Глава 22. Права доступа

В этой главе описывается, как управлять доступом к MySQL Enterprise Monitor.

22.1. Пользователи и роли

MySQL Enterprise Monitor Access Control позволяет вам управлять следующим:

Система управления доступом основана на пользователях и ролях. Пользователи не имеют никаких прав, назначенных им непосредственно. Все права определяются на ролях. Пользователей назначают на роли, и они наследуют права, определенные в тех ролях.

Роли

Роли это коллекции разрешений, которые назначают пользователям. Роли определяют то, что пользователю разрешают видеть и сделать. Пользователей можно назначить на многие роли.

Если пользователей назначают на много ролей, MySQL Enterprise Monitor всегда берет самое высокое разрешение, определенное в тех ролях для этого пользователя. Например, если пользователя назначают на роль, где Advisor Configuration установлен в Read-Only, и на другую роль, где Advisor Configuration установлен в Administer, используемое для этого пользователя разрешение именно Administer.

Пользователи

Пользователи это простые определения имени пользователя, пароля и дополнительного метода аутентификации, такого как Active Directory или LDAP. Каждого пользователя нужно назначить по крайней мере на одну роль.

Невозможно сохранить пользователя без назначенной роли.

22.2. Разрешения

Эта секция описывает разрешения, доступные в ролях MySQL Enterprise Monitor.

Объем разрешения

В MySQL Enterprise Monitor есть два различных объема разрешений:

Группировки разрешений

Разрешения сгруппированы следующим образом:

Типы полномочий

Следующие типы могут быть применены:

ACL-связанные сообщения об ошибках

22.3. Проверенные разрешения активов

Разрешения Core Monitored Assets определяют доступ к проверенным активам, группам и данным Query Analyzer. Права Monitoring Services зависят от этих разрешений.

Рис. 22.1. Core Monitored Assets

Example of the Monitored Assets раздел of the Edit Role page.

Каждое из прав Monitored Asset зависит от других. Для новой роли все права по умолчанию None. Установка Server Group в Read-Only автоматически устанавливает все другие права Monitored Asset в Read-Only. Точно так же, если вы устанавливаете Server Group = Administer, MySQL Instances также будет Administer. Невозможно установить MySQL Instances или любое из разрешений NDB Cluster в None, если Server Group установлено в Read-Only или выше.

22.3.1. Server Group & MySQL NDB Cluster

Доступ к проверенным активам и группам. Это разрешение должно использоваться с разрешением MySQL Instances.

22.3.2. MySQL Instances

Доступ к проверенным экземплярам. Это разрешение должно использоваться с разрешением Server Group. Если Server Group = Read-Only или выше, невозможно установить MySQL Instances = None. Таким образом, если Server Group = Read-Only или выше, MySQL Instances должно быть установлено по крайней мере в Read-Only.

Права Query Analysis

Права Query Analysis определяют доступ к странице Query Analysis.

22.3.3. Права MySQL NDB Cluster

Эта секция описывает следующие разрешения:

22.4. Monitoring Services

Эта секция описывает часть Monitoring Services страницы Edit Role.

Рис. 22.2. Права Monitoring Services

Example of the Monitoring Services раздел of the Edit Role page.

Agent Services Access

Это разрешение для использования только ролями агента. Значения:

Web Application Login

Право Web Application Login предоставляет доступ к интерфейсу приложения.

22.5. MySQL Enterprise Monitor

Право MySQL Enterprise Monitor предоставляет доступ к различным параметрам конфигурации интерфейса MEM. Возможные значения:

Урегулирование любого из этих значений автоматически устанавливает то же самое значение для всех вложенных разрешений.

Следующие разрешения требуют Web Application Login и MySQL Enterprise Monitor = Read-Only или выше.

Advisor Configuration

Advisor Configuration определяет доступ к странице Advisor и ее параметрам настройки.

Советники не работают как пользователь, который создал или включил их, а как системная роль. Это сделано, чтобы избежать проблем, таких как пользовательское удаление, видимость топологии репликации (советники собираются на полной топологии, но пользователь может видеть только часть той топологии). По сути, советники не могут быть установлены на определенном для группы уровне, они могут быть установлены только на глобальном уровне.

Перекрытие Advisor на верхнем уровне, не на отдельном активе, перекрывает того советника глобально, для всех пользователей, независимо от их ролей. Если график советника изменен или отключен на верхнем уровне, это затрагивает всех пользователей MySQL Enterprise Service Manager независимо от их установки группы.

Event Blackout

Event Blackout: Допустимые значения:

Event Handlers

Право Event Handlers предоставляет доступ к странице Event Handlers и пункту меню. Возможные значения:

Если пользователю также не установили Server Group хотя бы в Read-Only, они неспособны добавить группы к обработчику событий.

New Group Creation

Право New Group Creation позволяет создание групп. Возможные значения:

Это разрешение зависит от разрешения Server Group, если Server Group = None, пользователь, связанный с этой ролью, не может получить доступ к группам и в результате не может создать или отредактировать группы, даже если New Group Creation = Administer.

Settings

Право Settings предоставляет доступ к пункту меню Settings и странице Settings. Допустимые значения:

Users and Roles

Users and Roles: Допустимые значения:

22.6. Users and Roles по умолчанию

Роли по умолчанию позволяют миграцию определенных ролей от более ранних версий. Невозможно отредактировать роли по умолчанию.

Пользователи по умолчанию

Следующие пользователи по умолчанию создаются, когда MySQL Enterprise Service Manager устанавливается:

Роли по умолчанию

Эта секция описывает роли по умолчанию.

Невозможно отредактировать или удалить роли по умолчанию. Они присутствуют только, чтобы позволить модернизации от более ранних версий.

Следующее это роли по умолчанию и краткое объяснение того, как они отображаются к пользовательским определениям от более ранних версий:

Пользователи добавляются к ролям по умолчанию на основе прав, назначенных в более ранней версии MySQL Enterprise Monitor. Например, если пользователя назначают на роль dba, и он имеет доступ к View Query Analyzer tab и View actual (example) queries, то он добавляется к следующим ролям:

22.7. Создание пользователей и ролей

Эта секция описывает, как создать пользователей и роли.

Создание роли

Невозможно сохранить нового пользователя без назначенной роли. Рекомендуется создать роли прежде, чем создать пользователей.

Чтобы создать роль, сделайте следующее:

  1. Выберите Roles из меню Settings (символ механизма). Страница Roles показана.

  2. На странице Roles нажмите Create. Откроется страница Create Role.

  3. На вкладке Details введите имя в поле Role Name и добавьте описание роли.

    При использовании системы внешней аутентификации, такой как LDAP или Active Directory, вводите внешнее ролевое имя в поле External Roles.

    Отделенные запятой последовательности, такие как CN=mem_manager,CN=mem_dev_manager, CN=service_manager, поддерживаются.

  4. Нажмите Permissions, чтобы открыть вкладку Permissions.

  5. Если эта роль относится только к определенной группе, выберите Group-Specific Permission и необходимую группу из выпадающего списка.

  6. Определите свои разрешения как требуется. Для получения дополнительной информации посмотрите разделы 22.3 и 22.4.

  7. Если пользователи существуют, можно добавить их к этой роли, используя вкладку Assigned Users.

    Чтобы добавить пользователя, нажмите на имя пользователя в поле Available Users. Пользователь будет перемещен в поле Assigned Users.

Создание пользователя

Эта секция описывает, как создать пользователя.

Чтобы создать пользователя, сделайте следующее:

  1. Выберите Users из меню Settings. Откроется страница Users.

  2. Нажмите Create. Откроется страница Create User.

  3. Введите следующее:

  4. Невозможно сохранить пользователя, не назначая пользователю роль.

    Выберите вкладку Assign Roles.

  5. Назначьте роли пользователю, щелкнув по необходимой роли в поле Available Roles.

  6. Сохраните изменения.

Невозможно отредактировать роль пользователя, если пользователь авторизован через LDAP, и его роль также обеспечивается LDAP.