Benutzergruppen

Übersicht

Benutzergruppen ermöglichen es Ihnen, Benutzer sowohl zu organisatorischen Zwecken als auch zur Vergabe von Berechtigungen für Daten zu gruppieren. Berechtigungen zum Anzeigen und Konfigurieren von Daten aus Hostgruppen und Vorlagengruppen werden Benutzergruppen und nicht einzelnen Benutzern zugewiesen.

Oft kann es sinnvoll sein, zu trennen, welche Informationen für eine Benutzergruppe und welche für eine andere verfügbar sind. Dies kann erreicht werden, indem Benutzer gruppiert und anschließend unterschiedliche Berechtigungen für Host- und Vorlagengruppen zugewiesen werden.

Ein Benutzer kann einer beliebigen Anzahl von Gruppen angehören.

Konfiguration

So konfigurieren Sie eine Benutzergruppe:

  1. Gehen Sie zu Benutzer > Benutzergruppen.
  2. Klicken Sie auf Benutzergruppe erstellen (oder auf den Namen der Gruppe, um eine vorhandene Gruppe zu bearbeiten).
  3. Bearbeiten Sie die Gruppenattribute im Formular.

Die Registerkarte Benutzergruppe enthält allgemeine Gruppenattribute:

Alle Pflichtfelder sind mit einem roten Sternchen gekennzeichnet.

Parameter Beschreibung
Gruppenname Eindeutiger Gruppenname.
Benutzer Um Benutzer zur Gruppe hinzuzufügen, beginnen Sie mit der Eingabe des Namens eines vorhandenen Benutzers. Wenn die Dropdown-Liste mit passenden Benutzernamen angezeigt wird, scrollen Sie nach unten, um einen Benutzer auszuwählen.
Alternativ können Sie auf die Schaltfläche Auswählen klicken, um Benutzer in einem Popup-Fenster auszuwählen.
Frontend-Zugriff Legt fest, wie die Benutzer der Gruppe authentifiziert werden.
Systemstandard – verwendet die standardmäßige Authentifizierungsmethode (global festgelegt unter Globale Einstellungen)
Intern – verwendet die interne Zabbix-Authentifizierung (auch wenn global die LDAP-Authentifizierung verwendet wird).
Wird ignoriert, wenn die HTTP-Authentifizierung global als Standard festgelegt ist.
LDAP – verwendet die LDAP-Authentifizierung (auch wenn global die interne Authentifizierung verwendet wird).
Wird ignoriert, wenn die HTTP-Authentifizierung global als Standard festgelegt ist.
Deaktiviert – der Zugriff auf das Zabbix-Frontend ist für diese Gruppe verboten
LDAP-Server Wählen Sie den LDAP-Server aus, der zur Authentifizierung des Benutzers verwendet werden soll.
Dieses Feld ist nur aktiviert, wenn Frontend-Zugriff auf LDAP oder Systemstandard gesetzt ist.
Multi-Faktor-Authentifizierung Wählen Sie die Methode für die Multi-Faktor-Authentifizierung aus, die zur Authentifizierung des Benutzers verwendet werden soll:
Standard – verwendet die in der MFA-Konfiguration als Standard festgelegte Methode; diese Option ist standardmäßig für neue Benutzergruppen ausgewählt, wenn MFA aktiviert ist;
<Methodenname> – verwendet die ausgewählte Methode (z. B. „Zabbix TOTP“);
Deaktiviert – MFA ist für diese Gruppe deaktiviert; diese Option ist standardmäßig für neue Benutzergruppen ausgewählt, wenn MFA deaktiviert ist.
Beachten Sie, dass bei einem Benutzer, der mehreren Benutzergruppen mit aktivierter MFA angehört (oder wenn mindestens eine Gruppe MFA aktiviert hat), die folgenden Authentifizierungsregeln gelten: Wenn eine Gruppe die MFA-Methode „Standard“ verwendet, wird der Benutzer mit dieser Methode authentifiziert. Andernfalls wird die erste Methode (alphabetisch sortiert) zur Authentifizierung verwendet.
Aktiviert Status der Benutzergruppe und ihrer Mitglieder.
Aktiviert – Benutzergruppe und Benutzer sind aktiviert
Deaktiviert – Benutzergruppe und Benutzer sind deaktiviert
Debug-Modus Aktivieren Sie dieses Kontrollkästchen, um den Debug-Modus für die Benutzer zu aktivieren.

Auf der Registerkarte Vorlagenberechtigungen können Sie den Zugriff der Benutzergruppe auf Vorlagengruppen und darüber auf Vorlagendaten festlegen:

Auf der Registerkarte Host-Berechtigungen können Sie den Zugriff der Benutzergruppe auf Hostgruppen und darüber auf Hostdaten festlegen:

Klicken Sie auf , um die Vorlagen-/Hostgruppen (übergeordnete oder verschachtelte Gruppen) auszuwählen und ihnen Berechtigungen zuzuweisen. Beginnen Sie mit der Eingabe des Gruppennamens (eine Dropdown-Liste mit passenden Gruppen wird angezeigt) oder klicken Sie auf Auswählen, um ein Popup-Fenster mit allen Gruppen zu öffnen.

Verwenden Sie anschließend die Optionsschaltflächen, um den ausgewählten Gruppen Berechtigungen zuzuweisen. Folgende Berechtigungen sind möglich:

  • Lesen-Schreiben – Lese- und Schreibzugriff auf eine Gruppe
  • Lesen – schreibgeschützter Zugriff auf eine Gruppe
  • Verweigern – Zugriff auf eine Gruppe verweigert

Wenn dieselbe Vorlagen-/Hostgruppe in mehreren Zeilen mit unterschiedlichen Berechtigungen hinzugefügt wird, wird die strengste Berechtigung angewendet.

Beachten Sie, dass ein Benutzer mit der Rolle Super-Admin erzwingen kann, dass verschachtelte Gruppen dieselbe Berechtigungsstufe wie die übergeordnete Gruppe erhalten. Dies kann im Konfigurationsformular der Hostgruppen/Vorlagengruppen festgelegt werden.

Die Registerkarten Vorlagenberechtigungen und Host-Berechtigungen unterstützen denselben Parametersatz.

Die aktuellen Berechtigungen für Gruppen werden im Block Berechtigungen angezeigt und können dort geändert oder entfernt werden.

Wenn eine Benutzergruppe Lesen-Schreiben-Berechtigungen für einen Host, aber Verweigern oder keine Berechtigungen für eine mit diesem Host verknüpfte Vorlage besitzt, können die Benutzer dieser Gruppe keine Vorlagen-Datenpunkte auf dem Host bearbeiten. Der Vorlagenname wird als Nicht zugängliche Vorlage angezeigt.

Auf der Registerkarte Proxy-Zugriffsliste können Sie den Zugriff der Benutzergruppe auf Proxys einzeln oder über Proxygruppen festlegen:

Verwenden Sie das Feld Proxygruppen, um die Berechtigung auf die ausgewählten Gruppen anzuwenden. Ein Proxy, der zu einer Gruppe gehört, kann nur über diese Gruppe erlaubt oder verweigert werden. Verwenden Sie das Feld Proxys, um einzelne Proxys hinzuzufügen, die keiner Proxygruppe angehören.

Proxys und Proxygruppen unterstützen denselben Parametersatz.

Klicken Sie neben dem Feld Proxys oder Proxygruppen auf die Schaltfläche Auswählen, um Proxys bzw. Proxygruppen auszuwählen. Alternativ können Sie im entsprechenden Feld mit der Eingabe des Namens eines Proxys oder einer Proxygruppe beginnen. Eine Dropdown-Liste mit passenden Proxys oder Proxygruppen wird angezeigt.

Wählen Sie Zulassungsliste, um der Benutzergruppe nur den Zugriff auf die ausgewählten Proxys und Proxygruppen zu erlauben.
Wenn die Auswahl Proxys für die Zulassungsliste leer ist, hat die Benutzergruppe keinen Zugriff auf Proxys, die keiner Proxygruppe angehören. Wenn die Auswahl Proxygruppen für die Zulassungsliste leer ist, hat die Benutzergruppe keinen Zugriff auf Proxygruppen.

Wählen Sie Sperrliste, um der Benutzergruppe den Zugriff auf die ausgewählten Proxys und Proxygruppen zu verweigern. Der Zugriff auf alle anderen Proxys und Proxygruppen ist erlaubt.
Wenn die Auswahl Proxys für die Sperrliste leer ist, hat die Benutzergruppe vollständigen Zugriff auf alle Proxys, die keiner Proxygruppe angehören. Wenn die Auswahl Proxygruppen für die Sperrliste leer ist, hat die Benutzergruppe vollständigen Zugriff auf alle Proxygruppen.

Regeln für den Vorrang von Berechtigungen für Benutzer, die mehreren Benutzergruppen angehören:

  • Die Sperrliste hat Vorrang vor der Zulassungsliste. Wenn eine Gruppe den Zugriff auf einen Proxy/eine Proxygruppe verweigert, kann der Benutzer nicht darauf zugreifen.
  • Die Berechtigungen der Zulassungsliste werden kumuliert. Wenn mehrere Gruppen den Zugriff erlauben, kann der Benutzer auf alle von diesen Gruppen erlaubten Proxys zugreifen.

Auf der Registerkarte Problem-Tag-Filter können Sie tagbasierte Berechtigungen für Benutzergruppen festlegen, damit Probleme nach Tagname und Tagwert gefiltert angezeigt werden:

Klicken Sie auf , um die Hostgruppen auszuwählen. Um eine Hostgruppe auszuwählen, auf die ein Tag-Filter angewendet werden soll, klicken Sie auf Auswählen, um die vollständige Liste der vorhandenen Hostgruppen anzuzeigen, oder beginnen Sie mit der Eingabe des Namens einer Hostgruppe, um eine Dropdown-Liste mit passenden Gruppen anzuzeigen. Es werden nur Hostgruppen angezeigt, da der Problem-Tag-Filter nicht auf Vorlagengruppen angewendet werden kann.

Tagnamen ohne Werte können hinzugefügt werden, Werte ohne Namen jedoch nicht. Nur die ersten drei Tags (gegebenenfalls mit Werten) werden im Block Berechtigungen angezeigt. Wenn weitere Tags vorhanden sind, können Sie diese durch Klicken auf das Symbol oder durch Bewegen des Mauszeigers darüber anzeigen.

Mit dem Tag-Filter kann der Zugriff auf eine Hostgruppe von der Möglichkeit getrennt werden, Probleme anzuzeigen.

Wenn ein Datenbankadministrator beispielsweise nur „MySQL“-Datenbankprobleme sehen soll, muss zunächst eine Benutzergruppe für Datenbankadministratoren erstellt und anschließend der Tagname „target“ sowie der Wert „mysql“ angegeben werden.

Wenn der Tagname „target“ angegeben und das Wertefeld leer gelassen wird, sieht die Benutzergruppe für die ausgewählte Hostgruppe alle Probleme mit dem Tagname „target“.

Stellen Sie sicher, dass Tagname und Tagwert korrekt angegeben sind. Andernfalls sieht die Benutzergruppe keine Probleme.

Sehen wir uns ein Beispiel an, bei dem ein Benutzer Mitglied mehrerer ausgewählter Benutzergruppen ist. Die Filterung verwendet in diesem Fall eine ODER-Bedingung für Tags.
Benutzergruppe A Benutzergruppe B Für einen Benutzer (Mitglied) beider Gruppen sichtbares Ergebnis
Tag-Filter
Hostgruppe Tagname Tagwert Hostgruppe Tagname Tagwert
Datenbanken target mysql Datenbanken target oracle Probleme mit target:mysql oder target:oracle sichtbar
Nicht im Problem-Tag-Filter konfiguriert Datenbanken target oracle Probleme mit target:oracle sichtbar

Zugriff aus mehreren Benutzergruppen

Ein Benutzer kann einer beliebigen Anzahl von Benutzergruppen angehören. Diese Gruppen können unterschiedliche Zugriffsberechtigungen auf Hosts oder Vorlagen haben.

Daher ist es wichtig zu wissen, auf welche Entitäten ein nicht privilegierter Benutzer dadurch letztlich zugreifen kann. Betrachten Sie im folgenden Beispiel, wie sich der Zugriff auf Host X (in Hostgruppe 1) in verschiedenen Situationen für einen Benutzer auswirkt, der sich in den Benutzergruppen A und B befindet.

  • Wenn Gruppe A nur Lesezugriff auf Hostgruppe 1 hat, Gruppe B jedoch Lese-/Schreibzugriff auf Hostgruppe 1, erhält der Benutzer Lese-/Schreibzugriff auf „X“.

Berechtigungen vom Typ „Lese-/Schreibzugriff“ haben Vorrang vor Berechtigungen vom Typ „Lesezugriff“.

  • Im selben Szenario wie oben gilt: Wenn sich „X“ gleichzeitig auch in Hostgruppe 2 befindet, die für Gruppe A oder B verweigert ist, ist der Zugriff auf „X“ nicht verfügbar, trotz Lese-/Schreibzugriff auf Hostgruppe 1.
  • Wenn für Gruppe A keine Berechtigungen definiert sind und Gruppe B Lese-/Schreibzugriff auf Hostgruppe 1 hat, erhält der Benutzer Lese-/Schreibzugriff auf „X“.
  • Wenn Gruppe A Verweigern-Zugriff auf Hostgruppe 1 hat und Gruppe B Lese-/Schreibzugriff auf Hostgruppe 1 hat, wird dem Benutzer der Zugriff auf „X“ verweigert.

Weitere Details

  • Ein Benutzer auf Admin-Ebene mit Lese-/Schreibzugriff auf einen Host kann Vorlagen nicht verknüpfen/entfernen, wenn er keinen Zugriff auf die Vorlagengruppe hat, zu der sie gehören. Mit Lesezugriff auf die Vorlagengruppe kann er Vorlagen mit dem Host verknüpfen/deren Verknüpfung aufheben, sieht jedoch keine Vorlagen in der Vorlagenliste und kann Vorlagen an anderen Stellen nicht verwenden.
  • Ein Benutzer auf Admin-Ebene mit Lesezugriff auf einen Host sieht den Host nicht in der Host-Liste im Konfigurationsbereich; die Host-Auslöser sind jedoch in der IT-Service-Konfiguration zugänglich.
  • Jeder Benutzer, der kein Super-Admin ist (einschließlich 'guest'), kann Netzwerkkarten sehen, solange die Karte leer ist oder nur Bilder enthält. Wenn Hosts, Host-Gruppen oder Auslöser zur Karte hinzugefügt werden, werden die Berechtigungen berücksichtigt.
  • Der Zabbix Server sendet keine Benachrichtigungen an Benutzer, die als Empfänger von Aktionsoperationen definiert sind, wenn der Zugriff auf den betreffenden Host ausdrücklich auf "verweigert" gesetzt ist.