Documentation
Table of Contents
3 Groupes d'utilisateur
Aperçu
Les groupes d'utilisateurs permettent de regrouper les utilisateurs à la fois à des fins d'organisation et pour attribuer des autorisations aux données. Les autorisations de surveillance des données des groupes d'hôtes sont attribuées à des groupes d'utilisateurs, et non à des utilisateurs individuels.
Il peut souvent être judicieux de séparer les informations disponibles pour un groupe d'utilisateurs et celles pour un autre. Cela peut être accompli en regroupant les utilisateurs, puis en attribuant diverses autorisations aux groupes d'hôtes.
Un utilisateur peut appartenir à n'importe quel nombre de groupes.
Configuration
Pour configurer un groupe d'utilisateurs :
- Allez dans Administration → Groupes d'utilisateurs
- Cliquez sur Créer un groupe d'utilisateurs (ou sur le nom du groupe pour modifier un groupe existant)
- Modifiez les attributs de groupe dans le formulaire
L'onglet Groupe d'utilisateurs contient les attributs généraux du groupe :
Tous les champs de saisie obligatoires sont marqués d'un astérisque rouge.
| Paramètre | Description |
|---|---|
| Nom du groupe | Nom de groupe unique. |
| Utilisateurs | Pour ajouter des utilisateurs au groupe, commencez à taper le nom d'un utilisateur existant. Lorsque la liste déroulante avec les noms d'utilisateur correspondants apparaît, faites défiler vers le bas pour sélectionner. Vous pouvez également cliquer sur le bouton Sélectionner pour sélectionner les utilisateurs dans une fenêtre contextuelle. |
| Accès à l'interface | Comment les utilisateurs du groupe sont authentifiés. Valeur système par défaut - utiliser la méthode d'authentification par défaut (définie globalement) Interne - utilise l'authentification interne Zabbix (même si l'authentification LDAP est utilisée globalement). Ignoré si l'authentification HTTP est la valeur par défaut globale. LDAP - utilise l'authentification LDAP (même si l'authentification interne est utilisé globalement). Ignoré si l'authentification HTTP est la valeur globale par défaut. Désactivé - l'accès à l'interface Zabbix est interdit pour ce groupe |
| Activé | Statut du groupe d'utilisateurs et des membres du groupe. Coché - le groupe d'utilisateurs et les utilisateurs sont activés Décoché - le groupe d'utilisateurs et les utilisateurs sont désactivés |
| Mode debug | Cochez cette case pour activer le mode debug pour les utilisateurs. |
L'onglet Autorisations vous permet de spécifier l'accès du groupe d'utilisateurs aux données du groupe d'hôtes (et donc de l'hôte) :
Les autorisations actuelles des groupes d'hôtes sont affichées dans le bloc Permissions.
Si les autorisations actuelles du groupe d'hôtes sont héritées par tous les groupes d'hôtes imbriqués, cela est indiqué par le texte incluant les sous-groupes entre parenthèses après le nom du groupe d'hôtes.
Vous pouvez modifier le niveau d'accès à un groupe d'hôtes :
- Lecture-écriture : accès en lecture-écriture à un groupe d'hôtes ;
- Lecture - accès en lecture seule à un groupe d'hôtes ;
- Interdit - accès à un groupe d'hôtes refusé ;
- Aucun : aucune autorisation n'est définie.
Utilisez le champ de sélection ci-dessous pour sélectionner les groupes d'hôtes et leur niveau d'accès (notez que la sélection de Aucun supprimera le groupe d'hôtes de la liste si le groupe est déjà dans la liste). Si vous souhaitez inclure des groupes d'hôtes imbriqués, cochez la case Inclure les sous-groupes. Ce champ est auto-complété, donc commencer à taper le nom d'un groupe d'hôtes offrira une liste déroulante des groupes correspondants. Si vous souhaitez voir tous les groupes d'hôtes, cliquez sur Sélectionner.
Notez qu'il est possible pour les utilisateurs super administrateurs dans la configuration du groupe d'hôtes d'appliquer le même niveau d'autorisations aux groupes d'hôtes imbriqués que le groupe d'hôtes parent.
L'onglet Filtre de tag de problème vous permet de définir des autorisations basées sur les tags pour que les groupes d'utilisateurs voient les problèmes filtrés par nom de tag et sa valeur :
Pour sélectionner un groupe d'hôtes auquel appliquer un filtre de tag, cliquez sur Sélectionner pour obtenir la liste complète des groupes d'hôtes existants ou commencez à saisir le nom d'un groupe d'hôtes pour obtenir une liste déroulante des groupes correspondants. Si vous souhaitez appliquer des filtres de tag aux groupes d'hôtes imbriqués, cochez la case Inclure les sous-groupes.
Le filtre de tag permet de séparer l'accès au groupe d'hôtes de la possibilité de voir les problèmes.
Par exemple, si un administrateur de base de données n'a besoin de voir que les problèmes de base de données "MySQL", il doit d'abord créer un groupe d'utilisateurs pour les administrateurs de base de données, puis spécifier le nom de la tag "Service" et la valeur "MySQL".
Si le nom de tag "Service" est spécifié et que le champ de valeur est laissé vide, le groupe d'utilisateurs correspondant verra tous les problèmes du groupe d'hôtes sélectionné avec le nom de tag "Service". Si les champs de nom de tag et de valeur sont laissés vides mais que le groupe d'hôtes est sélectionné, le groupe d'utilisateurs correspondant verra tous les problèmes du groupe d'hôtes sélectionné. Assurez-vous qu'un nom de tag et une valeur de tag sont correctement spécifiés, sinon un groupe d'utilisateurs correspondant ne verra aucun problème.
Reprenons un exemple lorsqu'un utilisateur est membre de plusieurs groupes d'utilisateurs sélectionnés. Dans ce cas, le filtrage utilisera la condition OU pour les tags.
| Groupe d'utilisateurs A | Groupe d'utilisateurs B | Résultat visible pour un utilisateur (membre) des deux groupes | ||||
| Filtre de tag | ||||||
| Groupe d'hôtes | Nom de tag | Valeur de tag | Groupe d'hôtes | Nom de tag | Valeur de tag | |
| Templates/Databases | Service | MySQL | Templates/Databases | Service | Oracle | Problèmes visibles Service: MySQL ou Oracle |
| Templates/Databases | Vide | Vide | Templates/Databases | Service | Oracle | Tous les problèmes visibles |
| not selected | Vide | Vide | Templates/Databases | Service | Oracle | Problèmes visibles <Service:Oracle> |
L'ajout d'un filtre (par exemple, tous les tags d'un certain groupe d'hôtes "Templates/Databases") entraîne l'impossibilité de voir les problèmes des autres groupes d'hôtes.
Accès hôte de plusieurs groupes d'utilisateurs
Un utilisateur peut appartenir à n'importe quel nombre de groupes d'utilisateurs. Ces groupes peuvent avoir des autorisations d'accès différentes aux hôtes.
Par conséquent, il est important de savoir à quels hôtes un utilisateur non privilégié pourra accéder. Par exemple, examinons comment l'accès à l'hôte X (dans le groupe d'hôtes 1) sera affecté dans diverses situations pour un utilisateur qui se trouve dans les groupes d'utilisateurs A et B.
- Si le groupe A n'a qu'un accès en lecture au groupe d'hôtes 1, mais que le groupe B a un accès en lecture-écriture au groupe d'hôtes 1, l'utilisateur obtiendra un accès en lecture-écriture à 'X'.
Les autorisations "Lecture-écriture" ont priorité sur les autorisations "Lecture" à partir de Zabbix 2.2.
- Dans le même scénario que ci-dessus, si 'X' est simultanément également dans le groupe d'hôtes 2 qui est refusé au groupe A ou B, l'accès à 'X' sera indisponible, malgré un accès en lecture-écriture au groupe d'hôtes 1.
- Si le groupe A n'a pas d'autorisation définie et que le groupe B a un accès Lecture-écriture au groupe d'hôtes 1, l'utilisateur obtiendra un accès en Lecture-écriture à 'X'.
- Si le groupe A a un accès Refusé au groupe d'hôtes 1 et que le groupe B a un accès Lecture-écriture au groupe d'hôtes 1, l'utilisateur aura accès à 'X' refusé.
Autres détails
- Un utilisateur de niveau Admin avec un accès Lecture-écriture à un hôte ne pourra pas lier/dissocier des modèles, s'il n'a pas accès au groupe Modèles. Avec l'accès Lecture au groupe Modèles, il pourra lier/dissocier des modèles à l'hôte, cependant, il ne verra aucun modèle dans la liste des modèles et ne pourra pas opérer avec des modèles à d'autres endroits.
- Un utilisateur de niveau Admin avec un accès Lecture à un hôte ne verra pas l'hôte dans la liste des hôtes de la section de configuration ; cependant, les déclencheurs de l'hôte seront accessibles dans la configuration du service informatique.
- Tout utilisateur non Super Admin (y compris 'guest') peut voir les cartes du réseau tant que la carte est vide ou ne contient que des images. Lorsque des hôtes, des groupes d'hôtes ou des déclencheurs sont ajoutés à la carte, les autorisations sont respectées.
- Le serveur Zabbix n'enverra pas de notifications aux utilisateurs définis comme destinataires de l'opération d'action si l'accès à l'hôte concerné est explicitement "refusé".