ユーザーグループ

概要

ユーザーグループを使用すると、組織上の目的やデータへの権限割り当てのために、ユーザーをグループ化できます。 ホストグループおよびテンプレートグループのデータの表示と設定に関する権限は、個々のユーザーではなく、ユーザーグループに割り当てられます。

あるユーザーグループが利用できる情報と、別のユーザーグループが利用できる情報を分けることが適切な場合があります。 これは、ユーザーをグループ化し、ホストグループおよびテンプレートグループに異なる権限を割り当てることで実現できます。

ユーザーは、任意の数のグループに所属できます。

設定

ユーザーグループを設定するには、次の手順を実行します。

1. ユーザー > ユーザーグループ に移動します。
2. ユーザーグループの作成 をクリックします（既存のグループを編集する場合は、グループ名をクリックします）。
3. フォームでグループ属性を編集します。

ユーザーグループ タブには、グループの一般属性が表示されます。

必須入力フィールドには、赤いアスタリスクが付いています。

テンプレートの権限 タブでは、ユーザーグループによるテンプレートグループへのアクセスと、それらを介したテンプレートデータへのアクセスを指定できます。

ホストの権限 タブでは、ユーザーグループによるホストグループへのアクセスと、それらを介したホストデータへのアクセスを指定できます。

をクリックして、テンプレート/ホストグループ（親グループまたはネストされたグループ）を選択し、それらに権限を割り当てます。
グループ名の入力を開始すると、一致するグループのドロップダウンが表示されます。または、選択 をクリックすると、すべてのグループを一覧表示するポップアップウィンドウが開きます。

次に、オプションボタンを使用して、選択したグループに権限を割り当てます。
設定できる権限は次のとおりです。

• 読み書き - グループへの読み書きアクセス
• 読み取り - グループへの読み取り専用アクセス
• 拒否 - グループへのアクセスを拒否

同じテンプレート/ホストグループが異なる権限設定で複数の行に追加されている場合、最も厳しい権限が適用されます。

スーパーユーザー は、ネストされたグループに親グループと同じレベルの権限を強制的に設定できます。これは、ホスト/テンプレートグループの設定フォームで実行できます。

テンプレートの権限 タブと ホストの権限 タブでは、同じパラメータセットがサポートされています。

グループに対する現在の権限は 権限 ブロックに表示され、変更または削除できます。

プロキシアクセスリスト タブでは、個々のプロキシまたはプロキシグループを介して、ユーザーグループによるプロキシへのアクセスを指定できます。

プロキシグループ フィールドを使用して、選択したグループに権限を適用します。
グループに属するプロキシは、そのグループを介してのみ許可または拒否できます。
どのプロキシグループにも属していない個々のプロキシを追加するには、プロキシ フィールドを使用します。

プロキシ と プロキシグループ では、同じパラメータセットがサポートされています。

プロキシ または プロキシグループ フィールドの横にある 選択 ボタンをクリックして、それぞれプロキシまたはプロキシグループを選択します。
または、対応するフィールドにプロキシ名またはプロキシグループ名の入力を開始します。
一致するプロキシまたはプロキシグループのドロップダウンリストが表示されます。

許可リスト を選択すると、ユーザーグループは選択したプロキシおよびプロキシグループにのみアクセスできます。
許可リスト で プロキシ の選択が空の場合、ユーザーグループはプロキシグループに属していないプロキシにアクセスできません。
許可リスト で プロキシグループ の選択が空の場合、ユーザーグループはどのプロキシグループにもアクセスできません。

拒否リスト を選択すると、ユーザーグループは選択したプロキシおよびプロキシグループにアクセスできません。
その他すべてのプロキシおよびプロキシグループへのアクセスは許可されます。
拒否リスト で プロキシ の選択が空の場合、ユーザーグループはプロキシグループに属していないすべてのプロキシに完全にアクセスできます。
拒否リスト で プロキシグループ の選択が空の場合、ユーザーグループはすべてのプロキシグループに完全にアクセスできます。

複数のユーザーグループに所属するユーザーに対する権限の優先順位は次のとおりです。

• 拒否リスト は 許可リスト より優先されます。
  いずれかのグループがプロキシ/プロキシグループへのアクセスを拒否している場合、ユーザーはアクセスできません。
• 許可リスト の権限は累積されます。
  複数のグループがアクセスを許可している場合、ユーザーはそれらのグループによって許可されたすべてのプロキシにアクセスできます。

障害タグフィルター タブでは、タグ名と値でフィルタリングした障害を表示するための、ユーザーグループに対するタグベースの権限を設定できます。

をクリックして、ホストグループを選択します。
タグフィルターを適用するホストグループを選択するには、選択 をクリックして既存のホストグループの完全な一覧を表示するか、ホストグループ名の入力を開始して一致するグループのドロップダウンを表示します。
障害タグフィルターはテンプレートグループには適用できないため、ホストグループのみが表示されます。

値のないタグ名は追加できますが、名前のない値は追加できません。
最初の3つのタグ（値がある場合は値も）のみが 権限 ブロックに表示されます。タグがそれ以上ある場合は、 アイコンをクリックまたはホバーすると確認できます。

タグフィルターを使用すると、ホストグループへのアクセスと障害を表示できるかどうかを分けて設定できます。

たとえば、データベース管理者が「MySQL」データベースの障害のみを確認する必要がある場合、まずデータベース管理者用のユーザーグループを作成し、次に「target」をタグ名、「mysql」を値として指定します。

「target」をタグ名として指定し、値フィールドを空のままにすると、ユーザーグループは選択したホストグループにある「target」タグ名を持つすべての障害を表示できます。

タグ名とタグ値が正しく指定されていることを確認してください。正しく指定されていない場合、ユーザーグループには障害が表示されません。

選択した複数のユーザーグループにユーザーが所属している場合の例を確認します。
この場合、タグのフィルタリングにはOR条件が使用されます。

複数のユーザーグループからのアクセス

ユーザーは任意の数のユーザーグループに所属することができます。 これらのグループは、ホストやテンプレートに対して異なるアクセス権限を持つことができます。

したがって、権限のないユーザーが最終的にどのエンティティにアクセスできるかを知ることが重要です。 次の例では、ユーザーがユーザーグループAとBに所属している場合に、ホストグループ1のホストXへのアクセスがさまざまな状況でどのように影響を受けるかを考えてみます。

• グループAがホストグループ1に対して読込アクセスのみを持ち、グループBがホストグループ1に対して読書/書込アクセスを持つ場合、ユーザーは'X'に対して読書/書込アクセスを取得します。

• 上記と同じシナリオで、'X'が同時にグループAまたはBに拒否されているホストグループ2にも存在する場合、ホストグループ1に読書/書込アクセスがあっても、'X'へのアクセスは利用できません。
• グループAに権限が定義されておらず、グループBがホストグループ1に読書/書込アクセスを持つ場合、ユーザーは'X'に対して読書/書込アクセスを取得します。
• グループAがホストグループ1に拒否アクセスを持ち、グループBがホストグループ1に読書/書込アクセスを持つ場合、ユーザーは'X'へのアクセスが拒否されます。

その他の詳細

• Read-writeアクセス権を持つAdminレベルのユーザーが、テンプレートが属するテンプレートグループへのアクセス権を持っていない場合、ホストへのテンプレートのリンク/リンク解除を行うことはできません。 テンプレートグループへのReadアクセス権があれば、ホストへのテンプレートのリンク/リンク解除は可能ですが、テンプレートリストにはテンプレートが表示されず、他の場所でテンプレートを操作することもできません。
• Readアクセス権を持つAdminレベルのユーザーは、設定セクションのホストリストでホストを見ることはできませんが、ITサービスの設定ではホストのトリガーにアクセスできます。
• Super Admin以外のユーザー（'guest'を含む）は、マップが空であるか画像のみの場合はネットワークマップを見ることができます。 マップにホスト、ホストグループ、トリガーが追加されると、権限が適用されます。
• Zabbixサーバーは、該当するホストへのアクセスが明示的に「拒否」されている場合、アクションの操作受信者として定義されたユーザーに通知を送信しません。