permissões de usuário com icingaweb2 (com autenticação SSO)

Question

Estamos atualmente montando a Icinga2 e a Icingaweb2 como nosso monitoramento global. Para autenticar os usuários, usamos um módulo do Apache (Single Sign On) que permite que apenas usuários autorizados acessem o ui da web. Icingaweb2 está configurado com /etc/icingaweb2/authentication.ini :

[icingaweb2]
strip_username_regexp = ""
backend             = "external"

Apenas um usuário é declarado como administrador global em /etc/icingaweb2/roles.ini :

[admins]
users               = "bancal"
permissions         = "*"

Para cada servidor monitorado com o Icinga, é definido um UserGroup que define quem receberá alertas de email. Essas pessoas são usuários-clientes.

O que gostaríamos de definir é:

• Todo administrador global tem visualização do administrador em todos os hosts (esse já é o caso)
• Todos os usuários-clientes têm uma visualização administrativa nos hosts dos quais ele é membro e nenhuma exibição em outros hosts monitorados.

Existe uma maneira de conseguir isso?

    

Answer 1

Nós finalmente fizemos isso com uma configuração bem simples. Como os hosts são agrupados em Hostgroups, os usuários recebem acesso a esses Hostgroups com a seguinte configuração em /etc/icingaweb2/roles.ini :

[group1]
users              = "user1,user2"
permissions         = "monitoring/command/*,module/*"
monitoring/filter/objects = "(hostgroup_name=hosts-group1-test|hostgroup_name=hosts-group1-prod)"

Um usuário pode ser adicionado a vários desses blocos de configuração.