Grupos visíveis: o que cada um enxerga

Cada usuário tem um acesso inicial, que responde "o que esta pessoa enxerga". Quando o acesso é por grupos, os grupos visíveis da pessoa são os grupos de hosts que os grupos de usuários dela concedem, e o Sentrya filtra o feed, os contadores e os ouvintes por esse conjunto. Nos servidores em que o administrador liga Usar permissões do Zabbix, quem está vinculado passa a ver o que o próprio Zabbix libera para o usuário dele.

O acesso inicial

O acesso inicial é escolhido em toda forma de entrada — criação manual, convite por email, link de convite e Microsoft 365 — e pode ser editado depois em Usuários. Ele nunca fica em branco. Nos formulários, o campo se chamava "Escopo de incidentes"; o comportamento não mudou.

Onde configurar

• Painel administrativo: Equipe → Grupos de usuários. É o único lugar onde se cria um grupo, se escolhe os grupos de hosts que ele concede e se define quem é membro. Não existe mais a janela Grupos visíveis em que se marcavam grupos de hosts pessoa por pessoa.
• Permissões do Zabbix: por servidor, no painel administrativo, em Conexões → Zabbix → menu do servidor → Permissões e vínculo. Veja a seção "Servidores que usam as permissões do Zabbix", abaixo.
• Para novas pessoas: escolha papel e acesso inicial no próprio convite ou link, e o acesso inicial de quem entra pela Microsoft no cartão Microsoft 365. Não existe um acesso único para a empresa toda.
• App: não tem essa tela. Os caminhos antigos abrem "A gestão da equipe agora é no painel admin", com atalho para Usuários e grupos no navegador.
• Painel web: não tem essa tela. A gestão da equipe mora no painel administrativo da empresa; a URL antiga /settings/groups mostra o aviso "A gestão da equipe está no painel admin" com o botão Abrir painel admin.

O Admin não precisa de grupo nenhum: ele enxerga todos os incidentes, e a restrição por grupos não se aplica a ele.

O que a restrição afeta

O mesmo filtro é aplicado em tudo o que lê incidentes para aquele usuário: o feed da aba Incidentes, o Resumo e seus contadores, a busca de hosts, as referências nas Conversas e o casamento dos ouvintes — um ouvinte só dispara para incidentes que a pessoa pode ver. No assistente de ouvinte, a lista de grupos e hosts também vem filtrada. O reconhecimento segue a mesma regra: um Operador restrito não reconhece um incidente que ele não vê, e o Histórico de ACKs e os grupos de hosts de um incidente fora do alcance dele respondem como se o incidente não existisse.

Incidentes de webhook

Só incidentes vindos do Zabbix carregam grupos de hosts. Incidentes de Fontes de Dados (webhooks) não têm grupo, e a regra do servidor é: incidente sem grupo é visível a todos, restrito ou não. A lógica é não esconder um alerta que não tinha como ser classificado. Se você precisa que alguém não veja alertas de uma fonte, a ferramenta não são os grupos de usuários.

A exceção são os incidentes do Zabbix que ainda não têm grupo de hosts gravado, num servidor em que a pessoa vê pelas permissões do Zabbix: para ela, eles ficam escondidos, porque o Sentrya não tem como saber se o Zabbix libera aquele host. Os incidentes de webhook continuam visíveis como antes.

Grupos de usuários

No painel /admin o Admin cria grupos de usuários e define os grupos de hosts uma vez por grupo, em vez de usuário a usuário. É isso que o acesso inicial Grupos de usuários usa. Um membro cujo grupo não concede nenhum grupo de hosts vê apenas os incidentes sem grupo (webhooks).

Contas antigas podem ter um acesso individual antigo: grupos de hosts marcados só para a pessoa, na janela que saiu do painel. Ele só vale para quem não está em nenhum grupo de usuários; para um membro, valem só os grupos herdados. Em Usuários você converte esse acesso em um grupo de usuários ou o remove.

Trocar o acesso inicial de uma pessoa para Nenhum incidente ou Todos os incidentes a retira dos grupos de usuários: deixar a participação pendurada contradiria o acesso escolhido. O caminho inverso não acontece — colocar alguém num grupo nunca reduz o acesso de quem já via todos os incidentes; só amplia o de quem estava sem nenhuma visibilidade.

Servidores que usam as permissões do Zabbix

Por padrão, o que cada pessoa vê vem do acesso inicial e dos grupos de usuários, e o Vínculo com o Zabbix decide só em nome de quem os reconhecimentos dela saem no Zabbix. O vínculo nunca muda o papel. O administrador pode fazer o Zabbix decidir também o que a pessoa vê, servidor por servidor, com a opção Usar permissões do Zabbix do cartão Permissões e vínculo (veja Conectar o Zabbix). A opção vem desligada e só pode ser ligada quando o usuário da coleta é Super admin.

Com a opção ligada, o que a pessoa vê naquele servidor depende do vínculo dela:

Cada servidor decide por si: a mesma pessoa pode ver pelas permissões do Zabbix num servidor e pelo acesso inicial em outro. O papel continua vindo do Sentrya, e vale o mais restrito: um Visualizador vinculado não reconhece, mesmo que o Zabbix deixe.

Como o Sentrya lê as permissões

• Vale o que o Zabbix diz. O Sentrya lê, com o usuário da coleta, os grupos de usuários do usuário vinculado e os direitos de cada grupo nos grupos de hosts. Com vários grupos de usuários, vale a maior permissão. Um usuário do tipo Super admin no Zabbix vê tudo daquele servidor.
• Negar vence, host por host. Se um dos grupos de usuários dele nega (Deny) um grupo de hosts, os hosts desse grupo ficam de fora, com os problemas deles, mesmo que estejam também em outro grupo de hosts liberado. É a mesma regra do Zabbix.
• Filtro de tag. Quando algum grupo de usuários dele tem filtro de tag, o Zabbix só mostra os problemas dos grupos de hosts liberados para todas as tags ou cuja condição de tag o problema cumpre. O Sentrya não confere as condições de tag. Por isso, com algum filtro de tag, ele mostra só os grupos de hosts liberados para todas as tags. Os grupos de hosts com uma condição de tag específica saem do que a pessoa vê, e o Sentrya mostra quantos ficaram de fora por isso. Os grupos de hosts sem filtro nenhum também saem, porque o próprio Zabbix não mostra problema deles a essa pessoa, e não entram nessa contagem. Sem filtro de tag em grupo nenhum, nada disso muda o que ela vê.
• Desativado não vê nada. Usuário desativado ou removido no Zabbix, ou num grupo de usuários desativado, não vê nada daquele servidor.
• Atualização. O Sentrya copia as permissões a cada cerca de 10 minutos, quando alguém vincula, quando o Zabbix recusa uma ação por falta de permissão e quando o administrador toca em Atualizar permissões agora. Uma mudança feita no Zabbix aparece no Sentrya na cópia seguinte.
• Zabbix fora do ar. Vale a última cópia das permissões, com a data dela.
• Usuário da coleta sem Super admin. Se alguém tirar o Super admin do usuário da coleta no Zabbix, a cópia das permissões para, e o cartão Permissões e vínculo mostra o motivo. Continua valendo a última cópia, e os vínculos das pessoas não são desfeitos. A cópia volta quando o usuário da coleta voltar a ser Super admin e o servidor for verificado de novo; veja Dar Super admin ao usuário da coleta.

O recorte vale para tudo o que lê incidentes: o feed, o Resumo e os contadores, as notificações, os ouvintes, o assistente de ouvinte e o Explorar. A pessoa vê de onde vem o acesso dela em cada servidor no Perfil. O administrador vê o mesmo em Usuários, no detalhe Vínculo e acesso da pessoa, com o número de grupos de hosts, os grupos com filtro de tag que ficaram de fora e a data da última cópia.

Exemplos

Veja também

• Papéis e permissões
• Usuários
• Vínculo do usuário com o Zabbix
• Transição do antigo acesso Zabbix
• Feed e filtros