Table of Contents
3 Grupos de usuários
Visão geral
Os grupos de usuários permitem agrupar usuários tanto para fins organizacionais quanto para atribuição de permissões aos dados. As permissões para visualizar e configurar dados de grupos de hosts e grupos de templates são atribuídas a grupos de usuários, não a usuários individuais.
Muitas vezes pode fazer sentido separar quais informações estão disponíveis para um grupo de usuários e quais para outro. Isso pode ser feito agrupando usuários e, em seguida, atribuindo permissões variadas a grupos de hosts e de templates.
Um usuário pode pertencer a qualquer número de grupos.
Configuração
Para configurar um grupo de usuários:
- Vá para Usuários → Grupos de usuários
- Clique em Criar grupo de usuários (ou no nome do grupo para editar um grupo existente)
- Edite os atributos do grupo no formulário
A aba Grupo de usuários contém os atributos gerais do grupo:
Todos os campos obrigatórios estão marcados com um asterisco vermelho.
| Parâmetro | Descrição |
|---|---|
| Nome do grupo | Nome único do grupo. |
| Usuários | Para adicionar usuários ao grupo, comece a digitar o nome de um usuário existente. Quando o menu suspenso com nomes de usuários correspondentes aparecer, role para baixo para selecionar. Alternativamente, você pode clicar no botão Selecionar para selecionar usuários em um pop-up. |
| Acesso ao frontend | Como os usuários do grupo são autenticados. Padrão do sistema - usa o método de autenticação padrão (definido globalmente) Interno - usa a autenticação interna do Zabbix (mesmo que a autenticação LDAP seja usada globalmente). Ignorado se a autenticação HTTP for o padrão global. LDAP - usa autenticação LDAP (mesmo que a autenticação interna seja usada globalmente). Ignorado se a autenticação HTTP for o padrão global. Desabilitado - o acesso ao frontend do Zabbix é proibido para este grupo |
| Servidor LDAP | Selecione qual servidor LDAP usar para autenticar o usuário. Este campo é habilitado apenas se Acesso ao frontend estiver definido como LDAP ou Padrão do sistema. |
| Autenticação multifator | Selecione qual método de autenticação multifator usar para autenticar o usuário: Padrão - usa o método definido como padrão na configuração MFA; esta opção é selecionada por padrão para novos grupos de usuários se o MFA estiver habilitado; <Nome do método> - usa o método selecionado (por exemplo, "Zabbix TOTP"); Desabilitado - o MFA está desabilitado para este grupo; esta opção é selecionada por padrão para novos grupos de usuários se o MFA estiver desabilitado. Observe que, se um usuário pertencer a vários grupos de usuários com MFA habilitado (ou pelo menos um grupo tiver MFA habilitado), as seguintes regras de autenticação se aplicam: se algum grupo usar o método MFA "Padrão", ele autenticará o usuário; caso contrário, o primeiro método (ordenado alfabeticamente) será usado para autenticação. |
| Habilitado | Status do grupo de usuários e membros do grupo. Marcado - grupo de usuários e usuários estão habilitados Desmarcado - grupo de usuários e usuários estão desabilitados |
| Modo de depuração | Marque esta caixa para ativar o modo de depuração para os usuários. |
A aba Permissões de template permite especificar o acesso do grupo de usuários aos dados do grupo de template (e, portanto, do template):
A aba Permissões de host permite especificar o acesso do grupo de usuários aos dados do grupo de host (e, portanto, do host):
Clique em 
para escolher os grupos de template/host (seja um grupo pai ou aninhado) e atribuir permissões a eles. Comece a digitar o nome do grupo (um menu suspenso de grupos correspondentes aparecerá) ou clique em Selecionar para abrir uma janela pop-up listando todos os grupos.
Em seguida, use os botões de opção para atribuir permissões aos grupos escolhidos. As permissões possíveis são as seguintes:
- Leitura-escrita - acesso de leitura e escrita a um grupo;
- Leitura - acesso somente leitura a um grupo;
- Negar - acesso a um grupo negado.
Se o mesmo grupo de template/host for adicionado em várias linhas com permissões diferentes definidas, a permissão mais restritiva será aplicada.
Observe que um usuário Super admin pode forçar grupos aninhados a terem o mesmo nível de permissões que o grupo pai; isso pode ser feito no formulário de configuração do grupo de host/template.
As abas Permissões de template e Permissões de host suportam o mesmo conjunto de parâmetros.
As permissões atuais para os grupos são exibidas no bloco Permissões, e podem ser modificadas ou removidas.
Se um grupo de usuários tiver permissões Leitura-escrita para um host e Negar ou nenhuma permissão para um template vinculado a esse host, os usuários desse grupo não poderão editar itens de template no host, e o nome do template será exibido como Template inacessível.
A aba Filtro de tag de problema permite definir permissões baseadas em tag para que grupos de usuários vejam problemas filtrados por nome e valor da tag:
Clique em para escolher os grupos de host. Para selecionar um grupo de host para aplicar um filtro de tag, clique em Selecionar para obter a lista completa de grupos de host existentes ou comece a digitar o nome de um grupo de host para obter um menu suspenso de grupos correspondentes. Apenas grupos de host serão exibidos, pois o filtro de tag de problema não pode ser aplicado a grupos de template.
Em seguida, é possível alternar de Todas as tags para Lista de tags para definir tags específicas e seus valores para filtragem. Nomes de tags sem valores podem ser adicionados, mas valores sem nomes não. Apenas as três primeiras tags (com valores, se houver) são exibidas no bloco Permissões; se houver mais, elas podem ser vistas clicando ou passando o mouse sobre o ícone 
.
O filtro de tag permite separar o acesso ao grupo de host da possibilidade de ver problemas.
Por exemplo, se um administrador de banco de dados precisa ver apenas problemas do banco de dados "MySQL", é necessário criar primeiro um grupo de usuários para administradores de banco de dados e, em seguida, especificar o nome da tag "target" e o valor "mysql".
Se o nome da tag "target" for especificado e o campo de valor for deixado em branco, o grupo de usuários verá todos os problemas com o nome da tag "target" para o grupo de host selecionado. Se Todas as tags for selecionado, o grupo de usuários verá todos os problemas para o grupo de host especificado.
Certifique-se de que o nome da tag e o valor da tag estejam corretamente especificados, caso contrário, o grupo de usuários não verá nenhum problema.
Vamos analisar um exemplo em que um usuário é membro de vários grupos de usuários selecionados. A filtragem, neste caso, usará a condição OR para as tags.
| Grupo de usuários A | Grupo de usuários B | Resultado visível para um usuário (membro) de ambos os grupos | ||||
| Filtro de tag | ||||||
| Grupo de host | Nome da tag | Valor da tag | Grupo de host | Nome da tag | Valor da tag | |
| Databases | target | mysql | Databases | target | oracle | problemas target:mysql ou target:oracle visíveis |
| Databases | definido como: Todas as tags | Databases | target | oracle | Todos os problemas visíveis | |
| Não configurado em Filtro de tag de problema | Databases | target | oracle | problemas target:oracle visíveis | ||
Adicionar um filtro (por exemplo, todas as tags em um determinado grupo de host "Databases") resulta em não ser possível ver os problemas de outros grupos de host.
Acesso de vários grupos de usuários
Um usuário pode pertencer a qualquer número de grupos de usuários. Esses grupos podem ter permissões de acesso diferentes a hosts ou templates.
Portanto, é importante saber a quais entidades um usuário sem privilégios poderá acessar como resultado. Por exemplo, considere como o acesso ao host X (no Grupo de hosts 1) será afetado em várias situações para um usuário que está nos grupos de usuários A e B.
- Se o Grupo A tiver apenas acesso Leitura ao Grupo de hosts 1, mas o Grupo B tiver acesso Leitura-escrita ao Grupo de hosts 1, o usuário terá acesso Leitura-escrita a 'X'.
As permissões “Leitura-escrita” têm precedência sobre as permissões “Leitura”.
- No mesmo cenário acima, se 'X' estiver simultaneamente também no Grupo de hosts 2 que está negado ao Grupo A ou B, o acesso a 'X' ficará indisponível, apesar do acesso Leitura-escrita ao Grupo de hosts 1.
- Se o Grupo A não tiver permissões definidas e o Grupo B tiver acesso Leitura-escrita ao Grupo de hosts 1, o usuário terá acesso Leitura-escrita a 'X'.
- Se o Grupo A tiver acesso Negado ao Grupo de hosts 1 e o Grupo B tiver acesso Leitura-escrita ao Grupo de hosts 1, o acesso do usuário a 'X' será negado.
Outros detalhes
- Um usuário de nível Admin com acesso Leitura-escrita a um host não poderá vincular/desvincular templates, se ele não tiver acesso ao grupo de templates ao qual eles pertencem. Com acesso Leitura ao grupo de templates, ele poderá vincular/desvincular templates ao host, no entanto, não verá nenhum template na lista de templates e não poderá operar com templates em outros locais.
- Um usuário de nível Admin com acesso Leitura a um host não verá o host na lista de hosts da seção de configuração; no entanto, os triggers do host estarão acessíveis na configuração de serviços de TI.
- Qualquer usuário que não seja Super Admin (incluindo 'guest') pode ver mapas de rede, desde que o mapa esteja vazio ou tenha apenas imagens. Quando hosts, grupos de hosts ou triggers são adicionados ao mapa, as permissões são respeitadas.
- O Zabbix server não enviará notificações para usuários definidos como destinatários de operações de ação se o acesso ao host em questão for explicitamente "negado".