Grupy użytkowników
Przegląd
Grupy użytkowników umożliwiają grupowanie użytkowników zarówno do celów organizacyjnych, jak i w celu przypisywania uprawnień do danych. Uprawnienia do wyświetlania i konfigurowania danych grup hostów i grup szablonów są przypisywane grupom użytkowników, a nie poszczególnym użytkownikom.
Często zasadne może być rozdzielenie informacji dostępnych dla jednej grupy użytkowników od informacji dostępnych dla innej grupy. Można to osiągnąć, grupując użytkowników, a następnie przypisując różne uprawnienia do grup hostów i grup szablonów.
Użytkownik może należeć do dowolnej liczby grup.
Konfiguracja
Aby skonfigurować grupę użytkowników:
- Przejdź do Użytkownicy > Grupy użytkowników.
- Kliknij Utwórz grupę użytkowników (lub nazwę grupy, aby edytować istniejącą grupę).
- Edytuj atrybuty grupy w formularzu.
Karta Grupa użytkowników zawiera ogólne atrybuty grupy:
Wszystkie wymagane pola wejściowe są oznaczone czerwoną gwiazdką.
| Parametr | Opis |
|---|---|
| Nazwa grupy | Unikalna nazwa grupy. |
| Użytkownicy | Aby dodać użytkowników do grupy, zacznij wpisywać nazwę istniejącego użytkownika. Gdy pojawi się lista rozwijana z pasującymi nazwami użytkowników, przewiń ją w dół, aby wybrać użytkownika. Możesz również kliknąć przycisk Wybierz, aby wybrać użytkowników w wyskakującym oknie. |
| Dostęp do frontendu | Sposób uwierzytelniania użytkowników należących do grupy. Domyślne ustawienie systemowe - używa domyślnej metody uwierzytelniania (ustawionej globalnie) Wewnętrzne - używa wewnętrznego uwierzytelniania Zabbix (nawet jeśli globalnie używane jest uwierzytelnianie LDAP). Ignorowane, jeśli uwierzytelnianie HTTP jest ustawieniem globalnym. LDAP - używa uwierzytelniania LDAP (nawet jeśli globalnie używane jest uwierzytelnianie wewnętrzne). Ignorowane, jeśli uwierzytelnianie HTTP jest ustawieniem globalnym. Wyłączone - dostęp do frontendu Zabbix jest zabroniony dla tej grupy |
| Serwer LDAP | Wybierz, który serwer LDAP ma być używany do uwierzytelniania użytkownika. To pole jest aktywne tylko wtedy, gdy dla opcji Dostęp do frontendu wybrano LDAP lub Domyślne ustawienie systemowe. |
| Uwierzytelnianie wieloskładnikowe | Wybierz, która metoda uwierzytelniania wieloskładnikowego ma być używana do uwierzytelniania użytkownika: Domyślna - używa metody ustawionej jako domyślna w konfiguracji MFA; ta opcja jest domyślnie wybrana dla nowych grup użytkowników, jeśli MFA jest włączone; <Nazwa metody> - używa wybranej metody (na przykład „Zabbix TOTP”); Wyłączone - MFA jest wyłączone dla tej grupy; ta opcja jest domyślnie wybrana dla nowych grup użytkowników, jeśli MFA jest wyłączone. Należy pamiętać, że jeśli użytkownik należy do wielu grup użytkowników z włączonym MFA (lub co najmniej jedna grupa ma włączone MFA), obowiązują następujące zasady uwierzytelniania: jeśli dowolna grupa używa metody MFA „Domyślna”, użytkownik zostanie uwierzytelniony przy jej użyciu; w przeciwnym razie do uwierzytelniania zostanie użyta pierwsza metoda (uporządkowana alfabetycznie). |
| Włączona | Stan grupy użytkowników i jej członków. Zaznaczone - grupa użytkowników i użytkownicy są włączeni Niezaznaczone - grupa użytkowników i użytkownicy są wyłączeni |
| Tryb debugowania | Zaznacz to pole wyboru, aby aktywować tryb debugowania dla użytkowników. |
Karta Uprawnienia do szablonów umożliwia określenie dostępu grupy użytkowników do grup szablonów, a za ich pośrednictwem do danych szablonów:
Karta Uprawnienia do hostów umożliwia określenie dostępu grupy użytkowników do grup hostów, a za ich pośrednictwem do danych hostów:
Kliknij 
, aby wybrać grupy szablonów/hostów (nadrzędne lub zagnieżdżone) i przypisać im uprawnienia.
Zacznij wpisywać nazwę grupy (pojawi się lista rozwijana z pasującymi grupami) lub kliknij Wybierz, aby otworzyć wyskakujące okno zawierające listę wszystkich grup.
Następnie użyj przycisków opcji, aby przypisać uprawnienia wybranym grupom. Dostępne są następujące uprawnienia:
- Odczyt i zapis - dostęp do grupy z uprawnieniami odczytu i zapisu
- Odczyt - dostęp do grupy tylko do odczytu
- Odmów - odmowa dostępu do grupy
Jeśli ta sama grupa szablonów/hostów zostanie dodana w kilku wierszach z różnymi ustawieniami uprawnień, zastosowane zostanie najbardziej restrykcyjne uprawnienie.
Należy pamiętać, że użytkownik Super administrator może wymusić, aby zagnieżdżone grupy miały taki sam poziom uprawnień jak grupa nadrzędna; można to zrobić w formularzu konfiguracji grupy hostów/szablonów.
Karty Uprawnienia do szablonów i Uprawnienia do hostów obsługują ten sam zestaw parametrów.
Bieżące uprawnienia do grup są wyświetlane w bloku Uprawnienia i można je modyfikować lub usuwać.
Jeśli grupa użytkowników ma uprawnienia Odczyt i zapis do hosta oraz uprawnienie Odmów lub brak uprawnień do szablonu połączonego z tym hostem, użytkownicy należący do tej grupy nie będą mogli edytować pozycji utworzonych na podstawie szablonu na hoście, a nazwa szablonu będzie wyświetlana jako Niedostępny szablon.
Karta Lista dostępu do proxy umożliwia określenie dostępu grupy użytkowników do proxy, indywidualnie lub za pośrednictwem grup proxy:
Użyj pola Grupy proxy, aby zastosować uprawnienia do wybranych grup. Proxy należące do grupy można zezwolić lub zablokować wyłącznie za pośrednictwem tej grupy. Użyj pola Proxy, aby dodać pojedyncze proxy, które nie należą do żadnej grupy proxy.
Pola Proxy i Grupy proxy obsługują ten sam zestaw parametrów.
Kliknij przycisk Wybierz obok pola Proxy lub Grupy proxy, aby odpowiednio wybrać proxy lub grupy proxy. Możesz również zacząć wpisywać nazwę proxy lub grupy proxy w odpowiednim polu. Pojawi się lista rozwijana pasujących proxy lub grup proxy.
Wybierz Lista dozwolonych, aby zezwolić grupie użytkowników na dostęp wyłącznie do wybranych proxy i grup proxy.
Jeśli wybór Proxy dla Listy dozwolonych jest pusty, grupa użytkowników nie ma dostępu do żadnego proxy, które nie należy do grupy proxy.
Jeśli wybór Grupy proxy dla Listy dozwolonych jest pusty, grupa użytkowników nie ma dostępu do żadnej grupy proxy.
Wybierz Lista zablokowanych, aby odmówić grupie użytkowników dostępu do wybranych proxy i grup proxy.
Dostęp do wszystkich pozostałych proxy i grup proxy jest dozwolony.
Jeśli wybór Proxy dla Listy zablokowanych jest pusty, grupa użytkowników ma pełny dostęp do wszystkich proxy, które nie należą do grupy proxy.
Jeśli wybór Grupy proxy dla Listy zablokowanych jest pusty, grupa użytkowników ma pełny dostęp do wszystkich grup proxy.
Zasady pierwszeństwa uprawnień dla użytkowników należących do wielu grup użytkowników:
- Lista zablokowanych ma pierwszeństwo przed Listą dozwolonych. Jeśli dowolna grupa odmawia dostępu do proxy/grupy proxy, użytkownik nie może uzyskać do niego dostępu.
- Uprawnienia Listy dozwolonych są kumulowane. Jeśli wiele grup zezwala na dostęp, użytkownik może uzyskać dostęp do wszystkich proxy dozwolonych przez te grupy.
Karta Filtr tagów problemów umożliwia ustawienie uprawnień grup użytkowników opartych na tagach, aby wyświetlać problemy filtrowane według nazwy i wartości tagu:
Kliknij , aby wybrać grupy hostów.
Aby wybrać grupę hostów, do której ma zostać zastosowany filtr tagów, kliknij Wybierz, aby wyświetlić pełną listę istniejących grup hostów, lub zacznij wpisywać nazwę grupy hostów, aby wyświetlić listę rozwijaną pasujących grup.
Wyświetlane będą tylko grupy hostów, ponieważ filtra tagów problemów nie można zastosować do grup szablonów.
Można dodawać nazwy tagów bez wartości, ale nie można dodawać wartości bez nazw.
W bloku Uprawnienia wyświetlane są tylko trzy pierwsze tagi (wraz z wartościami, jeśli je mają); jeśli jest ich więcej, można je wyświetlić, klikając ikonę 
lub umieszczając nad nią wskaźnik myszy.
Filtr tagów umożliwia oddzielenie dostępu do grupy hostów od możliwości wyświetlania problemów.
Na przykład jeśli administrator bazy danych musi widzieć tylko problemy dotyczące baz danych „MySQL”, najpierw należy utworzyć grupę użytkowników dla administratorów baz danych, a następnie określić nazwę tagu „target” i wartość „mysql”.
Jeśli określono nazwę tagu „target”, a pole wartości pozostawiono puste, grupa użytkowników będzie widzieć wszystkie problemy z tagiem o nazwie „target” dla wybranej grupy hostów.
Upewnij się, że nazwa tagu i jego wartość zostały określone poprawnie; w przeciwnym razie grupa użytkowników nie będzie widzieć żadnych problemów.
Przeanalizujmy przykład, w którym użytkownik jest członkiem kilku wybranych grup użytkowników. Filtrowanie w tym przypadku będzie używać warunku OR dla tagów.
| Grupa użytkowników A | Grupa użytkowników B | Widoczny wynik dla użytkownika (członka) obu grup | ||||
| Filtr tagów | ||||||
| Grupa hostów | Nazwa tagu | Wartość tagu | Grupa hostów | Nazwa tagu | Wartość tagu | |
| Bazy danych | target | mysql | Bazy danych | target | oracle | problemy target:mysql lub target:oracle są widoczne |
| Nie skonfigurowano w Filtrze tagów problemów | Bazy danych | target | oracle | problemy target:oracle są widoczne | ||
Karta Filtr APM umożliwia określenie dostępu grupy użytkowników do danych telemetrycznych APM (śladów, metryk i dzienników).
Kliknij , aby dodać atrybuty zasobów określające, do których danych przychodzących grupa użytkowników ma dostęp.
Określ atrybut zasobu:
| Klucz | Wprowadź klucz atrybutu (np. deployment.environment, cloud.region). |
| Wartość | Wprowadź wartość atrybutu (np. production, eu-central-1). |
| Kategoria | Wybierz kategorię danych przychodzących, do której ma zastosowanie atrybut: Ślady, Metryki, Dzienniki lub Wszystkie. |
Jeśli na karcie Filtr APM nie określono żadnych filtrów, członkowie grupy użytkowników mogą uzyskać dostęp do wszystkich danych przychodzących.
Jeśli określono filtry, członkowie grupy użytkowników mogą uzyskać dostęp tylko do danych przychodzących zawierających co najmniej jeden z określonych atrybutów zasobów dla odpowiedniej kategorii danych lub kategorii Wszystkie. Atrybut pasuje do filtra tylko wtedy, gdy pasują zarówno klucz, jak i wartość.
Dostęp jest sprawdzany względem połączonej listy filtrów APM ze wszystkich grup użytkowników, do których należy użytkownik:
- Ślady: użytkownik może uzyskać dostęp do śladu, jeśli co najmniej jeden z jego zakresów ma atrybut zasobu pasujący do filtra kategorii Ślady lub Wszystkie.
- Zakresy: użytkownik może uzyskać dostęp do zakresu, jeśli co najmniej jeden z jego atrybutów zasobów pasuje do filtra kategorii Ślady lub Wszystkie.
- Metryki: użytkownik może uzyskać dostęp do metryki, jeśli co najmniej jeden z jej atrybutów zasobów pasuje do filtra kategorii Metryki lub Wszystkie.
- Dzienniki: użytkownik może uzyskać dostęp do rekordu dziennika, jeśli co najmniej jeden z jego atrybutów zasobów pasuje do filtra kategorii Dzienniki lub Wszystkie.
Dostęp z kilku grup użytkowników
Użytkownik może należeć do dowolnej liczby grup użytkowników. Grupy te mogą mieć różne uprawnienia dostępu do hostów lub szablonów.
Dlatego ważne jest, aby wiedzieć, do jakich encji nieuprzywilejowany użytkownik będzie miał w rezultacie dostęp. W poniższym przykładzie rozważmy, jak dostęp do hosta X (w grupie hostów 1) będzie zależał od różnych sytuacji dla użytkownika należącego do grup użytkowników A i B.
- Jeśli grupa A ma tylko dostęp Odczyt do grupy hostów 1, a grupa B ma dostęp Odczyt-zapis do grupy hostów 1, użytkownik otrzyma dostęp Odczyt-zapis do „X”.
Uprawnienia „Odczyt-zapis” mają pierwszeństwo przed uprawnieniami „Odczyt”.
- W tym samym scenariuszu co powyżej, jeśli „X” jednocześnie należy także do grupy hostów 2, do której dostęp jest zabroniony dla grupy A lub B, dostęp do „X” będzie niedostępny, pomimo dostępu Odczyt-zapis do grupy hostów 1.
- Jeśli grupa A nie ma zdefiniowanych żadnych uprawnień, a grupa B ma dostęp Odczyt-zapis do grupy hostów 1, użytkownik otrzyma dostęp Odczyt-zapis do „X”.
- Jeśli grupa A ma dostęp Odmowa do grupy hostów 1, a grupa B ma dostęp Odczyt-zapis do grupy hostów 1, dostęp użytkownika do „X” będzie zabroniony.
Inne szczegóły
- Użytkownik na poziomie Admin z uprawnieniami Read-write do hosta nie będzie mógł podłączać/odłączać szablonów, jeśli nie ma dostępu do grupy szablonów, do której one należą. Przy uprawnieniach Read do grupy szablonów będzie mógł podłączać/odłączać szablony do hosta, jednak nie będzie widział żadnych szablonów na liście szablonów i nie będzie mógł wykonywać operacji na szablonach w innych miejscach.
- Użytkownik na poziomie Admin z uprawnieniami Read do hosta nie zobaczy hosta na liście hostów w sekcji konfiguracji; jednak wyzwalacze hosta będą dostępne w konfiguracji usług IT.
- Każdy użytkownik niebędący Super Adminem (w tym „guest”) może widzieć mapy sieci, o ile mapa jest pusta lub zawiera tylko obrazy. Gdy do mapy zostaną dodane hosty, grupy hostów lub wyzwalacze, uprawnienia będą respektowane.
- Serwer Zabbix nie będzie wysyłał powiadomień do użytkowników zdefiniowanych jako odbiorcy operacji akcji, jeśli dostęp do danego hosta jest jawnie „denied”.