1. Роли пользователей Визиона#

Пользователи Визиона могут иметь роли “writer”, “reader” при работе с интерфейсом Визиона.

Роль “reader” предоставляет доступ только для чтения списков/детальной информации об уведомлениях, правилах оповещения, метриках, получателей и их групп, объектах (ПАК, модули, сервера, виртуальные машины, комутаторы), а также доступ к конструктору метрик (значения метрик).

Роль “writer” предоставляет полный доступ к интерфейсу, включающий все права роли “reader”, с возможностью добавлять новые и редактировать/удалять существующие сущности, а также управлять параметрами SMTP-шлюза, создавать/отзывать интеграционные токены доступа.

Список всех конечных точек API vision_core с описанием доступности для ролей представлен в разделе ниже.

2. Список всех роутов HTTP API Визион.Сервера с правами доступа#

3. Сторонние УЗ (интеграции: IPMI, SNMP, OpenNebula, PG, СУПВ, SMTP)#

3.1 Учетная запись для IPMI#

Учетная запись используется для взаимодействия с BMC узлов по протоколу IPMI через ipmi_exporter. Данная учетная запись позволяет собирать информацию о состоянии оборудования сервера, включая питание, температуру, вентиляторы и другие параметры.

Предоставленный пользователь должен быть администратором (роль admin), чтобы иметь доступ ко всем функциям IPMI и получения всех метрик.

Имя пользователя и пароль IPMI указываются в таргетах плагина ipmi_exporter в интерфейсе Визиона.

3.2 Учетная запись для SNMP#

Учетная запись используется для сбора метрик с помощью snmp_exporter. Протокол SNMP позволяет осуществлять мониторинг сетевых устройств, таких как коммутаторы, маршрутизаторы и другие устройства.

Экспортер по умолчанию настроен со следующими параметрами public_v1 и public_v2 для версий SNMP v1 и v2 с уровнем безопасности (noAuthNoPriv):

public_v1:
	community: public
	security_level: noAuthNoPriv
	auth_protocol: MD5
	priv_protocol: DES
	version: 1
public_v2:
	community: public
	security_level: noAuthNoPriv
	auth_protocol: MD5
	priv_protocol: DES
	version: 2

3.3 Учетная запись для OpenNebula#

Учетная запись используется выполнения запросов к API OpenNebula frontend через one_exporter. Экспортер собирает метрики о состоянии кластеров и узлов.

Предоставленный пользователь должен иметь права на чтение и выполнение команд через OpenNebula API по указанному в настройках плагина one_exporter эндпоинту в интерфейсе Визиона.

3.4 Учетная запись для мониторинга PostgreSQL#

Учетная запись предназначена для сбора метрик из PostgreSQL с помощью экспортеров postgres_exporter и sql_exporter, которые собирают метрики для мониторинга производительности базы данных, состояний транзакций, процессов и других важных параметров.

Предоставленная учетная запись должна обладать следующими привилегиями:

• Роль pg_monitor для предоставления доступа к просмотру метрик базы данных, но не к изменениям в системе.
• Права на выполнение pg_stat_file для получения информации о файловой системе PostgreSQL.

1. alter role vision nosuperuser;
2. grant pg_monitor to vision;
3. grant execute on function pg_catalog.pg_stat_file(text) to vision;

3.5 Учетная запись панели управления СУПВ#

Учетная запись используется для мониторинга системы управления виртуализацией (СУПВ) через supv_exporter.

Требуется учетная запись панели управления СУПВ с правами на чтение данных, которая указывается в конфигурации плагина supv_exporter в интерфейсе Визиона.

3.6 Учетная запись почтового шлюза#

Учетная запись используется для отправки оповещений по электронной почте через SMTP с помощью компонента AlertManager. Оповещения отправляются при срабатывании правил оповещения, например, превышении пороговых значений.

Параметры почтового шлюза конфигурируются в разделе “Настройки SMTP” интерфейса Визиона.

3.7 Учетная запись для отправки SNMP-трапов#

Учетная запись используется для отправки SNMP-трапов на указанный SNMP-сервер через компонент snmp_notifier. Оповещения отправляются при срабатывании правил оповещения, например, превышении пороговых значений.

Параметры почтового шлюза конфигурируются с помощью API Визион.Сервера через эндпоинт /vision/api/v1/config/snmp_notifier_config (в будущем в интерфейсе Визиона).

4. УЗ ОС, используемые компонентами Визиона#

4.1 Пользователь ОС vision#

Создаётся при установке Визион.Сервера, а также при установке компонента plagent на узлы.

Используется для запуска всех компонентов Визиона на Сервере, Прокси и Агентах, кроме компонента plagent.

Всегда включается в группу vision.

Дополнительно включается в группы:

• wheel - на узлах с Altlinux для вызовов sudo экспортерами utlz_exporter, vision_exporter.
• haclient - на узлах кластера МБД.П для вызова pacemaker экспортером ha_cluster_exporter.

/etc/passwd

vision:x:986:986:User for Skala^r Vision components:/dev/null:/sbin/nologin

Системный пользователь, не имеющий доступа к интерактивному входу в систему. Оболочка не разрешающая вход в систему /sbin/nologin. Домашний каталог пользователя /dev/null.

/etc/sudoers.d/vision

Cmnd_Alias SYSTEMCTL = /bin/systemctl *, /usr/bin/systemctl *, /sbin/systemctl *, /usr/sbin/systemctl *  
Cmnd_Alias JOURNALCTL = /bin/journalctl *, /usr/bin/journalctl *, /sbin/journalctl *, /usr/sbin/journalctl *  
Cmnd_Alias DMIDECODE = /bin/dmidecode *, /usr/bin/dmidecode *, /sbin/dmidecode *, /usr/sbin/dmidecode *  
Cmnd_Alias SMARTCTL = /bin/smartctl *, /usr/bin/smartctl *, /sbin/smartctl *, /usr/sbin/smartctl *  
Cmnd_Alias FIREWALLCMD = /bin/firewall-cmd *, /usr/bin/firewall-cmd *, /sbin/firewall-cmd *, /usr/sbin/firewall-cmd *  
Cmnd_Alias COROSYNCTOOLS = /usr/sbin/corosync-cfgtool *, /usr/sbin/corosync-quorumtool *  
Cmnd_Alias ERACLI = /usr/bin/eracli *, /usr/sbin/eracli *  
  
vision ALL=(root) NOPASSWD: SYSTEMCTL,JOURNALCTL,SMARTCTL,DMIDECODE,FIREWALLCMD,COROSYNCTOOLS,ERACLI

4.2 Пользователь ОС plagent#

Создаётся при установке компонента plagent на узлы.

Используется для запуска компонента plagent.

Всегда включается в группу plagent.

Дополнительно включается в группу:

• wheel - на узлах с Altlinux для вызовов c sudo плагинов компонента plagent.

/etc/passwd

plagent:x:985:985:User for Skala^r PLagent:/dev/null:/sbin/nologin

Системный пользователь, не имеющий доступа к интерактивному входу в систему. Оболочка не разрешающая вход в систему /sbin/nologin. Домашний каталог пользователя /dev/null.

/etc/sudoers.d/plagent

Cmnd_Alias PLAGENT_PLUGINS = /opt/skala-r/plagent/plugins/*
plagent ALL=(root) NOPASSWD: PLAGENT_PLUGINS