Vínculo do usuário com o Zabbix

O vínculo associa sua conta Sentrya ao seu usuário no Zabbix. Com ele, os reconhecimentos que você faz pelo Sentrya aparecem no Zabbix no seu nome, e não com o usuário da coleta. O vínculo usa um token de API do Zabbix, e a sua senha não fica guardada. A única exceção é o Zabbix anterior à 5.4, que não tem token de API, explicada mais abaixo.

Por que vincular

Todo servidor cadastrado em Servidores Zabbix tem um usuário da coleta: o usuário do Zabbix com que o Sentrya lê os problemas, por exemplo api.sentrya. Quando você reconhece um incidente sem vínculo naquele servidor, o ACK sai com esse usuário.

Nos dois casos o Histórico de ACKs do Sentrya mostra o seu nome. Sem vínculo, a linha diz também com quem o ACK saiu no Zabbix, por exemplo "Fulano · via api.sentrya". Veja Reconhecer, fechar e comentar (ACK).

A tela do vínculo

No app, toque em Vínculo Zabbix no Perfil. No painel web, a seção Vínculo com o Zabbix fica em Perfil → Segurança. O atalho Vincular meu Zabbix do formulário de ACK abre a mesma tela.

A tela mostra um cartão por servidor Zabbix da empresa. Cada cartão traz:

• a situação do vínculo: Funcionando, Com problema, Precisa de credencial ou Sem vínculo;
• Seu usuário no Zabbix, quando há vínculo;
• a mesma linha do formulário de ACK, que diz em nome de quem os seus reconhecimentos saem naquele servidor;
• sem vínculo que funcione, o formulário para vincular (ou Revincular), com as opções Token de API e Usuário e senha.

Três jeitos de vincular

Com um token de API

1. Crie o token no Zabbix Entre no Zabbix com o seu usuário. No menu, abra Configurações do usuário (User settings) → Tokens de API (API tokens) e clique em Criar token de API (Create API token). Dê um nome, por exemplo Sentrya, escolha se ele vence e salve.
2. Copie o token O Zabbix mostra o token uma vez só, logo depois de salvar. Copie o texto inteiro.
3. Cole no Sentrya No cartão do servidor, escolha Token de API, cole o token e toque em Vincular. O Sentrya confere o token no Zabbix, descobre pelo próprio token qual é o seu usuário e guarda o token cifrado.

Com usuário e senha

1. Escolha Usuário e senha No cartão do servidor, informe o seu usuário e a sua senha daquele Zabbix. A tela avisa: "Usamos só para criar um token; a senha não é guardada. Se você entra no Zabbix pela Microsoft, use a outra opção ou peça ao administrador." Num Zabbix anterior à 5.4 e num servidor ligado pelo Sentrya Connector, a nota é outra; veja as seções de cada caso, abaixo.
2. Toque em Vincular Num Zabbix 5.4 ou mais novo, em conexão direta, o Sentrya entra no Zabbix com a sua senha uma única vez, cria um token de API para o seu usuário, encerra essa sessão e descarta a senha. Se o seu papel no Zabbix não permite criar token, e o usuário da coleta do servidor é Super admin, o token é criado pelo usuário da coleta, no seu usuário. Num servidor ligado por um Sentrya Connector que guarda os tokens de pessoa, é a mesma troca, feita no conector, e o token fica guardado nele; veja o fim desta página.

O token que o Sentrya cria aparece na sua lista de tokens do Zabbix com o nome Sentrya · Fulano Silva e vale 365 dias. Quando o usuário da coleta do servidor é Super admin, numa conexão direta ou num servidor ligado por um Sentrya Connector que guarda os tokens de pessoa, o Sentrya renova o token sozinho 30 dias antes de vencer: o novo se chama Sentrya · Fulano Silva · renovado 2027-08-31 (com a data da renovação) e o antigo é apagado. Sem Super admin, o token vence depois de um ano, o vínculo passa a Com problema e você vincula de novo no cartão.

Zabbix anterior à 5.4

O Zabbix anterior à 5.4 não tem token de API. Nele, a opção Token de API não aparece, o vínculo automático pela Microsoft fica indisponível e o vínculo por Usuário e senha é a única exceção à regra: o Sentrya guarda a sua senha cifrada e entra no Zabbix com ela para assinar os seus reconhecimentos, reaproveitando a mesma sessão enquanto ela vale. A aba Usuário e senha avisa: "Neste Zabbix, anterior à versão 5.4, não existe token de API: o Sentrya guarda a sua senha cifrada para reconhecer em seu nome. Se você entra no Zabbix pela Microsoft, peça ao administrador." Se o Zabbix recusar a senha, o vínculo passa a Com problema e o Sentrya não tenta de novo com ela, para não bloquear o seu usuário.

Vínculo com problema

O vínculo passa a Com problema quando o Zabbix deixa de aceitá-lo: o token foi apagado ou venceu no Zabbix, o seu usuário foi desativado ou removido lá, ou o papel dele no Zabbix deixou de permitir a API. Num servidor ligado pelo Sentrya Connector, também quando o conector não tem mais o seu token (veja Servidor ligado pelo Sentrya Connector, abaixo). O cartão mostra o último erro e o formulário para Revincular, com as mesmas opções. Enquanto isso, os seus reconhecimentos naquele servidor saem com o usuário da coleta, com o carimbo, a não ser nos servidores com Usar permissões do Zabbix.

Num servidor em que o administrador ligou Usar permissões do Zabbix, o vínculo com problema também tira tudo o que você via daquele servidor: você não vê os incidentes dele nem reconhece lá até revincular. Se era o único servidor que você via, a lista de incidentes diz "Seu vínculo com o Zabbix parou de funcionar." com o botão Revincular.

Um token que você mesmo criou e colou vence na data que você escolheu no Zabbix. Quando isso acontecer, crie outro e cole no cartão.

Verificar ou desfazer o vínculo

• Verificar conexão confere no Zabbix se o vínculo ainda funciona.
• Desvincular desfaz o vínculo daquele servidor, e o Sentrya deixa de usar o token. A confirmação avisa que, sem vínculo, os seus reconhecimentos voltam a sair no Zabbix com o usuário da coleta, com o seu nome no comentário. Para um token criado pelo Sentrya, ela diz também: "Se o usuário da coleta deste servidor não puder apagar, o token aparece para o administrador em “Tokens a apagar no Zabbix”."

O que acontece com o token no Zabbix depende de quem o criou:

• Token que o Sentrya criou (pela senha ou pela Microsoft): quando o usuário da coleta do servidor é Super admin, numa conexão direta ou por um Sentrya Connector que guarda os tokens de pessoa, o Sentrya apaga o token do Zabbix na hora (pelo conector, ele também some da guarda do conector). Sem isso, o token continua na lista do Zabbix, mas o Sentrya já não o usa. Num Sentrya Connector que guarda os tokens de pessoa, com um usuário da coleta que não é Super admin, o conector ainda apaga na hora a cópia que guarda, e o token deixa de servir. Nos dois casos, ele aparece para o administrador em Tokens a apagar no Zabbix, e o Sentrya tenta apagá-lo de novo quando der: quando o usuário da coleta passar a ser Super admin, ou quando o conector passar a guardar os tokens de pessoa.
• Token que você criou e colou: o Sentrya só deixa de usá-lo. Ele continua no Zabbix; apague-o lá se não for mais usar.

Vincular ou desvincular preserva o seu papel. Nos servidores com Usar permissões do Zabbix, desvincular faz você voltar ao acesso inicial naquele servidor.

Quando a empresa usa as permissões do Zabbix

O administrador pode ligar, servidor por servidor, Usar permissões do Zabbix. Nesses servidores, depois do vínculo, você vê no Sentrya o que o seu usuário vê no Zabbix: os incidentes dos grupos de hosts que o Zabbix libera para ele. Esse passa a ser o seu acesso naquele servidor, no lugar do acesso inicial.

• Sem vínculo, vale o seu acesso inicial. Se ele não libera nada, a lista de incidentes diz "O que você vê no Sentrya vem das suas permissões no Zabbix." e oferece Vincular meu Zabbix e Pedir acesso ao administrador.
• Com o vínculo com problema, ou com o seu usuário desativado ou removido no Zabbix, você não vê nada daquele servidor até revincular. Se o seu usuário só foi desativado, basta ele ser reativado no Zabbix: a cópia seguinte devolve o acesso, sem revincular.
• Vinculado, mas sem grupos liberados no Zabbix, a lista diz "Seu usuário do Zabbix (fulano.silva) não tem grupos de hosts liberados. Quem administra o Zabbix da empresa precisa liberar."
• Um host que está num grupo de hosts negado (Deny) para o seu usuário fica de fora, com os problemas dele, mesmo que esteja também num grupo liberado, como no Zabbix.
• Se algum grupo de usuários seu no Zabbix tem filtro de tag, você vê só os grupos de hosts liberados para todas as tags. Os que têm uma condição de tag específica ficam de fora e entram na contagem de De onde vem o acesso; os que não têm filtro nenhum também ficam de fora, como no próprio Zabbix.
• Uma mudança feita no Zabbix chega ao Sentrya em cerca de 10 minutos.
• Num incidente em que o seu usuário só tem leitura, o formulário de ACK não oferece Fechar problema nem Mudar severidade: reconhecer e comentar continuam liberados. O Sentrya recusa as duas ações também quando o reconhecimento sai com o usuário da coleta, por exemplo num servidor ligado por um Sentrya Connector que não guarda os tokens de pessoa.

No Perfil, De onde vem o acesso mostra, para cada servidor, se o que você vê vem do acesso inicial (com quantos grupos de hosts ele libera, ou "todos os grupos de hosts" quando ele libera tudo), das permissões do Zabbix (com o seu usuário, quantos grupos de hosts e quando foi a última atualização) ou de nenhum dos dois, quando o vínculo parou de funcionar, com o atalho Revincular. Quando algum grupo ficou de fora por filtro de tag, a linha diz quantos. As regras completas estão em Grupos visíveis: o que cada um enxerga.

Quando a conexão do servidor muda

Quando o administrador troca a conexão de um servidor (passa para o Sentrya Connector, troca de conector ou volta para a conexão direta), os vínculos de todas as pessoas naquele servidor são desfeitos. O motivo: o token de cada pessoa só pode ir ao endereço do Zabbix em que foi criado.

• Cada pessoa vincula de novo no cartão do servidor. Até lá, os reconhecimentos saem com o usuário da coleta, com o carimbo, e, num servidor com Usar permissões do Zabbix, ela volta ao acesso inicial naquele servidor.
• Os tokens que o Sentrya criou são apagados do Zabbix pelo usuário da coleta, quando ele pode; os outros vão para Tokens a apagar no Zabbix.
• Quem entra pela Microsoft num servidor com o vínculo automático ligado é vinculado de novo sozinho no próximo login, se o servidor estiver em conexão direta ou num Sentrya Connector que guarda os tokens de pessoa.

Quando não dá para vincular

Servidor ligado pelo Sentrya Connector

Num servidor ligado pelo Sentrya Connector, o cartão oferece só Usuário e senha: o token colado não é oferecido, porque ele passaria pelo Sentrya, e a promessa do conector é que as credenciais ficam na sua rede. O resto depende do conector daquele servidor:

O cartão já diz qual é o caso antes de você vincular: num servidor sem vínculo, a linha de em nome de quem o ACK sai traz o aviso do conector de versão anterior ("Para assinar com o seu usuário, o Sentrya Connector deste servidor precisa ser atualizado."), o dos tokens de pessoa desligados ("Os tokens de pessoa estão desligados no Sentrya Connector deste servidor.") ou, num Zabbix anterior à 5.4, só a linha do usuário da coleta, sem pedir a atualização. Nos três casos, a linha oferece Vincular meu Zabbix (o vínculo vale para dizer quem você é), e a aba Usuário e senha traz a nota de que o Sentrya grava só quem você é. Com o conector que guarda os tokens de pessoa, a linha é a de sempre, com Vincular meu Zabbix, e a aba já diz que o conector troca a senha por um token guardado nele. Se a empresa exige vínculo para reconhecer, vale o aviso da política: "A empresa exige vínculo com o Zabbix para reconhecer.", e a aba traz a nota de que o Sentrya grava só quem você é, qualquer que seja o conector.

Nos dois últimos casos, o vínculo continua valendo para dizer quem você é e, num servidor com Usar permissões do Zabbix, para o que você vê. Num Zabbix anterior à 5.4, que não tem token de API, o vínculo pelo conector também guarda só quem você é, com qualquer versão do conector: os reconhecimentos saem com o usuário da coleta, com o carimbo, e atualizar o conector não muda isso.

Se quem cuida do conector desligar os tokens de pessoa depois que você vinculou, os seus reconhecimentos passam a sair com o usuário da coleta, com o carimbo, sem desfazer o vínculo. Quando religar, voltam a sair no seu nome. Veja Segurança do Sentrya Connector.

Vinculou antes de o conector ser atualizado

Quem vinculou quando o conector ainda não guardava tokens de pessoa tem um vínculo que só diz quem é, sem token. Depois da atualização, os reconhecimentos dessa pessoa continuam saindo com o usuário da coleta, com o carimbo, e o formulário de ACK oferece Revincular. O cartão do vínculo continua Funcionando, mas avisa: "Seu vínculo foi feito antes de o Sentrya Connector deste servidor guardar tokens de pessoa. Vincule de novo abaixo para os seus reconhecimentos saírem com o seu usuário do Zabbix." e mostra o formulário Revincular. Vincular de novo com Usuário e senha cria o token no conector.

• Quem entra pela Microsoft, num servidor com o vínculo automático ligado, não precisa fazer nada: o vínculo é completado sozinho no próximo login ou no Vincular agora, se o Zabbix devolver o mesmo usuário que já estava vinculado. Num vínculo antigo, que não guardou o identificador do usuário no Zabbix, o Sentrya compara o nome de usuário, sem diferenciar maiúsculas de minúsculas. Se o Zabbix devolver outro usuário, o vínculo fica como estava, e o relatório do Vincular agora diz "Já estava vinculada neste servidor."
• Até lá, num servidor com Usar permissões do Zabbix, a pessoa continua vendo o que o Zabbix libera para ela. Se a empresa exige vínculo para reconhecer, o reconhecimento fica bloqueado até ela revincular.

Quando o conector perde o seu token

O token do seu vínculo só existe na máquina do conector. Se ele some de lá (o conector foi registrado de novo, o endereço do Zabbix mudou na configuração do conector ou os arquivos da guarda se perderam), o vínculo passa a Com problema com o erro "o Sentrya Connector não tem mais o seu token de API (o conector foi registrado de novo ou o endereço do Zabbix mudou nele); vincule de novo". Isso aparece no próximo reconhecimento ou em Verificar conexão. A partir daí, os seus reconhecimentos saem com o usuário da coleta, com o carimbo, como em qualquer vínculo com problema, até você revincular.

Veja também

• Vincular pelo Microsoft 365
• Reconhecer, fechar e comentar (ACK)
• Papéis e permissões
• Grupos visíveis: o que cada um enxerga