Dar Super admin ao usuário da coleta

Para o vínculo pelo Microsoft 365 e para Usar permissões do Zabbix, o usuário da coleta de um servidor precisa ser Super admin no Zabbix. Esta página explica por quê, como mudar o papel no Zabbix e o que o Sentrya faz com essa permissão.

Por que precisa ser Super admin

Para vincular cada pessoa sozinho e para mostrar a cada uma o que o Zabbix libera para ela, o Sentrya precisa de coisas que, no Zabbix, só o Super admin consegue:

Achar o usuário de cada pessoa, lendo os usuários do Zabbix. Um usuário Admin ou User só enxerga os usuários dos próprios grupos.
Criar o token de API de cada pessoa, no usuário dela. Um Admin, mesmo com a permissão "Gerenciar tokens de API" (Manage API tokens), só cria e apaga os próprios tokens.
Ler as permissões dos outros usuários, para Usar permissões do Zabbix: os grupos de usuários de cada pessoa vinculada e os direitos deles nos grupos de hosts. Um Admin ou User só enxerga os usuários dos próprios grupos.

O Sentrya conferiu esse comportamento nas versões 5.4, 6.0 e 7.0 do Zabbix. Sem Super admin, o resto continua funcionando: a coleta, os reconhecimentos e o vínculo que cada pessoa faz com um token de API ou com usuário e senha. O que muda sem Super admin:

o Sentrya não renova os tokens que criou: cada um vence depois de um ano, e a pessoa vincula de novo;
o Sentrya não apaga do Zabbix os tokens que criou quando alguém desvincula, toca em Não sou eu ou é desativado: ele deixa de usá-los, e eles aparecem para o administrador em Tokens a apagar no Zabbix, no cartão Permissões e vínculo. Num Sentrya Connector que guarda os tokens de pessoa, o conector ainda apaga na hora a cópia que guarda, e o token deixa de servir, mas continua no Zabbix. Quando o usuário da coleta passa a ser Super admin, numa conexão direta ou num Sentrya Connector que guarda os tokens de pessoa, o Sentrya apaga esses tokens sozinho. Veja Conectar o Zabbix;
quem não pode criar o próprio token no Zabbix não consegue vincular com usuário e senha, e usa um token de API gerado por quem administra o Zabbix.

Dar o papel Super admin no Zabbix

Quem faz isso é quem administra o Zabbix da empresa, entrando no Zabbix com um Super admin. Os nomes de menu seguem a interface em português do Zabbix; entre parênteses, o nome em inglês.

Abra o usuário da coleta Em Usuários → Usuários (Users → Users), abra o usuário que o Sentrya usa, por exemplo api.sentrya. Antes do Zabbix 6.4, o caminho é Administração → Usuários (Administration → Users). Se você não sabe qual é o usuário, veja o nome em Permissões e vínculo, no painel administrativo do Sentrya.
Troque o papel Na aba Permissões (Permissions), em Papel (Role), escolha Super admin role, ou um papel seu do tipo Super admin. Clique em Atualizar (Update).
Verifique no Sentrya No painel administrativo do Sentrya, em Conexões → Zabbix, abra o menu do servidor e escolha Verificar conexão: o Sentrya confere de novo o usuário da coleta. Depois, no mesmo menu, abra Permissões e vínculo: o cartão passa a mostrar o usuário da coleta com o selo Super admin.

Prefere limitar a API? Crie um papel do tipo Super admin só para o Sentrya e, em Acesso à API, use a lista de permitidos. Além dos métodos de O que o Sentrya lê do seu Zabbix, libere user.get, token.create, token.generate, token.get e token.delete.

Super admin enxerga todos os grupos de hosts. Com o papel novo, a coleta passa a ler os problemas de todos os grupos do Zabbix, inclusive os que o usuário não via antes. Esses incidentes passam a entrar no Sentrya. O que cada pessoa da equipe vê continua definido pelo acesso inicial e pelos grupos de usuários ou, nos servidores em que o administrador ligar Usar permissões do Zabbix, pelas permissões do usuário vinculado de cada pessoa; o Admin do Sentrya vê tudo. Se a empresa não quer isso, mantenha o usuário da coleta como está: a equipe se vincula pelo token de API.

O que muda no Sentrya

Em Permissões e vínculo, a primeira linha mostra "Usuário da coleta: api.sentrya" e o selo Super admin, e os interruptores Vincular automaticamente pelo login Microsoft e Usar permissões do Zabbix ficam disponíveis para ligar. Os dois continuam desligados até o administrador ligar.

Enquanto o usuário da coleta não é Super admin, o cartão avisa, por exemplo, "api.sentrya não é Super admin: o vínculo automático pelo Microsoft e o espelho de permissões ficam indisponíveis.", com o link para esta página, e os dois interruptores não podem ser ligados. Se o Sentrya ainda não conferiu o usuário, o cartão diz "Ainda não sabemos qual é o usuário da coleta. Clique em Verificar conexão."

Às vezes o Sentrya descobre só o tipo. Com um token de API de Super admin num Zabbix 5.4, ou com um servidor ligado pelo Sentrya Connector, o Sentrya sabe que o usuário da coleta é Super admin, mas não o nome dele. O cartão mostra o selo sem o nome, e os avisos da equipe dizem "o usuário da coleta".

O que o Sentrya faz com o Super admin

Faz	Não faz
Lê os usuários do Zabbix (nome de usuário e grupos, sem mídias), para achar o usuário de quem entra pela Microsoft.	Não muda nenhuma configuração do Zabbix: usuários, grupos, papéis, hosts, triggers e permissões ficam como estão.
Cria um token de API `Sentrya · <nome da pessoa>` só para quem é vinculado: no vínculo automático, quando ligado no servidor, e no vínculo com usuário e senha, quando o papel da própria pessoa não deixa ela criar o token dela.	Não cria token para quem não se vinculou, nem para os outros usuários do Zabbix.
Renova esses tokens 30 dias antes de vencer e os apaga quando a pessoa desvincula, toca em Não sou eu, é desativada ou excluída, quando a conexão do servidor muda e quando o servidor ou a empresa é excluído. Pelo Sentrya Connector, só num conector atualizado com os tokens de pessoa ligados: aí o token fica guardado no conector, e o Sentrya nunca o vê.	Não apaga tokens que ele não criou, como o token que uma pessoa gerou no Zabbix e colou no Sentrya.
Lê os grupos de usuários de quem está vinculado, os direitos deles nos grupos de hosts e os filtros de tag, nos servidores com Usar permissões do Zabbix ligado. Na mesma leitura, confere se o usuário da coleta continua Super admin.	Não copia as permissões de quem não se vinculou, e não muda nenhuma permissão no Zabbix.
Reconhece (ACK) com o token de cada pessoa, no nome dela.	Não usa o token da pessoa para mais nada além do ACK e de conferir o vínculo.

A lista completa de chamadas está em O que o Sentrya lê do seu Zabbix.

Se o usuário da coleta deixar de ser Super admin

Sem Super admin, o Zabbix só mostra ao usuário da coleta as pessoas dos grupos dele. Por isso, a cada cópia das permissões, o Sentrya confere o papel do usuário da coleta antes de usar o que leu. Se alguém tirar o Super admin dele no Zabbix:

a cópia das permissões para, e o cartão Permissões e vínculo mostra o motivo: "O usuário da coleta não é Super admin: sem ele o Zabbix não mostra as permissões das outras pessoas.";
continua valendo a última cópia: cada pessoa segue vendo o que via, com a data daquela cópia;
os vínculos das pessoas não são desfeitos, e ninguém é tratado como removido do Zabbix;
o vínculo automático pelo Microsoft fica indisponível, e o Sentrya deixa de renovar e de apagar os tokens que criou, como em qualquer servidor sem Super admin.