3 SAML

개요

SAML 2.0 인증을 사용하여 Zabbix에 로그인할 수 있습니다.

SAML 로그인만 구성된 경우, 사용자는 Zabbix에 존재해야 하지만, Zabbix 비밀번호는 사용되지 않습니다. 인증이 성공하면 Zabbix는 로컬 사용자명과 SAML에서 반환된 사용자명 속성을 일치시킵니다.

사용자 프로비저닝

SAML 사용자를 위한 JIT(just-in-time) 사용자 프로비저닝을 구성할 수 있습니다. 이 경우 사용자가 Zabbix에 이미 존재할 필요가 없습니다. 사용자가 Zabbix에 처음 로그인할 때 사용자 계정이 생성될 수 있습니다.

JIT 프로비저닝과 함께 SCIM(System for Cross-domain Identity Management) 프로비저닝도 활성화하고 구성할 수 있습니다 - 사용자 프로비저닝으로 생성된 사용자들을 위한 지속적인 사용자 계정 관리입니다. SCIM 프로비저닝은 Zabbix 인증을 위해 (Super admin 권한을 가진) Zabbix API 토큰이 필요합니다.

예를 들어, 사용자가 한 SAML 그룹에서 다른 그룹으로 이동되면, 해당 사용자는 Zabbix에서도 한 그룹에서 다른 그룹으로 이동됩니다; 사용자가 SAML 그룹에서 제거되면, 해당 사용자는 Zabbix의 그룹에서도 제거되고, 다른 그룹에 속하지 않는 경우 프로비저닝 해제된 사용자 그룹에 추가됩니다.

SCIM이 활성화되고 구성되면, SAML 사용자는 Zabbix에 로그인하는 순간 프로비저닝되고 SAML의 변경사항에 따라 지속적으로 업데이트됩니다. 이미 존재하는 SAML 사용자는 프로비저닝되지 않으며, 프로비저닝된 사용자만 업데이트됩니다. 사용자가 프로비저닝되거나 업데이트될 때는 유효한 미디어만 사용자에게 추가됩니다.

SCIM이 활성화되지 않은 경우, SAML 사용자는 Zabbix에 로그인하는 순간 프로비저닝되고 (나중에 업데이트됩니다).

신원 공급자 설정

Zabbix와 작업하려면 SAML 신원 공급자(onelogin.com, auth0.com, okta.com 등)를 다음과 같이 구성해야 합니다:

• Assertion Consumer URL은 <path_to_zabbix_ui>/index_sso.php?acs로 설정해야 합니다
• Single Logout URL은 <path_to_zabbix_ui>/index_sso.php?sls로 설정해야 합니다

<path_to_zabbix_ui> 예시: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Zabbix 설정

SAML 인증을 사용하려면 Zabbix를 다음과 같이 구성해야 합니다:

1. 개인 키와 인증서는 ui/conf/certs/에 저장해야 하며, 사용자 지정 경로는 zabbix.conf.php에서 제공할 수 있습니다.

기본적으로 Zabbix는 다음 위치에서 찾습니다:

• ui/conf/certs/sp.key - SP 개인 키 파일
• ui/conf/certs/sp.crt - SP 인증서 파일
• ui/conf/certs/idp.crt - IDP 인증서 파일

2. 가장 중요한 설정은 모두 Zabbix 프론트엔드에서 구성할 수 있습니다. 하지만 구성 파일에서 추가 설정을 지정할 수도 있습니다.

Zabbix 프론트엔드에서 사용 가능한 구성 매개변수:

다음을 사용하여 Zabbix에 로그인 및 사용자 프로비저닝을 위한 SAML ID 제공업체 구성 예시를 참조하세요:

• Microsoft Azure AD
• Okta
• Onelogin

SCIM 프로비저닝에 대한 참고사항

SCIM 프로비저닝의 경우 ID 공급자 측에서 Zabbix 프론트엔드 경로를 지정하고 api_scim.php를 추가하세요:

https://<path-to-zabbix-ui>/api_scim.php

Zabbix에서 사용되는 사용자 속성(사용자명, 사용자 이름, 사용자 성, 미디어 속성)은 사용자 정의 속성으로 추가해야 하며, 필요한 경우 외부 네임스페이스는 사용자 스키마와 동일해야 합니다: urn:ietf:params:scim:schemas:core:2.0:User.

고급 설정

추가적인 SAML 매개변수는 Zabbix 프론트엔드 구성 파일(zabbix.conf.php)에서 구성할 수 있습니다:

• $SSO['SP_KEY'] = '<SP 개인 키 파일 경로>';
• $SSO['SP_CERT'] = '<SP 인증서 파일 경로>';
• $SSO['IDP_CERT'] = '<IDP 인증서 파일 경로>';
• $SSO['SETTINGS']

$SSO['SETTINGS']의 일부로 설정할 수 있는 옵션은 다음과 같습니다:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp (이 목록에 지정된 옵션만)
  • attributeConsumingService
  • x509certNew
• idp (이 목록에 지정된 옵션만)
  • singleLogoutService (한 가지 옵션만)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security (이 목록에 지정된 옵션만)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

다른 모든 옵션은 데이터베이스에서 가져오며 재정의할 수 없습니다. debug 옵션은 무시됩니다.

또한 Zabbix UI가 프록시나 로드 밸런서 뒤에 있는 경우, 사용자 정의 use_proxy_headers 옵션을 사용할 수 있습니다:

• false (기본값) - 옵션을 무시합니다;
• true - 기본 URL 구성을 위해 X-Forwarded-* HTTP 헤더를 사용합니다.

Zabbix 인스턴스에 연결하기 위해 로드 밸런서를 사용하는데, 로드 밸런서는 TLS/SSL을 사용하지만 Zabbix는 그렇지 않은 경우, 다음과 같이 'baseurl', 'strict' 및 'use_proxy_headers' 매개변수를 지정해야 합니다:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

구성 예제:

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Kerberos/ADFS를 사용한 프론트엔드 구성

Zabbix 프론트엔드 구성 파일(zabbix.conf.php)을 사용하여 Kerberos 인증 및 ADFS와 함께 SSO를 구성할 수 있습니다:

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
]; 

이 경우, SAML 구성의 SP name ID 필드에 다음을 설정하세요:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified