# Двухфакторная аутентификация для Zabbix

## Описание

Zabbix умеет проверять учётные данные пользователей в каталоге по протоколу LDAP. Если вместо адреса контроллера домена указать адрес локального инстанса Simple2FA, к проверке пароля добавится второй фактор: пользователь подтверждает вход на своём устройстве, и только после этого Zabbix пускает его в систему.

Метод подключения — [LDAP-прокси](index.md). Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает Zabbix и вводит логин и пароль.
2. Zabbix обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации — Active Directory, FreeIPA, OpenLDAP или другом.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и Zabbix открывает сессию.

## Перед началом работы

- В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — [шаги 1 и 2 общей инструкции](index.md#шаг-1-включить-ldap-прокси).
- С сервера Zabbix открыт доступ к инстансу по порту LDAP (`1389`) или LDAPS (`1636`).
- В каталоге есть сервисная учётная запись с правом чтения дерева, и её DN добавлен в список сервисных — иначе второй фактор будет запрашиваться у неё.
- Тестовый пользователь заведён в Simple2FA, входит в группу с доступом к ресурсу, и у него настроен push, Telegram или MAX.

## Подготовка в Simple2FA

В панели администратора создайте [ресурс](../../admin/resources.md):

| Поле | Значение |
| --- | --- |
| Название | Zabbix |
| Протокол | LDAP |
| CIDR клиентов LDAP | IP-адрес сервера Zabbix, например `10.0.0.25/32` |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Каталог, в котором проверяется пароль |

Добавьте ресурс в группу пользователей, которым разрешён вход в Zabbix.

## Настройка Zabbix

1. Войдите в веб-интерфейс Zabbix под администратором с внутренней аутентификацией.
2. Откройте настройки аутентификации: в Zabbix 6.4 и новее — **«Пользователи → Аутентификация»**, в более ранних версиях — **«Администрирование → Аутентификация»**.
3. На вкладке **LDAP** включите LDAP-аутентификацию и добавьте сервер:

    - **Host** (адрес сервера) — адрес локального инстанса Simple2FA. Для LDAPS укажите его в виде `ldaps://simple2fa.example.local`;
    - **Port** — `1389` для LDAP или `1636` для LDAPS;
    - **Base DN** — база поиска в вашем каталоге, например `DC=example,DC=local`. Это адрес настоящего каталога, а не инстанса;
    - **Search attribute** — `sAMAccountName` для Active Directory, `uid` для типового LDAP-каталога;
    - **Bind DN** — DN сервисной учётной записи, например `CN=ldapbind,CN=Users,DC=example,DC=local`;
    - **Bind password** — её пароль из каталога.

4. Проверьте настройку кнопкой **Test**: укажите логин и пароль тестового пользователя. На его устройство придёт запрос подтверждения — подтвердите вход, и тест завершится успешно.
5. Сохраните настройки и на вкладке **Аутентификация** выберите **LDAP** в поле «Способ аутентификации по умолчанию».

!!! warning "Не закрывайте текущую сессию"
    Пока вход через LDAP не проверен, держите открытой сессию администратора с внутренней аутентификацией. Аварийно вернуть внутренний способ входа можно только в базе данных Zabbix: в версиях 6.0 и новее параметр `authentication_type` хранится в таблице `settings`, в более ранних — в таблице `config`.

### Пользователи и время ожидания

Учётные записи, под которыми пользователи входят в Zabbix, должны существовать в самом Zabbix: в версиях до 6.4 создайте их заранее, в 6.4 и новее можно настроить создание при первом входе (JIT provisioning) — поиск групп и атрибутов прокси передаёт в каталог.

Если Zabbix разрывает соединение раньше, чем пользователь успевает подтвердить вход, уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA (например, до 30 секунд) — ожидание LDAP на стороне веб-интерфейса Zabbix отдельной настройкой не регулируется.

## Проверка работы

1. Откройте страницу входа Zabbix в отдельном браузере или в приватном окне.
2. Введите логин и пароль тестового пользователя.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что Zabbix открыл сессию, а в журнале [«Попытки авторизации»](../../admin/auth-attempts.md) появилась успешная попытка на ресурсе Zabbix.

## Смотрите также

- [Приложения с входом по LDAP](index.md) — общая часть настройки и диагностика
- [Ресурсы](../../admin/resources.md)
- [Настройка ресурсов](../index.md)