En esta sección se tratan varios aspectos sobre la gestión de Pandora FMS: la creación de usuarios, la administración de grupos, los respaldos o backups, etcétera.
Pandora FMS es una herramienta de gestión web. Gracias al sistema de permisos 100% multitenant pueden trabajar múltiples usuarios con diferentes permisos accediendo a la información del mismo setup de Pandora FMS sin que unos vean la información de otros.
Para añadir usuarios, es importante tener bien definidos los grupos y perfiles teniendo claro qué datos necesita que visualice y/o modifique cada usuario.
Los usuarios se gestionan desde Management → Profiles → Manage users. De manera predeterminada podrá visualizar los usuarios definidos:
Campos notables al crear o editar:
90
minutos y cuando se establece este valor a 0
para un usuario, Pandora FMS utilizará el valor guardado en la Configuración General, sección autenticación.*
(asterisco).Todos los usuarios pueden modificar ciertos parámetros de su propia configuración en Workspace → Edit my User. Aparecerá el formulario de creación de usuarios donde se pueden configurar algunos apartados, exceptuando los permisos sobre grupos.
Versión 768 o posterior: Se puede autenticar con API Token por medio de el envío en las cabeceras HTTP de un bearer token, generado por cada usuario y para su propio uso privado y particular. De aparecer un icono de advertencia adyacente al API Token configure el fichero
php.conf
.
Pandora FMS tiene un sistema de notificaciones para sus usuarios y, además, para facilitar su administración también tiene la gestión por grupos. Los diferentes tipos de notificación son los siguientes:
ENABLE USER CONFIGURATION: Este token habilita que los usuarios, en el apartado de Operation → Workspace → Configure user notifications, puedan habilitar o deshabilitar dichas notificaciones en consola y/o por correo electrónico.
Para que las notificaciones lleguen por correo electrónico, el usuario tiene que tener configurado su correo electrónico en su perfil de usuario, y el servidor de Pandora FMS también tiene debe estar configurado el envio de correos electrónicos.
Si un usuario pertenece a un grupo y dicho grupo es agregado a una de las categorías de notificación, dicho usuario tendrá activo las notificaciones de consola para esa correspondiente categoría de notificación, sin embargo no podrá modificarla incluso si el ENABLE USER CONFIGURATION se encuentra activado (para dicha categoría).
Por defecto, el usuario admin
viene con las notificaciones activas de System status y Official communication aunque dichas categorías se encuentren inactivas. Todo superusuario que sea agregado luego estará en todas las categorías de notificaciones.
El concepto grupo en Pandora es fundamental. Los grupos son conjuntos de elementos con sus propias reglas cuya función es ayudar a controlar el acceso de los usuarios a determinados aspectos o elementos dentro de Pandora FMS.
Es importante saber que un agente sólo puede pertenecer a un grupo, pero un usuario puede tener acceso a uno o varios de estos grupos.
Pandora FMS tiene un sistema de grupos, que son unas entidades en las que se clasifican los agentes y se utilizan para disgregar privilegios. De esta manera, a los usuarios se les otorga ciertos permisos enmarcados en uno o varios grupos y tendrán así, la capacidad de ver e interactuar con los agentes y demás objetos de su contexto.
Para facilitar la asignación y filtrado de los grupos, se dispone de una herramienta denominada grupo All
. El grupo All
significa, en función del contexto, TODOS los grupos o CUALQUIERA de ellos.
Su identificador reservado es el ID 0
(Identificador cero), con la diferencia de que es totalmente controlado por código, sin existir un grupo con ese ID en la base de datos.
Menú Management → Profiles → Manage agent groups.
Al hacer clic en el menú anterior mostrará los grupos predefinidos y/o creados por los usuarios, desde acá se podrán editar un grupo de agentes haciendo clic en el nombre del grupo o borrar con el botón respectivo en la columna Actions.
Para crear un grupo de agentes se utiliza el botón Create grupo, campos notables:
_group_contact_
y _group_other_
.
Esta extensión permite importar un archivo con registros (cuyos campos estén separados por comas ,
o por otro carácter que escoja de la lista Separator) y que definan grupos, al servidor de Pandora FMS
Se accede a la extensión desde Management → Admin tools → Extensions manager → CSV import group. Se elige el archivo a importar pulsando en Browse… , seleccione el carácter separador y pulse en el botón Go.
El archivo CSV debe contener los siguientes campos en el orden siguiente:
Nombre de grupo, icono, id del padre, propagación (1
ó 0
).
Los perfiles se gestionan desde Management → Profiles → Profile management.
Los perfiles de Pandora FMS permiten definir qué permisos puede tener un usuario. La combinación de perfiles más un grupo, asociada a un usuario, permite definir qué permisos tiene un usuario sobre un grupo de agentes, de forma que pueda tener diferentes perfiles en diferentes grupos.
Existen perfiles precargados y también se pueden crear todos los perfiles que sean necesarios teniendo en cuenta los perfiles a continuación.
Esta lista define qué habilita cada perfil:
Bit de acceso | Operación |
---|---|
AR | - Ver datos agente (todas las vistas) - Vista táctica - Vista de grupos - Ver usuarios - Ver Consola SNMP, Tree view, Extension Module Group y Barra búsqueda |
AW | - Vista de gestión agente - Edición del agente y de su .conf - Operaciones masivas - Crear agente - Duplicar configuración remota - Gestión de Políticas - Gestionar filtros |
AD | - Gestión de paradas de servicio - Desactivar agente/módulo/alerta |
Bit de acceso | Operación |
---|---|
LW | - Asignación de alertas ya creadas - Gestión de alertas |
LM | - Definir y modificar plantillas - Definir y modificar acciones |
Bit de acceso | Operación |
---|---|
UM | - Gestión de usuarios |
DM | - Mantenimiento de la BBDD |
Bit de acceso | Operación |
---|---|
ER | - Ver evento |
EW | - Validar/Comentar evento - Gestionar filtros - Ejecutar respuestas |
EM | - Borrar evento - Cambiar propietario/Re-abrir evento |
Bit de acceso | Operación |
---|---|
RR | - Ver informe, gráfica, etcétera - Aplicar una plantilla de informe - Ver Cronjobs (Task list) |
RW | - Crear una Consola visual - Crear un informe - Crear una gráfica combinada - Ver, editar, ejecutar y crear Cronjobs (excepto Execute custom script, Backup y PHP function) |
RM | - Crear una plantilla de informe - Ver, editar, ejecutar, crear y borrar Cronjobs (excepto Execute custom script, Backup y PHP function) |
Bit de acceso | Operación |
---|---|
MR | - Vista de mapas de red |
MW | - Edición de mapas de red - Borrado de mapas de red propios |
MM | - Borrado de cualquier mapa de red |
Bit de acceso | Operación |
---|---|
VR | - Vista de consola visual |
VW | - Edición de consola visual - Borrado de consolas visuales propias - Borrado de cualquier consola visual |
VM | - Gestion de consolas visuales |
Bit de acceso | Operación |
---|---|
NR | Ver datos de NCM |
NW | Operar NCM |
NM | Administrar NCM |
Bit de acceso | Operación |
---|---|
PM | - Gestionar respuestas - Personalizar columnas de eventos - Update manager (Operación y Administración) - Gestión de grupos - Crear módulos de inventario - Gestionar módulos (Incluidas todas las sub opciones) - Gestión de consola SNMP - Gestión de perfiles - Gestión de servidores - Auditoría del sistema (edición y visualización) - Setup (todas las solapas inferiores incluidas) - Extensiones administración – Definir y modificar comandos de alerta - Ver, editar, ejecutar y crear todo tipo de Cronjobs (Task List) |
Combinación de permisos | |
---|---|
EW & IW | - Crear incidencia a través del evento (Respuesta) |
LM & AR / AW & LW | - Validar alertas |
Desde la edición de usuario, se le puede asignar a un usuario el acceso a uno o varios grupos con un perfil determinado:
Si se crea un usuario estándar sin perfil ni grupo, dicho usuario no podrá iniciar sesión en el servidor Pandora FMS.
Se han tenido en cuenta varios posibles escenarios:
ALL
podrá gestionar cualquier usuario sin importar el grupo al que pertenezca.En caso de que se vaya a eliminar la última relación perfil/grupo de un usuario y el usuario se vaya a eliminar, Pandora FMS mostrará un aviso de advertencia.
El acceso individual a los módulos de un agente se puede configurar con un sistema de Etiquetas (Tags). Se configuran unas etiquetas en el sistema, se asignan a los módulos que se necesiten y, de manera adicional, se puede restringir el acceso a un usuario solo a los módulos que tengan esas etiquetas definidas.
Las Tags se definen en Management → Profiles → Module Tags.
Para asignar a un usuario un acceso específico a un tag, se debe hacer través del editor de usuarios, en la asignación de perfil y grupo, añadiendo un tag:
Este sistema, llamado modo de seguridad basado en Tags, permite restringir el acceso a todo el contenido del agente, pero tiene penalizaciones de rendimiento, por lo que está diseñado exclusivamente para dar acceso a porciones pequeñas de información, es decir, no se debería usar con más de dos o tres tags por combinación de usuario/perfil/grupo.
En apartados anteriores se explicó que los permisos de un grupo se pueden extender a los hijos mediante la opción de configuración Propagate ACL. Sin embargo, desde la configuración de usuarios, se puede limitar esta funcionalidad y evitar que el ACL se propague marcando No hierarchy.
Los grupos secundarios son opcionales.
El hecho de que un agente pertenezca a un grupo secundario significa que, en realidad, pertenece a varios grupos a la vez. Con esta funcionalidad, dos usuarios que tengan permisos diferentes podrán tener acceso al mismo agente con solo añadir los grupos secundarios adecuados.
Algunas vistas, como es el caso del Tree View, pueden mostrar agentes repetidos. Al usar grupos secundarios es el comportamiento normal.
El modelo de ACL Open Source está basado en estilo Unix: role/action/group/user
.
El sistema de ACL Enterprise permite definir -según perfil- a cuáles páginas (definidas una a una o por “grupos”) tienen acceso los usuarios. Esto permitirá redefinir las secciones de la interfaz que puede ver un usuario con el sistema clásico ACL de Pandora FMS.
Los grupos y perfiles están pensados para que un usuario tenga diferentes roles en Pandora FMS. Los elementos básicos de monitorización como agentes y módulos se rigen por estas reglas básicas de grupo/perfil, teniendo en cuenta cómo se amplían con el uso de grupos secundarios y permisos de tags.
Otros elementos de Pandora FMS como informes, Consolas visuales, mapas de red y dashboards, actúan como contenedores. Si un usuario (con visibilidad de todos los datos gestionados) crea un informe y lo asigna a un grupo general, los usuarios con acceso a ese grupo podrán ver el informe y todo su contenido, incluso aunque no tengan acceso por permisos a los elementos individuales de su informe.
Excepciones a este comportamiento:
La vista detallada de los servidores se utiliza para conocer, además del estado general de los servidores de Pandora FMS, su nivel de carga y retraso en las ejecuciones. Se accede por medio del menú Management → Servers → Manage servers:
Cada servidor tiene sus propios iconos, en la anterior imagen de ejemplo un Data server:
remote_config
a 1 y luego reiniciar el servidor PFMS.Se accede por medio del menú Management → Servers → Manage consoles.
Para balancear la carga en la ejecución de tareas de consola en Discovery server, podrá declarar y agregar consolas en la sección config.php
.
Se accede por medio del menú Management → Servers → Manage database HA, si se dispone de centralización en Command Center (Metaconsola) se deberá utilizar el menú Setup → Manage database HA.
Permite visualizar y realizar acciones sobre los nodos que integran el sistema de Alta Disponibilidad:
Menú Management → Configuration → Credential Store.
Pandora FMS dispone de un almacén de credenciales. Este almacén gestiona las identidades que se utilizarán en secciones como Discovery Cloud o el despliegue automático de agentes.
Pandora FMS permite el cifrado de las contraseñas a guardar en la base datos.
Para agregar una nueva entrada se deberá presionar el botón Add key, y se dispone de siete tipos distintos de credenciales para registrar:
El grupo asignado a la clave controla la visibilidad de la misma. Solamente se podrá asignar un grupo al cual pertenezca el usuario que está creando la credencial, a menos que dicho usuario pertenezca explícitamente al grupo TODOS (ALL). Una vez agregada, se podrá consultar, filtrar, etcétera.
En la modificación todos los campos se pueden editar excepto el tipo de credencial (Product).
Pandora FMS tiene un sistema de gestión de paradas de servicio planificadas o agendadas en Management → Tools → Scheduled downtime.
Este sistema permite desactivar las alertas en los intervalos que existe una parada de servicio, desactivando los agentes.
Cuando un agente está desactivado tampoco recoge información, de forma que en una parada de servicio, para la mayoría de las métricas o tipos de informe, los intervalos donde existe una parada de servicio, no son tenidos en cuenta en los informes ya que no existen datos de ese tiempo en los agentes.
Pandora FMS guarda un log con todos los cambios y acciones de importancia producidos en la Consola de Pandora FMS . Este log se puede ver en Management → Admin tools → System Audit Log, donde se podrá ver una serie de entradas relacionadas con la actividad de la Consola, información sobre el usuario, tipo de acción, fecha y una pequeña descripción de los eventos registrados.
En la parte superior izquierda puede filtrar cuales entradas a mostrar por diferentes criterios, incluyendo: acciones, usuario y dirección IP. Incluso puede realizar una búsqueda de texto y determinar las horas máximas a buscar.
También es posible exportar la información mostrada en la pantalla a un fichero CSV, haciendo clic en el botón en la parte superior derecha de la pantalla.
Menú Management → Admin tools → Extension management → System logfiles. Desde esta extensión se podrán consultar los logs tanto de la consola como del servidor local.
Si no se pudiera ver el contenido, configure los permisos de sus archivos de log, ejecute en una ventana terminal con los permisos adecuados:
chown -R pandora:apache /var/log/pandora/
Puede ajustar las opciones del rotador para que mantenga esta configuración, modificando el archivo /etc/logrotate.d/pandora_server
/var/log/pandora/pandora_server.log /var/log/pandora/web_socket.log /var/log/pandora/pandora_server.error { weekly missingok size 300000 rotate 3 maxage 90 compress notifempty copytruncate create 660 pandora apache } /var/log/pandora/pandora_snmptrap.log { weekly missingok size 500000 rotate 1 maxage 30 notifempty copytruncate create 660 pandora apache }
Por otra parte también existe una configuración específica para la rotación de logs de la consola en /etc/logrotate.d/pandora_console
:
/var/www/html/pandora_console/log/audit.log /var/www/html/pandora_console/log/console.log { weekly missingok size 100000 rotate 3 maxage 15 compress notifempty create 644 apache root }
En caso de actualizar por OUM desde una versión anterior a la 747 deberá modificarse el archivo logrotate manualmente.
El núcleo del sistema de Pandora FMS es su base de datos. En ella se almacenan todos los datos recogidos por los sistemas monitorizados, la configuración de los agentes, las alertas, los eventos, los datos de auditoría, los diferentes usuarios y sus datos.
Para realizar el mantenimiento de la base de datos de forma regular, los administradores pueden usar comandos MySQL estándar desde línea de comandos o pueden gestionar la Base de Datos desde la Consola con varias extensiones para ello.
Conocido en versiones anteriores como Network Tools, ahora está ubicado en Management → Setup → Setup → External Tools.
_address_
(dirección IP de un agente) como parámetro para ejecutar el comando respectivo.Para la opción de respaldo (backup) consulte la sección Discovery - Console Tasks.
Es una extensión que permite registrar plugins del servidor y se accede por Management → Servers → Register plugin.
Para registrar un plugin se elige el archivo pulsando en Browser y luego en Upload.
Puede encontrar más información sobre los plugins del servidor (formato de los ficheros .pspz
) en la sección "Desarrollo de plugins de servidor".
Se accede a esta extensión desde Management → Resources → Insert Data. Permite agregar datos a un módulo de agente, indicando fecha y hora del mismo y guardando con el botón Update.
También permite importar datos en un archivo separado por comas (CSV) a un módulo de agente. El formato del fichero CSV debe ser fecha y valor, separados por punto y coma, uno por cada línea. La fecha se debe dar en formato Y/m/d H:i:s
.
Asegúrese de que el usuario apache
tenga derecho de escritura en el directorio /var/spool/pandora/data_in
, de ser necesario ejecute:
chown -R pandora:apache /var/spool/pandora/data_in
Menú Management → Resources → Resource registration.
Esta extensión permite importar ficheros en formato .prt
que contienen la definición de network component, smnp component, local component o wmi component. Además se pueden añadir todos ellos (menos el local component) a un template.
<?xml version="1.0"?> <pandora_export version="1.0" date="yyyy-mm-dd" time="hh:mm"> <component> <name></name> <description></description> <module_source></module_source> <id_os></id_os> <os_version></os_version> <data></data> <type></type> <max></max> <min></min> <max_cri></max_cri> <min_cri></min_cri> <max_war></max_war> <min_war></min_war> <historical_data></historical_data> <ff_treshold></ff_treshold> <module_interval></module_interval> <id_module_group></id_module_group> <group></group> <tcp_port></tcp_port> <tcp_send></tcp_send> <tcp_rcv_text></tcp_rcv_text> <snmp_community></snmp_community> <snmp_oid></snmp_oid> <snmp_version></snmp_version> <auth_user></auth_user> <auth_password></auth_password> <privacy_method></privacy_method> <privacy_pass></privacy_pass> <auth_method></auth_method> <security_level></security_level> <plugin></plugin> <plugin_username></plugin_username> <plugin_password></plugin_password> <plugin_parameters></plugin_parameters> <wmi_query></wmi_query> <key_string></key_string> <field_number></field_number> <namespace></namespace> <wmi_user></wmi_user> <wmi_password></wmi_password> <max_timeout></max_timeout> <post_process></post_process> </component> <component>...</component> <component>...</component> <template> <name></name> <description></description> </template> </pandora_export>
Menú Management → Resources → Resources export/import.
La nueva funcionalidad permite exportar e importar en formato PRD el cual es independiente de los identificadores de base de datos, todo esto para permitir la mayor flexibilidad al momento de copiar y/o mover elementos entre servidores PFMS.
Se elige un tipo de elemento y luego se marca uno de los elementos existentes a exportar a un fichero con nombrado automático. Se copia el fichero o ficheros al PFMS server destino y se importa(n), dado el caso se informará de los elementos incompatibles.
Los elementos disponibles a ser exportados son:
Esta extensión pertenece al menú Management → Setup → Translate string y permite traducir cadenas de texto de la interfaz de Pandora FMS de manera personalizada.
Aparecerán tres columnas: en la primera mostrará la cadena original, en la segunda la traducción actual y en la tercera la traducción personalizada que se quiere añadir. Complete esta última columna y haga clic en el botón Update para guardar.
Debe prestar atención de copiar exactamente igual el código HTML y el lenguaje JavaScript que pueda aparecer en el texto a traducir.
Esta sección permite interactuar con los usuarios de Pandora FMS, o bien editar los detalles del propio usuario, así como algunas operaciones diversas, como acceso al sistema de incidencias (para abrir tickets), chat con otros usuarios conectados de Pandora FMS, etcétera.
Menú Management → Configuration → Software agents repository.
El repositorio de Agentes Software forma parte del Despliegue automático de agentes, el cual controla las versiones disponibles de los instaladores de agentes (programas) para ser desplegados.
Para agregar un nuevo instalador al repositorio se presiona el botón Add new software. Se rellena la información correspondiente al tipo de sistema operativo, tipo de arquitectura, versión y se selecciona el fichero a subir. Se hace clic en el botón Ok y en unos instantes estará almacenado.
Los instaladores para GNU/Linux® (y toda la familia Unix® y BSD®) son comunes para todas las arquitecturas. Tanto x64, x86, ARM, etc. comparten el mismo instalador .tar.gz
.
En el listado de ficheros registrados existe la columna de opciones la cual contiene botones de edición, borrado y sincronización correspondiente a cada renglón.