ユーザーグループ
概要
ユーザーグループを使用すると、組織上の目的やデータへの権限割り当てのために、ユーザーをグループ化できます。 ホストグループおよびテンプレートグループのデータの表示と設定に関する権限は、個々のユーザーではなく、ユーザーグループに割り当てられます。
あるユーザーグループが利用できる情報と、別のユーザーグループが利用できる情報を分けることが適切な場合があります。 これは、ユーザーをグループ化し、ホストグループおよびテンプレートグループに異なる権限を割り当てることで実現できます。
ユーザーは、任意の数のグループに所属できます。
設定
ユーザーグループを設定するには、次の手順を実行します。
- ユーザー > ユーザーグループ に移動します。
- ユーザーグループの作成 をクリックします（既存のグループを編集する場合は、グループ名をクリックします）。
- フォームでグループ属性を編集します。
ユーザーグループ タブには、一般的なグループ属性が含まれています。
すべての必須入力フィールドには、赤いアスタリスクが付いています。
| パラメータ | 説明 |
|---|---|
| グループ名 | 一意のグループ名。 |
| ユーザー | ユーザーをグループに追加するには、既存のユーザー名の入力を開始します。一致するユーザー名を含むドロップダウンが表示されたら、スクロールして選択します。 または、選択 ボタンをクリックして、ポップアップでユーザーを選択できます。 |
| Webインターフェースへのアクセス | グループのユーザーを認証する方法。 システムのデフォルト - デフォルトの認証方法を使用します（グローバルに設定）。 内部 - Zabbix内部認証を使用します（グローバルでLDAP認証が使用されている場合でも同様）。 HTTP認証がグローバルのデフォルトの場合は無視されます。 LDAP - LDAP認証を使用します（グローバルで内部認証が使用されている場合でも同様）。 HTTP認証がグローバルのデフォルトの場合は無視されます。 無効 - このグループのZabbix Webインターフェースへのアクセスを禁止します。 |
| LDAPサーバー | ユーザーの認証に使用するLDAPサーバーを選択します。 Webインターフェースへのアクセス がLDAPまたはシステムのデフォルトに設定されている場合のみ、このフィールドが有効になります。 |
| 多要素認証 | ユーザーの認証に使用する多要素認証の方法を選択します。 デフォルト - MFA設定でデフォルトとして設定されている方法を使用します。MFAが有効な場合、新しいユーザーグループではデフォルトでこのオプションが選択されます。 <方法名> - 選択した方法を使用します（例: 「Zabbix TOTP」）。 無効 - このグループではMFAを無効にします。MFAが無効な場合、新しいユーザーグループではデフォルトでこのオプションが選択されます。 ユーザーがMFAを有効にした複数のユーザーグループに所属している場合（または少なくとも1つのグループでMFAが有効な場合）、次の認証ルールが適用されます。いずれかのグループで「デフォルト」のMFA方法が使用されている場合、その方法でユーザーを認証します。それ以外の場合は、最初の方法（アルファベット順）が認証に使用されます。 |
| 有効 | ユーザーグループとグループメンバーのステータス。 チェックあり - ユーザーグループとユーザーが有効です。 チェックなし - ユーザーグループとユーザーが無効です。 |
| デバッグモード | このチェックボックスを選択すると、ユーザーのデバッグモードが有効になります。 |
テンプレートの権限 タブでは、ユーザーグループによるテンプレートグループへのアクセスと、それらを介したテンプレートデータへのアクセスを指定できます。
ホストの権限 タブでは、ユーザーグループによるホストグループへのアクセスと、それらを介したホストデータへのアクセスを指定できます。
をクリックして、テンプレート/ホストグループ（親グループまたはネストされたグループ）を選択し、それらに権限を割り当てます。
グループ名の入力を開始すると、一致するグループのドロップダウンが表示されます。または、選択 をクリックして、すべてのグループを一覧表示するポップアップウィンドウを開きます。
次に、オプションボタンを使用して、選択したグループに権限を割り当てます。 設定可能な権限は次のとおりです。
- 読み書き - グループへの読み書きアクセス
- 読み取り - グループへの読み取り専用アクセス
- 拒否 - グループへのアクセスを拒否
同じテンプレート/ホストグループが異なる権限設定で複数の行に追加されている場合、最も厳しい権限が適用されます。
スーパーユーザー は、ネストされたグループに親グループと同じレベルの権限を強制的に適用できます。これは、ホスト/テンプレートグループの設定フォームで実行できます。
テンプレートの権限 タブと ホストの権限 タブでは、同じパラメータセットがサポートされています。
グループに対する現在の権限は 権限 ブロックに表示され、変更または削除できます。
ユーザーグループがホストに対して 読み書き 権限を持ち、そのホストにリンクされたテンプレートに対して 拒否 または権限なしの場合、そのグループのユーザーはホスト上のテンプレート化されたアイテムを編集できません。また、テンプレート名は アクセスできないテンプレート と表示されます。
プロキシアクセスリスト タブでは、個別に、またはプロキシグループを介して、ユーザーグループによるプロキシへのアクセスを指定できます。
プロキシグループ フィールドを使用して、選択したグループに権限を適用します。 グループに属するプロキシは、そのグループを介してのみ許可または拒否できます。 どのプロキシグループにも属していない個別のプロキシを追加するには、プロキシ フィールドを使用します。
プロキシ と プロキシグループ では、同じパラメータセットがサポートされています。
プロキシ または プロキシグループ フィールドの横にある 選択 ボタンをクリックして、それぞれプロキシまたはプロキシグループを選択します。 または、対応するフィールドにプロキシ名またはプロキシグループ名の入力を開始します。 一致するプロキシまたはプロキシグループのドロップダウンリストが表示されます。
許可リスト を選択すると、ユーザーグループは選択したプロキシおよびプロキシグループにのみアクセスできます。
許可リスト で プロキシ が何も選択されていない場合、ユーザーグループはプロキシグループに属していないプロキシにアクセスできません。
許可リスト で プロキシグループ が何も選択されていない場合、ユーザーグループはどのプロキシグループにもアクセスできません。
拒否リスト を選択すると、選択したプロキシおよびプロキシグループへのユーザーグループのアクセスが拒否されます。
その他すべてのプロキシおよびプロキシグループへのアクセスは許可されます。
拒否リスト で プロキシ が何も選択されていない場合、ユーザーグループはプロキシグループに属していないすべてのプロキシに完全にアクセスできます。
拒否リスト で プロキシグループ が何も選択されていない場合、ユーザーグループはすべてのプロキシグループに完全にアクセスできます。
複数のユーザーグループに所属するユーザーに対する権限の優先順位ルールは次のとおりです。
- 拒否リスト は 許可リスト より優先されます。 いずれかのグループがプロキシ/プロキシグループへのアクセスを拒否すると、ユーザーはアクセスできません。
- 許可リスト の権限は累積されます。 複数のグループがアクセスを許可している場合、ユーザーはそれらのグループによって許可されたすべてのプロキシにアクセスできます。
障害タグフィルター タブでは、タグ名と値でフィルタリングした障害を表示するための、ユーザーグループのタグベースの権限を設定できます。
をクリックして、ホストグループを選択します。
タグフィルターを適用するホストグループを選択するには、選択 をクリックして既存のホストグループの完全な一覧を表示するか、ホストグループ名の入力を開始して一致するグループのドロップダウンを表示します。
障害タグフィルターはテンプレートグループには適用できないため、ホストグループのみが表示されます。
値のないタグ名は追加できますが、名前のない値は追加できません。
最初の3つのタグ（値がある場合は値も）のみが 権限 ブロックに表示されます。それ以上ある場合は、
アイコンをクリックまたはホバーすると確認できます。
タグフィルターを使用すると、ホストグループへのアクセスと障害を表示する機能を分離できます。
たとえば、データベース管理者が「MySQL」データベースの障害のみを確認する必要がある場合、まずデータベース管理者用のユーザーグループを作成し、次に「target」というタグ名と「mysql」という値を指定します。
「target」というタグ名を指定し、値フィールドを空白のままにすると、ユーザーグループは選択したホストグループにある「target」タグ名のすべての障害を確認できます。
タグ名とタグ値が正しく指定されていることを確認してください。正しく指定されていない場合、ユーザーグループには障害が表示されません。
選択した複数のユーザーグループにユーザーが所属している場合の例を確認します。 この場合、タグのフィルタリングにはOR条件が使用されます。
| ユーザーグループA | ユーザーグループB | 両方のグループに所属するユーザーに表示される結果 | ||||
| タグフィルター | ||||||
| ホストグループ | タグ名 | タグ値 | ホストグループ | タグ名 | タグ値 | |
| データベース | target | mysql | データベース | target | oracle | target:mysqlまたはtarget:oracleの障害が表示される |
| 障害タグフィルターで未設定 | データベース | target | oracle | target:oracleの障害が表示される | ||
APMフィルター タブでは、ユーザーグループによるAPMテレメトリデータ（トレース、メトリクス、ログ）へのアクセスを指定できます。
をクリックして、ユーザーグループがアクセスを許可される受信データを定義するリソース属性を追加します。
リソース属性を指定します。
| キー | 属性キーを入力します（例: deployment.environment、cloud.region）。 |
| 値 | 属性値を入力します（例: production、eu-central-1）。 |
| カテゴリ | 属性を適用する受信データのカテゴリを選択します。トレース、メトリクス、ログ、または すべて。 |
APMフィルター タブでフィルターを指定しない場合、ユーザーグループのメンバーはすべての受信データにアクセスできます。
フィルターを指定した場合、ユーザーグループのメンバーは、対応するデータカテゴリまたは すべて のカテゴリに対して、指定されたリソース属性の少なくとも1つを含む受信データにのみアクセスできます。 属性がフィルターに一致するのは、キーと値の両方が一致する場合のみです。
アクセスは、ユーザーが所属するすべてのユーザーグループのAPMフィルターを結合したリストに対して確認されます。
- トレース: 少なくとも1つのスパンに、トレース または すべて カテゴリのフィルターに一致するリソース属性がある場合、ユーザーはトレースにアクセスできます。
- スパン: 少なくとも1つのリソース属性が、トレース または すべて カテゴリのフィルターに一致する場合、ユーザーはスパンにアクセスできます。
- メトリクス: 少なくとも1つのリソース属性が、メトリクス または すべて カテゴリのフィルターに一致する場合、ユーザーはメトリクスにアクセスできます。
- ログ: 少なくとも1つのリソース属性が、ログ または すべて カテゴリのフィルターに一致する場合、ユーザーはログレコードにアクセスできます。
複数のユーザーグループからのアクセス
ユーザーは任意の数のユーザーグループに所属することができます。 これらのグループは、ホストやテンプレートに対して異なるアクセス権限を持つことができます。
したがって、権限のないユーザーが最終的にどのエンティティにアクセスできるかを知ることが重要です。 次の例では、ユーザーがユーザーグループAとBに所属している場合に、ホストグループ1のホストXへのアクセスがさまざまな状況でどのように影響を受けるかを考えてみます。
- グループAがホストグループ1に対して読込アクセスのみを持ち、グループBがホストグループ1に対して読書/書込アクセスを持つ場合、ユーザーは'X'に対して読書/書込アクセスを取得します。
"読書/書込"権限は"読込"権限よりも優先されます。
- 上記と同じシナリオで、'X'が同時にグループAまたはBに拒否されているホストグループ2にも存在する場合、ホストグループ1に読書/書込アクセスがあっても、'X'へのアクセスは利用できません。
- グループAに権限が定義されておらず、グループBがホストグループ1に読書/書込アクセスを持つ場合、ユーザーは'X'に対して読書/書込アクセスを取得します。
- グループAがホストグループ1に拒否アクセスを持ち、グループBがホストグループ1に読書/書込アクセスを持つ場合、ユーザーは'X'へのアクセスが拒否されます。
その他の詳細
- Read-writeアクセス権を持つAdminレベルのユーザーが、テンプレートが属するテンプレートグループへのアクセス権を持っていない場合、ホストへのテンプレートのリンク/リンク解除を行うことはできません。 テンプレートグループへのReadアクセス権があれば、ホストへのテンプレートのリンク/リンク解除は可能ですが、テンプレートリストにはテンプレートが表示されず、他の場所でテンプレートを操作することもできません。
- Readアクセス権を持つAdminレベルのユーザーは、設定セクションのホストリストでホストを見ることはできませんが、ITサービスの設定ではホストのトリガーにアクセスできます。
- Super Admin以外のユーザー（'guest'を含む）は、マップが空であるか画像のみの場合はネットワークマップを見ることができます。 マップにホスト、ホストグループ、トリガーが追加されると、権限が適用されます。
- Zabbixサーバーは、該当するホストへのアクセスが明示的に「拒否」されている場合、アクションの操作受信者として定義されたユーザーに通知を送信しません。