²¹°ù¨¢³¾±ð³Ù°ù´Çs de configuraci¨®n, disponibles en el frontend de Áú»¢¶Ä²©:

Vea ejemplos de configuraci¨®n de proveedores de identidad SAML para el inicio de sesi¨®n y el aprovisionamiento de usuarios en Áú»¢¶Ä²© con:

• Microsoft Azure AD
• Okta
• Onelogin

Notas sobre el aprovisionamiento SCIM

Para el aprovisionamiento SCIM, especifique la ruta a la interfaz de Áú»¢¶Ä²© y a?¨¢dale api_scim.php, en el lado del proveedor de identidad, es decir:

https://<tu-url-zabbix>/api_scim.php

Los atributos de usuario que se utilizan en Áú»¢¶Ä²© (usuario, nombre de usuario, apellido de usuario y atributos multimedia) deben agregarse como atributos personalizados y, si es necesario, el espacio de nombres externo debe ser el mismo que el esquema de usuario: urn:ietf:params:scim:schemas:core:2.0:User.

Ajustes avanzados

Se pueden configurar par¨¢metros SAML adicionales en el archivo de configuraci¨®n de la interfaz de Áú»¢¶Ä²© (zabbix.conf.php):

• $SSO['SP_KEY'] = '<ruta al archivo de clave privada del SP>';
• $SSO['SP_CERT'] = '<ruta al archivo de certificado SP>';
• $SSO['IDP_CERT'] = '<ruta al archivo del certificado IDP>';
• $SSO['SETTINGS']

Solo las siguientes opciones se pueden configurar como parte de $SSO['SETTINGS']:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (solo opciones especificadas en esta lista)
  • attributeConsumingService
  • x509certNew
• idp (solo opciones especificadas en esta lista)
  • singleLogoutService (s¨®lo una opci¨®n)
  • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (solo opciones especificadas en esta lista)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

Todas las dem¨¢s opciones se tomar¨¢n de la base de datos y no se pueden reemplazar. La opci¨®n debug ser¨¢ ignorada.

Adem¨¢s, si la interfaz de usuario de Áú»¢¶Ä²© est¨¢ detr¨¢s de un proxy o un balanceador de carga, se puede utilizar la opci¨®n personalizada use_proxy_headers:

• false (predeterminado): ignora la opci¨®n;
• true: utilice encabezados HTTP X-Forwarded-* para crear la URL base.

Si utiliza un balanceador de carga para conectarse a la instancia de Áú»¢¶Ä²©, donde el balanceador de carga usa TLS/SSL y Áú»¢¶Ä²© no, debe indicar los par¨¢metros 'baseurl', 'strict' y 'use_proxy_headers' de la siguiente manera:

$SSO['SETTINGS']=['strict' => false, 'baseurl' => "https://zabbix.example.com/zabbix/", 'use_proxy_headers' => true]

Ejemplo de configuraci¨®n:

$SSO['SETTINGS'] = [
           'security' => [
               'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
               'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
               //...
           ],
           //...
       ];

Frontend configuration with Kerberos/ADFS

The Áú»¢¶Ä²© frontend configuration file (zabbix.conf.php) can be used to configure SSO with Kerberos authentication and ADFS:

$SSO['SETTINGS'] = [
           'security' => [
               'requestedAuthnContext' => [
                   'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
               ],
               'requestedAuthnContextComparison' => 'exact'
           ]
       ]; 

In this case, in the SAML configuration SP name ID field set:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified