Documentation
Table of Contents
3. Группы пользователей
Обзор
Группы пользователей позволяют группировать пользователей для организационных целей и для назначения прав доступа к данным. Права доступа к данным просмотра и настроек групп узлов сети и групп шаблонов назначаются на группы пользователей, а не индивидуально пользователям.
Часто имеет смысл разделить, какая информация доступна одной группе пользователей и какая — другой. Это может быть достигнуто группировкой пользователей и последующим назначением различных прав доступа к группам узлов сети и шаблонов.
Пользователь может входить в любое количество групп.
Настройка
Для настройки группы пользователей:
- Перейдите в Пользователи → Группы пользователей (Users → User groups)
- Нажмите на Создать группу пользователей (Create user group) (или на имени группы для изменения существующей группы)
- Измените в диалоге атрибуты группы
Вкладка Группа пользователей (User group) содержит общие атрибуты группы:
Все обязательные поля ввода отмечены красной звёздочкой.
| Параметр | Описание |
|---|---|
| Имя группы (Group name) |
Уникальное имя группы. |
| Пользователи (Users) |
Для добавления пользователей начните печатать имя существующего пользователя. Когда появится выпадающий список с подходящими именами пользователей, прокрутите этот список и выберите нужного пользователя. Кроме того, вы можете нажать на кнопку Выбрать (Select) и выбрать пользователей во всплывающем окне. |
| Доступ к веб-интерфейсу (Frontend access) |
Каким образом пользователи этой группы проходят аутентификацию. Системное по умолчанию (System default) — использование метода аутентификации по умолчанию (задаётся глобально) Внутренний (Internal) — использование внутренней аутентификации Zabbix (даже если LDAP аутентификация используется глобально). Игнорируется, если глобально по умолчанию используется HTTP аутентификация. LDAP — использование LDAP аутентификации (даже если внутренняя аутентификация используется глобально). Игнорируется, если глобально по умолчанию используется HTTP аутентификация. Деактивировано (Disabled) — доступ к веб-интерфейсу Zabbix для этой группы запрещён |
| LDAP сервер (LDAP server) |
Выберите, какой LDAP сервер использовать для аутентификации пользователя. Это поле доступно только если параметр Доступ к веб-интерфейсу (Frontend access) имеет значение LDAP или Системное по умолчанию (System default). |
| Многофакторная аутентификация (Multi-factor authentication) |
Выберите, какой метод многофакторной аутентификации (MFA) использовать для аутентификации пользователя: По умолчанию (Default) — использовать метод, настроенный как метод по умолчанию в настройках MFA; эта опция выбирается по умолчанию для новых групп пользователей, если MFA активирована; <Имя метода> — использовать выбранный метод (например, «Zabbix TOTP»); Деактивировано (Disabled) — MFA для этой группы отключена; эта опция выбирается по умолчанию для новых групп пользователей, если MFA деактивирована. Обратите внимание, что если пользователь принадлежит к нескольким группам пользователей с включённой функцией MFA (или хотя бы в одной группе включена функция MFA), применяются следующие правила аутентификации: если какая-либо группа использует метод MFA «По умолчанию», то она аутентифицирует пользователя; в противном случае для аутентификации будет использоваться первый метод (в алфавитном порядке). |
| Активировано (Enabled) |
Состояние группы пользователей и членов группы: Отмечено — группа пользователей и пользователи активированы Не отмечено — группа пользователей и пользователи деактивированы |
| Режим отладки (Debug mode) |
Отметьте эту опцию для активации режима отладки для пользователей. |
Вкладка Права доступа к шаблонам (Template permissions) позволяет вам управлять доступом группы пользователей к данным групп шаблонов (и таким образом к шаблонам):
Вкладка Права доступа к узлам сети (Host permissions) позволяет вам управлять доступом группы пользователей к данным групп узлов сети (и таким образом к узлам сети):
Нажмите на 
(Добавить), чтобы выбрать группы шаблонов/узлов сети (будь то родительская или вложенная группа) и назначить им права доступа. Начните набирать имя группы (появится выпадающее меню с соответствующими группами) или нажмите Выбрать (Select) для появления всплывающего окна со списком всех групп.
Затем используйте переключатели для назначения прав доступа выбранным группам. Возможны следующие права доступа:
- Чтение-запись (Read-write) — доступ на чтение-запись к группе;
- Чтение (Read) — доступ только на чтение к группе;
- Запрещён (Deny) — доступ к группе запрещён.
Если та же группа шаблонов/узлов сети добавлена в нескольких строках с разными правами доступа, применяются наиболее строгие права доступа.
Обратите внимание, что пользователь Супер-администратор может принудительно заставить вложенные группы иметь тот же уровень доступов, что и родительская группа узлов сети; это может быть сделано в диалоге настройки группы узлов сети/шаблонов.
Вкладки Права доступа к шаблонам (Template permissions) и Права доступа к узлам сети (Host permissions) поддерживают одинаковый набор параметров.
Текущие права доступа к группам отображаются в блоке Права доступа (Permissions), и их можно изменить или удалить.
Если группа пользователей имеет права доступа к узлу сети Чтение-запись (Read-write), а на присоединённый к узлу сети шаблон — Запрещён (Deny) или никаких прав, то пользователи такой группы не будут иметь возможности редактировать на этом узле сети элементы данных из шаблона, а имя шаблона будет отображаться как Недоступный шаблон (Inaccessible template).
Вкладка Фильтр тегов проблем (Problem tag filter) позволяет задать права доступа группам пользователей на основании тегов, чтобы видеть проблемы, отфильтрованные по имени тега и его значению:
Нажмите на (Добавить) для выбора групп узлов сети. Чтобы выбрать группу узлов сети для применения фильтрации по тегам, нажмите на Выбрать (Select), чтобы получить полный список существующих групп узлов сети, или начните вводить имя группы узлов сети, чтобы получить выпадающее меню с соответствующими группами. Будут отображены только группы узлов сети, поскольку фильтр тегов проблем неприменим к группам шаблонов.
Затем можно переключиться с Все теги (All tags) на Список тегов (Tag list), чтобы задать определенные теги и их значения для фильтрации. Можно добавить имена тегов без значений, но значения без имён — нет. В блоке Права доступа (Permissions) отображаются только первые три тега (со значениями, если имеются); если их больше, то их можно просмотреть, нажав или наведя мышью на значок 
.
Фильтр тегов позволяет разграничить доступ к группе узлов сети от возможности просмотра проблем.
Например, если администратору баз данных нужно видеть проблемы только по базе данных «MySQL», сначала необходимо создать группу пользователей для администраторов баз данных, затем указать имя тега «target» и значение «mysql».
Если имя тега «target» задано, а поле значения оставлено пустым, тогда соответствующая группа пользователей будет видеть все проблемы с именем тега «target» по выбранной группе узлов сети. Если выбрано Все теги (All tags), группа пользователей увидит все проблемы по выбранной группе узлов сети.
Убедитесь, что имя тега и значение этого тега указаны должным образом, в противном случае соответствующая группа пользователей вовсе не увидит проблемы.
Давайте рассмотрим пример, когда пользователь является членом нескольких выбранных групп пользователей. В этом случае фильтрация для тегов будет использовать условие ИЛИ.
| Группа пользователей A | Группа пользователей B | Видимый результат у пользователя (члена) обеих групп | ||||
| Фильтр тегов | ||||||
| Группа узлов сети | Имя тега | Значение тега | Группа узлов сети | Имя тега | Значение тега | |
| Базы данных | target | mysql | Базы данных | target | oracle | Видны проблемы target:mysql или target:oracle |
| Базы данных | Задано: Все теги (All tags) | Базы данных | target | oracle | Видны все проблемы | |
| Фильтр тегов проблем (Problem tag filter) не настроен | Базы данных | target | oracle | Видны проблемы target:oracle | ||
Добавление фильтра (например, все теги в конкретной группе узлов сети «Базы данных») приведёт к невозможности просмотра проблем с других групп узлов сети.
Доступ с нескольких групп пользователей
Пользователь может принадлежать любому числу групп пользователей. Эти группы могут иметь разные права доступа к узлам сети или шаблонам.
Поэтому важно знать, какие объекты, в результате, будут доступны для непривилегированного пользователя. Например, давайте рассмотрим, как доступ к узлу сети Х (из Группы узлов сети 1) будет применяться в различных ситуациях для пользователей, которые состоят в группах А и В.
- Если Группа пользователей А имеет только доступ на Чтение к Группе узлов сети 1, а Группа пользователей В имеет доступ Чтение-Запись к Группе узлов сети 1, то пользователь получит доступ на Чтение-Запись к узлу сети «Х».
Право доступа «Чтение-Запись» имеет более высокий приоритет перед правом доступа «Чтение».
- В таком же сценарии, как вышеописаный, если узел сети «Х» находится ещё и в Группе узлов сети 2, которая имеет право доступа запрещено для Групп пользователей А или В, доступ к узлу сети «Х» будет невозможен, несмотря на наличие прав доступа Чтение-Запись к Группе узлов сети 1.
- Если Группа пользователей А не имеет заданных прав доступа и Группа узлов сети В имеет права доступа Чтение-Запись к Группе узлов сети 1, пользователь получит право доступа Чтение-Запись к узлу сети «Х».
- Если Группа пользователей А имеет доступ Запрещено к Группе узлов сети 1 и Группа пользователей В имеет доступ на Чтение-Запись к Группе узлов сети 1, пользователь не получит доступа к узлу сети «Х».
Другая информация
- Пользователь с уровнем Администратор с правами доступа Чтение-запись к узлу сети не сможет присоединять/отсоединять шаблоны, если у него нет прав доступа к группе шаблонов, к которой они относятся. При наличии прав доступа на Чтение к группе шаблонов этот пользователь сможет присоединять/отсоединять шаблоны от этого узла сети, однако, он не будет видеть шаблоны в списке шаблонов и не сможет оперировать шаблонами в других местах.
- Пользователь с уровнем Администратор с правами доступа на Чтение к узлу сети не увидит этот узел сети в списке узлов сети раздела настройки; однако, триггеры этого узла сети будут доступны при настройке Услуг IT.
- Любой не Zabbix Супер-администратор пользователь (включая «guest») может просматривать карты сети, пока карта пустая или имеет только изображения. Права соблюдаются при наличии на карте добавленных узлов сети, групп узлов сети или триггеров.
- Zabbix сервер не будет отправлять оповещения пользователям, которые указаны получателями в операции действия, если доступ к соответствующему узлу сети явным образом «запрещён».