accès interface lecture seule/ invité / guest

[rootix]

Y a-t-il moyen de créer un compte "guest" dans oreon pour donner accès en lecture seule ?

merci :-)

[templuche]

Qu'appelles tu "lecture seule"?

[rootix]

lecture seule = sans pouvoir faire de modification dans la configuration nagios, juste pour regarder les états
Je n'ai pas mis l'interface d'origine nagios à côté pour ne pas faire double-emploi.

[julio]

ajoute un user gest et applique lui une LCA au niveau de la topologie des pages...

[rootix]

Ah d'accord, ça sert à ça LCA (je sais pas ce que veulent dire les initiales encore) ?
Je n'ai pas vu de doc encore alors je tatonne un peu :-(

[rootix]

Je viens d'essayer pleins de configuration différents, je n'y arrive pas. Si je ne mets aucun groupe d'hôte, je ne vois rien. Si j'en mets un pour essayer, je vois l'état des services mais ça donne aussi le droit de suspendre les tests du service et autre ce qui ne correspond pas à un mode "lecture seule".

[templuche]

Je te cite:

lecture seule = sans pouvoir faire de modification dans la configuration nagios, juste pour regarder les états

Tu n'avais pas parlé du cas précis où tu ne veux pas reshedulé les services ou les ACKer. Je ne crois pas que ce soit implémenté.

[rootix]

J'ai le plan B autrement, mettre un 2ème "www" oreon avec un login mysql en lecture seule et sous un utilisateur qui n'a pas l'accès aux commandes nagios. (ni nagios.cmd ni sudo nagios).
(J'ai la possibilité de mettre le 1er oreon derrière une authentification apache x509 réservé aux admins en plus)

Sinon le plan C (un peu plus simple), mettre l'interface nagios mais l'idée était aussi de n'avoir plus qu'une seule interface.

Je me tâte...

[templuche]

Sinon le plan C (un peu plus simple), mettre l'interface nagios mais l'idée était aussi de n'avoir plus qu'une seule interface.

Tu as la même fonctionnalité avec l'interface de Nagios: un utilisateur qui a accès à un service peut arréter les checks sur ce service, mettre un downtime, ...

[rootix]

On a un nagios 1 en route et je viens d'essayer en mode "guest", on ne peut pas faire de downtime sauf en étant authentifié "nagiosadmin". Sur le coup, j'ai eu une crainte.

[templuche]

Ce n'est pas ce que dit la documentation: http://nagios.sourceforge.net/docs/1_0/cgiauth.html. Je cite:

Authenticated contacts* are granted the following permissions for each service for which they are contacts (but not for services for which they are not contacts)...

* Authorization to view service status information
* Authorization to view service configuration information
* Authorization to view history and notifications for the service
* Authorization to issue service commands

Authenticated contacts* are granted the following permissions for each host for which they are contacts (but not for hosts for which they are not contacts)...

* Authorization to view host status information
* Authorization to view host configuration information
* Authorization to view history and notifications for the host
* Authorization to issue host commands
* Authorization to view status information for all services on the host
* Authorization to view configuration information for all services on the host
* Authorization to view history and notification information for all services on the host
* Authorization to issue commands for all services on the host

[rootix]

Le login guest n'est contact d'aucune machine ni service, c'est juste un ajout d'authentification de type htaccess. Et on peut voir l'état des services "anonymement" sans être contact.

/usr/lib/nagios/cgi/.htaccess =>

AuthName "Nagios Access"
AuthType Basic
AuthUserFile /etc/nagios/htpasswd.users
require valid-user

/etc/nagios/htpasswd.users =>

nagiosadmin:COIN4WPANNjQ9U
guest:COINuIixL8PANa

Et dans /etc/nagios/cgi.cfg =>
use_authentication=1
authorized_for_system_commands=nagiosadmin
authorized_for_all_services=nagiosadmin,guest
authorized_for_all_hosts=nagiosadmin,guest
authorized_for_all_service_commands=nagiosadmin
authorized_for_all_host_commands=nagiosadmin

[julio]

ha ok c au niveau nagios... j'avais pas compris moi ..

[templuche]

Moi non plus je n'avais pas compris le coup du guest! J'apprends un truc, cool! Merci pour l'info.

[rootix]

J'ai oublié un détail pour cgi.cfg :
default_user_name=guest

Bon sinon je viens de jeter un oeil au fichier cgi.cfg que génère oreon d'après la config par défaut je pense et je vois ceci :

use_authentication=1
default_user_name=nagiosadmin
authorized_for_system_information=nagiosadmin
authorized_for_system_commands=nagiosadmin
authorized_for_configuration_information=nagiosadm in
authorized_for_all_hosts=nagiosadmin
authorized_for_all_host_commands=nagiosadmin
authorized_for_all_services=nagiosadmin
authorized_for_all_service_commands=nagiosadmin

En gros, je pense que ça donne à n'importe qui, accès à l'interface nagios pour faire des downtime mais il se trouve qu'il râle parce les droits sur le fichier
/usr/local/nagios/var/rw/nagios.cmd ne lui plaisent pas (normal, j'ai modifié pour que le groupe oreon puisse s'en servir). Donc il se trouve par hasard que ça ne marche pas.
Je vais probablement configurer pour que cgi.cfg ressemble à ceci :
use_authentication=0
default_user_name=guest

Je vais voir si ça marche.