使用 ActiveDirectory WIN 2016-ADFS 的 Zabbix SAML 配置

Question

我被 Zabbix SAML 设置困住了。 zabbix中ADFS没有正确的设置。作为 SSO 的新手，ADFS 中的 SSO 非常困难且难以理解。有人使用 ADFS 正确配置 Zabbix 吗？

Zabbix SSO URL：https://xx.xxx.xx.xx/index_sso.php?acs（与 ADFS 端点相同）

这是我测试过的 Zabbix 版本

Zabbix 版本：5.45 使用设备 qcow2（前端 nginx）

Zabbix版本：6.4X最新稳定版本设备qcwo2（前端nginx）

错误：进入用户属性时未找到这两个版本。在 Zabbix Saml 设置中使用区分大小写登录选项时，给属性 NameID 或 Name ID 提供相同的错误。

Nginx 日志：

FastCGI 在 stderr 中发送：“PHP 消息：PHP 警告：未定义的变量 /usr/share/zabbix/index_sso.php 中的 $user_attributes 第 194PHP 行 消息：PHP 致命错误：未捕获类型错误：array_key_exists(): 参数 #2 ($array) 必须是数组类型，在中给出的为 null /usr/share/zabbix/index_sso.php:194 堆栈跟踪： #0 {main} 在从上游读取响应头时，在第 194 行的 /usr/share/zabbix/index_sso.php 中抛出，客户端：xx.xxx.x.xx， 服务器：，请求：“POST /index_sso.php？acs HTTP/1.1”，上游： “fastcgi://unix:/run/php-fpm/zabbix.sock:”，主机：“xx.xxx.xxx.xx”， 引荐来源：“https://stack.example.local/”

下面是Zabbix SAML设置的截图

ADFS设置截图如下

信赖方标识符 https://xx.xx.xx.xx/（与zabbix SP实体ID字段相同）

ADFS 索赔规则

Answer 1

最终我成功将zabbix SAML与ADFS-Win-2016集成。

这是我的解决方法和配置参考屏幕截图如下

Zabbix SAML 配置：

在Zabbix中创建一个AD用户，使用完全限定的域名登录（注意：在zabbix中创建用户时可以给出任何密码）

示例： [电子邮件受保护]（确保用户在 Active Directory 服务器中退出）

这是我的 ADFS 依赖方信任 zabbix-AdFs 的属性

索取 zabbix-AdFs

现在尝试登录Zabbix URL https://10.10.10.2 URL 重定向到 https://10.100.10.2/index_sso.php?acs

或从 ADFS idps 中选择 url

https://adz.addomain.local/adfs/ls/idpinitiatedsignon.aspx

选择zabbix-AdFs

以 zabbix 用户身份登录

用户名：[电子邮件受保护]

密码：XXXXXXXXXXXXXXX（ActiveDirectory 密码）

注意如果您使用域帐户（addomain.local）登录Windows，那么它不会使用idp url询问密码

用于自动创建 Active Directory (AD) 用户以及在 Zabbix 中映射用户组和角色的 JIT（即时）配置仍然悬而未决。请让大家了解这一进展。

如果有人知道如何在 zabbix.config.php 中启用 SAML 日志记录，请分享激活调试模式的步骤并指定在哪里查找日志文件。

谢谢您！