Cloudflare Access (Zero Trust) – Google pro web, ZbxView bez přihlašovací stránky

Cloudflare Access postaví před Zabbix přihlášení (Google, Microsoft Entra, GitHub…). V prohlížeči to funguje, ale aplikace volající API Zabbixu přes přihlašovací stránku neprojde – Access by jí místo dat vrátil právě tu stránku. Lidé se proto v prohlížeči dál přihlašují Googlem a ZbxView se prokáže jinak: service tokenem ve vlastních HTTP hlavičkách, nebo klientským certifikátem na vlastním hostname.

1. Aplikace Access pro Zabbix

1. V Cloudflare otevřete Zero Trust → Access controls → Applications → Add an application → Self-hosted a zadejte hostname Zabbixu, např. zabbix.example.com.
2. Přidejte politiku s akcí Allow pro lidi, např. Include → Emails ending in → @example.com, a jako způsob přihlášení zvolte Google. Prohlížeč teď před Zabbixem chce přihlášení Googlem.

2. Cesta A – service token v hlavičkách (ZbxView 0.66+)

1. Zero Trust → Access controls → Service credentials → Service Tokens → Create Service Token. Zkopírujte Client ID a Client Secret – secret Cloudflare ukáže jen jednou.
2. V aplikaci Zabbixu přidejte druhou politiku s akcí Service Auth (ne Allow – ta by chtěla přihlášení) a Include → Service Token → váš token.
3. Token předejte aplikaci jako dvě hlavičky, každou na vlastní řádek. Kudy:

CF-Access-Client-Id: <client-id>.access
CF-Access-Client-Secret: <client-secret>

• Ručně v aplikaci
  U serveru v sekci Zabezpečení spojení → Vlastní HTTP hlavičky.
• QR kód z modulu ZbxView connect 1.9+
  Administrace → Konfigurace telefonu → karta Vlastní HTTP hlavičky. Hlavičky pak nese každý párovací kód. Návod k modulu
• MDM / Intune
  Klíč custom_headers (řetězec, jedna hlavička na řádek). Tabulka klíčů

Token projde jen přes Access. Zabbix dál ověřuje API token nebo heslo každého uživatele, takže každý je v Zabbixu sám za sebe.

3. Cesta B – klientský certifikát na hostname pro aplikaci (ZbxView 0.46+)

Access s klientským certifikátem (mTLS v Zero Trust) potřebuje vlastní kořenovou CA a placený plán Zero Trust. Na plánu Free použijte klientské certifikáty zóny: dejte aplikaci vlastní hostname, který v aplikaci Access není.

1. V nastavení tunelu přidejte druhý veřejný hostname (Public hostname), např. zabbix-app.example.com, na stejný Zabbix.
2. Ochraňte ho klientským certifikátem a pravidlem WAF podle návodu Klientský certifikát (mTLS) a certifikát předejte telefonům (QR, MDM nebo ručně).
3. V aplikaci zadejte jako adresu serveru https://zabbix-app.example.com. Lidé v prohlížeči zůstávají na zabbix.example.com s přihlášením Googlem.

4. Ověření

Tlačítko Otestovat u serveru v aplikaci musí vrátit verzi Zabbixu. Když místo toho skončí chybou, Access token nepřijal: zkontrolujte politiku Service Auth a názvy obou hlaviček. Prohlížeč bez přihlášení musí dál dostat přihlášení Googlem.

← zpět na hlavní stránku