Quelltext der Seite Zabbix Server Anmeldung mit Active Directory Benutzern oder LDAP Benutzern


[[Kategorie:Active_Directory]]
[[Kategorie:Zabbix]]
Zabbix stellt seit längerem auch die Möglichkeit zur Verfügung die Authentifizierung über LDAP durchzuführen.<br>
Dann kann man sich zum Beispiel auch mit seinem Windows Benutzernamen und Passwort anmelden.<br>
<br>
Da die Einrichtung bei mir mal wieder nicht auf Anhieb geklappt hat hier eine kleine Anleitung.<br>
<br>
<br>
----
==Voraussetzungen in Zabbix prüfen==
Damit das ganze funktioniert muss
* Das LDAP Modul von PHP installiert
* Zabbix mit dem Parameter <code>--with-ldap</code> kompiliert worden sein.<br>
<br>
Falls Ihr nach meiner Installationsanleitung vorgegangen seit
 http://znil.net/index.php?title=Zabbix_Server_%2B_Agent_unter_Ubuntu_14.04_LTS_installieren
habt Ihr schon alles ... falls Ihr das ganze nach dem 20.03.2015 gemacht habt. Vorher fehlten dazu die beiden obigen Dinge.<br>
<br>
<br>
also, php-Modul nachinstallieren:<br>
 apt-get install php5-ldap
 service apache2 restart
und Zabbix noch einmal neu kompilieren mit dem Parameter <code>--with-ldap</code>, siehe
 http://znil.net/index.php?title=Zabbix_Server_%2B_Agent_unter_Ubuntu_14.04_LTS_installieren#Als_Server
bei einer bestehenden Installation:<br>
* das <code>configure</code> noch einmal neu ausführen<br>
* <code>make</code> ausführen<br>
* Zabbix Dienste anhalten
 service zabbix-server stop
 service zabbix-agent stop
* neue Dateien installieren<br>
 make install
* Dienste wieder starten
 service zabbix-server start
 service zabbix-agent start
<br>
<br>
----
==Voraussetzungen Active Directory==
Ihr braucht im Active Directory einen Benutzer über den die Abfrage erfolgt.<br>
Dies kann ein einfacher Benutzer sein ohne weitere besondere Rechte. Meiner heißt in diesem Fall <code>ldapSearch</code><br>
Es reicht aus wenn er Mitglied der Gruppe "Domänen-Benutzer" ist:<br>
[[Datei:ZABBIX-LDAP-001.png]] [[Datei:ZABBIX-LDAP-002.png]] [[Datei:ZABBIX-LDAP-003.png]]<br>
<br>
Ihr solltet auch unbedingt die Option setzen das das Kennwort niemals abläuft!<br>
<br>
<br>
----
==Vorbereitungen in Zabbix==
Zunächst sollten wir eine Gruppe und einen Benutzer anlegen:<br>
<br>
<br>
----
===Admin auf lokale Anmeldung festlegen===
Wenn wir die Anmeldung auf LDAP umgestellt haben funktioniert im ersten Moment auch nur noch die Anmeldung mit einem Active Directory Benutzer!<br>
Zumindest ein Benutzer sollte sich aber auch später auch am LDAP vorbei Anmelden können.<br>
<br>
Dazu richten wir eine neue Gruppe in Zabbix ein:<br>
[[Datei:ZABBIX-LDAP-004.png]]<br>
Meine Gruppe heißt <code>noLDAP</code>, der Name ist aber beliebig.<br>
Wichtig das ihr<br>
* den '''''Frontend access''''' auf '''''Internal''''' setzt
* den Benutzer hinzufügt der sich auch später noch mit seinem lokalem Passwort anmelden können soll
<br>
Alle Benutzer die später nicht in dieser Gruppe sind müssen dann Active Directory Benutzer sein!!!!<br>
<br>
<br>
----
===Ersten Active Directory Benutzer anlegen===
Den ersten Benutzer müssen wir aber noch einmal in Zabbix inklusive Passwort anlegen:<br>
[[Datei:ZABBIX-LDAP-005.png]]<br>
Wichtig ist das der '''''Alias''''' und das '''''Passwort''''' identisch mit den Daten unter Windows (Benutzername und Passwort) ist.<br>
Das müssen wir auch nur beim ersten Benutzer so machen - später legt Ihr die Benutzer einfach nur an die auf Zabbix zugreifen sollen - das Passwort-Feld gibt es nach der Umstellung nicht mehr.<br>
Dieser erste LDAP Benutzer '''MUSS''' ein Zabbix Administrator sein! Denn wir stellen als dieser Benutzer die Authentifizierung in Zabbix um.<br>
<br>
<br>
----

==Umstellung auf LDAP==
Wir melden uns als der eben neu angelegte Admin Benutzer mit dem Windows Kontonamen und Passwort an und gehen auf<br>
 Administration - Authentication
Zunächst oben auf {{Key|LDAP}} umschalten, dann füllen wir die Felder wie folgt:<br>
:[[Datei:ZABBIX-LDAP-006.png]]<br>
<br>
* LDAP host:
::Die IP-Adresse oder der DNS Name eines Active Directory Domänencontrollers der für die Abfrage verwendet werden soll mit einem <code>ldap://</code> davor.<br>
::Hat euer Domänencontroller die IP-Adresse <code>192.168.42.80</code> tragt Ihr hier also folgendes ein:<br>
 ldap://192.168.42.80
<br>
* Port:
::Port <code>389</code> ist der Standard Port für unverschlüsselte Anfragen (mit Verschlüsselung wird separat beschrieben)
<br>
* Base DN:
::In diesem Beispiel ist der DNS-Domänenname <code>znil.local</code>. Die Base DN dafür ist dann<br>
 DC=znil,DC=local
<br>
* Search attribute:
::Wir wollen hier den Anmeldenamen unserer Windows-Benutzer nehmen. Im Active Directory intern heißt diese Feld <code>sAMAccountName</code> weshalb wir diese Bezeichnung hier angeben müssen:<br>
 sAMAccountName
<br>
* Bind DN:
::Hier müssen wir den genauen '''''Distinguished Name''''' (DN) des Benutzers angeben mit dem wir uns am Active Directory anmelden um es abzufragen.<br>
::Dafür haben wir zuvor extra den Benutzer '''''ldapSearch''''' angelegt.<br>
::Doch wie bekommt Ihr den genauen DN dieses Benutzers? Meldet euch an einem Domänencontroller an und führt folgenden befehl aus:<br>
 dsquery user -samid ldapSearch
::[[Datei:ZABBIX-LDAP-007.png]]<br>
::Das Ergebnis ist der genau DN! diesen können wir dann einfach hier hinein kopieren.<br>
 CN=ldapSearch,OU=3.Funktionsbenutzer,DC=znil,DC=local
<br>
* Bind Password:
::Hier einfach das Passwort unseres Benutzers für die LDAP-Abfragen einsetzen.<br>
<br>
* Login:
::Hier können wir nichts eintragen sondern Zabbix nimmt fest den Namen des aktuell angemeldeten Benutzers. Deshalb haben wir auch vorher unseren Windows Benutzer hier in Zabbix angelegt und uns mit diesem angemeldet.<br>
<br>
* Passwort:
::Hier das Passwort des Benutzer angeben wie es in Windows genutzt wird.<br>
<br>
<br>
Dann drücken wir auf {{Key|Test}}:<br>
* Wenn es einen Fehler gibt erscheint oben ein roter Kasten mit dem genauen Fehler, hier die typischen:<br>
**[[Datei:ZABBIX-LDAP-008.png]]<br>
::'''''LDAP: Cannot Bind by given Bind DN'''''<br>
::Das Kennwort des Benutzer für die AD-Abfragen ist falsch (oder der DN). ACHTUNG: Das Kennwort müsst Ihr jedesmal neu eingeben, auch wenn das noch **** drin stehen - JEDES MAL!<br>
<br>
**[[Datei:ZABBIX-LDAP-009.png]]<br>
::'''''Login name or password is incorrect'''''<br>
::Wie es da steht - Entweder stimmt der Name oder das Passwort unseres Test Benutzers nicht<br>
<br>
** "Leerer Bildschirm"<br>
::Es ist nichts zu sehen / keine Felder etc. mehr<br>
::Die PHP-LDAP Erweiterung fehlt oder ist noch nicht aktiv. Hattet Ihr diese schon installiert startet den Apache Server oder aber den ganzen Zabbix Server einmal neu<br>
<br>
** Der Dialog erscheint einfach wieder wie zuvor
::Prima, es hat alles geklappt! Tragt die beiden Passwörter noch einmal neu ein und drückt auf {{Key|Update}}<br>
<br>
::[[Datei:ZABBIX-LDAP-010.png]]<br>
noch mal auf {{Key|OK}} und es ist geschafft!<br>
[[Datei:ZABBIX-LDAP-011.png]]<br>
<br>
<br>
----

==Weitere AD / Windows Benutzer hinzufügen==
Wollen wir nun weitere Benutzer in Zabbix nutzen so legen wir diese wie vorher einfach in Zabbix an.<br>
Wichtig ist das der <code>Alias</code> mit dem Windows-Anmeldenamen übereinstimmt.<br>
Das Kennwort können wir nun nicht mehr setzen:<br>
[[Datei:ZABBIX-LDAP-012.png]]<br>
<br>
Die Rechte an den Benutzer vergeben wir ganz normal wie zuvor bei den lokalen Benutzern.<br>
<br>
<br>
----
==Trotz LDAP einen lokalen Benutzer anlegen==
Wollt ihr trotz der Umstellung einen weiteren lokalen Benutzer anlegen so legt diesen an und fügt die Gruppe "'''''noLDAP'''''" hinzu die wir am Anfang erstellt haben.<br>
Sobald Ihr diese Gruppe beim Benutzer hinzugefügt habt erscheinen die Felder für die Passwörter wieder:<br>
[[Datei:ZABBIX-LDAP-013.png]]<br>
<br>
<br>
----
==LDAP Abfrage mit Verschlüsselung nutzen==
{{Warnung| LDAP über SSL ist auf einem Windows Domänencontroller ab Werk NICHT eingeschaltet und Konfiguriert! Ihr müsst das also erst auf eurem Domänencontroller aktivieren! Da muss man etwas mehr machen weshalb ich das an dieser Stelle nicht beschreiben}}<br>
Wenn Ihr alles wie zuvor beschrieben eingerichtet hat findet die Kommunikation zwischen dem Zabbix-Server und dem Domänencontroller unverschlüsselt statt.<br>
Soll diese verschlüsselt stattfinden so ändert folgendes:<br>
[[Datei:ZABBIX-LDAP-014.png]]<br>
<br>
* Ändert in der Zeile '''''LDAP host''''' das <code>ldap://</code> zu <code>ldaps://</code><br>
* Ändert in der Zeile '''''Port''''' die Nummer von <code>389</code> zu <code>636</code>
<br>
<br>
----
==Active Directory Gruppen statt Benutzern verwenden==
Nun wäre es bequemer wenn man eine Gruppe definieren könnte dessen Mitglieder sich dann in Zabbix anmelden können.<br>
Geht aber leider nicht, ist aber schon seit langer Zeit auf der Wunschliste bei Zabbix:<br>
 https://support.zabbix.com/browse/ZBXNEXT-276
Es gibt jemanden der ein Synchonisierungs-Script dafür geschrieben hat:<br>
 http://unix-heaven.org/node/105
welches die Benutzer bestimmter Gruppen immer automatisch in Zabbix importiert - das habe ich aber noch nicht getestet.<br>
<br>
<br>
----
==Hilfe ich habe mich ausgesperrt / LDAP funktioniert nicht mehr==
Falls die Abfrage gegen LDAP / Active Directory nicht mehr funktioniert kann dieses an vielen Gründen liegen:<br>
* Es gibt den Domänencontroller für die LDAP-Abfrage nicht mehr
* Das Benutzer-Objekt des Benutzers für die LDAP-Abfrage wurde in eine andere OU verschoben
* Eine der OU's im Pfad des Benutzerkontos wurde umbenannt
<br>
An sich kein Problem - meldet euch mit einem Benutzer an der auf "'''interne Anmeldung'''" gesetzt wurde (Siehe weiter oben) und korrigiert die LDAP-Einstellungen.<br>
Habt Ihr keinen Benutzer auf lokale Anmeldung gesetzt so könnt Ihr mit einem Eingriff in die Datenbank die Anmeldung wieder auf "Intern" setzen:<br>
 mysql -u root -p
 use zabbix;
 update config set authentication_type=0 where configid=1;
Zeile 1 baut eine Verbindung zur Zabbix-Datenbank auf und fragt dabei nach dem Passwort.<br>
Zeile 2 wählt die Zabbix-Datenbank aus - den Namen müsst Ihr ggf. anpassen.<br>
Zeile 3 ändern die Anmeldung wieder auf Intern.<br>
<br>
Das funktioniert sofort und Neustart von Zabbix.<br>
Allerdings braucht Ihr trotzdem 2 Dinge:<br>
* Einen vorhandenen lokalen Benutzernamen - den {{Key|admin}} oder {{Key|Admin}} sollte es immer geben
* Das Passwort für den Benutzer - das des Admins wäre ab Werk {{Key|zabbix}}
<br>
<br>
----
==Kommentare==
<comments />