Двухфакторная аутентификация для Zabbix

Последнее обновление 17 сентября 2026Копировать как MarkdownОткрыть как Markdown

Описание

Zabbix умеет проверять учётные данные пользователей в каталоге по протоколу LDAP. Если вместо адреса контроллера домена указать адрес локального инстанса Simple2FA, к проверке пароля добавится второй фактор: пользователь подтверждает вход на своём устройстве, и только после этого Zabbix пускает его в систему.

Метод подключения — LDAP-прокси. Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает Zabbix и вводит логин и пароль.
2. Zabbix обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации — Active Directory, FreeIPA, OpenLDAP или другом.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и Zabbix открывает сессию.

Перед началом работы

• В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — шаги 1 и 2 общей инструкции.
• С сервера Zabbix открыт доступ к инстансу по порту LDAP (1389) или LDAPS (1636).
• В каталоге есть сервисная учётная запись с правом чтения дерева, и её DN добавлен в список сервисных — иначе второй фактор будет запрашиваться у неё.
• Тестовый пользователь заведён в Simple2FA, входит в группу с доступом к ресурсу, и у него настроен push, Telegram или MAX.

Подготовка в Simple2FA

В панели администратора создайте ресурс:

Поле	Значение
Название	Zabbix
Протокол	LDAP
CIDR клиентов LDAP	IP-адрес сервера Zabbix, например 10.0.0.25/32
Проверять первый фактор	Включить
Поставщики учётных записей	Каталог, в котором проверяется пароль

Добавьте ресурс в группу пользователей, которым разрешён вход в Zabbix.

Настройка Zabbix

1. Войдите в веб-интерфейс Zabbix под администратором с внутренней аутентификацией.
2. Откройте настройки аутентификации: в Zabbix 6.4 и новее — «Пользователи → Аутентификация», в более ранних версиях — «Администрирование → Аутентификация».

3. На вкладке LDAP включите LDAP-аутентификацию и добавьте сервер:

   • Host (адрес сервера) — адрес локального инстанса Simple2FA. Для LDAPS укажите его в виде ldaps://simple2fa.example.local;
   • Port — 1389 для LDAP или 1636 для LDAPS;
   • Base DN — база поиска в вашем каталоге, например DC=example,DC=local. Это адрес настоящего каталога, а не инстанса;
   • Search attribute — sAMAccountName для Active Directory, uid для типового LDAP-каталога;
   • Bind DN — DN сервисной учётной записи, например CN=ldapbind,CN=Users,DC=example,DC=local;
   • Bind password — её пароль из каталога.

4. Проверьте настройку кнопкой Test: укажите логин и пароль тестового пользователя. На его устройство придёт запрос подтверждения — подтвердите вход, и тест завершится успешно.

5. Сохраните настройки и на вкладке Аутентификация выберите LDAP в поле «Способ аутентификации по умолчанию».

Не закрывайте текущую сессию

Пока вход через LDAP не проверен, держите открытой сессию администратора с внутренней аутентификацией. Аварийно вернуть внутренний способ входа можно только в базе данных Zabbix: в версиях 6.0 и новее параметр authentication_type хранится в таблице settings, в более ранних — в таблице config.

Пользователи и время ожидания

Учётные записи, под которыми пользователи входят в Zabbix, должны существовать в самом Zabbix: в версиях до 6.4 создайте их заранее, в 6.4 и новее можно настроить создание при первом входе (JIT provisioning) — поиск групп и атрибутов прокси передаёт в каталог.

Если Zabbix разрывает соединение раньше, чем пользователь успевает подтвердить вход, уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA (например, до 30 секунд) — ожидание LDAP на стороне веб-интерфейса Zabbix отдельной настройкой не регулируется.

Проверка работы

1. Откройте страницу входа Zabbix в отдельном браузере или в приватном окне.
2. Введите логин и пароль тестового пользователя.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что Zabbix открыл сессию, а в журнале «Попытки авторизации» появилась успешная попытка на ресурсе Zabbix.

Смотрите также

• Приложения с входом по LDAP — общая часть настройки и диагностика
• Ресурсы
• Настройка ресурсов