Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erforderliche Berechtigungen für das Discovery-Tool
Das Discovery-Tool stellt über mehrere Protokolle eine Verbindung zu Ihrer Infrastruktur her. Für jedes Protokoll und Erfassungsmodul sind spezifische Kontoberechtigungen erforderlich. In diesem Abschnitt werden die Mindestberechtigungen beschrieben, die für die vollständige Datenerfassung erforderlich sind, und welche Daten Sie verlieren, wenn bestimmte Berechtigungen nicht verfügbar sind.
VMware vCenter
Das Discovery-Tool stellt über Port 443 (HTTPS) eine Verbindung zu VMware vCenter Server her und führt schreibgeschützte Operationen durch. An Ihrer vCenter-Umgebung werden keine Änderungen vorgenommen.
Erforderliche Mindestrolle: Read-Only, auf der vCenter-Root-Ebene zugewiesen.
Die Read-Only Rolle bietet den gesamten Zugriff, den das Discovery-Tool benötigt, um das VM-Inventar (Name, UUID, CPU, Arbeitsspeicher, Festplatte, Netzwerk, Betriebsstatus, Gastbetriebssystem) und Leistungskennzahlen (CPU-Auslastung, Speicherauslastung, Festplatten-IOPS und Durchsatz) zu erfassen.
Empfehlung: Erstellen Sie einen dedizierten vCenter-Benutzer mit der integrierten Read-Only Rolle auf der Ebene des Root-Rechenzentrums.
Hyper-V Hosts (Windows)
Das Discovery-Tool stellt über WinRM (Port 5985 für HTTP, Port 5986 für HTTPS) eine Verbindung zu Hyper-V Hosts her und führt PowerShell Befehle zum Sammeln von VM-Inventar, Host-Metadaten und Speicherleistung aus.
Erforderliche Mindestanzahl an Gruppenmitgliedschaften auf jedem Host: Hyper-V
| Windows-Gruppe | Warum wird es benötigt |
|---|---|
| Benutzer der Fernverwaltung | Basisversion des WinRM-Fernzugriffs |
| Hyper-V Administratoren | Erfassung des VM-Inventars (VM-Liste, Festplatte, Netzwerk, Arbeitsspeicher, Gastbetriebssystem) |
| Benutzer von Performance Monitor | I/O Leistungsindikatoren für Speicher (read/write IOPS und Durchsatz pro VM) |
Das Konto benötigt außerdem WMI-Lesezugriff auf den root\cimv2 Namespace für die Host-Betriebssystemversion und die Hardware-UUID. Dieser Zugriff wird standardmäßig für lokale Administratoren gewährt, muss jedoch für Konten, die keine Administratoren sind, explizit konfiguriert werden.
Empfehlung: Erstellen Sie ein dediziertes Domänendienstkonto und fügen Sie es den Gruppen Remote Management Users, Hyper-V Administrators und Performance Monitor-Benutzer auf jedem Hyper-V Host hinzu. Vermeiden Sie die Verwendung von Domänenadministratorkonten.
Linux-Server (SSH)
Das Discovery-Tool stellt über SSH (Port 22) eine Verbindung zu Linux-Servern her, um Betriebssystemmetriken, Netzwerkverbindungen und Serverinventar zu erfassen. Die meisten Datenerfassungen werden von einem normalen Benutzer ausgeführt. Bei einer kleinen Anzahl von Befehlen wird versucht, sudo automatisch auf Sudo zurückzugreifen, wenn sudo nicht verfügbar ist.
Erforderlicher Mindestzugriff: Ein SSH-Benutzerkonto, mit dem Sie sich am Zielserver anmelden können.
Empfohlener Zugriff: Derselbe SSH-Benutzer, der mit passwortlosem Sudo für die vollständige Datenerfassung konfiguriert wurde.
Was benötigt Sudo und was passiert ohne Sudo:
| Gesammelte Daten | Sudo benötigt? | Was verlierst du ohne Sudo |
|---|---|---|
| Servername, Betriebssystem, CPU, Arbeitsspeicher, IP, Festplattenanzahl | Nein | Nichts — als normaler Benutzer gesammelt |
| CPU-, Arbeitsspeicher- und Netzwerkauslastung | Nein | Nichts — als normaler Benutzer gesammelt |
| Festplatten-IOPS, Durchsatz und Speicherplatz | Nein | Nichts — als normaler Benutzer gesammelt |
| Konfiguration der Netzwerkschnittstelle | Nein | Nichts — als normaler Benutzer gesammelt |
| Laufende Prozesse (Name, PID, Befehl) | Nein | Nichts — als normaler Benutzer gesammelt |
| Server-UUID und SMBIOS-UUID | Ja | UUID-Felder sind im Export leer |
| Hardwarehersteller (physische oder virtuelle Erkennung) | Ja | Die Erkennung des Ressourcentyps ist bei älteren Distributionen weniger genau |
| Erkennung logischer LVM-Volumes | Ja | LVM-Volumes wurden nicht erkannt; der Volumetyp wird möglicherweise als „Unbekannt“ angezeigt |
| Netzwerkverbindungen mit Prozessname und PID | Ja | Verbindungen werden weiterhin gesammelt, jedoch ohne Prozesszuweisung (die Spalten PID und Prozessname sind leer) |
| OS-level Oracle-Datenbank-Erkennung (Fallback, wenn Oracle-Anmeldeinformationen nicht konfiguriert sind) | Ja | Die grundlegende Oracle-Präsenzerkennung (Oratab, Process Monitor) funktioniert auch ohne Sudo. Für die detaillierte Erfassung (opatch, lsnrctl, ASM, Grid Infrastructure) ist ein sudo -u oracle passwortloser Zugriff auf die Oracle-Home-Binärdateien erforderlich. |
Anmerkung
Das Discovery-Tool versagt nie vollständig, weil Sudo fehlt. Es sammelt, was es kann, und meldet Teilergebnisse. Für die vollständigsten Daten — insbesondere die Zuordnung von Netzwerkabhängigkeiten mit Prozessnamen — empfehlen wir jedoch sudo ohne Passwort.
Erforderliche Dienstprogramme auf den Zielservern: Die folgenden Befehle sollten verfügbar sein (standardmäßig auf den meisten Linux-Distributionen installiert): ss odernetstat,lsblk,,top,ps,free,ip, dfhostname, cat und. nproc grep Optional für zusätzliche Daten: iostat ( I/O Festplattendetail), dmidecode (Hardware-UUID), smartctl (Festplattenschnittstellentyp), lvdisplay (LVM-Erkennung).
Windows-Server (WinRM) — Betriebssystemmetriken
Das Erkennungstool stellt über WinRM eine Verbindung zu Windows-Servern her, um Betriebssystemmetriken (Serverinventar, Leistung, Speicher, Netzwerkschnittstellen und laufende Prozesse) zu sammeln.
Erforderlicher Mindestzugriff: Ein WinRM-enabled Benutzerkonto mit Remotezugriff auf den Zielserver.
Empfohlener Zugriff: Ein Benutzer in der lokalen Administratorgruppe für die vollständige Datenerfassung.
| Berechtigungsstufe | Was es ermöglicht | Was verlierst du ohne es |
|---|---|---|
| Fernverwaltungsbenutzer (WinRM-Zugriff) | Erfassung aller Windows-Daten | Es wurden keine Daten vom Server gesammelt |
WMI-Lesezugriff auf root\cimv2 |
Servername, Betriebssystemversion, Speicher, UUID, BIOS-Seriennummer, Festplattenspeicher | Die Felder für das Serverinventar sind leer |
| Benutzer des Systemmonitors | CPU-Auslastung, Netzwerkdurchsatz, Festplatten-IOPS und Durchsatz | Leistungskennzahlen wurden nicht erfasst |
| Lokaler Administrator | Namen der Eigentümer des laufenden Prozesses | Die Prozessliste wurde gesammelt, aber die user/owner Spalte ist leer |
Anmerkung
Die Mitgliedschaft als lokaler Administrator gewährt Systemmonitor-Benutzern implizit Zugriff und WMI-Lesezugriff, sodass alle oben genannten Anforderungen erfüllt werden.
Anmerkung
Die OS-level Oracle-Datenbank-Fallback-Erkennung unter Windows verwendet Registrierungsabfragen Get-Service und Get-Process -befehle, wenn die Oracle-Anmeldeinformationen nicht konfiguriert sind. Für diese Befehle ist nur der Standardzugriff von Remote Management-Benutzern erforderlich. Es sind keine zusätzlichen Berechtigungen erforderlich, die über die Anforderungen an die Betriebssystemmetriken hinausgehen.
Windows-Server (WinRM) — SQL Server-Sammlung
Die SQL Server-Sammlung erkennt SQL Server-Instanzen, Reporting Services (SSRS) und Integration Services (SSIS) auf Windows-Servern.
Empfohlener Zugriff: Ein Benutzer in der lokalen Administratorgruppe auf jedem Windows-Zielserver.
Ein lokaler Administrator wird empfohlen, da die SQL Server-Discovery mehrere WMI-Namespaces abfragt und für einige Operationen erweiterte Zugriffsrechte erfordert:
| Was wurde entdeckt | Genehmigung erforderlich | Was verlierst du ohne sie |
|---|---|---|
| SQL Server Database Engine-Instanzen (Version, Edition, Status) | WMI-Lesezugriff auf Namespaces root\Microsoft\SqlServer\ComputerManagement* |
SQL Server-Instanzen wurden nicht erkannt |
| SQL Server Reporting Services (SSRS) | WMI-Lesezugriff auf Namespaces root\Microsoft\SqlServer\ReportServer |
SSRS-Komponenten wurden nicht erkannt |
| SSRS-URL und Port-Konfiguration | Erhöhte Rechte (Lokaler Administrator) | SSRS-URL-Reservierungsdetails fehlen |
| SQL Server Integration Services (SSIS) | Lesezugriff auf die Registrierung (HKLM) | SSIS-Version und -Edition fehlen |
| Port-to-service Assoziation | Zugriff auf die TCP-Listener-Aufzählung | Die Abhörports können den SQL Server-Diensten nicht zugeordnet werden |
Anmerkung
Die SQL Server-Sammlung ist Windows-only. Das Discovery-Tool überspringt Linux-Server bei der SQL Server-Erkennung.
Oracle-Datenbank (SQL)
Die Oracle-Datenbanksammlung stellt eine direkte Verbindung zu Oracle-Instanzen auf Port 1521 (oder einem benutzerdefinierten Port) her, um Datenbank-Metadaten zu sammeln. Für das Discovery-Tool sind keine DBA- oder SYSDBA-Rechte erforderlich.
Erforderlicher Mindestzugriff: Ein schreibgeschütztes Oracle-Dienstkonto mit der Gewährung SELECT_CATALOG_ROLE.
Das Discovery-Tool greift nicht auf die Ansichten von Diagnostics Pack oder Tuning Pack zu, sodass keine zusätzliche Oracle-Lizenz für die Datenerfassung erforderlich ist.
SQL, um das Konto zu erstellen:
CREATE USER discovery_user IDENTIFIED BY <password>; GRANT CREATE SESSION TO discovery_user; GRANT SELECT_CATALOG_ROLE TO discovery_user;
OS-level Fallback: Wenn Datenbankanmeldedaten nicht konfiguriert sind oder die Verbindung fehlschlägt, verwendet das Discovery-Tool vorhandene SSH- oder WinRM-Betriebssystemanmeldeinformationen, um Oracle-Installationen zu erkennen. Es sind keine zusätzlichen Oracle-specific Betriebssystemberechtigungen erforderlich, die über das Betriebssystem-Metrikmodul hinausgehen.
Erfassung im Netzwerk
Für die Netzwerkerfassung werden je nach Betriebssystem des Servers unterschiedliche Protokolle verwendet:
| Betriebssystem des Servers | Protocol (Protokoll) | Berechtigungen erforderlich |
|---|---|---|
| Linux | SSH | Normaler Benutzer für Verbindungsdaten. Für Details auf Prozessebene (PID und Prozessname) wird sudo ohne Passwort empfohlen. |
| Linux | SNMPv2 | Eine nur lesbare Community-Zeichenfolge mit Zugriff auf die TCP-MIB (tcpConnState, tcpConnectionProcess) und die Host-Ressourcen-MIB (hr). SWRunName |
| Linux | SNMPv3 | Ein USM-Benutzer mit Lesezugriff auf dieselben MIBs wie SNMPv2. Unterstützt die Sicherheitsstufen noAuthNoPriv, auth und NoPriv authPriv. |
| Windows | WinRM | WMI-Lesezugriff auf den root\StandardCIMV2 Namespace (MSFT_NetTCPConnection-Klasse). |
Kurzreferenz: Mindestberechtigungen nach Anwendungsfall
| Anwendungsfall | Account type (Art des Kontos) | Mindestberechtigungen |
|---|---|---|
| VMware-VM-Erkennung | vCenter-Benutzer | Read-Only Rolle auf der Ebene des Root-Rechenzentrums |
| Hyper-V VM-Erkennung | Windows-Domäne oder lokales Konto | Fernverwaltungsbenutzer + Hyper-V Administratoren + Performance Monitor-Benutzer auf jedem Host |
| Linux-Betriebssystem-Metriken — vollständige Daten | SSH-Benutzer | Passwortloses Sudo |
| Linux-Betriebssystem-Metriken — unvollständige Daten | SSH-Benutzer | Normaler Benutzer (kein Sudo). UUID, Hersteller, LVM und Netzwerkprozessinformationen werden fehlen. |
| Windows-Betriebssystem-Metriken — vollständige Daten | WinRM-Benutzer | Lokaler Administrator |
| Windows-Betriebssystem-Metriken — Basisdaten | WinRM-Benutzer | Fernverwaltungsbenutzer + WMI-Lesezugriff auf root\cimv2 |
| Erkennung der SQL Server-Datenbank | WinRM-Benutzer | Lokaler Administrator |
| Oracle-Datenbankerkennung (SQL) | Oracle-Dienstkonto | SELECT_CATALOG_ROLE (schreibgeschützt, kein DBA oder SYSDBA) |
| Netzwerksammlung — Linux (SSH) | SSH-Benutzer | Passwortloses Sudo für Daten auf Prozessebene; regulärer Benutzer nur für Verbindungsdaten |
| Netzwerksammlung — Linux (SNMP) | SNMP-Community-Zeichenfolge oder USM-Benutzer | Lesezugriff auf TCP- und Host-Ressourcen-MIBs |
| Netzwerksammlung — Windows | WinRM-Benutzer | WMI-Lesezugriff auf root\StandardCIMV2 |
