Zabbix: Benutzer, Rollen, MFA und SSO mit Entra ID

Aus maxTechCorner

Auf einen Blick

Gilt fürZabbix 7.0 LTS bzw. 7.4; Benutzergruppen, Benutzerrollen, Mehr-Faktor-Anmeldung (TOTP, Duo) ab 7.0, SAML-SSO mit Microsoft Entra ID inkl. JIT-Provisioning, LDAP/Active Directory, API-Token
BereichServer-Software
DauerRechtekonzept ca. 1 Stunde; Entra-ID-Anbindung ca. 1 Stunde
RechteZabbix-Superadministrator; in Entra ID Anwendungsadministrator; Zugriff auf das Dateisystem des Zabbix-Frontends für Zertifikate
StandOktober 2026

Benutzer, Rollen und Anmeldung in Zabbix bestimmen, wer welche Hosts sieht, wer Konfigurationen ändert und wer Probleme bestätigen darf. Zabbix trennt dabei sauber zwischen Benutzergruppen (welche Hosts) und Benutzerrollen (welche Funktionen). Seit Version 7.0 gibt es eine eingebaute Mehr-Faktor-Anmeldung, und mit SAML melden sich Mitarbeitende über Microsoft Entra ID an – Konten und Gruppenzuordnung entstehen dabei automatisch. Diese Anleitung zeigt ein Rechtekonzept, die Einrichtung von MFA, Entra ID und LDAP sowie den sicheren Umgang mit API-Token.

Benutzer und Anmeldung in Zabbix: Benutzerrollen User, Admin, Super admin regeln Menüs, Aktionen und API; Benutzergruppen regeln Lese- und Schreibrechte auf Hostgruppen und Vorlagengruppen sowie Tag-Filter; Mehr-Faktor-Anmeldung mit TOTP (SHA-1/256/512, 6 oder 8 Ziffern) oder Duo je Benutzergruppe; SAML mit Entra ID, Antwort-URL index_sso.php?acs, Just-in-Time-Provisioning mit Zuordnung von Entra-Gruppen zu Zabbix-Gruppen und Rollen, optional SCIM; LDAP mit LDAPS; API-Token für Skripte und Grafana mit Ablaufdatum; Admin-Konto mit Standardpasswort sofort ändern.

Das Rechtemodell von Zabbix

Baustein Regelt Beispiele
Benutzerrolle Typ (User, Admin, Super admin) und welche Menüs, Aktionen und API-Methoden erlaubt sind „Leitstand“ (nur Ansehen, Bestätigen), „Netzwerk-Admin“ (Konfiguration), „Superadmin“
Benutzergruppe Lese-/Schreibrechte auf Hostgruppen und Vorlagengruppen, Filter über Tags, Frontend-Zugang, MFA-Methode „Netzwerk“ → Schreiben auf Netzwerk/*, „Server-Team“ → Schreiben auf Server/*
Benutzer Mitglied in Gruppen, genau eine Rolle, eigene Medien –
  • Ein User sieht nur Hosts, auf die seine Gruppen Leserechte haben; Admin darf zusätzlich Hosts und Vorlagen der Gruppen konfigurieren, auf die er Schreibrecht hat; Super admin darf alles.
  • Rechte addieren sich über Gruppen; „Verweigern“ hat Vorrang.
  • Den mitgelieferten Benutzer Admin umbenennen bzw. mit starkem Passwort und MFA als Notfallzugang behalten; den Benutzer guest deaktiviert lassen.

Schritt 1: Rollen und Gruppen anlegen

Users › User roles und Users › User groups:

Gruppe Hostgruppen-Rechte Rolle
Leitstand / Service Desk Lesen auf alle eigene Rolle „Leitstand“ (Typ User, Bestätigen erlaubt)
Netzwerk Schreiben auf Netzwerk/* Admin
Server-Team Schreiben auf Server/* Admin
Monitoring-Administratoren alles Super admin (2–3 Personen)

Schritt 2: Mehr-Faktor-Anmeldung (ab 7.0)

  1. Users › Authentication, Reiter MFA settings: MFA aktivieren und eine Methode anlegen:
    • TOTP (Authenticator-App): Algorithmus SHA-1 (beste Kompatibilität) oder SHA-256/512, 6 oder 8 Ziffern.
    • Duo Universal Prompt: API-Hostname, Client-ID und Client-Secret aus Duo.
  2. In den Benutzergruppen die MFA-Methode zuweisen (Default oder eine bestimmte Methode).
  3. Beim nächsten Login richtet jeder Benutzer seinen Authenticator per QR-Code ein. Geht das Gerät verloren, setzt ein Superadministrator das TOTP-Geheimnis des Benutzers zurück.

Bei SSO übernimmt der Identitätsanbieter die Mehr-Faktor-Anmeldung. Grundlagen: Zwei-Faktor-Authentifizierung.

Schritt 3: SAML mit Microsoft Entra ID

In Entra ID:

  1. Unternehmensanwendungen › Neue Anwendung › Eigene Anwendung erstellen (Nicht-Katalog), Einmaliges Anmelden › SAML.
  2. Bezeichner (Entitäts-ID): z. B. zabbix; Antwort-URL (ACS): https://zabbix.firma.de/index_sso.php?acs – ggf. mit Unterpfad, z. B. /zabbix/index_sso.php?acs; Abmelde-URL https://zabbix.firma.de/index_sso.php?sls.
  3. Ansprüche: Benutzername (z. B. user.userprincipalname), E-Mail, Vor- und Nachname, für JIT zusätzlich ein Gruppenanspruch (Gruppen, die der Anwendung zugewiesen sind).
  4. Zertifikat (Base64) herunterladen; Zuweisung erforderlich aktivieren und Gruppen zuweisen.

In Zabbix:

  1. Das Entra-Zertifikat als conf/certs/idp.crt im Zabbix-Webverzeichnis ablegen (bei Paketinstallation unter /usr/share/zabbix/); andere Pfade über $SSO['IDP_CERT'] in zabbix.conf.php. Das PHP-Modul OpenSSL muss installiert sein. Steht Zabbix hinter einem Reverse Proxy, in $SSO['SETTINGS'] use_proxy_headers auf true setzen.
  2. Users › Authentication › SAML settings: SAML aktivieren, IdP entity ID und SSO service URL aus Entra ID, Username attribute, SP entity ID = zabbix, Signatur der Assertions verlangen.
  3. JIT provisioning aktivieren (dazu unter Authentication eine Benutzergruppe für entzogene Konten festlegen): Group name attribute angeben und User group mapping anlegen – Entra-Gruppe „GG-Zabbix-Netzwerk“ → Zabbix-Gruppe Netzwerk mit Rolle Admin usw. (die Zabbix-Gruppen müssen vorher existieren; bei mehreren Treffern gilt die höchste Rolle); optional Media type mapping für die E-Mail-Adresse.
  4. Unter Authentication den Standard für die Anmeldung festlegen; die Zabbix-eigene Anmeldung für Notfallkonten erhalten.
  • Mit SCIM (Endpunkt https://zabbix.firma.de/api_scim.php, API-Token eines Superadministrators) kann Entra ID per JIT angelegte Konten zusätzlich aktualisieren und deaktivieren.
  • Die Mehr-Faktor-Anmeldung regelt Entra ID über bedingten Zugriff. Grundlagen: SAML, Entra ID.

Alternative: LDAP bzw. Active Directory

  • Users › Authentication › LDAP settings: Server mit ldaps:// (Port 636), Basis-DN, Suchattribut sAMAccountName, Bind-Konto mit Leserechten. Mehrere LDAP-Server sind möglich.
  • Auch für LDAP gibt es JIT-Provisioning mit Gruppenzuordnung; Benutzer ohne passende Gruppe erhalten keinen Zugang.
  • LDAP prüft nur das Passwort – die Zabbix-MFA ergänzt den zweiten Faktor.

Grundlagen: LDAP, Active Directory.

API-Token

  • Für Skripte, Automatisierung und die Anbindung an Grafana (Zabbix-Plugin) API-Token unter Users › API tokens bzw. in den Benutzereinstellungen erzeugen – mit Ablaufdatum und an einen technischen Benutzer mit minimalen Rechten gebunden (für Grafana: nur Lesen).
  • Token wie Passwörter behandeln; nicht in Skripten im Klartext ablegen.

Hinweise

  • Regelmäßig prüfen: Benutzer ohne Anmeldung seit Monaten, Token ohne Ablauf, unnötige Superadministratoren.
  • Prüfprotokoll: Reports › Audit log zeigt Anmeldungen und Konfigurationsänderungen.
  • Bei Anbindung an Microsoft Entra ID und Rechtekonzepten unterstützt Sie das Team Cybersecurity von m.a.x. it.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Zabbix:_Benutzer,_Rollen,_MFA_und_SSO_mit_Entra_ID&oldid=5110“