1. Trois mécanismes, deux usages #
Filtrer n’est pas autoriser.
Vue d’ensemble #
| Plateforme | Usage | |
|---|---|---|
| Management zones | classique et Managed | filtrer les vues et restreindre les droits (permissions par zone) |
| Segments | nouvelle plateforme (Grail) | filtrer les données dans les applications, notebooks, tableaux de bord et requêtes DQL |
| Politiques IAM et limites de politique | nouvelle plateforme | autoriser l’accès aux données et aux fonctions |
Erreur courante : Utiliser un segment comme barrière de sécurité : un segment filtre ce que l'on regarde, il n'empêche pas un utilisateur d'interroger d'autres données. Sur la nouvelle plateforme, les droits passent par les politiques IAM.
2. Management zones #
Le mécanisme historique.
Fonctionnement #
Une management zone regroupe des entités (hôtes, services, applications…) selon des règles fondées sur les tags, les propriétés ou un entity selector (voir Maîtriser les entity selectors). Elle sert de filtre dans l'interface classique et de périmètre de permissions : un groupe d'utilisateurs ne voit que ses zones.
À savoir : Les management zones restent la référence sur Dynatrace Managed et dans les applications classiques. Les applications de la nouvelle plateforme ne les utilisent pas.
3. Segments et politiques IAM #
La nouvelle plateforme.
Les segments #
Un segment définit un sous-ensemble de données par des conditions sur leurs champs (namespace Kubernetes, host group, tag, équipe). On le choisit dans les applications, les notebooks et les tableaux de bord, et il s'applique aussi aux requêtes DQL. Un segment peut avoir des variables (par exemple un namespace choisi dans une liste).
Les politiques IAM #
Les droits sont donnés par des politiques IAM attribuées à des groupes, et peuvent être restreints par des limites de politique (policy boundaries), par exemple à certains host groups ou namespaces. Détails dans Gérer les permissions et Sécurité et gouvernance.
Bonne pratique : Pour migrer, partez des management zones existantes : chaque zone qui sert à filtrer devient un segment, chaque zone qui sert à restreindre l'accès devient une limite de politique. Appuyez les deux sur les mêmes tags ou propriétés pour garder une seule source de vérité. Voir aussi Segments et nouvelle plateforme.
