Vincular pelo Microsoft 365

Muitas empresas entram no Zabbix pela Microsoft e a equipe não sabe usuário nem senha do Zabbix. Com o vínculo automático ligado, quem entra no Sentrya com Entrar com Microsoft fica vinculado sozinho ao próprio usuário do Zabbix, sem digitar nada, e os reconhecimentos saem no nome dele.

Como o Sentrya acha o usuário de cada pessoa

Quando a pessoa entra no Sentrya pela Microsoft, o Sentrya procura, em cada servidor Zabbix com o vínculo automático ligado, o usuário do Zabbix dela:

Pelo UPN Um usuário do Zabbix cujo nome de usuário seja igual ao UPN da conta Microsoft da pessoa (o endereço com que ela entra na Microsoft, como fulano.silva@empresa.com.br).
Pelo e-mail, se não achar Um usuário do Zabbix cujo nome de usuário seja igual ao e-mail da conta da pessoa no Sentrya.
Só com um resultado A comparação não diferencia maiúsculas de minúsculas e só vale para usuário ativo no Zabbix (fora de grupo de usuários desativado). Achou exatamente um: a pessoa fica vinculada. Não achou, ou achou mais de um: o Sentrya não vincula.

O Sentrya compara só o nome de usuário. As mídias de e-mail dos usuários do Zabbix não entram na busca: elas são só endereço de notificação, e qualquer Admin do Zabbix edita a própria mídia.

Ao vincular, o Sentrya cria no Zabbix um token de API para o usuário da pessoa, com o nome Sentrya · Fulano Silva. É esse token que assina os reconhecimentos dela. Ele vale 365 dias e, enquanto o usuário da coleta for Super admin, o Sentrya o renova sozinho 30 dias antes de vencer. O token aparece na lista de tokens do Zabbix, e quem administra o Zabbix pode apagá-lo lá a qualquer momento; nesse caso o vínculo da pessoa passa a Com problema.

Funciona quando o nome no Zabbix é o e-mail da Microsoft. É o caso comum de quem configurou o login Microsoft (SAML) no Zabbix com o UPN ou o e-mail como nome de usuário. Usuários com nomes curtos, como fsilva, não casam: essas pessoas usam o vínculo por token de API. Usuários locais do Zabbix, como Admin e o usuário da coleta, continuam como estão.

O que o Sentrya NÃO pede

Não informe dados do aplicativo que a sua empresa criou para o Zabbix. O Sentrya não pede o locatário (tenant), o aplicativo nem o segredo do aplicativo SAML que a empresa registrou na Microsoft para a equipe entrar no Zabbix. Esse aplicativo continua só do Zabbix. O que liga os dois lados é a própria pessoa: a mesma conta Microsoft entra no Zabbix e no Sentrya. O Sentrya usa o login Microsoft dele mesmo, que só aceita o diretório conectado à sua empresa em Entrar com Microsoft 365. Se alguém pedir esses dados em nome do Sentrya, não envie.

Antes de ligar

A empresa precisa ter o login Microsoft 365 conectado, e a equipe entrar no Sentrya com Entrar com Microsoft.
O usuário da coleta do servidor precisa ser Super admin no Zabbix: só o Super admin lê os usuários dos outros e cria token para outra pessoa. Veja Dar Super admin ao usuário da coleta.
O Zabbix precisa ser da versão 5.4 ou mais nova, que tem token de API.
O servidor precisa estar em conexão direta ou num Sentrya Connector atualizado, com os tokens de pessoa ligados. Veja o fim desta página.

Ligar o vínculo automático

O vínculo automático é por servidor e vem desligado. Só o administrador da empresa liga, no painel administrativo.

Abra Permissões e vínculo Em Conexões → Zabbix, abra o menu do servidor e escolha Permissões e vínculo. A primeira parte mostra o Usuário da coleta e se ele é Super admin.
Ligue o interruptor Em Vínculo pelo login Microsoft, ligue Vincular automaticamente pelo login Microsoft. A tela explica: "O Sentrya cria um token de API no Zabbix para cada pessoa vinculada; é ele que assina os reconhecimentos dela."
Confirme Em Ligar o vínculo automático?, selecione Ligar e vincular agora. O Sentrya procura na hora o usuário de cada pessoa da equipe que entra pela Microsoft e mostra o relatório.

Sem Super admin, o interruptor fica desativado com o motivo, por exemplo "Indisponível: o usuário da coleta precisa ser Super admin no Zabbix.", e o link para Dar Super admin ao usuário da coleta. Se o Sentrya ainda não conferiu o usuário da coleta, use Verificar conexão no próprio cartão.

Quando o vínculo automático roda

A cada login Microsoft, para quem ainda não está vinculado naquele servidor. Quando a empresa exige o segundo fator para quem entra pela Microsoft, o vínculo só acontece depois que a pessoa digita o código do autenticador. Se o papel da pessoa no Zabbix não permite usar a API, o login não tenta de novo por 24 horas.
Ao ligar o interruptor, na hora, para toda a equipe que já entrou pela Microsoft.
Em Vincular agora, no mesmo cartão, sempre que o administrador quiser repetir a busca (por exemplo, depois de criar usuários no Zabbix ou de liberar a API no papel de alguém). O Vincular agora tenta todo mundo de novo, inclusive quem o login deixou de tentar por 24 horas.

Desligar o interruptor não desfaz nada: os vínculos já feitos continuam valendo, com os tokens deles. Só deixa de vincular gente nova.

O relatório

Ligar o interruptor e Vincular agora abrem o relatório Vínculo automático, que cobre quem entra no Sentrya pela Microsoft:

Contador	O que quer dizer
Vinculadas agora	Achou exatamente um usuário e criou o token.
Já vinculadas	A pessoa já tinha vínculo naquele servidor.
Sem par no Zabbix	Nenhum usuário ativo com o nome de usuário igual ao UPN ou ao e-mail da pessoa.
Ambíguas	Mais de um usuário ativo com esse nome de usuário (por exemplo, dois nomes que só diferem nas maiúsculas). Ela vincula pelo caminho manual.
Recusadas	A pessoa tocou em Não sou eu para aquele usuário do Zabbix.
Com falha	O Zabbix recusou criar o token, o papel da pessoa no Zabbix não permite usar a API ("O papel desta pessoa no Zabbix não permite usar a API."), o Sentrya não conseguiu gravar o vínculo ("Não foi possível gravar o vínculo agora; tente de novo."), o tempo da rodada acabou, ou o usuário do Zabbix encontrado já está vinculado a outra pessoa da empresa (ou casou com mais de uma). O motivo aparece em Por pessoa. Nesses casos o Sentrya apaga o token que tiver criado.

Abaixo dos contadores, Por pessoa lista cada uma com o resultado e o motivo, com quem pede ação primeiro.

O que a pessoa vê

Na primeira vez em que é vinculada sozinha, a pessoa recebe um aviso único, no app e no painel web, logo depois de entrar: "Seu usuário do Zabbix foi vinculado: fulano.silva@empresa.com.br", com Não sou eu e Ok. Na tela do vínculo, o cartão do servidor mostra "Vinculado automaticamente pelo seu login Microsoft" e o botão Não sou eu.

Num servidor em que o administrador ligou Usar permissões do Zabbix, o vínculo automático também muda o que a pessoa vê: logo depois de vincular, o Sentrya copia as permissões dela, em segundo plano, e ela passa a ver naquele servidor o que o Zabbix libera para o usuário dela, no lugar do acesso inicial. Veja Grupos visíveis: o que cada um enxerga.

Quando o Sentrya não vincula, o cartão diz o motivo e oferece o caminho manual (token de API ou usuário e senha):

"Não achamos no Zabbix um usuário com o nome de usuário igual ao seu login ou e-mail da Microsoft."
"Achamos mais de um usuário do Zabbix com esse nome de usuário."

"Não sou eu"

Se o usuário do Zabbix não é o da pessoa, ela toca em Não sou eu e confirma. A confirmação explica: "Vamos desvincular, apagar o token do Zabbix e não vincular de novo sozinho. Os administradores serão avisados."

O vínculo daquele servidor é desfeito e o token é apagado do Zabbix pelo usuário da coleta. Se ele deixou de ser Super admin, o token vai para Tokens a apagar no Zabbix, no cartão do administrador.
O par (pessoa × aquele usuário do Zabbix) fica bloqueado: o vínculo automático não volta sozinho, nem no próximo login nem no Vincular agora. O cartão da pessoa passa a dizer "Você recusou o vínculo automático. O administrador pode liberar de novo."
Os administradores da empresa recebem uma notificação push e um e-mail com o nome da pessoa, o usuário do Zabbix e o servidor.
Num servidor com Usar permissões do Zabbix, a pessoa volta ao acesso inicial naquele servidor: a cópia das permissões do usuário recusado deixa de valer.

A pessoa continua podendo vincular pelo caminho manual. Se foi engano, o administrador libera o par em Permissões e vínculo → Vínculos recusados → Liberar de novo. Depois disso, o Sentrya vincula de novo no próximo login Microsoft da pessoa ou no Vincular agora.

Tokens criados pelo Sentrya

A última parte de Permissões e vínculo, Tokens criados pelo Sentrya, lista os tokens que o Sentrya criou naquele Zabbix: de quem é, o usuário do Zabbix, quando e por quem foi criado, e quando vence. O token em si nunca aparece. Desvincular a pessoa, Não sou eu, desativar ou excluir a conta dela, trocar a conexão do servidor, excluir o servidor ou excluir a empresa apagam os tokens correspondentes no Zabbix, com o usuário da coleta Super admin. O que não pôde ser apagado aparece em Tokens a apagar no Zabbix; veja Conectar o Zabbix.

Quando a conexão do servidor muda

Passar o servidor para o Sentrya Connector, trocar de conector ou voltar para a conexão direta desfaz os vínculos de todas as pessoas naquele servidor, inclusive os automáticos: o token de cada pessoa só pode ir ao endereço em que foi criado. Com o vínculo automático ligado, e o servidor em conexão direta ou num Sentrya Connector que guarda os tokens de pessoa, quem entra pela Microsoft é vinculado de novo sozinho no próximo login, ou no Vincular agora. Num servidor com Usar permissões do Zabbix, até ser vinculada de novo, a pessoa volta ao acesso inicial naquele servidor.

Servidor ligado pelo Sentrya Connector

Com o Sentrya Connector atualizado, o vínculo automático funciona do mesmo jeito, e o token de cada pessoa é criado pelo conector e fica guardado nele, cifrado na máquina da sua empresa: o Sentrya guarda só o identificador do token e quando ele vence, nunca o token. A renovação, o Não sou eu e os Tokens a apagar no Zabbix também passam pelo conector. O usuário do Zabbix configurado no conector é o usuário da coleta desse servidor e também precisa ser Super admin; o sudo sentrya-connector doctor confere isso e avisa.

A chave local allow_user_tokens do conector, que vem ligada, controla os tokens de pessoa. Com ela desligada, o conector não cria o token de ninguém, o interruptor fica desativado com "Indisponível: os tokens de pessoa estão desligados no Sentrya Connector deste servidor.", e os reconhecimentos saem com o usuário da coleta, com o nome da pessoa no fim da mensagem. Veja Segurança do Sentrya Connector.

Num servidor ligado por uma versão anterior do conector, que ainda não guarda tokens de pessoa, o vínculo automático fica indisponível: o interruptor aparece desativado com "Indisponível até o Sentrya Connector deste servidor ser atualizado." Até lá, cada pessoa vincula com Usuário e senha na tela do vínculo, o Sentrya grava só quem ela é no Zabbix, sem token e sem senha, e os reconhecimentos continuam saindo com o usuário da coleta, com o nome dela no fim da mensagem. Veja Atualizações.

Num Zabbix anterior à 5.4 ligado pelo conector, o interruptor fica desativado com "Indisponível: este Zabbix não tem tokens de API.", qualquer que seja a versão do conector e com os tokens de pessoa ligados ou não: atualizar o conector ou religar os tokens não muda isso.

Depois de atualizar o conector. Com o vínculo automático ligado, quem entra pela Microsoft e já estava vinculado só pela identidade tem o vínculo completado sozinho, com o token, no próximo login ou no Vincular agora, desde que o Zabbix devolva o mesmo usuário (num vínculo antigo, sem o identificador do usuário no Zabbix, vale o nome de usuário, sem diferenciar maiúsculas de minúsculas). Se não achar o usuário, ou achar outro, o vínculo que a pessoa já tem fica como está. Quem não entra pela Microsoft, ou está num servidor sem o vínculo automático, revincula com Usuário e senha no próprio cartão.