 |
This is a machine translation based on the English version of the article. It might or might not have already been subject to text preparation. If you find errors, please file a GitHub issue that states the paragraph that has to be improved. |
1. Introduzione
Checkmk è disponibile in diverse edizioni che si differenziano sia per la gamma di funzionalità che per le possibili applicazioni.
Di seguito ti presentiamo l'edizione commerciale 
Checkmk Ultimate con Multi-Tenancy (precedentemente Checkmk MSP), che ti permette, in qualità di fornitore di servizi gestiti (MSP), di gestire istanze isolate per più clienti utilizzando il monitoraggio distribuito di Checkmk.
In un monitoraggio distribuito con configurazione centrale, gli utenti generalmente accedono all’istanza centrale, per effettuare configurazioni o per accedere ai dati di monitoraggio. Gli utenti possono anche accedere alle istanze remote poiché sono responsabili solo degli host e dei servizi monitorati da lì, ad esempio. Tuttavia, il concetto di autorizzazione di Checkmk, che limita la visibilità e la configurabilità di host e servizi tramite ruoli e gruppi di contatto, è del tutto sufficiente per entrambi gli scenari. Gli utenti con autorizzazioni molto limitate generalmente non avranno accesso diretto alla riga di comando del server di monitoraggio e potranno quindi vedere solo i dati di cui sono responsabili. Il fatto che possano essere informati dell'esistenza di altri host e servizi non è un problema.
In una configurazione centrale, Checkmk in Comunità Checkmk, Checkmk Pro e Checkmk Ultimate senza Multi-Tenancy distribuirà quindi tutti i dati di configurazione a tutti i siti partecipanti, poiché i dati potrebbero, in linea di principio, trovarsi o essere richiesti in uno qualsiasi di essi. Ad esempio, le password gestite centralmente devono essere rese disponibili anche per le istanze remote, poiché gli host/servizi nei gruppi di contatto possono essere distribuiti su più siti.
Tuttavia, quando Checkmk deve essere offerto come servizio a terzi (ad es. un cliente), alcuni dati di configurazione possono essere distribuiti solo a istanze remote designate. Ciò significa che i dati sensibili di un cliente non devono essere memorizzati sul server di un altro cliente: una semplice restrizione della visibilità nell'interfaccia web non è quindi più sufficiente. Infine, può darsi che il server di monitoraggio locale sia gestito dal cliente stesso o che questi abbia accesso diretto alla riga di comando del server in qualche altro modo.
Inoltre, non è più necessario che un cliente sia in grado di configurare il proprio sito poiché l'intero concetto di servizio distribuito è proprio quello di risparmiare al cliente tale lavoro. Il cliente non ha nemmeno bisogno di una visualizzazione dell'istanza centrale, poiché richiede solo l'accesso ai propri dati.
Con Checkmk Ultimate con Multi-Tenancy, un managed service provider (MSP) (o semplicemente provider) integra uno o più istanze remote appartenenti esclusivamente a ciascun cliente nell'istanza centrale tramite il monitoraggio distribuito. I singoli elementi nell'Setupe vengono quindi assegnati a questo cliente. Durante la distribuzione dei dati di configurazione, Checkmk invierà ora questi dati solo a un sito del cliente, che siano di natura generale o che siano stati rilasciati per quel cliente. Il provider può comunque eseguire comodamente la configurazione tramite l'impostazione centrale della propria istanza centrale. Il provider dispone inoltre di un'interfaccia web centrale che consente a tutti i suoi clienti di lavorare con i dati di monitoraggio. Questo funziona esattamente come in un normale ambiente distribuito, con l'unica differenza che tutte le istanze partecipanti devono utilizzare Checkmk Ultimate con Multi-Tenancy.
I dati di configurazione importanti (ad es. istanze remote e utenti) possono essere assegnati ai clienti in Checkmk Ultimate con Multi-Tenancy. Il cliente ha quindi accesso solo alla propria configurazione con i dati dell’host e del servizio tramite l’istanza a lui assegnata. Dovrà semplicemente effettuare il login alla propria istanza e riceverà quindi solo i propri dati. Non è necessario effettuare il login all’istanza centrale del provider — e non è nemmeno possibile!
Importante: devi utilizzare Checkmk Ultimate con Multi-Tenancy se utilizzi Checkmk per il monitoraggio non solo della tua infrastruttura, ma anche di quella di altre organizzazioni.
2. Panoramica di Checkmk Ultimate con Multi-Tenancy
Checkmk Ultimate con Multi-Tenancy è attualmente l'edizione più completa di Checkmk.
Dal punto di vista dei contenuti, si basa su 
Checkmk Ultimate ed è la sua estensione con funzionalità di supporto multiutente.
Dispone di tutte le funzioni necessarie per gestire istanze Checkmk separate per più clienti tramite monitoraggio distribuito.
Se, in qualità di fornitore, desideri offrire Checkmk come servizio ai tuoi clienti, questa è l'edizione che fa per te.
3. Funzioni aggiuntive
La funzione principale di Checkmk Ultimate con Multi-Tenancy che lo distingue dalle altre edizioni è la possibilità di assegnare ai clienti i seguenti elementi:
Istanze remote
Utenti
Connessioni LDAP
Regole e pacchetti di regole per la Console degli Eventi
Gruppi di contatto
Aggregazioni BI
Impostazioni globali per le istanze remote
4. Aggiornamento a Checkmk Ultimate con Multi-Tenancy
Puoi effettuare l'aggiornamento da qualsiasi altra edizione a Checkmk Ultimate con Multi-Tenancy. Per farlo, segui la procedura di aggiornamento a Checkmk Ultimate. Per un aggiornamento a Checkmk Ultimate con Multi-Tenancy in ambienti distribuiti, è possibile utilizzare solo l'aggiornamento offline. Tuttavia, il downgrade da Checkmk Ultimate con Multi-Tenancy a un'altra edizione non è previsto e non è supportato da noi.
Dopo l'aggiornamento, tutti i componenti compatibili in Checkmk vengono assegnati all'Providere. Ora hai a disposizione tutte le funzioni per creare clienti e assegnare loro istanze, utenti dell’istanza, ecc.
Presta attenzione alle possibili dipendenze che potrebbero derivare da una configurazione esistente, e di conseguenza assegna anche gli elementi corretti dagli altri componenti di Checkmk al cliente prima di attivare l'assegnazione a un'istanza.
Importante: almeno un utente deve essere trasferito alla sede del cliente. Non importa se si tratta di un utente globale replicato in tutte le istanze o di un utente specifico del cliente.
Ulteriori informazioni al riguardo sono fornite nel capitolo seguente.
5. Configurazione
5.1. Creazione dei clienti
Puoi creare uno dei tuoi clienti in un solo passaggio: In "Setup > Users > Customers", seleziona il pulsante "Add customer" e assegna lì un ID univoco, oltre al nome come deve essere visualizzato in Checkmk. Dopo aver salvato, il tuo primo cliente sarà stato creato in Checkmk:
Come puoi vedere, anche il provider viene considerato come un cliente ed è stato quindi già creato come Provider. Questa assegnazione non può essere cancellata.
5.2. Assegnazione delle istanze
Una volta creato un cliente, il passo successivo è collegare a questo cliente i componenti corrispondenti in Checkmk. L’istanza centrale, alla quale tutti gli altri siti del cliente inviano i propri dati, viene anche chiamata istanza del provider. La separazione dei dati funziona solo se crei un’istanza separata per ogni cliente e la colleghi alla tua istanza del provider. In questo caso, il Setup differisce in un unico punto: In "Basic settings" inserisci l'Customer, che hai creato in precedenza, oltre all'ID e all'alias:
Poiché anche il provider viene considerato come un cliente, Checkmk sa sempre quale host appartiene a quale cliente in base alla sua assegnazione a una specifica istanza.
 |
Puoi configurare l'Global settingse per un'istanza cliente come al solito tramite le impostazioni globali specifiche dell'istanza. |
5.3. Ulteriori assegnazioni
Oltre all'istanza stessa, puoi anche assegnare altri elementi dall'Setupe a un cliente, come già menzionato sopra. Un elemento viene assegnato direttamente a un cliente. In alternativa, puoi anche rendere disponibile a tutti un utente o una password tramite la voce dell'Globale. Ecco un esempio di assegnazione di un utente:
L'assegnazione avviene sempre tramite le proprietà del rispettivo elemento utilizzando l'opzione Customer. Le impostazioni globali specifiche dell'istanza sono escluse da questa assegnazione.
Caratteristiche speciali della Console degli Eventi
Nella Console degli Eventi puoi assegnare a un cliente sia singole regole che interi pacchetti di regole. È importante notare che l'ereditarietà è sempre obbligatoria per i pacchetti di regole. A differenza delle cartelle, non può essere sovrascritta dalle singole regole. In questo modo, puoi sempre essere sicuro che l'assegnazione sia garantita per ogni regola.
Se un pacchetto di regole non è assegnato a un cliente, puoi anche assegnare le singole regole a un cliente.
5.4. Componenti non personalizzabili
Tutti i componenti che non sono stati menzionati nel capitolo precedente non possono essere assegnati a singoli clienti. Tuttavia, è opportuno spendere qualche parola su vari componenti per richiamare l'attenzione su alcune caratteristiche particolari. La mancata osservanza di queste note può comportare un rischio moderato per la sicurezza.
Tag host
Lo stesso vale per i tag host: questi non devono contenere alcuna informazione riservata, poiché i tag vengono distribuiti a tutte le istanze.
Notifiche
Le regole di notifica spesso contengono gruppi di contatti e condizioni molto specifiche in base alle quali la notifica deve essere attivata e inviata. Poiché anche queste regole vengono distribuite a tutte le istanze, non includere nomi espliciti di host e servizi, indirizzi di contatto o altri dati sensibili.
Personalizzazioni per gli utenti globali
Tieni presente che tutte le personalizzazioni effettuate per un utente globale vengono trasferite a tutte le istanze del cliente. Gli utenti globali non sono quindi adatti per visualizzazioni speciali, grafici personalizzati o segnalibri, poiché questi potrebbero contenere dati sensibili e specifici del cliente. Dovresti quindi utilizzare gli utenti globali solo in casi eccezionali e non per le normali attività quotidiane.
5.5. Gestione dei certificati
I punti menzionati nel capitolo precedente, come le notifiche con gruppi di contatto o tag host, possono solo rivelare informazioni sulle strutture organizzative di altri clienti.
La situazione è diversa per quanto riguarda la distribuzione dei certificati root CA ("autorità di certificazione"): Se un certificato CA destinato al Cliente A venisse distribuito al Cliente B, ci sarebbe il rischio che dipendenti malintenzionati del Cliente A potessero effettuare un attacco machine-in-the-middle sulla comunicazione crittografata del Cliente B. Per questo motivo, i certificati CA memorizzati con l'impostazione globale Trusted certificate authorities for SSL non vengono trasmessi alle istanze remote.
Il modo corretto per configurare i certificati CA specifici del cliente è inserirli nelle impostazioni globali specifiche delle istanze remote dei siti remoti del cliente.
6. Differenze tra i componenti in dettaglio
6.1. Interfaccia di Setup
Puoi accedere a una visualizzazione per la gestione dei clienti in Setup > Users > Customers.
Quando si configurano gli elementi che possono essere assegnati ai clienti, è disponibile un campo aggiuntivo in Customer.
Queste funzioni sono descritte a titolo di esempio nel capitolo dedicato alla configurazione.
6.2. Interfaccia di monitoraggio del monitoraggio
Dashboard
Una novità nell'Main dashboard è il dashlet "Customers", che si trova a sinistra dei problemi di servizio:
Quando selezioni un cliente, appare una visualizzazione in cui è presente un elenco di tutti i suoi host. Questa visualizzazione tabellare funziona quindi come la visualizzazione dell'All hosts, con la differenza che in questo caso vengono visualizzati solo gli elementi specifici del cliente.
Barra laterale
Per la barra laterale, nell'istanza centrale c'è lo snap-in "Customers", che funziona allo stesso modo dello snap-in "Site status", dall'aspetto simile. Qui puoi visualizzare lo stato delle istanze per i singoli clienti e, cliccando sullo stato, nascondere o mostrare clienti specifici nella visualizzazione.
Creazione e filtraggio delle visualizzazioni
Naturalmente, puoi anche utilizzare i filtri e i set di dati utilizzati per il dashlet e lo snap-in per le tue visualizzazioni personalizzate. Da un lato, il filtro "Site" è stato esteso per la personalizzazione delle visualizzazioni:
D'altra parte, puoi anche creare visualizzazioni completamente nuove basate su uno o tutti i clienti. Per farlo, seleziona All customers come sorgente dati:
Inoltre, per tutti gli host vengono create etichette nel formato "cmk/customer", che possono essere utilizzate per filtrare in base al cliente.