Создать SAML-приложение в Yandex Identity Hub для интеграции с Zabbix

Zabbix — это система мониторинга корпоративного уровня с открытым исходным кодом для отслеживания производительности и состояния серверов, сетей, приложений и других ИТ-ресурсов. Zabbix поддерживает SAML-аутентификацию для обеспечения безопасного единого входа пользователей организации.

Чтобы пользователи вашей организации могли аутентифицироваться в Zabbix с помощью технологии единого входа по стандарту SAML, создайте SAML-приложение в Identity Hub и настройте его на стороне Identity Hub и на стороне Zabbix.

Управлять SAML-приложениями может пользователь, которому назначена роль organization-manager.samlApplications.admin или выше.

Чтобы дать доступ пользователям вашей организации в Zabbix:

1. Создайте приложение.
2. Настройте интеграцию.
3. Убедитесь в корректной работе приложения.

Создайте приложениеСоздайте приложение

Настройте интеграциюНастройте интеграцию

Чтобы настроить интеграцию Zabbix с созданным SAML-приложением в Identity Hub, выполните настройки на стороне Zabbix и на стороне Identity Hub.

Настройте SAML-приложение на стороне ZabbixНастройте SAML-приложение на стороне Zabbix

Настройте аутентификацию по стандарту SAML на стороне ZabbixНастройте аутентификацию по стандарту SAML на стороне Zabbix

1. Чтобы настроить аутентификацию по стандарту SAML на стороне Zabbix, в левой панели выберите раздел Users и в нем подраздел Authentication.

2. В основном окне перейдите на вкладку SAML Settings. После открытия формы выполните указанные ниже шаги:

   1. Активируйте опцию Enable SAML authentication.

   2. Активируйте опцию Enable JIT provisioning.

      Примечание

      Опция Enable JIT provisioning отвечает за автоматическое создание пользователей на стороне Zabbix при аутентификации через SSO. Если опция неактивна, пройти аутентификацию смогут только пользователи, уже созданные на стороне Zabbix.

   3. Настройте связь между Zabbix и Identity Hub:

      1. Войдите в сервис Yandex Identity Hub.

      2. На панели слева выберите Приложения и выберите нужное SAML-приложение.

      3. На вкладке Обзор в блоке Конфигурация поставщика удостоверений (IdP) скопируйте значения полей: Issuer / IdP EntityID, Login URL и Logout URL.

      4. Вернитесь в Zabbix и вставьте скопированные адреса в поля: IdP entity ID, SSO service URL и SLO service URL.

         Примечание

         Если не указать адрес для SLO service URL, то после выхода из Zabbix пользователь будет перенаправлен не на форму аутентификации Identity Hub, а на форму Zabbix.

   4. В поле Username attribute укажите login.

      Примечание

      Атрибут, используемый в качестве имени пользователя при аутентификации в Zabbix. Название атрибута может быть произвольным, но обязательно должно совпадать с названием атрибута пользователя, содержащего значение SubjectClaims.preferred_username в вашем приложении Identity Hub.

   5. В поле SP entity ID укажите zabbix.

      Важно

      Значение SP entity ID должно полностью совпадать как в Zabbix, так и в вашем приложении Identity Hub.

   6. В блоках Sign и Encrypt оставьте все опции неактивированными.

      Совет

      На текущий момент Yandex Identity Hub не поддерживает проверку подписей запросов, поэтому рекомендуется оставить опции блоков Sign и Encrypt неактивированными.

   7. Активируйте опцию Case-sensitive login, если требуется учет регистра символов в логине.

   8. Если опция Enable JIT provisioning была включена, настройте параметры автоматического создания пользователей в Zabbix. Для этого активируйте опцию Configure JIT provisioning и выполните следующие шаги:

      1. В поле Group name attribute укажите groups — этот атрибут определяет группу пользователей в вашем приложении Identity Hub, обеспечивающую доступ к Zabbix.

      2. В поле User name attribute укажите givenname.

      3. В поле User last name attribute укажите surname.

      4. В блоке User group mapping сопоставьте группу пользователей вашего приложения Identity Hub с соответствующей группой и ролью в Zabbix. Это позволит новым пользователям автоматически получать назначенную группу и роль в Zabbix. Для этого нажмите Add и выполните следующие шаги:

         1. В поле SAML group pattern задайте шаблон для поиска названий групп SAML-приложения.

            Примечание

            Поле SAML group pattern поддерживает подстановочные знаки с символом *.

         2. В поле User groups укажите группы Zabbix, в которые будут автоматически добавляться новые пользователи при первой аутентификации.

         3. В поле User role укажите роль Zabbix, которая будет присваиваться пользователям при первом входе в систему.

      5. При необходимости в блоке Media type mapping настройте сопоставление атрибутов пользователя вашего SAML-приложения для получения уведомлений от Zabbix (опционально).

      6. Опцию Enable SCIM provisioning оставьте неактивированной.

         Совет

         На текущий момент Yandex Identity Hub не поддерживает протокол SCIM для автоматического управления пользователями в других приложениях, поэтому рекомендуется оставить опцию Enable SCIM provisioning неактивированной.

3. В основном окне перейдите на вкладку Authentication. После открытия формы в поле Deprovisioned users group выберите группу Disabled.

   Важно

   Если включена опция Enable JIT provisioning, на вкладке Authentication обязательно должна быть указана группа Deprovisioned users group. В эту группу будут перемещаться деактивированные пользователи.

4. Сохраните настройки, нажав кнопку Update.

Перенесите сертификат SAML-приложения и настройте ZabbixПеренесите сертификат SAML-приложения и настройте Zabbix

Чтобы перенести сертификат SAML-приложения и настроить Zabbix, выполните следующие шаги:

1. Скачайте сертификат провайдера идентификации (IdP):

   1. Войдите в сервис Yandex Identity Hub.
   2. На панели слева выберите Приложения и выберите нужное SAML-приложение.
   3. На вкладке Обзор в блоке Сертификат приложения нажмите на кнопку Скачать сертификат и сохраните файл на своем устройстве.

2. Скопируйте полученный файл сертификата в каталог /usr/share/zabbix/ui/conf/certs на сервере Zabbix.

3. Настройте права доступа.

   chmod 644 /usr/share/zabbix/ui/conf/certs/<your_cert>.crt
   

4. Откройте конфигурационный файл Zabbix /usr/share/zabbix/ui/conf/zabbix.conf.php и укажите путь к сертификату IdP.

   $SSO['IDP_CERT'] = 'conf/certs/<your_cert>.crt';
   

Настройте SAML-приложение на стороне Yandex Identity HubНастройте SAML-приложение на стороне Yandex Identity Hub

Настройте эндпоинты поставщика услугНастройте эндпоинты поставщика услуг

Настройте атрибуты пользователейНастройте атрибуты пользователей

Если у пользователей нет атрибута login, добавьте его:

Если вы настроили автоматическую регистрацию пользователей на стороне Zabbix, добавьте атрибут группы пользователей. Для этого:

Подробнее о настройке атрибутов см. Настройте атрибуты пользователей и групп.

Добавьте пользователейДобавьте пользователей

Чтобы пользователи вашей организации могли аутентифицироваться в Zabbix с помощью SAML-приложения Identity Hub, необходимо явно добавить в ваше SAML-приложение нужных пользователей и/или группы пользователей.

1. Если вы настроили автоматическую регистрацию пользователей на стороне Zabbix, создайте необходимую группу:

   Интерфейс Cloud Center

   1. Войдите в сервис Yandex Identity Hub.
   2. На панели слева выберите Группы.
   3. В правом верхнем углу страницы нажмите Создать группу.
   4. Задайте название zabbix-users.
   5. Нажмите Создать группу.
   6. Добавьте пользователей в группу:
      1. Перейдите на вкладку Участники.
      2. Нажмите Добавить участника.
      3. В открывшемся окне выберите нужных пользователей.
      4. Нажмите Сохранить.

2. Добавьте пользователей в приложение:

   Интерфейс Cloud Center

   1. Войдите в сервис Yandex Identity Hub.
   2. На панели слева выберите Приложения и выберите нужное приложение.
   3. Перейдите на вкладку Пользователи и группы.
   4. Нажмите Добавить пользователей.
   5. В открывшемся окне выберите нужного пользователя или группу пользователей.
   6. Нажмите Добавить.

Убедитесь в корректной работе приложенияУбедитесь в корректной работе приложения

Чтобы убедиться в корректной работе SAML-приложения и интеграции с Zabbix, выполните аутентификацию в Zabbix от имени одного из добавленных в приложение пользователей. Для этого:

1. В браузере перейдите по адресу вашего экземпляра Zabbix (например, https://<your-domain>/zabbix/).
2. Если вы были авторизованы в Zabbix, выйдите из профиля.
3. На странице аутентификации Zabbix нажмите Sign in with Single Sign-On (SAML).
4. На странице аутентификации Yandex Cloud укажите адрес электронной почты и пароль пользователя. Пользователь должен быть добавлен в приложение или состоять в группе, добавленной в приложение.
5. Убедитесь, что вы авторизовались в Zabbix.