Gruppi di utenti
Panoramica
I gruppi di utenti consentono di raggruppare gli utenti sia per motivi organizzativi sia per assegnare autorizzazioni ai dati. Le autorizzazioni per visualizzare e configurare i dati dei gruppi di host e dei gruppi di template vengono assegnate ai gruppi di utenti, non ai singoli utenti.
Spesso può essere utile separare le informazioni disponibili per un gruppo di utenti da quelle disponibili per un altro. È possibile farlo raggruppando gli utenti e assegnando quindi autorizzazioni diverse ai gruppi di host e ai gruppi di template.
Un utente può appartenere a un numero qualsiasi di gruppi.
Configurazione
Per configurare un gruppo di utenti:
- Vai a Utenti > Gruppi di utenti.
- Fai clic su Crea gruppo di utenti (oppure sul nome del gruppo per modificare un gruppo esistente).
- Modifica gli attributi del gruppo nel modulo.
La scheda Gruppo di utenti contiene gli attributi generali del gruppo:
Tutti i campi obbligatori sono contrassegnati da un asterisco rosso.
| Parametro | Descrizione |
|---|---|
| Nome del gruppo | Nome univoco del gruppo. |
| Utenti | Per aggiungere utenti al gruppo, inizia a digitare il nome di un utente esistente. Quando viene visualizzato l'elenco a discesa con i nomi degli utenti corrispondenti, scorri verso il basso per selezionare. In alternativa, puoi fare clic sul pulsante Seleziona per selezionare gli utenti in una finestra popup. |
| Accesso al frontend | Modalità di autenticazione degli utenti del gruppo. Predefinito di sistema - utilizza il metodo di autenticazione predefinito (impostato globalmente) Interno - utilizza l'autenticazione interna di Zabbix (anche se l'autenticazione LDAP è utilizzata globalmente). Ignorato se l'autenticazione HTTP è il metodo predefinito globale. LDAP - utilizza l'autenticazione LDAP (anche se l'autenticazione interna è utilizzata globalmente). Ignorato se l'autenticazione HTTP è il metodo predefinito globale. Disabilitato - l'accesso al frontend di Zabbix è vietato per questo gruppo |
| server LDAP | Seleziona quale server LDAP utilizzare per autenticare l'utente. Questo campo è abilitato solo se Accesso al frontend è impostato su LDAP o Predefinito di sistema. |
| Autenticazione a più fattori | Seleziona quale metodo di autenticazione a più fattori utilizzare per autenticare l'utente: Predefinito - utilizza il metodo impostato come predefinito nella configurazione MFA; questa opzione è selezionata per impostazione predefinita per i nuovi gruppi di utenti se MFA è abilitata; <Nome del metodo> - utilizza il metodo selezionato (ad esempio, "Zabbix TOTP"); Disabilitato - MFA è disabilitata per questo gruppo; questa opzione è selezionata per impostazione predefinita per i nuovi gruppi di utenti se MFA è disabilitata. Se un utente appartiene a più gruppi di utenti con MFA abilitata (o almeno un gruppo ha MFA abilitata), si applicano le seguenti regole di autenticazione: se un gruppo utilizza il metodo MFA "Predefinito", questo metodo autenticherà l'utente; in caso contrario, per l'autenticazione verrà utilizzato il primo metodo (in ordine alfabetico). |
| Abilitato | Stato del gruppo di utenti e dei membri del gruppo. Selezionato - il gruppo di utenti e gli utenti sono abilitati Non selezionato - il gruppo di utenti e gli utenti sono disabilitati |
| Modalità di debug | Seleziona questa casella per attivare la modalità di debug per gli utenti. |
La scheda Autorizzazioni template consente di specificare l'accesso del gruppo di utenti ai gruppi di template e, tramite questi, ai dati dei template:
La scheda Autorizzazioni host consente di specificare l'accesso del gruppo di utenti ai gruppi di host e, tramite questi, ai dati degli host:
Fai clic su 
per scegliere i gruppi di template/host (sia un gruppo principale sia un gruppo nidificato) e assegnare loro le autorizzazioni.
Inizia a digitare il nome del gruppo (verrà visualizzato un elenco a discesa dei gruppi corrispondenti) oppure fai clic su Seleziona per aprire una finestra popup contenente tutti i gruppi.
Utilizza quindi i pulsanti delle opzioni per assegnare le autorizzazioni ai gruppi scelti. Le autorizzazioni disponibili sono:
- Lettura-scrittura - accesso in lettura e scrittura a un gruppo
- Lettura - accesso in sola lettura a un gruppo
- Nega - accesso negato a un gruppo
Se lo stesso gruppo di template/host viene aggiunto in più righe con autorizzazioni diverse, verrà applicata l'autorizzazione più restrittiva.
Un utente Super amministratore può imporre ai gruppi nidificati di avere lo stesso livello di autorizzazioni del gruppo principale; questa operazione può essere eseguita nel modulo di configurazione del gruppo host/template.
Le schede Autorizzazioni template e Autorizzazioni host supportano lo stesso insieme di parametri.
Le autorizzazioni attuali per i gruppi vengono visualizzate nel blocco Autorizzazioni e possono essere modificate o rimosse.
Se un gruppo di utenti dispone di autorizzazioni Lettura-scrittura per un host e di autorizzazioni Nega o di nessuna autorizzazione per un template collegato a questo host, gli utenti di tale gruppo non potranno modificare gli item basati su template nell'host e il nome del template verrà visualizzato come Template inaccessibile.
La scheda Elenco di accesso ai proxy consente di specificare l'accesso del gruppo di utenti ai proxy, singolarmente o tramite gruppi di proxy:
Utilizza il campo Gruppi di proxy per applicare l'autorizzazione ai gruppi selezionati. Un proxy appartenente a un gruppo può essere autorizzato o negato solo tramite quel gruppo. Utilizza il campo Proxy per aggiungere singoli proxy che non appartengono ad alcun gruppo di proxy.
Proxy e Gruppi di proxy supportano lo stesso insieme di parametri.
Fai clic sul pulsante Seleziona accanto al campo Proxy o Gruppi di proxy per selezionare rispettivamente proxy o gruppi di proxy. In alternativa, inizia a digitare il nome di un proxy o di un gruppo di proxy nel campo corrispondente. Viene visualizzato un elenco a discesa dei proxy o dei gruppi di proxy corrispondenti.
Seleziona Elenco consentiti per consentire al gruppo di utenti di accedere solo ai proxy e ai gruppi di proxy selezionati.
Se la selezione Proxy è vuota per l'Elenco consentiti, il gruppo di utenti non avrà accesso ad alcun proxy che non appartiene a un gruppo di proxy.
Se la selezione Gruppi di proxy è vuota per l'Elenco consentiti, il gruppo di utenti non avrà accesso ad alcun gruppo di proxy.
Seleziona Elenco negati per negare al gruppo di utenti l'accesso ai proxy e ai gruppi di proxy selezionati.
L'accesso a tutti gli altri proxy e gruppi di proxy è consentito.
Se la selezione Proxy è vuota per l'Elenco negati, il gruppo di utenti avrà accesso completo a tutti i proxy che non appartengono a un gruppo di proxy.
Se la selezione Gruppi di proxy è vuota per l'Elenco negati, il gruppo di utenti avrà accesso completo a tutti i gruppi di proxy.
Regole di precedenza delle autorizzazioni per gli utenti appartenenti a più gruppi di utenti:
- L'Elenco negati prevale sull'Elenco consentiti. Se un gruppo nega l'accesso a un proxy/gruppo di proxy, l'utente non potrà accedervi.
- Le autorizzazioni dell'Elenco consentiti sono cumulative. Se più gruppi consentono l'accesso, l'utente potrà accedere a tutti i proxy consentiti da tali gruppi.
La scheda Filtro dei tag dei problemi consente di impostare autorizzazioni basate sui tag per i gruppi di utenti, in modo da visualizzare i problemi filtrati per nome e valore del tag:
Fai clic su per scegliere i gruppi di host.
Per selezionare un gruppo di host a cui applicare un filtro dei tag, fai clic su Seleziona per ottenere l'elenco completo dei gruppi di host esistenti oppure inizia a digitare il nome di un gruppo di host per visualizzare un elenco a discesa dei gruppi corrispondenti.
Verranno visualizzati solo i gruppi di host, perché il filtro dei tag dei problemi non può essere applicato ai gruppi di template.
È possibile aggiungere nomi di tag senza valori, ma non valori senza nomi.
Nel blocco Autorizzazioni vengono visualizzati solo i primi tre tag (con i relativi valori, se presenti); se sono presenti altri tag, è possibile visualizzarli facendo clic sull'icona 
o passandovi sopra con il mouse.
Il filtro dei tag consente di separare l'accesso al gruppo di host dalla possibilità di visualizzare i problemi.
Ad esempio, se un amministratore di database deve visualizzare solo i problemi del database "MySQL", è necessario creare prima un gruppo di utenti per gli amministratori di database, quindi specificare il nome del tag "target" e il valore "mysql".
Se viene specificato il nome del tag "target" e il campo del valore viene lasciato vuoto, il gruppo di utenti visualizzerà tutti i problemi con il nome del tag "target" per il gruppo di host selezionato.
Assicurati che il nome e il valore del tag siano specificati correttamente; in caso contrario, il gruppo di utenti non visualizzerà alcun problema.
Esaminiamo un esempio in cui un utente è membro di diversi gruppi di utenti selezionati. In questo caso, il filtraggio utilizzerà una condizione OR per i tag.
| Gruppo di utenti A | Gruppo di utenti B | Risultato visibile per un utente (membro) di entrambi i gruppi | ||||
| Filtro dei tag | ||||||
| Gruppo di host | Nome del tag | Valore del tag | Gruppo di host | Nome del tag | Valore del tag | |
| Database | target | mysql | Database | target | oracle | problemi target:mysql o target:oracle visibili |
| Non configurato nel Filtro dei tag dei problemi | Database | target | oracle | problemi target:oracle visibili | ||
Accesso da diversi gruppi di utenti
Un utente può appartenere a un numero qualsiasi di gruppi di utenti. Questi gruppi possono avere permessi di accesso diversi a host o template.
Pertanto, è importante sapere a quali entità un utente senza privilegi potrà accedere di conseguenza. Nell'esempio seguente, considera come l'accesso all'host X (nel Gruppo host 1) sarà influenzato in varie situazioni per un utente che appartiene ai gruppi di utenti A e B.
- Se il Gruppo A ha solo accesso in Lettura al Gruppo host 1, ma il Gruppo B ha accesso in Lettura-scrittura al Gruppo host 1, l'utente otterrà accesso in Lettura-scrittura a 'X'.
I permessi di "Lettura-scrittura" hanno la precedenza sui permessi di "Lettura".
- Nello stesso scenario di cui sopra, se 'X' si trova contemporaneamente anche nel Gruppo host 2 che è negato al Gruppo A o B, l'accesso a 'X' sarà non disponibile, nonostante l'accesso in Lettura-scrittura al Gruppo host 1.
- Se il Gruppo A non ha permessi definiti e il Gruppo B ha accesso in Lettura-scrittura al Gruppo host 1, l'utente otterrà accesso in Lettura-scrittura a 'X'.
- Se il Gruppo A ha accesso di Negazione al Gruppo host 1 e il Gruppo B ha accesso in Lettura-scrittura al Gruppo host 1, all'utente sarà negato l'accesso a 'X'.
Altri dettagli
- Un utente di livello Admin con accesso in lettura-scrittura a un host non potrà collegare/scollegare template, se non ha accesso al gruppo di template a cui essi appartengono. Con accesso in sola lettura al gruppo di template potrà collegare/scollegare template all'host, tuttavia non vedrà alcun template nell'elenco dei template e non potrà operare con i template in altri punti.
- Un utente di livello Admin con accesso in sola lettura a un host non vedrà l'host nell'elenco degli host nella sezione di configurazione; tuttavia, i trigger dell'host saranno accessibili nella configurazione dei servizi IT.
- Qualsiasi utente che non sia Super Admin (incluso 'guest') può vedere le mappe di rete purché la mappa sia vuota o contenga solo immagini. Quando alla mappa vengono aggiunti host, gruppi di host o trigger, i permessi vengono rispettati.
- Zabbix server non invierà notifiche agli utenti definiti come destinatari delle operazioni di un'azione se l'accesso all'host interessato è esplicitamente "negato".