SAML

개요

SAML 2.0 인증을 Zabbix 로그인에 사용할 수 있습니다.

SAML 로그인이 JIT 사용자 프로비저닝 없이 구성된 경우, 사용자는 Zabbix에 이미 존재해야 하며 사용자의 Zabbix 비밀번호는 인증에 사용되지 않습니다. SAML 인증이 성공하면 Zabbix는 SAML에서 받은 username 속성을 기존 로컬 Zabbix 사용자 이름과 매칭합니다.

사용자 프로비저닝

SAML 사용자에 대해 JIT(just-in-time) 사용자 프로비저닝을 구성할 수 있습니다. 이 경우 사용자가 Zabbix에 미리 존재할 필요가 없습니다. 사용자 계정은 사용자가 처음 Zabbix에 로그인할 때 생성됩니다.

JIT 프로비저닝에 더해, 사용자 프로비저닝으로 생성된 사용자에 대한 지속적인 사용자 계정 관리를 위해 SCIM(System for Cross-domain Identity Management) 프로비저닝을 활성화하고 구성할 수도 있습니다. SCIM 프로비저닝은 Zabbix 인증을 위해 (Super admin 권한을 가진) Zabbix API 토큰이 필요합니다.

예를 들어 사용자가 한 SAML 그룹에서 다른 그룹으로 이동하면, 해당 사용자는 Zabbix에서도 한 그룹에서 다른 그룹으로 이동합니다. 사용자가 SAML 그룹에서 제거되면 Zabbix의 그룹에서도 제거되며, 다른 그룹에 속해 있지 않은 경우 프로비저닝 해제된 사용자를 위한 사용자 그룹에 추가됩니다.

SCIM이 활성화되고 구성된 경우, SAML 사용자는 사용자가 Zabbix에 로그인하는 시점에 프로비저닝되며 이후 SAML의 변경 사항에 따라 지속적으로 업데이트됩니다. 이미 존재하는 SAML 사용자는 프로비저닝되지 않으며, 프로비저닝된 사용자만 업데이트됩니다. 사용자가 프로비저닝되거나 업데이트될 때 유효한 미디어만 사용자에게 추가된다는 점에 유의하십시오.

SCIM이 활성화되어 있지 않은 경우, SAML 사용자는 사용자가 Zabbix에 로그인하는 시점에 프로비저닝(및 이후 업데이트)됩니다.

ID 공급자 설정

Zabbix와 함께 작동하려면 SAML ID 공급자(onelogin.com, auth0.com, okta.com 등)를 다음과 같이 구성해야 합니다:

• Assertion Consumer URL은 <path_to_zabbix_ui>/index_sso.php?acs로 설정해야 합니다
• Single Logout URL은 <path_to_zabbix_ui>/index_sso.php?sls로 설정해야 합니다

<path_to_zabbix_ui> 예시: https://example.com/zabbix/ui, http://another.example.com/zabbix, http://<any_public_ip_address>/zabbix

Zabbix 설정

SAML 인증을 사용하려면 Zabbix를 다음과 같이 구성해야 합니다:

1. 개인 키와 인증서는 zabbix.conf.php에서 사용자 지정 경로를 제공하지 않는 한 ui/conf/certs/에 저장해야 합니다.

기본적으로 Zabbix는 다음 위치를 찾습니다:

• ui/conf/certs/sp.key - SP 개인 키 파일
• ui/conf/certs/sp.crt - SP 인증서 파일
• ui/conf/certs/idp.crt - IDP 인증서 파일

2. 가장 중요한 설정은 모두 Zabbix 프론트엔드에서 구성할 수 있습니다. 다만 구성 파일에서 추가 설정을 지정할 수도 있습니다.

Zabbix 프론트엔드에서 사용 가능한 구성 파라미터:

Zabbix에 대한 로그인 및 사용자 프로비저닝을 위해 SAML ID 공급자를 구성하는 예시는 다음을 참고하십시오:

• Microsoft Azure AD
• Okta
• Onelogin

SCIM 프로비저닝 관련 참고 사항

SCIM 프로비저닝의 경우, ID 공급자 측에서 Zabbix 프론트엔드 경로를 지정하고 여기에 api_scim.php를 추가하십시오. 즉:

https://<path-to-zabbix-ui>/api_scim.php

Zabbix에서 사용되는 사용자 속성(사용자 이름, 이름, 성, 미디어 속성)은 사용자 지정 속성으로 추가해야 하며, 필요한 경우 외부 네임스페이스는 사용자 스키마와 동일해야 합니다: urn:ietf:params:scim:schemas:core:2.0:User.

고급 설정

추가 SAML 파라미터는 Zabbix 프론트엔드 구성 파일(zabbix.conf.php)에서 구성할 수 있습니다:

• $SSO['SP_KEY'] = '<SP 개인 키 파일 경로>';
• $SSO['SP_CERT'] = '<SP 인증서 파일 경로>';
• $SSO['IDP_CERT'] = '<IDP 인증서 파일 경로>';
• $SSO['SETTINGS']

$SSO['SETTINGS']의 일부로 설정할 수 있는 옵션은 다음과 같습니다:

• strict
• baseurl
• compress
• contactPerson
• organization
• sp(이 목록에 지정된 옵션만 해당)
  • attributeConsumingService
  • x509certNew
• idp(이 목록에 지정된 옵션만 해당)
  • singleLogoutService(옵션 1개만 해당)
    • responseUrl
  • certFingerprint
  • certFingerprintAlgorithm
  • x509certMulti
• security(이 목록에 지정된 옵션만 해당)
  • signMetadata
  • wantNameId
  • requestedAuthnContext
  • requestedAuthnContextComparison
  • wantXMLValidation
  • relaxDestinationValidation
  • destinationStrictlyMatches
  • rejectUnsolicitedResponsesWithInResponseTo
  • signatureAlgorithm
  • digestAlgorithm
  • lowercaseUrlencoding

다른 모든 옵션은 데이터베이스에서 가져오며 재정의할 수 없습니다. debug 옵션은 무시됩니다.

또한 Zabbix UI가 프록시나 로드 밸런서 뒤에 있는 경우, 사용자 지정 use_proxy_headers 옵션을 사용할 수 있습니다:

• false(기본값) - 옵션 무시;
• true - 기본 URL을 구성할 때 X-Forwarded-* HTTP 헤더 사용.

로드 밸런서가 TLS/SSL을 사용하고 Zabbix는 사용하지 않는 방식으로 로드 밸런서를 통해 Zabbix 인스턴스에 연결하는 경우, 'baseurl', 'strict', 'use_proxy_headers' 파라미터를 다음과 같이 지정해야 합니다:

$SSO['SETTINGS'] = [
    'strict' => false,
    'baseurl' => 'https://zabbix.example.com/zabbix/',
    'use_proxy_headers' => true
];

구성 예시:

$SSO['SETTINGS'] = [
    'security' => [
        'signatureAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha384'
        'digestAlgorithm' => 'http://www.w3.org/2001/04/xmldsig-more#sha384',
        // ...
    ],
    // ...
];

Kerberos/ADFS를 이용한 프론트엔드 구성

Zabbix 프론트엔드 구성 파일(zabbix.conf.php)을 사용하여 Kerberos 인증 및 ADFS와의 SSO를 구성할 수 있습니다:

$SSO['SETTINGS'] = [
    'security' => [
        'requestedAuthnContext' => [
            'urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos',
        ],
        'requestedAuthnContextComparison' => 'exact'
    ]
];

이 경우, SAML 구성의 SP name ID 필드에 다음을 설정하십시오:

urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified