iTopCN – 管理员指南

Docs: 用户账号和配置文件

Fri, 27 Jun 2025 00:00:00 +0000

iTop 提供了用户管理模块，允许管理员为用户分配一个（或多个）预定义的配置文件。配置文件的组合决定了每个用户在 iTop 中被允许执行的操作（查看、创建/修改或删除哪些对象）。

在当前版本的 iTop 中，配置文件是预定义的；没有用户界面来修改它们或创建新配置文件。

查看配置文件

使用"管理工具 / 配置文件"菜单访问配置文件：

当点击某个配置文件时，会显示该配置文件的详细信息：

“用户"选项卡列出拥有此配置文件的所有用户
“授权矩阵"选项卡显示每个对象类别的允许操作

iTop 核心配置文件

ID	配置文件	描述
1	Administrator	拥有所有权限（绕过任何控制）
2	Portal user	有权访问用户门户。拥有此配置文件的用户无法访问标准应用，将自动重定向到用户门户
3	Configuration Manager	负责管理配置项文档的人员
4	Service Desk Agent	负责创建事件报告的人员
5	Support Agent	分析和解决当前事件的人员
6	Problem Manager	分析和解决当前问题的人员
7	Change Implementor	执行变更的人员
8	Change Supervisor	负责整体变更执行的人员
9	Change Approver	可能受某些变更影响的人员
10	Service Manager	负责向（内部）客户交付服务的人员
11	Document author	任何可能为文档做出贡献的人员
12	Portal power user	2.0.1 新增。拥有此配置文件的用户有权在门户中查看客户的所有工单。必须与其他配置文件（如 Portal User）配合使用
117	SuperUser	拥有除管理员专属权限外的所有权限 — iTop 3.2.1 引入
1024	REST Services User	2.5.0 新增。有权访问 REST Web 服务的用户账号。如果配置设置 `secure_rest_services` 设为 `true`（默认值），则只有拥有此配置文件的用户账号才能使用 REST Web 服务

扩展配置文件

ID	配置文件	关联权限	扩展
20	Hostmaster	处理 IP 空间和监控 IP 变更的人员	IPAM for iTop
21	IP Helpdesk agent	处理 IP 请求的人员	IP Request Management
22	IP Portal user	有权访问 IP 门户，在控制台被拒绝	IPAM for iTop
40	Business partner user	有权访问业务合作伙伴门户，在控制台被拒绝	Portal for Business Partner
43	User Manager	有权创建/修改/删除用户…	Admin tools delegation(1/2)
44	Notification Manager	有权创建和修改触发器和操作	Admin tools delegation
45	Audit Manager	有权创建和修改审计（类别和规则）	Admin tools delegation
46	Query Manager	有权创建和修改查询手册	Admin tools delegation
47	SynchroData Manager	有权创建和修改同步数据源	Admin tools delegation
48	Admin Tools Manager	有权执行上述所有操作	Admin tools delegation
49	Time Tracker	有权跟踪自己的时间	Time Tracking
50	Time Tracking Manager	有权跟踪他人的时间并访问任何人跟踪的时间	Time Tracking
51	Archiving Agent	有权定义归档规则	Data archiver
52	Anonymization Agent	有权匿名化人员	Personal data anonymizer
107	Communication Manager	有权管理通信	Communications to the Customers
120	Query History	拥有所有权限，但查询历史（CMDBChange）除外	Admin tools delegation(2/2)
121	Mail Inbox Manager	有权创建/修改邮件收件箱和 OAuth 客户端	Mail to Ticket Automation
122	Mail Messages Manager	有权查看、修改和删除邮件消息并读取邮件收件箱	Mail to Ticket Automation
130	Ansible Manager	负责 iTop 中 Ansible 文档并有权执行 Ansible 专用 REST Web 服务	Data model for Ansible
160	Release Agent	负责开发新功能或解决软件/产品缺陷	Software and Release management
161	Product Owner	负责产品（测试和增强）	Software and Release management
162	Release Manager	负责发布流程（验收测试、CAB、早期支持）	Software and Release management
170	VCS Manager	负责版本控制系统管理	VCS Integration
800	Alarms Manager	允许确认警报而不创建工单	Alarm Console
1025	Project Manager	处理项目/风险/问题/WBS	Project Management Extended
5323	CMDB Guest	对 CMDB 和 IP 对象（仅）拥有只读权限（不允许批量读取）	IPAM for iTop
5324	Hostmaster - DNS	处理 DNS 空间	DNS Zone Management
5325	DHCP Manager	处理 DHCP 空间	DHCP Management
5326	IP Portal Automation user	有资格自动处理其 IP 请求。必须与 “IP Portal user” 配置文件配合使用	IP Request Management
5327	Network Security Manager	负责网络安全。必须与 “Configuration Manager” 配置文件配合使用	Network Management Extended
5328	Phone Numbers Manager	负责电话号码空间	Phone Number Management

查看用户账号

“管理工具"模块下的"用户账号"菜单，可以查看为 iTop 实例定义的所有登录账号。

点击某个用户时，会显示以下详细信息：

用户账号必须关联到 CMDB 中存储的一个人员（请参阅 CMDB 模块文档）。在创建登录账号之前，请确保该用户已在 CMDB 中作为人员记录。

如果登录账号没有定义联系人，则该登录账号将受到若干限制（列表非详尽）：

无法接收邮件通知。例如：为客户 x 创建了工单
无法对某事负责。例如：作为工单分配到的代理
无法访问客户门户

“配置文件"选项卡列出与此用户关联的所有配置文件。“授权矩阵"选项卡显示允许给此用户的权限。它是所有关联配置文件对应权限的合并。“允许的组织"选项卡显示允许此用户查看的组织列表。

创建用户

要创建新用户，只需在操作下拉列表中点击"新建”，无论是从用户列表还是给定用户的详情页面。随后会出现以下向导：

管理员可以根据所需的认证类型定义不同类型的用户账号：

iTop 用户：账号在 iTop 内部管理。密码存储（加密）在 iTop 的数据库中。此类型适用于管理用户、脚本以及与其他应用的集成。
LDAP 用户：认证由外部 LDAP 或 Active Directory 服务器完成。
外部用户：认证由 Web 服务器直接管理，例如使用 Apache .htaccess 文件或外部单点登录解决方案（如 JASIG-CAS）。

iTop 中所有关于认证的详细信息都在用户认证选项章节中描述。

如果决定创建 iTop 用户，必须输入密码并再次输入以确认。如果两次密码不匹配，密码字段右侧会显示感叹号。

如需实现密码续期策略，请遵循相关指南。

用户记录定义：

该用户的首选语言，用于显示 iTop 用户界面
与此用户账号关联的联系人。对于门户用户，此联系人还用于确定门户的默认组织
此账号的配置文件列表。每个 iTop 用户账号必须至少有一个配置文件

“添加配置文件…“按钮显示搜索窗口，用于选择要分配给用户的配置文件。分配的配置文件可以在稍后使用用户的"修改"操作进行更改。

批量导入登录账号

要批量创建多个登录账号，可以使用 CSV 导入工具。

检查批量导入关系格式。

可以参考此示例，该示例用于 CLI 导入，但 CSV 导入格式相同。

限制对一组组织的访问

管理员可以为每个用户定义允许其访问的组织列表，使用"允许的组织"选项卡。如果未选择任何组织，则允许该用户查看所有组织。

在组织层级结构的情况下（某些组织有父组织），权限从父组织继承到子组织。换句话说，如果用户有权访问父组织，则该用户也有权访问该组织的所有子组织。

属于禁止访问的组织的所有对象对给定用户完全隐藏。对于该用户，应用程序的行为就好像这些对象不存在一样。

选定的组织可以在稍后使用用户的"修改"操作进行更改。

更改用户密码

管理员可以在需要时通过使用用户的"修改"操作来更改用户密码。这对于重置用户密码很有用。

用户可以通过点击"注销"菜单并选择"更改密码…“来更改自己的密码。

忘记密码

拥有 iTop 用户 类型账号的用户可以自行重置密码：无需管理员进行任何操作。

更多信息请参阅忘记密码章节。

停用账号

从 iTop 2.3.0 开始，用户账号上新增了一个"状态"字段。“状态"有两个可能的值：“启用"或"禁用”。设置为"禁用"时，账号被停用，用户无法再连接到 iTop。默认值为启用。

委派给非管理员

可以将用户管理委派给没有管理员配置文件的用户：委派"管理工具"菜单。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:managing_user_accounts

Last modified: 2025/03/10 10:24 by127.0.0.1

版本：3_2_0/admin/managing_user_accounts.txt · Last modified: 2026/06/26 11:13 by 127.0.0.1

Docs: 用户认证选项

Fri, 27 Jun 2025 00:00:00 +0000

本文档介绍 iTop 的用户认证选项。为了与环境无缝集成，iTop 支持多种认证机制，可以在同一实例中按用户混合使用不同的认证类型。更多详细内容请参考 iTop 官方文档。

概述

为了与环境无缝集成，iTop 可以使用多种认证机制。iTop 的部分行为是在 Web 服务器层面定义的，但可以在每个用户的基础上混合使用不同的认证类型。

例如，如果您已经使用 LDAP 服务器对终端用户进行认证，那么可以方便地对终端用户使用 LDAP 认证，而对自动化流程和脚本使用的功能账号使用本地密码认证。

在本文档中，“外部认证” 是指用户认证完全在 iTop 之外进行（由 Web 服务器或某种 Web 服务器插件完成）。在这种情况下，iTop 应用程序只会接收经过 Web 服务器验证后的已认证用户的名称。如果您将 iTop 安装在 Apache 下，并使用 .htaccess 文件保护目录，就会发生这种情况。“外部认证” 也用于使用外部服务器的认证。在这种情况下，用户是 “外部” 的，但登录类型不是 “外部”。

部署 iTop 时，您必须决定应用程序是使用外部认证机制还是依赖 iTop 内部机制。如果应用程序使用 “内部” 认证，则同一安装可以共存多种认证类型（例如，您可以配置 iTop 使用基于表单的对话框，并混合使用 LDAP 和内部用户）。

如果认证不是 “外部” 的，那么 iTop 将主动参与认证过程。目前 iTop 支持三种内部认证类型：

本地（Local）：基于加密存储在 iTop 数据库中的密码
应用令牌（Application Token）：基于加密存储在 iTop 数据库中的令牌
LDAP：通过与远程 LDAP 或 Active Directory 服务器交互

登录类型（控制台和门户）

为了认证用户，应用程序必须提示用户输入登录名和密码。iTop 提供了几种方法来处理与终端用户的登录对话：

登录类型	用途	限制
form	基于表单的登录，最适合交互式登录。还提供注销/登出功能	不适合批处理/脚本使用，或在终端用户"隐藏" Web 浏览器的情况下使用（例如 Excel Web 查询）
basic	基本 HTTP 认证。兼容所有支持此协议的应用程序（例如 wget、Excel Web 查询）	没有注销/登出功能
cas	使用 JA-SIG CAS API 连接到 CAS 服务器进行认证	提供与其他 CAS 应用程序的透明单点登录，例如 LifeRay 门户
url	兼容任何应用程序。如果您想在 OpenOffice 中运行 Web 查询，则需要使用此方式	密码必须以明文形式写在页面地址中！
token	专为应用程序连接 iTop Web 服务而设计，更多详情见下文
external	当认证由 Web 服务器本身在访问 iTop 应用程序之前完成时使用	iTop 在 “外部” 用户连接时不执行任何认证。iTop 只是信任 Web 服务器传递的参数

登录类型（Web 服务）

为了访问 Web 服务（如 REST API），您必须在 HTTP 请求中提供认证数据。

根据当前 allowed_login_types 的配置，您需要选择以下认证方法之一：

允许的登录类型	如何构建 HTTP 请求	curl 示例（Linux）
basic	按照基本认证标准在 HTTP 头中提供用户名和密码	`curl https://my.itop.com/.../api.php -F param1=xyz... --basic -u $NAME:$PASSWORD`
form	必须 POST `auth_user` 和 `auth_pwd`	`curl https://my.itop.com/.../api.php -F param1=xyz... -F auth_user=$USER -F auth_pwd=$PASSWORD`
url	必须在 URL 中传递 `auth_user` 和 `auth_pwd`	`curl https://my.itop.com/.../api.php -G -F param1=xyz... -F auth_user=$USER -F auth_pwd=$PASSWORD`

curl https://my.itop.com/.../api.php -F param1=xyz... --basic -u $NAME:$PASSWORD

curl https://my.itop.com/.../api.php -F param1=xyz... -F auth_user=$USER -F auth_pwd=$PASSWORD

curl https://my.itop.com/.../api.php -G -F param1=xyz... -F auth_user=$USER -F auth_pwd=$PASSWORD

配置文件

iTop 配置文件中的参数 allowed_login_types 通过定义启用哪些登录方法以及应用程序尝试它们的顺序来决定 iTop 应用程序的行为。

此参数是一个文本字符串，其中值由管道符（|）分隔。字符串由 form、basic、url、cas 和 external 按所需顺序组合而成。

默认模式是列表中的第一个。它定义了未提供凭据时应用程序的行为。第一个 “模式” 必须是 form、basic、cas 或 external 之一。

此外，默认设置了密码策略，可以进行自定义。

’login_mode’ 页面参数

连接到任何 iTop 网页时，可以通过在 URL 中指定参数 “login_mode” 来覆盖默认登录模式。

值是允许的模式之一：form、basic、url、cas、external。只要配置文件中启用了相应模式，就会使用此登录模式（仅针对此次连接，不会持久化）。如果值无效，则忽略它并使用配置文件中定义的第一个 “模式”。

例如，如果配置文件包含：

allowed_login_types => 'form|basic|external',

并且页面使用参数 ?login_mode=basic 调用，则此页面将使用基本认证机制。

如果页面使用参数 ?login_mode=url&auth_user=foo&auth_pwd=bar 调用，由于 url 模式被排除在配置之外，将使用默认模式（在上例中为 form）。

示例

对于用户通过本地密码（存储在 iTop 数据库中）或 LDAP 服务器进行认证的 iTop 实例，并且用户使用 Web 浏览器（在应用程序中导航）或 Microsoft Excel（运行一些 Web 查询报告），可以在配置文件中设置以下值：

'allowed_login_types' => 'form|basic',

连接到应用程序时，终端用户将使用常规的 iTop 登录表单提示输入登录名/密码。交互式使用应用程序时，终端用户可以使用 “注销菜单” 退出应用程序。

使用 Excel 时，可以通过在 Web 查询页面链接末尾添加 &login_mode=basic，让 Excel 在首次启动 Web 查询时提示用户输入登录名/密码。

在此配置中，还可以使用命令行工具（如 wget）让脚本从 iTop 检索数据，语法如下：

wget --http-user=<login> --http-password=<password> -O test.csv --auth-no-challenge "http://127.0.0.1/webservices/export.php?expression=SELECT%20Contact&format=csv"

或者使用以下替代命令：

wget --no-check-certificate --http-user=admin --http-password=admin2 -O test.csv "https://127.0.0.1/webservices/export.php?expression=SELECT%20Contact&format=csv&login_mode=basic"

在第一个命令行中，wget 会自动将凭据发送到 Web 服务器（使用基本认证机制），iTop 将检测到它们的存在。

在第二个命令中，wget 起初不会发送任何凭据，但告诉 iTop 首选的认证方式是 “basic”（即基本认证），wget 将从 Web 服务器收到 “401 未授权” 的响应，然后使用提供的凭据重试。

基本认证与 Apache CGI 模式

Apache Web 服务器中的 PHP 可以配置为以两种不同模式运行：作为模块或作为 CGI。

使用基本认证机制时，iTop 依赖 Web 服务器填充两个 PHP 内部变量：$_SERVER['PHP_AUTH_USER'] 和 $_SERVER['PHP_AUTH_PW']。当 PHP 作为 Apache 模块运行时，当终端用户填写 “基本认证” 弹出对话框时，Web 服务器会自动填充这两个变量，但当 PHP 作为 CGI 运行时则不会。

在后一种情况下，可以使用简单的重写规则将认证信息传递给 PHP。

操作方法如下：

确保 Apache 中已激活重写引擎模块，否则 “重写规则” 将被忽略（如果不确定重写引擎是否已启用，可以注释掉下面示例中的 <IfModule mod_rewrite.c> 和 </IfModule> 两行。然后重启 Apache。如果在 Apache 日志文件中看到关于 “RewriteEngine on” 不被识别为有效配置指令的错误，则重写引擎未在您的 Web 服务器上配置）。

使用您喜欢的文本编辑器将以下代码写入 iTop Web 目录根目录的 .htaccess 文件中（确保运行 PHP/CGI 进程的用户有足够的权限读取此文件）。

<IfModule mod_rewrite.c>
RewriteEngine on
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]
</IfModule>

这将使 Apache 服务器使用凭据（base64 编码）填充服务器变量 $_SERVER['HTTP_AUTHORIZATION']。iTop 读取并解码此变量以提取登录名和密码。

与外部认证集成

iTop 可以使用外部认证机制（Apache 的 .htaccess 文件、CA SiteMinder 代理等），但用户的配置文件始终在 iTop 中定义，对于每个允许连接到 iTop 的用户，数据库中必须有一个 iTop “外部用户” 记录。

使用外部认证机制时，任何对 iTop 应用程序的请求都会被拦截，终端用户会在连接到 iTop 之前被要求输入认证信息。在这种情况下，iTop 不知道认证方式（登录名/密码、智能卡上存储的证书等）。对 iTop 来说唯一重要的信息是已认证用户的 “登录名”（即标识符）。

iTop 使用 PHP 应用程序的标准机制，默认读取 $_SERVER['REMOTE_USER'] 服务器变量。如果在 iTop 数据库中找到具有相应登录名的 “外部用户” 记录，该用户将连接到 iTop。如果未找到匹配项，则将使用下一个认证机制，并提示用户使用 iTop 进行认证。

'ext_auth_variable' => '$_SERVER[\'REMOTE_USER\']',

例如，如果您的单点登录系统使用 cookie 变量 auth_user 传递用户名，您可以使用：

'ext_auth_variable' => '$_COOKIE[\'auth_user\']',

如果您的系统使用 HTTP 头，您也可以使用 PHP 函数 getallheaders()，它返回每个头变量的数组。

'ext_auth_variable' => 'getallheaders()[\'SSL_DN_CERTIFICATE\']',

'allowed_login_types' => 'external|form|basic',

由于认证完全委托，iTop 无法提供注销机制。对于使用外部方法认证的用户，注销菜单项将被隐藏。请注意，iTop 会话 cookie 将一直保留到浏览器窗口关闭！

由于 iTop 使用 PHP 变量 $_SERVER['REMOTE_USER'] 来识别外部用户，如果您的 Web 服务器运行在 Windows 上，这就变得非常简单。使用 IIS 时，您可以依赖集成 Windows 认证；如果使用 Apache，可以使用 sspi_auth_module。两者都会将变量 $_SERVER['REMOTE_USER'] 设置为已认证用户，格式为 “DOMAIN\USERNAME”。只需以相同方式创建您的外部用户名称：DOMAIN\USERNAME，iTop 认证对您的终端用户将是透明的。

使用 Apache .htpasswd 进行外部认证的示例配置

在下面的示例中，用户由存储在 /var/www/ 的 .htpasswd 文件进行认证。

您可以使用以下命令为相应用户生成登录名和密码。

在激活外部认证之前，您必须至少创建一个与 .htpasswd 文件中定义的用户对应的外部用户，并赋予 “Administrator” 配置文件。

这非常重要，因为 iTop 的本地认证将被 Apache 服务器自动停用。

然后要在 iTop 中激活外部认证，您必须将外部选项设置为 iTop 配置文件中的第一个选项。

iTop 配置

$MySettings = array(
 ...
 'allowed_login_types' => 'external|form|basic',
 ...
);

完成后，您只需按如下方式更改 Apache Web 服务器的配置：

Apache 配置文件

<Directory /var/www/>
 AuthUserFile /var/www/.htpasswd
 AuthName "Please identify yourself..."
 AuthType Basic
 require valid-user
</Directory>

集成测试脚本

如果您使用第三方认证机制，可以将以下 PHP 脚本放在 iTop 的 pages 目录中的文件中。然后将您的 Web 浏览器指向它来测试您的外部认证是否将适当的信息传递给 iTop。

<?php
//
// Script to test External Authentication
//
require_once('../approot.inc.php');
require_once(APPROOT.'core/config.class.inc.php');
require_once(APPROOT.'application/utils.inc.php');
require_once(APPROOT.'application/startup.inc.php');

echo "<h1>External Authentication: Integration Test Script</h1>";
try
{
 $aAllowedLoginTypes = utils::GetConfig()->GetAllowedLoginTypes();
 $sAllowedLoginTypes = implode('|', $aAllowedLoginTypes);
 echo "<p>allowed_login_types set to '$sAllowedLoginTypes'</p>\n";

 if (!in_array('external', $aAllowedLoginTypes))
 {
 echo "<p>Check your iTop configuration file, ".
 "<b>allowed_login_type</b> does not enable ".
 "'external' authentication.</p>";
 }
 else
 {
 echo "<p>Ok, external authentication is enabled by allowed_login_type.</p>";
 $sExternalAuthVariable = utils::GetConfig()->GetExternalAuthenticationVariable();
 echo "<p>External Authentication Variable: '$sExternalAuthVariable'</p>\n";
 if ($sExternalAuthVariable != '')
 {

 $sEval = '$bVarIsSet = isset('.$sExternalAuthVariable.');';
 eval($sEval);
 if ($bVarIsSet)
 {
 $sEval = '$sAuthUser = '.$sExternalAuthVariable.';';
 eval($sEval);
 echo "<p>External Authentication Variable set to: ".
 "'$sAuthUser'</p>\n";
 if ($sAuthUser != '')
 {
 echo "<p><b>Ok, integration with external authentication ".
 "successful !</b></p>\n";
 }
 else
 {
 echo "<p>Empty user information passed by the web ".
 "server.</p>\n";
 }
 }
 else
 {
 echo "<p>External Authentication Variable <b>NOT</b> set.</p>\n";
 }
 }
 else
 {
 echo "<p>Check your iTop configuration file, <b>ext_auth_var</b> is set ".
 "to an empty string.</p>\n";
 }
 }
}
catch(ConfigException $e)
{
 echo "<p>iTop configuration file not found. Did you already install iTop ?</p>\n";
}
echo "<hr/>\n";
echo "<p>For information:</p>";
echo "<pre>\$_SERVER variable:\n";
print_r($_SERVER);
echo "\$_COOKIE variable:";
print_r($_COOKIE);
echo "\getallheaders() array of headers:";
print_r(getallheaders());
echo "</pre>\n";
?>

此脚本将返回服务器变量，如下所示：

这将帮助您识别定义已认证用户的变量。它必须返回与 .htpasswd 文件中存储的登录名以及相应 iTop 外部用户的登录名相同的值。

因此，您可能会遇到处理 Web 服务调用的困难，但命令行脚本可以正常工作（cron.php 或 synchro_import.php）。

LDAP 认证配置

iTop 支持对远程 LDAP 服务器（或 Windows Active Directory 服务器）进行 LDAP 认证。两种类型的用户（在 iTop 本地数据库中存储账户的用户和具有 LDAP 账户的用户）可以在同一 iTop 实例中共存，按用户配置。

创建 LDAP 用户时，在提示 “新建用户账户” 时选择适当的类型：

配置 iTop 连接到您的 LDAP 服务器

安装 iTop 后，打开文件 config-itop.php 并查找 authent-ldap 部分。它应如下所示：

 'authent-ldap' => array (
 'host' => 'localhost',
 'port' => 389,
 'default_user' => '',
 'default_pwd' => '',
 'base_dn' => 'dc=mycompany,dc=com',
 'user_query' => '(&(uid=%1$s))',
 'options' => array (
 17 => 3,
 8 => 0,
 ),
 'debug' => false,
 'servers' => array(
 'MySecond-LDAP-Server' => array(
 'host' => 'server1',
 'port' => 389,
 'default_user' => '',
 'default_pwd' => '',
 'base_dn' => 'dc=mycompany,dc=com',
 'user_query' => '(&(uid=%1$s))',
 'options' => array (
 17 => 3,
 8 => 0,
 ),
 'debug' => false,
 ),
 ),
 ),

其中：

host 参数必须包含 LDAP 服务器的 IP 地址或主机名
port 参数是用于连接 LDAP 的 TCP 端口号（LDAP 默认为 389）

如果您在 host 参数中指定了协议，则 port 的值将被 PHP 忽略（即 ldap:// 意味着端口 389，ldaps:// 意味着端口 636）。

要通过非标准端口使用 LDAPS 连接，您必须在 host 中同时指定协议和端口，并将 port 设为 null。

示例：

 'authent-ldap' => array (
 'host' => 'ldaps://ldap.demo.com:6636',
 'port' => null,
 ...
 );

有关更多信息，请参阅 ldap_connect。

default_user 和 default_pwd 标识一个具有足够权限的 LDAP 账户，可以以只读模式连接到您的 LDAP 服务器以搜索指定用户。在大多数系统上，匿名用户可以做到这一点，因此您可以将这两个字段留空。
base_dn 定义用于搜索用户/登录名的 “根”。它可以是 “dc=mycompany,dc=com” 或 “ou=People,dc=mycompany,dc=com” 之类的内容。如果不确定，请咨询您的 LDAP 管理员。
user_query 定义一个 LDAP 查询，用于搜索用户。您可以使用以下占位符编写任何有效的 LDAP 查询：
- %1$s：用户的 iTop 登录名（即他/她在登录表单中输入的内容）
- %2$s：用户的名字
- %3$s：用户的姓氏
- %4$s：用户的电子邮件
debug 必须设置为 true 才能打开调试跟踪输出（在文件 log/error.log 中）。由于调试跟踪包含明文密码，建议在生产环境中关闭它们，但在配置阶段它们对排查应用程序行为很有用。
servers：服务器配置数组，与默认配置相同。服务器的名称是在 LDAP 用户定义中引用的名称。（如果为空，则使用默认配置）。

配置 iTop 连接到您的 CAS 服务器

在您的 iTop 服务器上安装 Central Authentication Service，以便能够连接到 CAS 服务器。

安装 iTop 后，打开文件 config-itop.php 并将 cas 添加到 allowed_login_types：

//'cas' first, means login will be automatically redirected to CAS
allowed_login_types => 'cas|form|basic|external',

配置位于通用 iTop 参数中。

它应如下所示：

 'authent-cas' => array (
 'cas_debug' => false,
 'cas_host' => '',
 'cas_port' => '',
 'cas_context' => '',
 'cas_version' => '',
 'service_base_url' => '',
 ),

所有可能的参数：

参数	类型	可见？	描述	默认值
cas_context	string	否	CAS 上下文
cas_debug	bool	否	激活 CAS 调试	false
cas_default_profiles	string	否	当从 CAS 未检索到配置文件时，创建新用户使用的 iTop 配置文件列表，以分号分隔	Portal user
cas_host	string	否	CAS 主机名
cas_logout_redirect_service	string	否	使用 CAS 注销时使用的重定向服务（URL）
cas_memberof	string	否	用户必须是其成员的组名列表，以分号分隔（仅适用于 SAML，例如 cas_version => “S1”）
cas_memberof_attribute_name	string	否	2.7.0 新增：CAS 服务器上 memberOf 属性的名称	memberOf
cas_port	integer	否	CAS 服务器使用的端口	443
cas_profile_pattern	string	否	从 LDAP/CAS 组名中提取 iTop 配置文件名称的正则表达式模式	`/^cn=([^,]+),/`
cas_server_ca_cert_path	string	否	用于验证 CAS 服务器证书的 CA 证书路径
cas_update_profiles	bool	否	是否从 CAS 信息更新现有用户的配置文件	false
cas_user_synchro	bool	否	是否与 CAS/LDAP 同步用户	false
cas_version	string	否	要使用的 CAS 协议版本：“1.0”（CAS v1）、“2.0”（CAS v2）或 “S1”（SAML V1）	2.0
service_base_url	string	否	iTop 服务器 URL。iTop 2.7.8 及 3.0.2 之后新增

工作配置示例：

 'authent-cas' => array (
 'cas_context' => '/cas',
 'cas_debug' => true,
 'cas_host' => 'cas-server.combodo.net',
 'cas_memberof' => 'Configuration Manager',
 'cas_memberof_attribute_name' => 'businessCategory',
 'cas_port' => 8443,
 'cas_version' => 'S1',
 'cas_user_synchro' => true,
 'service_base_url' => 'https://my.itop.server.net',
 ),

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:user_authentication_options

版本：3_2_0/admin/user_authentication_options.txt · Last modified: 2025/01/02 12:38 by 127.0.0.1

Docs: 审计 CMDB

Thu, 26 Jun 2025 00:00:00 +0000

“审计"用于检查 iTop 数据库中信息的一致性。如"生产环境设备是否都有支持合同？“或"所有服务器位置是否已知？”

审计规则分组到审计类别中。类别定义对象范围（OQL 查询），规则定义约束（也是 OQL）。

审计报告

点击"数据管理 / 审计"运行。每类显示：对象数、错误数、正确率。每条规则显示错误对象数。

管理审计类别

“管理"菜单 → “审计类别”，由名称、描述和定义集（OQL）组成。

管理审计规则

规则由名称、描述、查询和 有效对象？ 标志定义：

有效对象？ = 否：查询返回的对象标红（错误对象）
有效对象？ = 是：查询返回的对象不标红（有效对象）

示例

无成员的团队（有效对象？ = 否）

SELECT Team AS t JOIN lnkPersonToTeam AS l1 ON l1.team_id=t.id WHERE l1.person_id != 0

通知=是但无邮箱的人员（有效对象？ = 是）

SELECT Person WHERE notify = 'yes' AND email = ""

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:audit

版本：3_2_0/admin/audit.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 运行对象查询

Thu, 26 Jun 2025 00:00:00 +0000

使用 OQL 获取符合特定条件的对象集。

使用

“管理工具 / 运行对象查询” → 输入 OQL → “执行”

SELECT Server WHERE status = 'production'
SELECT Ticket WHERE contacts_list = ''

参考 OQL 文档

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:objects_queries

版本：3_2_0/admin/objects_queries.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 查询手册

Thu, 26 Jun 2025 00:00:00 +0000

保存 OQL 查询以供重复使用。

使用

“管理工具 / 查询手册” → 浏览或创建查询

创建

“新建查询” → 填写名称、描述、查询语句 → “创建”

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:phrasebook

版本：3_2_0/admin/phrasebook.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 导出数据

Fri, 27 Jun 2025 00:00:00 +0000

iTop 提供了一个通用的 Web 服务，用于基于 OQL 查询导出任何数据。此服务可用于从 iTop 提取数据，以便与第三方工具集成。此 Web 服务可以以多种格式返回数据：

HTML
CSV
XML
Spreadsheet（用于导入到 Excel 或 OpenOffice 的纯 HTML）
XLSX（Excel 2007、2010、2013…）
PDF

此服务可以通过 iTop 服务器上的命令行界面本地调用，也可以通过 HTTP 请求远程调用。

使用

命令行接口

php /var/www/itop/webservices/export-v2.php --auth_user=login --auth_pwd=password --expression=query --format=csv --fields=<以逗号分隔的字段列表>

远程 Web 访问

有多种方式可以通过 Web 连接远程访问该服务。以下是使用 wget 命令的语法（如果启用了基本认证）：

wget --http-user=login --http-password=password http://itopserver/webservices/export-v2.php?expression=query&format=csv&fields=<以逗号分隔的字段列表>

或使用令牌（更安全）：

wget --post-data='--auth-token=YOURTOKEN' http://itopserver/webservices/export-v2.php?expression=query&format=csv&fields=<以逗号分隔的字段列表>

参数

参数	描述	默认值
param_file	参数文件 — 请参阅参数文件	-
auth_user	用户登录名 — 仅限 CLI 模式	-
auth_pwd	用户密码 — 仅限 CLI 模式	-
expression	OQL 查询	如果缺少 ‘query’，则为必填
query	存储在查询手册中的查询标识符	如果缺少 ’expression’，则为必填
format	spreadsheet（推荐用于与 MS-Excel Web 查询集成）、html、xml、csv 或 xlsx	html
fields	以逗号分隔的属性列表（例如 “name,brand,model”）。支持扩展属性代码（例如 caller_id->org_id->code），但可能会显著降低导出速度（因为它们需要额外的数据库查询）。谨慎使用！	由 expression 指定的类的所有属性代码。这些不是本地化的
with_archive	1：导出将包含归档对象。0 或省略参数：不返回归档对象	0
arg_xxx	如果 OQL 查询有参数，则需要：参数 ‘xxx’ 的值	无

输出

HTML

HTML 格式将输出作为 HTML 表格提供。

Spreadsheet

此格式专用于集成到电子表格中。特别是，它是与 Excel Web 查询一起使用的推荐方法。有关此 Excel 集成的更多信息，请参阅文章"如何使用 iTop 查询创建 Excel 报告"。

格式特定参数

使用 Spreadsheet 格式时，以下附加参数可用：

参数名	描述	默认值
date_format	用于导出日期和时间字段的格式（使用 PHP 日期和时间说明符指定）	与 GUI 中相同
formatted_text	是否以 HTML 标记导出富文本字段。1 = 导出标记，0 = 无标记	1
no_localize	如果设置为 0，则标题和值将以登录用户的语言本地化。设置为 1 以使用内部属性代码和值（枚举）	0

XML

使用 XML 格式时，以下附加参数可用：

参数名	描述	默认值
linksets	设置为 1 以检索指向相关对象的链接（1-多或多-多关系）。0 表示仅返回对象的"标量"值	0
no_localize	如果设置为 0，则标题和值将以登录用户的语言本地化。设置为 1 以使用内部属性代码和值（枚举）	0

CSV

CSV 格式输出示例：

id,Name,Management IP
1,"dbserver1.demo.com","10.1.1.10"
6,"webserver.demo.com","10.1.1.20"

格式特定参数

参数名	描述	默认值
charset	用于编码输出的字符集	UTF-8
date_format	用于导出日期和时间字段的格式（使用 PHP 日期和时间说明符指定）	与 GUI 中相同
formatted_text	是否以 HTML 标记导出富文本字段。1 = 导出标记，0 = 无标记	0
no_localize	如果设置为 0，则标题和值将以登录用户的语言本地化。设置为 1 以使用内部属性代码和值（枚举）	0
separator	输出中字段之间用作分隔符的字符	,（逗号）
text-qualifier	用于文本字符串的字符	“（双引号）

PDF

此格式生成 PDF 文档，包含一个包含请求数据的大表格。注意：表格的自动布局使所有列的宽度相同。因此，它最适合少量（<10）列。要容纳更多列，请使用页面的纵向方向。

格式特定参数

参数名	描述	默认值
date_format	用于导出日期和时间字段的格式（使用 PHP 日期和时间说明符指定）	与 GUI 中相同
page_size	页面布局的纸张大小。可能的值：A3、A4 或 Letter	A4
page_orientation	页面纸张的方向。可能的值：Landscape 或 Portrait	Portrait

XLSX

格式特定参数

参数名	描述	默认值
date_format	用于导出日期和时间字段的格式（使用 PHP 日期和时间说明符指定）	与 GUI 中相同
formatted_text	是否以 HTML 标记导出富文本字段。1 = 导出标记，0 = 无标记	0

历史

0.9 首次实现此功能
1.2.1 添加了参数 ‘query’，作为 ’expression’ 的替代
1.2.1 添加了格式 ‘spreadsheet’，将日期和时间列分开
1.2.1 修复了 HTTPS 和 MS-IIS 的阻塞问题（Trac:#485）
1.2.1 参数文件可以作为参数指定（文档是错误的：实际上未实现）
1.2.1 分支 Spreadsheet 格式：修复了时间问题（Trac:#541）。解决方法是使用 XML 格式（XCel 支持此格式）
2.0：添加了标志 no_localize
2.1.0：添加了 XLSX 格式
2.2.0：通过创建新的 export-v2.php 页面重新设计导出

原文：https://www.itophub.io/wiki/page?id=3_2_0:advancedtopics:exportdata

版本：3_2_0/advancedtopics/exportdata.txt · Last modified: 2026/03/10 13:11 by 127.0.0.1

Docs: 浏览数据模型

Thu, 26 Jun 2025 00:00:00 +0000

通过"管理工具 / 数据模型"查看当前数据模型。

选择类

右侧浏览器树视图按字母顺序浏览类，支持自动完成过滤。

类详细信息选项卡

属性：属性代码、类型、允许值、更多信息、来源
相关类：外键、n-1、1-n、n-n 关系图形视图
生命周期：graphviz 状态转换图，显示事件代码（用于触发器）
触发器：当前类激活的触发器

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:browsing_the_data_model

2024/09/10 10:25 by127.0.0.1

版本：3_2_0/admin/browsing_the_data_model.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 使用 iTop

Fri, 27 Jun 2025 00:00:00 +0000

本文档介绍如何使用 iTop 应用程序，包括登录方法和主界面导航。更多详细内容请参考 iTop 官方文档。

连接到 iTop

要访问 iTop，只需将 Web 浏览器指向安装 iTop 的 URL。例如：http://yourserver/<itop_alias>

出现提示时，输入您的登录名和密码。

认证后，用户将访问 iTop 主页面。用户首次连接时会显示 “欢迎使用 iTop” 弹出窗口。可以通过取消勾选 “启动时显示此消息” 来在下次不再显示此弹出窗口。

在 iTop 中导航

iTop 的主界面如下：

主页面分为三个主要部分：

左侧菜单（也称为资源管理器菜单）包含访问不同模块（CMDB、事件、变更、服务和合同）的链接。显示的列表取决于已安装的模块和当前用户的权限。例如，“管理工具” 菜单（底部）仅对管理员可见。
右侧内容面板 显示搜索结果列表或某个给定项目的详细信息。
顶部框架 包含全局搜索、仪表板菜单（当显示的页面是可编辑仪表板时）以及注销菜单，也用于管理用户偏好设置。

有关如何使用 iTop 各种功能的详细信息，请参阅用户指南。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:using_itop

版本：3_2_0/admin/using_itop.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 通用配置

Thu, 26 Jun 2025 00:00:00 +0000

新手应阅读配置概述。

在线编辑器

此工具仅对 iTop 管理员可用。它是编辑配置文件 <itop-root>/conf/production/config-itop 的快捷方式。此工具还通过确保如果发现任何语法错误，则不会保存更改来保护过程。

可禁用编辑器：

'itop-config' => array(
 'config_editor' => 'disabled',
)

编辑器可从"管理工具 / 配置"菜单访问：

它有语法高亮显示和一些功能。

以下是可能的操作：

使用 Ctrl+F 查找
使用 Ctrl+H 查找和替换
使用"应用"按钮或 Ctrl+S 快捷键保存
“重置"按钮重新加载页面，并将配置恢复到其持久状态（丢弃未持久化的更改）

如果发现语法错误，则无法保存，并在每个相关行上显示注释：

保存后，如果没有遇到语法错误，则会显示绿色横幅：

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:configuration_editor

2024/09/10 10:25 by127.0.0.1

版本：3_2_0/admin/configuration_editor.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 同步数据源

Fri, 27 Jun 2025 00:00:00 +0000

如果您不熟悉此概念，请先阅读概述。

想查看示例
想深入了解以排除常见问题

数据源定义

数据源使用菜单"管理工具 / 同步数据源"定义。

每个数据源定义：

要同步的对象的目标类
要同步的对象的属性/字段列表
如何搜索/协调对象与 iTop 中已存在的对象
同步/更新以及可能删除 iTop 中对象的规则
同步对象对 iTop 最终用户的行为方式（哪些字段是只读的，用户是否允许删除对象…）
一个可选的超链接和图标，用于将 iTop 用户指向外部应用中的相应对象

描述

“属性"部分的此部分定义此同步数据源的一些通用参数。

属性	必填？	含义	示例值
名称	必填	引用此数据源的名称	来自 SCCS 的服务器同步
描述	可选	附加描述，仅供参考
状态	必填	实现、生产或废弃：用于过滤/分类数据源	生产
目标类	必填	要同步的对象类	服务器
用户	必填	允许执行此同步的用户	admin
通知联系人	可选	当同步执行并包含至少一个错误时，通过邮件通知的联系人
图标超链接	可选	代表此数据源的图像的超链接（URL）。此图标显示在 iTop 中同步对象标题旁边"锁定"符号的工具提示中，代替默认图标
应用超链接	可选	同步数据来源的远程应用的超链接（URL）。超链接可以包含占位符，如 $this->attcode$ （将被当前对象的属性值替换）或 $replica->column_name$ （将被副本中命名列的值替换）	https://myapp.acme.com/display/server/$replica->primary_key$
数据表	可选	存储副本信息的 MySQL 表名称。如果省略，系统将为您生成一个唯一名称	synchro_data_servers_from_sccs

搜索与协调

属性的此部分定义：

副本表中的信息如何与 iTop 数据库的内容匹配
此同步数据源关于创建新 iTop 对象的行为。

属性	含义
协调策略	使用属性：创建新副本时，系统将基于标记为"是"的同步属性列表中设置了协调标志的属性，在 iTop 中搜索匹配对象。使用主键：副本的 primary_key 列应包含 iTop 中对象的标识符。
零匹配操作	当协调在 iTop 中未找到任何对象时做什么。创建：指示系统创建目标类的新对象。错误：将导致系统将此情况报告为错误（即此同步数据源应仅更新现有对象）。
单匹配操作	当协调在 iTop 中恰好找到一个匹配对象时做什么。更新：指示系统更新此对象。错误：将导致系统将此情况报告为错误（即此同步数据源应创建对象且从不更新现有对象）。
多匹配操作	当协调在 iTop 中找到多个匹配对象时做什么。创建：指示系统创建另一个对象。错误：将导致系统将此情况报告为错误。取第一个：指示系统选择列表中的第一个对象并更新它。

删除规则

此部分定义如何处理同步对象的删除：

由 iTop 中的最终用户删除
由同步系统本身删除

属性	含义
用户允许	哪些最终用户被允许在 iTop 中删除同步对象。无人：当对象被同步时，没有人被允许在 iTop 中删除它，只有同步系统可以删除它。仅管理员：仅管理员被允许删除同步对象。允许删除此类对象的每个人：正常的访问规则适用于此类同步对象。
完整加载间隔	两次被认为是已加载（触及）所有副本的同步执行之间的持续时间。当副本超过此持续时间未被触及时，它被视为过时。
删除策略	当副本变为过时时的操作。忽略：什么都不做，关联对象保持原样。删除：在 iTop 中删除关联对象（以及数据表中的副本）。更新：按照更新规则更新关联对象。更新后删除：按照更新规则更新关联对象，然后在保留持续时间后删除对象（和副本）。
更新规则	以分号分隔的值列表，形式为 attribute_code:value，以指定关联对象的哪个属性设置为哪个值。例如：status:obsolete;description:no longer synchronized。
保留持续时间	仅当删除策略设置为"更新后删除"时使用。在这种情况下，从源中删除的对象会立即更新，并仅在保留持续时间后从 iTop 中删除。

如果您设置完整加载间隔为 7 天，保留持续时间为 14 天，则不再由源提供的对象将在 3 周后被删除。

属性

“属性"选项卡定义：

如何确定是否必须在 iTop 中创建新对象，或者是否必须将现有对象与副本关联（如果属性中的协调规则为"使用属性”）
关联对象的哪些属性必须更新，以及如何更新。

属性选项卡	目的
属性	自动列出数据同步"目标类"的每个属性，及其标签和代码
协调	指定此列中的值是否应用于检索现有 iTop 对象。仅用于新副本
更新	指定该 iTop 对象属性是否应由数据同步更新
更新策略	指定该属性是否可以在 iTop 中编辑
协调键	仅对外部键属性需要。指定用于检索远程对象的一个属性。可以是 id 或作为远程类的唯一标识符的字段

协调列

当新记录出现在 synchro_data_xxx 表中时，同步机制将尝试将此记录与现有 iTop 对象关联。如果一个或多个属性在"协调？“列中标记为"是”，则这些列/属性将用于搜索匹配所有这些值的 iTop 对象。如果找到一个对象，它将成为与此记录关联。如果未找到对象，则将创建新的 iTop 对象。

更新列

更新列定义是否必须更新属性。

选中 = 是：属性将被设置/更新
未选中 = 否：此属性的外部源信息将被忽略，iTop 对象上的现有值将保持原样
Null => 保持现有 iTop 字段值不变
空字符串 => 重置 iTop 对象字段

您必须使用自己的填充机制将 Null 值加载到 synchro_data_xxx 表中，因为 synchro_import.php 无法做到这一点。

更新策略列

更新策略列定义编辑 iTop 对象时更新属性的行为。可能的值：

锁定：属性将完全由数据同步驱动，在 iTop 用户界面中显示为只读（旁边有一个小锁图标）
解锁：属性将由同步更新（每当源数据更改时），但最终用户仍可以在 iTop 中并行修改该属性
为空时初始化：同步仅当 iTop 中该属性的值为空时才设置值。该属性在 iTop 中保持可修改。

协调键列

最后，协调键列定义如何处理引用另一个 iTop 对象的属性（即外键）。提供的数据可以包含外键的实际值（id）或另一个属性，例如对象的名称；该属性必须唯一标识对象。

状态

“状态"选项卡显示有关同步执行的信息。如果同步从未运行，该选项卡显示以下消息：

This synchro was never run. No log yet.

否则，该选项卡显示类似于下图的架构：

同步历史

在屏幕左侧，每次同步执行都显示在历史列表中，显示整体状态、执行的开始日期和时间。

点击此列表中的元素以在右侧两列中显示相应的状态详情。

左列显示 synchro_data_xxxx 表中记录的状态：

新记录是自上次执行同步以来添加到表中的记录
现有记录是在上次同步之前存在并且自上次同步以来已再次加载的记录
消失记录是自超过 full_load_interval 持续时间以来未被加载的记录
忽略记录对应于 iTop 中不再存在的对象

右列显示同步的后果，即对 iTop 中关联对象的修改：

对于每个新记录，后果可以是：在 iTop 中创建新对象（已创建）、更新 iTop 中已存在的对象（已更新）、与 iTop 中已是最新的对象简单关联（未更改），或尝试在 iTop 中创建或更新对象时出错（最可能是因为数据不一致）。
对于每个现有记录，后果可以是：更新关联对象（已更新）、完全没有更改（未更改），或尝试更新关联对象时出错（错误）。
对于每个消失记录，后果（取决于"删除规则”）可以是：iTop 中的关联对象已删除（已删除）、iTop 中的关联对象已更新（已更新）、iTop 中的关联对象保持不变（无操作），或尝试在 iTop 中更新或删除关联对象时出错（错误）。

副本

在 iTop 中，副本用于存储状态信息以及 synchro_data_xxx 表中加载的原始数据与关联 iTop 对象之间的关系。

可以通过点击状态选项卡顶部的链接来显示给定数据同步源的副本。副本显示如下：

副本的内容对于理解数据同步机制的行为（以及获取有关错误的更多信息）很有用，但其数据由同步维护，不应手动修改。

副本字段	目的
同步数据源	此副本所属的同步数据源
目标对象（ID）	与此副本对应的 iTop 对象 id。当副本是新的并且由于错误而无法同步时，可以为空
目标类型	同步数据源的目标类，也是目标对象的类
状态	副本的状态：已修改、新建、过时、孤立、已同步
最后看到	该副本在源数据中上次看到的时间（相同的 primary_key）
对象已创建？	数据同步是否创建了 iTop 对象？
最后错误	错误
警告	发生某些非阻塞错误时的警告消息
创建日期	同步数据创建 iTop 对象的时间
最后修改日期	源上次修改该副本的时间

副本状态	含义
新建	新收到的副本。syncho_exec.php 发生之前的临时状态，用于创建 iTop 对象
已修改	修改的副本。syncho_exec.php 发生之前的临时状态，用于更新 iTop 对象
已同步	副本和 iTop 对象已对齐
过时	数据不再在源中，iTop 对象未被删除，否则副本也会被删除
孤立	这不应发生。在这种情况下，同步的 iTop 对象已消失，但未同时删除副本。此类副本可以安全地手动删除

使用 MySQL 语句填充 synchro_data_xxxx 表

如果您使用 SQL 命令（通过 ETL 或自制脚本）填充 synchro_data_xxx 表，您必须注意永远不要创建重复记录。请记住，synchro_data_xxx 表中的每条记录恰好对应 iTop 中的一个对象。

为了避免此类重复，您必须首先查询现有记录，然后再将新记录插入表中。为了加速此查询，您可以构造一个唯一标识"源"对象的值，并将此值存储在表的 “primary_key” 列中（该列具有唯一索引），或者使用记录列的任何组合并更改 synchro_data_xxxx 表的定义以添加您自己的索引。

然后通过执行页面 “synchro/synchro_exec.php” 来触发 iTop 对象与临时表副本之间的数据同步执行，可以在命令行模式下，或通过调用网页（例如使用 wget）。

使用 synchro_import 填充 synchro_data_xxxx 表

请参阅：synchro_import.php

如何指定相关对象列表（链接集）

某些类具有称为链接集的属性。例如：UserLocal.profile_list

您可以通过在相应列中写入所有信息来同步这些列表：

以下示例指定登录将具有一个配置文件：‘Portal User’

INSERT login, profile_list INTO data_synchro_userlocal_1 VALUES ('johndoe', 'profileid->name:Portal User;reason:Customer')...;

您还可以指定多个链接（多个配置文件）。

有关更多信息，请参阅导入链接集。

故障排除

数据同步故障排除

原文：https://www.itophub.io/wiki/page?id=3_2_0:advancedtopics:data_synchronization

版本：3_2_0/advancedtopics/data_synchronization.txt · Last modified: 2024/10/28 12:21 by 127.0.0.1

Docs: 通知

Fri, 27 Jun 2025 00:00:00 +0000

iTop 集成了与对象生命周期关联的通知系统。这允许管理员在给定类的对象进入或离开指定状态、创建新对象、从门户更新对象或达到某些阈值时定义邮件通知规则。

通知机制分为两部分：

触发器定义何时必须发送通知。例如：当工单达到"已分配"状态时。
操作定义将做什么。可用的操作包括：发送邮件、发送内部新闻、激活 Webhook。

对于给定的触发器，可以定义多个要执行的操作及其顺序。此外，一个操作可以由多个触发器执行。

管理通知

使用"管理工具"菜单中的"通知"链接来管理触发器和操作：

触发器选项卡显示所有已创建的触发器，并允许创建新触发器。
邮件操作选项卡显示邮件通知、请求审批邮件通知（由扩展 Approval process automation 引入）、未认证表单邮件通知（由扩展 Follow-up forms 引入）、纯文本邮件通知（由扩展 Plain text emails 引入）。
Webhook 操作选项卡显示通用 Webhook 通知、iTop REST API 通知、Slack 通知、Rocket.Chat 通知、Google Chat 通知、Microsoft Teams 通知。
其他操作选项卡显示新闻中心通知、日历邀请通知（由扩展 Calendar invitations 引入）、SMS 通知（由扩展 Sms Notifications 引入）。

创建邮件通知

在创建有用的触发器之前，必须至少定义一个操作。邮件操作是格式化要发送消息的模板，定义消息的内容以及主题、发件人和收件人。

要创建新操作，请转到"操作"选项卡并点击"新建…"。

邮件操作的必填字段：

名称：此操作的标识符，以便检索它。
主题：消息的主题。可以使用占位符动态构建，如下所述。
正文：消息的正文。可以使用占位符动态构建。默认情况下，iTop 以 MIME 类型 text/html 发送所有邮件正文。
发件人（邮箱）：静态邮箱地址或占位符，如 $this->agent_id->email$ 。请注意，某些邮件服务器会在"发件人"地址无效时拒绝消息。
发件人（标签）：静态标签或占位符，如 $this->agent_id->friendlyname$ 。

必须至少指定以下 3 个用于邮件收件人的字段之一：收件人（To）、抄送（Cc） 或 密送（Bcc）。

其他字段：

描述：用于标识邮件操作目的的自由文本。不随邮件发送。
状态：
- 生产中：邮件发送给通过 To、Cc 和 Bcc 检索到的人员
- 测试中：邮件发送给测试收件人邮箱地址
- 非活跃：不发送邮件
语言：用于生成邮件中插入的占位符的语言。这主要影响枚举的标签（如工单状态）以及日期和时间格式。
HTML 模板：包含 HTML 模板的文件，用于将邮件包装在漂亮的格式中。上传的 HTML 文件可以包含所有常用占位符，以及一个特定的 $content$ 占位符，指示 Body 内容应插入的区域。
测试收件人：当状态为测试中时，用于替代 To、Cc 和 Bcc 的邮箱地址
回复至（邮箱）：静态邮箱地址或占位符，如 $this->team_id->email$ 。这是邮件消息的标准属性。当用户在邮件客户端中执行"回复"时，邮件工具会自动将其用作地址。如果省略，则使用发件人地址。
回复至（标签）：静态标签或占位符，如 $this->team_id->friendlyname$ 。这是邮件消息的标准属性。当用户在邮件客户端中执行"回复"时，邮件工具会自动将其用作标签。如果省略，则使用发件人标签。
忽略通知标志：是否在确定要通知的联系人列表时考虑联系人上的"通知"标志。当此字段设置为"是"时，要通知的联系人列表完全由 OQL 表达式指定。如果设置为"否"，则会自动向 OQL 表达式添加条件，以排除"通知标志"设置为"否"的联系人。

定义收件人

“收件人”、“抄送"和"密送"中要通知的联系人由 OQL 查询定义。这允许指定多个通知收件人，例如"附加到工单的所有联系人"或"受影响站点上的所有联系人”。

使用预定义查询

定义谁将接收这些通知的最简单方法是使用放大镜图标检索查询并选择适当的查询。

它会将相应的 OQL 复制到字段中。您可以为每个字段选择不同的预定义查询：

场景	OQL 示例
收件人（To）中填入工单报告人	`SELECT Person WHERE id = :this->caller_id`
抄送（Cc）中填入关联到工单的联系人	`SELECT Contact JOIN lnkContactToTicket AS L ON L.contact_id = Contact.id WHERE L.ticket_id = :this->id`
密送（Bcc）中填入工单分配到的团队成员	`SELECT Person AS P JOIN lnkPersonToTeam AS L ON L.person_id=P.id WHERE L.team_id = :this->team_id`

可以根据需要修改查询。

编写自己的查询

您可以从头开始编写自己的查询并进行测试：有关编写 OQL 查询的更多信息，请参阅 OQL 文档。

此 OQL 查询必须返回包含单个邮箱属性的对象列表，即：

Contact
Person
Team

例如，要通知所有姓名以 John 开头的人员，收件人字段可以包含：

SELECT Person WHERE name LIKE 'John%'

要通知所有附加到工单所影响 CI 的人员，使用：

SELECT Person AS P
 JOIN lnkContactToFunctionalCI AS L1 ON L1.contact_id = P.id
 JOIN FunctionalCI AS CI ON L1.functionalci_id = CI.id
 JOIN lnkFunctionalCIToTicket AS L2 ON L2.functionalci_id = CI.id
 WHERE L2.ticket_id = :this->id

自 iTop 3.1.0 起，可以通过将该操作的"忽略通知标志"字段设置为"否"来实现相同的结果。

使用占位符

查询可以包含引用以下内容的占位符：

正在发送通知的当前对象。语法为 :this->attribute。
在事件起源处执行操作的当前联系人。语法为 :current_contact->attribute。

例如，仅当代理没有自己触发事件时才向他发送通知，收件人字段将包含：

SELECT Person WHERE id = :this->agent_id AND id != :current_contact->id

此语法也适用：:current_contact_id，等同于 :current_contact->id。

消息内容和占位符

消息正文使用所见即所得的 HTML 编辑器编辑。

自 iTop 3.1.0 起，您还可以上传自己的 HTML 模板用于邮件。HTML 模板和正文字段可以通过在 HTML 模板中插入 $content$ 占位符来组合。正文字段的内容将替换 $content$ 占位符。

“主题"和"正文"部分可以通过使用占位符动态构建。此类占位符的语法为 $xxxx$ 。

占位符使用位置	语法差异	示例
收件人查询（TO、CC、BCC…）	在 OQL 中，占位符以冒号开头	例如 `:current_contact->friendlyname`
消息部分（主题、正文）	在 HTML 文本中，占位符以 $ 开头和结尾	例如 $current_contact->friendlyname$

占位符有几种类型：

$CONSTANT$ 指命名常量的固定值。
$this->function()$ 指在当前触发操作的对象上下文中执行的内置函数。
$this->attribute$ 指触发操作的对象的字段属性。
$this->attribute_external_key->attribute$ 指由 attribute_external_key 指向的对象的字段属性，而 attribute_external_key 本身是触发操作的对象的字段。
$this->representation(attribute)$ 指触发操作的对象的字段属性的内置表示。例如： $this->html(name)$ 。
特定的 $content$ 占位符只能在 HTML 模板内使用，以指示在生成邮件时 Body 应插入的位置。

有关这些各种占位符类型的详细信息，请查看占位符文档。

测试通知

要测试新操作，可以使用状态"测试中"并用测试地址填写"测试收件人”。在这种情况下，通知将发送到此测试地址。测试完成后，将状态更改为"生产中"，使通知流向实际收件人。

如果要停用某个操作，只需将其状态设置为"非活跃"。

配置通知 CSS

iTop 配置中有一个变量 email_css，允许重载邮件通知使用的默认 CSS。

创建新闻通知

负责配置 iTop 通知的用户可以创建新的"新闻中心通知"操作，这与"邮件通知"非常相似：

字段差异

标题：文本信息。这是用户将看到的主要信息。使用与邮件标题相同的逻辑是有意义的。
描述：不是 HTML，而是使用 Markdown 格式，因此使用返回文本值的占位符。
优先级：定义新闻向用户显示的顺序，以及用于区分它们的有色圆点。
图标：如果未设置，则自动使用触发该新闻的类的图标。
此类操作触发时，会为每个用户生成一个通知（而邮件操作生成单个邮件通知）。

收件人

收件人：必须是返回 Person 对象的 OQL 查询。
可以使用 OQL 占位符，如 :this->caller_id。
尽管 Person 存在于 iTop 中，但如果该 Person 未链接到任何活动用户，则不会生成新闻。
如果此活动用户无权访问 iTop 后台，则无法看到新闻。

一个 Person 对应多个用户

如果一个 Person 链接到多个用户：

所有用户都会看到新闻并可以管理它们，但新闻属于该 Person，因此如果一个用户将其标记为已读，则对其他用户也是已读；如果一个用户删除新闻，则对该 Person 的所有用户都删除。
订阅和取消订阅频道可以由任何用户执行，但这适用于链接到该 Person 的所有用户。

测试模式

在测试模式下，新闻是为在测试收件人中选择的 Person 生成的，无论其是否有关联用户。因此，如果忘记为该 Person 创建用户，可以在之后创建，新闻仍然会存在。

创建触发器

要创建新触发器，请在"触发器"选项卡中给定类别的操作下拉列表中点击"新建"。

必须选择要创建的触发器类型：

当对象进入给定状态时 = 触发器（进入状态时）
当对象离开给定状态时 = 触发器（离开状态时）
当创建新对象时 = 触发器（对象创建时）
当删除对象时 = 触发器（对象删除时）
当在日志中提及对象时 = 触发器（对象提及时）
当修改对象时 = 触发器（对象更新时）
当下载附件时 = 触发器（对象附件下载时）
当下载文档时 = 触发器（对象文档下载时）
当达到解决时间（TTR）或拥有时间（TTO）的给定阈值时 = 触发器（阈值时）
当工单需要审批时 = 触发器（请求审批时）（由扩展 Approval process automation 引入）
当在控制台中更新日志时 = 触发器（日志更新时）（由扩展 Email Reply 引入）
当通过邮件更新日志时 = 触发器（通过邮件更新时）（由扩展 Ticket Creation from eMails 引入）
当从 iTop 门户更新对象时 = 触发器（从门户更新时）

更多触发器可以由其他扩展添加。例如：Notify On Expiration & Send updates by email。

通用字段

任何类型的触发器都需要指定三个参数：

描述：留给您进一步标识此触发器的目的。
目标类：定义此触发器适用的对象类。
过滤器：限制触发器适用的对象。它是一个 OQL 查询，返回所有将激活触发器的对象。留空表示：目标类的所有对象。

过滤器

OQL 过滤器不应引用当前对象，这是无用且无效的。执行 OQL 时，iTop 将检查当前对象是否属于范围。

示例：由请求人提交的 User Request，其本身属于负责交付该服务子类别工单团队的成员（注意：这是一个非标准数据模型，但有意义！）

SELECT UserRequest AS u
 JOIN ServiceSubcategory AS s ON u.servicesubcategory_id = s.id
 JOIN Team AS t ON s.delivery_team_id = t.id
 JOIN lnkPersonToTeam AS lnk ON lnk.team_id = t.id
 WHERE lnk.person_id = :this->caller_id

无需对当前对象添加任何条件。

上下文

上下文允许您指定触发器应在哪些上下文中激活。

警告：某些上下文在触发器上不可用（无法指定特定的数据同步或特定的 CRON 任务）
旧版本扩展带来的触发器不会提供上下文。
对于阈值触发器，上下文是 CRON，所以如果定义了上下文，请确保包含它。
对于 Email Reply，上下文按扩展设计仅限于 Console。
对于其他如"Notify on Expiration"，上下文按扩展设计是 CRON。

订阅策略

触发器可以定义用户是否允许从所有通信渠道取消订阅、保留至少一个或不允许取消订阅。
例如"On Mention"触发器通常不应允许完全取消订阅，因为用户会不理解为什么提及从未到达其目标。

触发的操作

“触发的操作"选项卡定义当此触发器触发时将执行哪些操作。请记住，一个操作可以链接到多个触发器，因此可以重用某些操作。
“顺序"字段确定给定触发器的操作执行顺序（操作按升序启动）。

对象更新触发器

此触发器允许指定目标字段。不指定任何字段意味着任何字段更改都会触发触发器。否则，至少有一个指定的字段需要更改才能激活触发器。

进入/离开状态触发器

这两个触发器都需要状态。要输入的"状态"值是数据模型中定义的状态的内部代码。状态代码可以在"数据模型"的"生命周期"选项卡"转换"部分查看。值代码是括号中列出的值。

阈值触发器

此触发器需要一个秒表和一个阈值。秒表的期望值是一个属性代码。User Request 和 Incident 工单带有两个秒表：tto 和 ttr。阈值是秒表目标的百分比。使用标准数据模型时，可以使用 75 或 100。

日志更新时触发器

此触发器需要在类上指定日志代码属性。然后，仅当配置了触发器和活动操作时，它会在控制台中编辑该日志时添加一个复选框，允许用户手动禁用通知（如果他们愿意）。

对象提及时触发器

此触发器需要指定提及过滤器，这是一个 OQL 查询，指定可以在特定目标类对象上提及的对象（通常是 Person）。此查询可以使用占位符根据目标类对象的属性限制返回的 Person。

行为

设置此类触发器后，当编辑日志时，如果用户输入特殊字符（Person 默认为 @，在配置文件中定义）后跟几个字符，则 iTop 会搜索匹配输入字符的 Person。返回的 Person 可以由现有的触发器（对象提及时）限制。

触发器必须适用于当前对象类，因此目标类是编辑对象的父类或类本身。
提及过滤器必须返回 Person（或 Contact 或任何类）
当有多个适用的触发器（对象提及时）时，iTop 会执行各种提及过滤器的并集
返回的 Person 数量受配置参数 max_autocomplete_results 限制
即使未链接到活动邮件通知，适用的触发器也会被考虑用于过滤 Person

使用此机制，如果您将 iTop 用作服务提供商，可以避免在属于另一个不相关客户的工单上提及客户联系人。

当然，相同的行为适用于 Person 以外的其他类，如果配置文件提及其他允许类及其自己的特殊字符。

配置

此触发器有特殊的自动配置：

// mentions.allowed_classes: 可以通过日志中的自动完成提及的类。
// 数组的键必须是触发自动完成的单个字符，
// 值必须是 DM 类（例如 "@" => "Person", "?" => "FAQ"）
'mentions.allowed_classes' => array('@' => 'Person'),

在 iTop Setup 过程中，对于每个具有案例日志的类，会自动为此类创建一个触发器（对象提及时）作为目标类。

触发器的范围不受限制。我们认为在该类的日志中提及某人的功能适用于所有对象，但这可以更改。
提及过滤器设置为检索当前用户组织的任何活动人员。如果目标类有 org_id 字段，则当前对象的组织的任何活动人员也会被提议。

SELECT Person WHERE ((`status` = 'active')
AND ((`org_id` = :current_contact->org_id) OR (`org_id` = :this->org_id)))

每个触发器都链接到一个创建的邮件通知：

发件人：提及该 Person 的人员的邮箱，即当前用户
收件人：被提及的 Person，可以通过以下方式获取：SELECT Contact WHERE id = :mentioned->id
主题：“You have been mentioned in XXXX”，XXXX 是在其日志中提及您的对象的名称
邮件正文：

Hello $mentioned->first_name$,
You have been mentioned by $current_contact->friendlyname$ in $this->hyperlink()$

注意占位符 $mentioned->attribute$ 用于从收件人 Person 获取字段。对于任何消息，您可以使用标准占位符（见下文）。

当然可以自定义主题和正文，但不建议更改收件人！

您还可以将此通用通知拆分，为使用它的每个触发器创建一个，以便提供更准确的修改信息，例如最后一个案例日志条目。

文档下载时触发器

当有人在后台或最终用户门户中下载文件属性（例如 Document File 类上的 File）时，触发器（对象文档下载时）被激活。

此触发器在操作中提供了新的占位符（标准占位符仍然可用）：

$file->mime_type$ ：文件的 MIME 类型（例如 “image/png”）
$file->file_name$ ：文件名，按上传时的名称。
$file->downloads_count$ ：文件被下载的次数。注意这是当前下载之前的计数，因此如果超过阈值，可以挂钩一些检查来阻止它。
$file->data$ ：文件的二进制内容
$file->data_as_base64$ ：文件的 Base64 编码内容，对于与其他应用集成很有用

附件下载时触发器

当有人在后台或最终用户门户中下载附件时，触发器（对象附件下载时）被激活。

此触发器在操作中提供了新的占位符（标准占位符仍然可用）：

$attachment->xxx$ ：与 $this->xxx$ 相同的可能性，但针对附件本身（$this 是附件所附加到的对象）
$attachment->mime_type$ ：文件的 MIME 类型（例如 “image/png”）
$attachment->file_name$ ：文件名，按上传时的名称。
$attachment->downloads_count$ ：文件被下载的次数。注意这是当前下载之前的计数，因此如果超过阈值，可以挂钩一些检查来阻止它。
$attachment->data$ ：文件的二进制内容
$attachment->data_as_base64$ ：文件的 Base64 编码内容，对于与其他应用集成很有用

测试触发器

您可以在给定工单（User Request、Incident、Change）的详情中的"通知"选项卡中查看已发送的通知。

邮件发送配置

通知与应用响应性

发送邮件是一个相对较慢的操作。根据您的邮件服务器，发送一封邮件可能需要几秒钟（建立连接、发送数据等…）。当在 iTop 中创建或更新工单时，根据配置的通知，可能会发出多封邮件。这可能需要几秒钟才能完成。为了提高应用的响应性，通知可以由在 Web 服务器上运行的后台进程异步发送。要激活通知的异步发送，请在配置文件中设置 'email_asynchronous' => true，并确保后台进程正在运行。

通知与对象

在触发了通知的 iTop 对象上，您可以在专用选项卡中查看它们。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:notifications

版本：3_2_0/admin/notifications.txt · Last modified: 2026/03/10 13:16 by 127.0.0.1

Docs: 数据库完整性

Fri, 27 Jun 2025 00:00:00 +0000

此菜单提供一些简单的数据库完整性检查。

数据库不一致

提供多种显示模式：

错误列表：仅显示数据库不一致项
详细视图：生成 ID 列表以便生成 SQL SELECT
报告：生成所有不一致项并允许用户将结果下载为 zip 文件

丢失附件

您可以在此处搜索数据库中丢失或放错位置的附件。这不是数据恢复工具，它不会检索已删除的数据。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:database-tools

Last modified: 2024/09/10 10:25 by127.0.0.1

版本：3_2_0/admin/database-tools.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 数据备份

Fri, 27 Jun 2025 00:00:00 +0000

在 iTop 中，所有数据（包括上传的文档）都存储在 MySQL 数据库中。因此，强烈建议定期备份数据库！

iTop 备份包含什么？

备份是一个 zip 文件，包含恢复应用所需的所有数据：

配置（即配置文件 itop-config.php）
数据（即 MySQL 数据库的完整转储）
.xml delta 文件 — 适用于使用 ITSM Designer 自定义实例的 Combodo 客户
从 iTop Hub 和 ITSM Designer 部署的扩展模块

注意：

如果在运行备份后安装了新模块，恢复备份等同于卸载这些模块。
- 对于通过 iTop Hub 安装的模块，请从 Hub 重新推送它们。
- 对于通过 ITSM Designer 安装的模块，请连接到 ITSM Designer 并再次运行 Move To Production。
- 对于通过 “extensions” 文件夹安装的模块，如果希望将模块重新安装到 iTop 中，请再次运行 setup。
如果自备份以来升级了 iTop 或添加了新模块，请注意恢复可能会导致数据库与代码库不一致。恢复后，iTop 可能无法工作。建议运行 Setup 以将数据库与 iTop 数据模型对齐（由新 iTop 版本或最近添加的扩展带来的）。

限制

备份需要 PHP 的 exec 函数可用。对于超过 68 GB 的大型数据库，建议直接使用 mysqldump 进行备份。

GUI 备份

自 iTop 2.1.0 起，管理员可以使用特殊的"备份"菜单：

此管理页面提醒您当前设置，并列出备份文件：

“计划备份"指由后台任务生成的备份。更多详细信息请参阅下面的专用章节。

点击"立即备份！“按钮执行备份（无需确认）：

备份后台任务

配置

可以在 iTop 配置文件的 itop-backup 部分中调整自动备份方案：

参数	类型	描述	默认值
mysql_bindir	string	如果不在 “path” 中，MySQL 二进制文件的目录。用于计划备份和 REST 服务的默认值
week_days	string	必须执行自动备份的星期几（小写）CSV 列表	monday, tuesday, wednesday, thursday, friday
time	string	必须执行自动备份的 24 小时制时间	23:30
retention_count	int	目标目录中保留的备份文件数量	5
enabled	bool	打开/关闭自动备份	true
file_name_format	string	备份名称（zip），仅用于计划备份。支持以下占位符：HOST、DB、SUBNAME。可以基于 PHP/strftime 规范提供时间信息	DB-%Y-%m-%d_%H_%M
itop_backup_incident	string	iTop 的 URL。如果备份失败，则在此 iTop 中创建工单。（此参数在 2.5.2+ 中称为 itop_root）	如果为空或没有参数，则使用当前 iTop APP_ROOT
extra_files	array	（自 3.1 / bug N°6133 起）要通过 CLI 脚本备份/恢复的附加文件/文件夹路径列表	如果为空，备份归档包含常用文件（conf/dump/…）

备份概览页面不会告知您备份是否完全禁用。

CLI 脚本

CLI 备份

您可以使用以下命令生成备份：

php datamodels/2.x/itop-backup/backup.php --auth_user=<LOGIN> --auth_pwd=<PASSWORD>

CLI 备份配置文件（推荐）

可以将 param_file 作为参数传递给 backup.php 脚本。例如：

php datamodels/2.x/itop-backup/backup.php --param_file=<此文件>[,<另一个文件>]

示例参数文件与模块捆绑在一起：datamodels/2.x/itop-backup/backup.params.distrib

所有这些参数都可以在命令中或 param_file 中传递。如果未指定 mysql_bindir 参数（无论是在命令行还是在 param_file 中），则将使用 iTop 配置文件参数。

CLI 检查备份脚本

此脚本也与模块捆绑在一起：datamodels/2.x/itop-backup/check-backup.php。

这是一个监控工具，必须在 backup.php 之后执行。

它将：

验证生成的备份文件是否按文件名规范存在
旨在检测文件大小的可疑变化
如果存在 itop_backup_incident 和 check_ticket_* 参数，则备份失败时会在本地或远程 iTop 实例上创建工单

CLI 恢复

您可以使用以下命令恢复备份：

php datamodels/2.x/itop-backup/restore.php --auth_user=<LOGIN> --auth_pwd=<PASSWORD> --backup_file=<PATHTOBACKUP>

恢复操作不会恢复文件权限。您可能需要对以下文件执行 chown（www-data）操作：

conf/production/config.itop.php
data/production.delta.xml
data/cache-production
data/production-modules

如果数据模型使用可逆加密的密码字段，请确保新系统和旧系统使用相同的加密算法：如果旧系统上存在 mcrypt PHP 扩展，则新系统上也必须存在 mcrypt 扩展。如果 mcrypt 不存在，则也不应存在。

注意：用户账号密码使用单向加密，不受 mcrypt 存在的影响。

手动备份（使用 mysqldump）

与以前版本的 iTop 一样，您仍然可以使用 MySQL 附带的 mysqldump 命令行工具创建自己的备份。

您可以使用以下 mysqldump 命令运行数据库的完整备份：

在 Linux 系统上：

/usr/bin/mysqldump --opt --default-character-set=utf8mb4 --single-transaction --add-drop-database --user=<user> --password=<password> <DB> | gzip < <file>

在 Windows 系统上：

mysqldump.exe --opt --default-character-set=utf8mb4 --single-transaction --add-drop-database --user=<user> --password=<password> <DB> > <file>

其中：

<user>：连接 MySQL 的用户名
<password>：对应的密码
<DB>：安装 iTop 的数据库名称
<file>：要生成的归档文件的名称

数据库内容转储后，只需归档此转储和文件 conf/production/config-itop.php，即可保留 iTop 实例的完整映像。

确保以 UTF-8 MB4（--default-character-set=utf8mb4）导出数据，否则重音字符将丢失。
选项 --single-transaction 有两个效果：它生成一致的备份，因为所有表都在一个事务中导出，并且它为错误 1449（定义者不存在）提供了解决方法，如果您导出已从另一个系统重新导入或已由不再存在的用户创建的数据库，则可能会发生此错误。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:backup

版本：3_2_0/admin/backup.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 应用升级

Fri, 27 Jun 2025 00:00:00 +0000

此操作仅限 iTop 管理员，允许从 Web 浏览器升级 iTop 应用代码，无需连接到 iTop 服务器。

补丁

Combodo 提供补丁包，只能使用此新功能安装。
补丁不包含完整的 iTop 包，而仅包含自上一个 iTop 版本（主要或次要）以来更改的文件。
补丁是一种配方，用于将一个 iTop 版本（源）修改为另一个 iTop 版本（微版本）。补丁的 iTop 源版本可以是主要或次要版本。该源版本是您的 iTop 必须运行的最低版本，才能安装该补丁。安装补丁时，如果补丁不适用于您的 iTop，则会显示错误消息。它不会破坏您的 iTop。
补丁旨在将您的 iTop 升级到特定的微版本。例如，假设 2.7.0-2 是一个微版本：如果您的 iTop 运行 2.7.0，则可以使用补丁包 Patch-iTop-2.7.0-2.7.0-2.zip 将其升级到 2.7.0-2。如果您的 iTop 已经运行 2.7.0-1，没问题，可以使用相同的补丁包升级到 2.7.0-2。

因为它从用户 PC 上传包到服务器，所以 Web 服务器必须允许上传此大小的文件。补丁包比完整包小得多：

iTop 2.7.0 大约 20Mb
iTop 2.7.0-1 的补丁大约 200Kb

限制

应用升级工具不会添加/删除模块/扩展，因此它不能正确安装主要 iTop 升级。如果误操作，只需运行 Setup 即可恢复情况。但通常，Web 服务器参数 upload_max_filesize 不够大，无法上传完整的 iTop 包。

使用

点击菜单系统 / 应用升级

页面将：

执行一些检查
允许您上传文件，其内容将被检查
允许您选择备份选项并执行升级

打开页面时的检查：

Web 用户（您的 Web 服务器使用的用户）必须是所有者，或者必须对 iTop 根目录下的每个文件和目录（包括 iTop 根目录本身）具有写入访问权限。
它控制 upload_max_filesize（2 个变量）
它显示磁盘上的可用空间。

提供 zip 后的检查：

提供 zip 后，它会在临时目录中解压包并控制：

它是一个 zip
zip 对应于已安装的产品（Community、Professional…）
zip 符合清单，因此所有存在的文件都具有预期的大小和校验和，与离开 Combodo 工厂时一样
zip 可以对应于补丁或完整包

然后：

将 iTop 置于维护模式（停止 cron 并防止用户修改数据）
执行所需的备份
从解压的包中复制 iTop 文件
编译 iTop（生成 env-prod 并更新数据库），与从 iTop Hub 安装或从 ITSM Designer 执行 Move to Production 的行为相同

如果这还不够，您将不得不手动执行安装过程，无论是新版本还是旧版本，如果您有无法修复的 XML 不兼容性。

常见问题

问：我的 iTop 保持只读？

**答：**如果升级过程在中间崩溃，可能需要手动删除 <itop>/data/.readonly 和 <itop>/data/.maintenance 文件。成功的 Setup 会在失败的应用升级后自动删除这些文件。

问：我的升级失败但没有错误消息？

**答：**检查 Web 服务器日志以了解原因。我们注意到，在执行备份时，当参数 max_execution_time 太低时，应用更新可能会失败。由于 iTop 被终止，无法显示任何错误消息。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:core-update

版本：3_2_0/admin/core-update.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 新闻中心

Fri, 27 Jun 2025 00:00:00 +0000

新闻中心是 iTop 向当前用户显示新闻的地方。这些新闻可能来自各种新闻提供者。

从一开始，iTop Hub 就是一个新闻提供者，向 iTop 管理员发送新闻。
一些扩展提供者（如 Molkobain）也有自己的新闻提供者，当他的某个扩展部署在该 iTop 上时，向 iTop 管理员发送新闻。
自 iTop 3.2.0 起，iTop 本身现在是一个新闻提供者，可以使用触发器-动作机制向 任何后台用户发送新闻。

从用户的角度来看，新闻只是获取有关 iTop 中发生事件的信息的另一种方式。对于整天在 iTop 后台工作的某些用户来说，新闻可以替代电子邮件。

铃铛与新闻

新闻可以从左侧菜单栏底部显示的铃铛访问。

当有未读新闻时，铃铛上会显示红色圆点。
鼠标悬停在铃铛上时，会显示一个工具提示，显示新闻中心中"未读"新闻的数量（如果超过 99 条未读消息，则显示 “99”）。
红色圆点和消息数量仅在用户在 iTop 中导航或重新加载当前页面时更新。
点击此图标会显示一个弹出菜单，其中包含消息。每条消息由一个图标和简短描述组成，实际上是指向更多信息的链接。
点击其中一条消息会在新标签页/窗口中打开消息的链接，并将消息标记为已读，从而从新闻中心菜单中移除它。

管理员

iTop 社区管理员将收到来自 2 个不同新闻发布者的新闻。每条消息右侧图标下方的标签提供了消息的来源（iTop Hub、iTop 或其他新闻发布者）。

查看所有消息

已读、未读、查看、删除

点击铃铛，可以选择查看所有消息，这会打开一个用户专用页面。
如果您收到来自不同提供者的新闻（只有 iTop 管理员处于这种情况），则点击新闻提供者名称以查看来自该特定提供者的所有消息。

在该页面上，您可以：

删除收到的新闻
将新闻标记为未读，以便保持该状态，因为我们仍然需要回复或处理它
将新闻标记为已读
在新的浏览器标签页中打开新闻

批量管理

此外，通过更改"选择模式"，用户可以批量执行所有这些操作。

取消订阅通知

当用户由于 iTop 中的特定类型事件（iTop 术语中的触发器）而收到新闻和/或邮件时，如果管理员允许此类操作，他现在可以决定取消订阅此类通知。

可以配置特定触发器以向同一组人发送邮件和新闻。
每个收件人一旦收到至少一条通知，就可以决定取消订阅特定渠道，例如不再接收邮件，但保留新闻。
如果触发器设置允许，他们甚至可以完全取消订阅，删除所有渠道。

有 2 个路径可以打开此通知中心页面，要么通过"我的新闻"页面中的右上角图标，要么从用户偏好设置页面中，点击链接。

最终到达用户专用页面，他们可以在其中管理其通知订阅：

在渠道移除和订阅时提供反馈
在渠道移除时，当触发器不允许时，会显示通用消息，不太容易与真正原因关联
配置触发器和操作的人员可以限制用户取消订阅的可能性：对于 On Mention 触发器，我们通常希望拒绝用户从所有渠道取消订阅，他们必须至少保留一个，因此我们确保他们被通知。在某些操作（如 iCalendar 邀请、未认证表单…）上，根本不允许用户取消订阅。
用户只能取消订阅他们已经收到至少一条通知事件的操作。
用户只能取消订阅直接发送到其联系人 Person 的操作（链接到其用户），例如邮件和新闻，而不是 Rocket、Teams 等此类通知渠道。

配置新闻

负责配置 iTop 通知的用户可以创建新的"新闻中心通知"操作，这与"邮件通知"非常相似：

更多详细信息请参阅通知文档。

发送的通知

当对象在创建或修改期间生成了通知时，它们会在对象详情的专用选项卡中可见（与以前一样）。这些通知按通知类型分组，标签对齐以便更易于理解。

新闻管理

新闻清理

有一个后台任务会删除超过配置参数 notifications.itop.read_notification_retention 的已读新闻。默认值为 182 天。未读新闻永远不会被自动删除。

禁用新闻

管理员可以通过在 iTop 配置文件中将配置参数 newsroom_enabled 设置为 false，为所有用户禁用整个新闻中心机制，这将导致：

对所有用户隐藏铃铛
不会阻止 iTop 创建，如果配置了"新闻中心通知"来生成新闻，但它们对用户来说变得非常难以看到。
停止所有其他新闻中心提供者从其相应的新闻发布者（iTop Hub、扩展发布者如 TeemIp 或 Molkobain 等）获取新闻。

其他配置

notifications.itop.newsroom_cache_time：新闻中心铃铛后面通知消息列表两次刷新之间的持续时间（分钟）。默认值为 5 分钟。
- 如果用户已阅读所有新闻，则刚刚创建的新闻将在不到此延迟的时间内通过在其铃铛上添加红色圆点而对他们可见。
- 如果用户按下铃铛，缓存会立即清除，因此他们获得其消息的准确当前情况。
notifications.itop.send_asynchronously：如果为 true，则 iTop 新闻中心通知将异步发送，除非在特定"新闻中心通知"对象上设置了不同的值。

用户偏好设置

用户偏好设置屏幕有一个部分供用户配置与新闻中心相关的一些参数：

已知问题：虽然消息数量似乎可以由每个用户在其"偏好设置"页面中配置，但此设置不会保存。
每个新闻源可以在同一用户"偏好设置"页面中启用或禁用。社区版本有两个新闻源：iTop Hub、iTop News。但无法一次禁用所有 iTop 发布的新闻，我们已将"显示来自 iTop 的消息"选项灰显。如果用户可以在 On Mention 触发器上将新闻中心选为唯一渠道时禁用来自 iTop 的所有消息，这将违背强制渠道始终有效的目的。如果管理员取消选中"显示来自 iTop Hub 的消息"选项，其效果只会在其下次 iTop 连接时可见。

iTop Hub 新闻提供者

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:newsroom

版本：3_2_0/admin/newsroom.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 委派管理员工具

Fri, 27 Jun 2025 00:00:00 +0000

先决条件：您必须熟悉教程中使用的语法，并且已经创建了一个扩展。

自 iTop 2.5 版本起，您可以将管理员菜单授予管理员以外的用户。

限制

以下菜单不能授予管理员以外的任何人：

计划备份
日志管理（除非您有 Log Management 2.0.1+）
iTop Hub

某些类（如所有与对象历史相关的类）没有组织，因此，向具有允许组织的用户提供运行查询的访问权限会产生安全漏洞，因为他们可以看到他们无权查看的对象的历史记录。

菜单可见性

自 XML 1.5 版本起，现在可以基于类和操作权限（读取、写入、删除等）控制对任何菜单的访问。只有对该类具有该操作权限的人才能看到此菜单。

有关自定义菜单的 XML 标签详细信息，请参阅 XML 参考。

以下管理员菜单默认由类上的操作控制：

用户：对 User 的写入
配置文件：对 Profile 的写入
通知：对 Trigger 的写入
审计：对 AuditCategory 的写入
运行查询：对 ResourceRunQueriesMenu 的写入
查询手册：对 Query 的写入
导出：对 ResourceAdminMenu 的写入
数据模型：对 ResourceRunQueriesMenu 的写入
通用搜索：对 ResourceAdminMenu 的写入
同步数据源：对 SynchroDataSource 的写入

上述所有类都可以通过配置文件（通过组）管理其访问权限。开箱即用，有 6 个新的组是预定义的，可以被现有或新的配置文件使用。LogManagement 组由扩展 iTop Log Management 引入。

组 ID	默认包含的菜单	组中包含的类
User	用户账号、配置文件	User、URP_UserOrg、URP_UserProfile、URP_Profiles
Audit	审计、运行查询	AuditCategory、AuditRule、ResourceRunQueriesMenu
Notification	通知、运行查询	Trigger、Action、lnkTriggerAction、ResourceRunQueriesMenu
Query	查询手册、运行查询	Query、QueryOQL、ResourceRunQueriesMenu
SynchroData	同步数据源	SynchroDataSource
LogManagement	日志中心	ResourceLogMenu
AdminTools	上述所有菜单	上述所有类

编辑具有管理员配置文件的用户
将管理员配置文件授予用户

分步示例

假设您想让具有"Config Manager"配置文件的用户可以访问"导出菜单"：

没有明显的类来控制此菜单，我们将创建一个新的抽象类，命名为：‘RessourceExportMenu’
我们将自定义"导出菜单"条目，将其绑定到这个新创建的类（将 ‘ResourceAdminMenu’ 替换为 ‘RessourceExportMenu’）
我们将自定义"Config Manager"配置文件，通过一个新的组包含对类 ‘RessourceExportMenu’ 的修改权限

创建抽象类

您可以使用现有的有意义的类来控制对该菜单的访问，但在"导出"的情况下，我们找不到任何令人满意的类，因此我们将创建一个新类。

新类必须：

继承 AbstractResource
具有类别 grant_by_profile

<class id="RessourceExportMenu" _delta="define">
 <parent>AbstractResource</parent>
 <properties>
 <comment>/* Export Menu access control. */</comment>
 <abstract>true</abstract>
 <category>grant_by_profile</category>
 </properties>
 <presentation/>
 <methods/>
</class>

覆盖菜单定义

<menu id="ExportMenu" xsi:type="WebPageMenuNode" _delta="must_exist">
 <enable_class _delta="redefine">RessourceExportMenu</enable_class>
 <enable_action _delta="redefine">UR_ACTION_MODIFY</enable_action>
</menu>

完成组和配置文件定义

<user_rights>
 <groups>
 <group id="Export" _delta="define">
 <classes>
 <class id="RessourceExportMenu"/>
 </classes>
 </group>
 </groups>
 <profiles>
 <profile id="3" _delta="must_exist">
 <!-- id=3 对应 Configuration Manager 配置文件 -->
 <groups>
 <group id="Export" _delta="define">
 <actions>
 <action id="action:write">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 </profiles>
</user_rights>

在 datamodel.itop-profiles-itil.xml 中检查现有配置文件的 id。

可以创建的配置文件

这些配置文件不存在，但您可以创建它们，以便将"管理工具"菜单委派给用户：

<user_rights>
 <profiles>
 <profile id="43" _delta="define">
 <name>User Manager</name>
 <description>create/modify/delete users...</description>
 <groups>
 <group id="User">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 <action id="action:read bulk">allow</action>
 <action id="action:write bulk">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 <profile id="44" _delta="define">
 <name>Notification Manager</name>
 <description>Has the rights to create and modify the triggers and actions</description>
 <groups>
 <group id="Notification">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 <action id="action:read bulk">allow</action>
 <action id="action:write bulk">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 <profile id="45" _delta="define">
 <name>Audit Manager</name>
 <description>Has the rights to create and modify the audit</description>
 <groups>
 <group id="Audit">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 <action id="action:read bulk">allow</action>
 <action id="action:write bulk">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 <profile id="46" _delta="define">
 <name>Query Manager</name>
 <description>Has the rights to create and modify the Query Phrasebook</description>
 <groups>
 <group id="Query">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 <action id="action:read bulk">allow</action>
 <action id="action:write bulk">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 <profile id="47" _delta="define">
 <name>SynchroData Manager</name>
 <description>Has the rights to create and modify the Synchro data source</description>
 <groups>
 <group id="SynchroData">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 <action id="action:read bulk">allow</action>
 <action id="action:write bulk">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 <profile id="48" _delta="define">
 <name>Admin Tools Manager</name>
 <description>Has the rights to Admin</description>
 <groups>
 <group id="AdminTools">
 <actions>
 <action id="action:write">allow</action>
 <action id="action:delete">allow</action>
 <action id="action:read">allow</action>
 </actions>
 </group>
 </groups>
 </profile>
 </profiles>
</user_rights>

技术细节

详细解释 2.5 版本围绕菜单访问所做的修改/添加：

XML 中的"管理工具"菜单

管理员菜单以前完全用纯 PHP 编写，由 isAdministrator() 检查保护。它已被翻译成 XML，因此现在可以被覆盖。

菜单 XML 参考已得到丰富，可以指定访问菜单所需的类、操作甚至刺激。

当标签 enable_admin_only 设置为 1 时，任何提供的 <enable_class> 标签都会被忽略：只有具有管理员配置文件的用户才能看到此菜单。如果您想授予对 enable_admin_only 菜单的访问权限，必须将标签 enable_admin_only 设置为 0，或使用 _delta="delete" 完全删除该标签，并至少添加 enable_class 和 enable_action 标签。

该设计旨在保持与以前版本 iTop 的扩展兼容性。

WebPageMenuNode 需要针对直接访问进行保护（用户可能猜测网页的 URL 并尝试访问它，即使他没有看到菜单）。为此，每个网页都会检查 ApplicationMenu::CheckMenuIdEnabled("MenuId");，其中 MenuId 是菜单 xml 定义中使用的 id。这确保为了能够执行网页，用户必须有权访问相应的菜单。

新抽象类

某些管理员菜单没有任何逻辑类可以绑定，因此我们创建了专门用于控制此访问的新类。您可以根据需要扩展此列表。

类名	用途
AbstractResource	新的访问权限控制类应继承自 AbstractResource
ResourceRunQueriesMenu	用于检查用户对"运行查询"菜单的访问权限
ResourceAdminMenu	默认用于所有没有适当类的菜单

bizmodel 与 grant_by_profile 类

组 * 包含所有具有 bizmodel 类别的类。某些配置文件具有对组 * 的读取访问权限。

具有类别 grant_by_profile 的类默认对管理员以外的用户不可访问。

用于控制"管理工具"菜单的应用类具有类别 grant_by_profile。
新的抽象类也具有类别 grant_by_profile。

授权矩阵中的更改

授权矩阵显示具有类别 grant_by_profile 或 bizmodel 的类。在 iTop 2.5 之前，只显示具有类别 bizmodel 的类。

示例：查看具有 User Manager 配置文件的用户的新授权矩阵条目。

新组

以下是 6 个预定义的新组，可以被现有或新的配置文件使用：

<user_rights>
 <group id="Notification" _delta="define">
 <classes>
 <!-- 此类列表也存在于 AdminTools 组中 -->
 <class id="Trigger"/>
 <class id="lnkTriggerAction"/>
 <class id="Action"/>
 <class id="ResourceRunQueriesMenu"/>
 </classes>
 </group>
 <group id="User">
 <classes>
 <!-- 此类列表也存在于 AdminTools 组中 -->
 <class id="User"/>
 <class id="URP_UserOrg"/>
 <class id="URP_UserProfile"/>
 <class id="URP_Profiles"/>
 </classes>
 </group>
 <group id="Audit">
 <classes>
 <!-- 此类列表也存在于 AdminTools 组中 -->
 <class id="AuditCategory"/>
 <class id="AuditRule"/>
 <class id="ResourceRunQueriesMenu"/>
 </classes>
 </group>
 <group id="Query">
 <classes>
 <!-- 此类列表也存在于 AdminTools 组中 -->
 <class id="Query"/>
 <class id="QueryOQL"/>
 <class id="ResourceRunQueriesMenu"/>
 </classes>
 </group>
 <group id="SynchroData">
 <classes>
 <!-- 此类列表也存在于 AdminTools 组中 -->
 <class id="SynchroDataSource"/>
 <class id="SynchroAttribute"/>
 <class id="SynchroReplica"/> <!-- 3.0 新增 -->
 </classes>
 </group>
</user_rights>
</itop_design>

原文：https://www.itophub.io/wiki/page?id=3_2_0:customization:delegate_rights

2024/09/10 10:25 by127.0.0.1

版本：3_2_0/customization/delegate_rights.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 设置 iTop 为只读

Thu, 26 Jun 2025 00:00:00 +0000

所有 iTop 配置设置都存储在 iTop 安装目录下 conf/production 目录中的 config-itop.php 文件中。更改参数会立即生效，无需重启 Web 服务器，只需在浏览器中刷新 iTop 页面即可应用新参数。

设置 iTop 为只读模式

有时（例如在执行某些维护任务时）希望将 iTop 应用设为只读。自 1.0.2 版本起，可以使用两个参数来控制：

应用是否为只读（以及针对谁）
应用只读时显示的消息

这两个参数是 access_mode 和 access_message。

access_mode 参数可以取以下值之一：

access_mode 值	实际值	效果
ACCESS_READONLY	0	应用对所有用户只读。用户可以浏览应用，但不会有任何数据写入 MySQL 数据库。
ACCESS_ADMIN_WRITE	2	只有管理员用户可以写入数据库。对于其他所有用户，应用处于只读模式。
ACCESS_FULL	3	所有用户都可以写入数据库。这是默认模式。

示例：

'access_mode' => ACCESS_ADMIN_WRITE,
'access_message' => '(maintenance until 2PM)',

这在 iTop 中会显示如下效果：

从不同的 URL 访问 iTop

在某些情况下，从不同的 URL 访问同一个 iTop 实例可能很有用。（例如，公司内部用户从内部网访问，客户从互联网访问）。

一种可能性是安装两个指向同一数据库的 iTop 实例。这样可以对所有参数进行完全控制，但会增加维护工作量，以保持两个实例同步（相同版本的 iTop、一致的参数…）。

另一种可能性是在配置文件中放置一些代码，根据某些服务器参数调整设置。由于配置文件是在每个"页面"加载（即执行）的 PHP 文件，因此设置可以完全动态。

例如，假设有一个反向代理控制对 iTop 的访问，并且希望所有互联网用户使用 HTTPS（安全）访问 iTop，而内部网用户通过 HTTP（更快）连接。可以执行以下操作：

从互联网：添加规则将所有 HTTP 流量重定向到 HTTPS；在 HTTPS 虚拟主机配置中添加特定标头：
- Apache：RequestHeader set HTTPS On
- NGINX：proxy_set_header HTTPS On;
从内部网：添加规则将所有 HTTPS 流量重定向到 HTTP

在配置文件中为 app_root_url 设置以下值：

'app_root_url' => (isset($_SERVER['HTTP_HTTPS']) && ($_SERVER['HTTP_HTTPS'] == 'On'))
 ? 'https://itop.yourdomain/' : 'http://itop.yourdomain/',

其他组合也是可能的：在 PHP 中，$_SERVER 和 $_COOKIES 变量是可访问的。

例如：如果您可以从 https://itop.company.com/itop 或 https://public-itop.company.com/itop 访问 iTop，可以在配置文件中放入以下 PHP 代码：

'app_root_url' => 'https://'
 .(isset($_SERVER['HTTP_HOST']) ? $_SERVER['HTTP_HOST'] : 'itop.company.com')
 .'/itop',

常见问题

问：Setup 永远不会结束，而且我在层级中有很多对象？

**答：**这两个症状很可能是相关的。在 Setup 时，iTop 会重新计算层级键，以防它们被破坏。目前还不清楚这种情况是否经常发生，只要速度快就不是大问题，但也可能慢到永远结束。

在这种情况下，只需在 <my-itop>/data/ 下添加一个空文件 .setup-rebuild-hkeys-never，以指定 Setup 跳过层级键的重建。从 3.0 开始，您可以从"数据库完整性"菜单中测试和修复层级键问题。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:settings

版本：3_2_0/admin/settings.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 防止并发修改

Thu, 26 Jun 2025 00:00:00 +0000

为了防止对同一对象的并发修改导致意外结果，iTop（从 2.2.0 版本开始）实现了锁定机制。

原理和限制

该机制旨在保护同一对象的并发交互式修改，无论是由两个不同用户还是由同一用户在浏览器的两个不同标签页中进行。

该机制不阻止在后台进行批量修改（批量修改、CSV 导入、数据同步…）。它仅防止两个交互式用户相互覆盖对方的修改。

在浏览器崩溃或连接丢失的情况下，每个锁都有一个过期延迟（可配置，默认 120 秒）。

在不太可能发生的情况下，用户获取了对象的锁但离开了，浏览器仍处于活动状态（去吃午饭了！），具有特定配置文件（可配置列表）的管理员可以"终止"该锁，让另一个用户获取对象的所有权并进行修改。

'concurrent_lock_enabled' => true,

用户界面

在对象"详情"页面的顶部，当对象正在被另一个用户修改时，会显示警告消息：

消息中指示了正在编辑对象的用户标识符（登录名）和名称。如果您需要编辑该对象，可以等待该人完成修改（按"刷新"图标更新对象状态）或联系该人了解发生了什么。当对象被"锁定"时，所有修改对象的操作都被禁用。“操作"菜单中唯一剩余的操作是导出。

如果锁在对象修改期间过期（由于连接丢失或计算机进入睡眠/省电模式时间过长），用户会收到弹出消息警告锁已丢失。当用户关闭此弹出消息时，页面顶部会保留一个通知，并且"操作"按钮被禁用（除了"取消"按钮）：

用户仍然可以复制/粘贴对象的当前值，然后点击"取消"按钮或打开新标签页重试修改对象。

覆盖锁

具有特定（可配置）配置文件的用户可以"终止"此"锁”。请注意，在这种情况下，当前正在编辑对象的用户可能无法再提交其修改。此功能仅用于紧急情况下，当锁的"所有者"无法联系且必须更新对象时。

一旦锁被移除，对象的详情视图将再次显示，并在顶部显示反馈消息。

配置

三个配置参数决定了该机制的行为：

参数	类型	可见？	描述	默认值
concurrent_lock_enabled	bool	是	2.2.0 新增。是否启用锁定机制以防止并发交互式修改	false
concurrent_lock_expiration_delay	int	否	2.2.0 新增。锁的过期延迟（以秒为单位，在 Web 浏览器崩溃或连接丢失的情况下）。编辑对象时，浏览器将在此间隔期间两次调用服务器。最小值为 15 秒。较低的值提供更响应的用户界面，但会增加服务器和网络流量的负载。	120
concurrent_lock_override_profiles	array	否	2.2.0 新增。允许"终止"锁的配置文件列表。值为配置文件名称数组	array(‘Administrator’)

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:locking

版本：3_2_0/admin/locking.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 调度后台任务

Fri, 27 Jun 2025 00:00:00 +0000

为了正常运行，iTop 维护操作和异步任务必须定期执行。为了简化安装，所有后台任务都被分组以从单个文件启动：webservices/cron.php。

依赖 cron.php 的功能

以下功能依赖 cron.php 的激活：

当工单达到**阈值（TTO/TTR）**时发送通知，如果没有调用此 Web 服务，则不会发生。（任务：CheckStopWatchThresholds）
检查工单 SLA。达到限制的工单将进入升级 TTO/TTR 状态。
自动备份。
自动删除在创建或编辑对象期间创建的、已取消的无用附件和内联图片（任务：InlineImageGC，每小时运行）
异步邮件。默认情况下，此选项被禁用。要启用它，请在配置文件中设置 email_asynchronous 为 1（任务：ExecAsyncTask）
许多扩展也依赖此 cron，例如：Ticket Creation from Email、Approval Automation、Communication to Customers 等

所有后台任务由 cron.php 顺序处理。脚本将循环直到超过最大时间（请参阅参数中的 cron_max_execution_time）。此最大时间用于避免内存泄漏。

当 cron.php 脚本启动时，会设置一个锁，并在脚本退出时释放。因此，同一 iTop 实例上的任何并发运行将立即退出（如果锁已设置）。

将 cron_max_execution_time 参数设置得不要太低，大约 600（10 分钟）：这将允许正确处理需要很长时间才能完成的任务
例如每分钟启动 cron.php 脚本

Windows 调度

使用 schedtask.exe 或 ‘at’ 命令将 cron.php 计划为每 5 分钟运行一次。

schtasks.exe /create /sc minute /mo 1 /tn "iTop CRON" /tr "\"C:\www\itop\webservices\cron.cmd\""

注意：将 C:\www\itop 替换为您的 iTop 目录路径

Linux 调度

编辑 crontab 以每分钟执行脚本：

*/1 * * * * www-data /usr/bin/php /var/www/html/itop/webservices/cron.php --param_file=/etc/itop-cron.params >>/var/log/itop-cron.log 2>&1

注意：将 /var/www/html/itop 替换为您的 iTop 目录路径

从 Web 调度

cron.php 页面也可以通过 Web 服务器执行。如果您无法访问系统（例如在共享托管系统上），这很有用。在这种情况下，您可以依赖 Web cron 服务为您运行它。但与本地计划作业相比，频率和执行时间可能会受到限制。

参数

参数	描述	默认值
param_file	参数文件的路径
auth_user	用户登录名 — 仅限 CLI 模式，如果未使用参数文件	-
auth_pwd	用户密码 — 仅限 CLI 模式，如果未使用参数文件	-
verbose	如果设置为 1，将提供更多信息，用于故障排除。注意：由于进程在后台持续运行，日志文件往往会很快变大。不要长时间将此选项设置为 1。	0
status_only	（iTop 2.0.1 新增）如果设置为 1，则显示计划任务的状态，进程立即停止（可以与 cron.php 的正常执行并行启动）。	0

参数文件

由于传递给 cron.php 的命令行参数对系统上的其他用户可见，因此建议的做法是将所有敏感参数从命令行移开。这就是"参数文件"的目的。

param_file 参数可以与大多数 REST/CLI Web 服务一起使用。按照惯例，cron.php 服务搜索名为 “cron.params” 的参数文件来读取其参数。

参数文件包含键/值对。
注释以 # 开头（# 之后找到的任何字符都将被忽略）

示例：

# 这是参数文件
#
# 如果参数同时在文件和参数中给出，则保留作为参数给出的值
#
# 认证
auth_user = qwertyuiop
auth_pwd = ded!catedL0g1n

设置

这些设置配置在主 iTop 配置文件 “itop-config.php” 中：

设置	描述	默认值
cron_max_execution_time	cron.php 脚本的持续时间（秒）：如果超过，脚本将退出，即使还有剩余任务要处理。必须短于 php max_execution_time 设置（注意，在 CLI 中，默认设置为 0，表示无限制）。如果 cron.php 通过 Web 运行，则必须短于 Web 服务器响应超时。	600
cron_sleep	cron.php 再次检查是否需要执行某些操作之前的持续时间（秒）	2
email_asynchronous	如果设置为 1，则邮件离线发送，这需要激活 cron.php。例外：某些功能（如邮件测试工具）将强制使用序列化模式	0

允许的用户

只有管理员才被允许执行 cron.php。

故障排除

当任务不再运行时，有几件事需要了解：

cron.php 在做什么？

cron.php 程序启动时，会查找实现此 PHP 接口的任务，并将它们记录在表 priv_backgroundtask 中。
此表中存在的条目取决于安装的 iTop 扩展。
priv_backgroundtask 包含每个任务的多个信息，例如：上次运行时间、下次运行预计何时开始、此任务的平均执行时间、任务当前是活动还是暂停（由管理员请求，字段状态）…
cron.php 程序查找活动且下次运行已过期的任务，逐个执行，要求每个任务在 cron_max_execution_time 后停止执行。任务当然会在有意义的点停止，例如对于 Mail To Ticket Automation，它可以在处理 2 封接收到的邮件之间停止。询问任务下次运行应该是什么时间，并将该信息存储在表中。
然后检查自身启动时间是否超过 cron_max_execution_time，如果是，则自杀（这是因为永不结束的进程通常会消耗内存，而这些内存不会完全释放）
否则等待 cron_sleep 秒，然后再次检查表中是否有准备执行的任务。

当…时可以做什么

任务似乎从未执行：

当特定任务遇到使其陷入无限循环的问题时，cron.php 可能会被 PHP max_execution_time 停止（通常在 CLI 中不会）；在所有情况下，跟随该任务的任务将永远不会执行。在 cron.php 的后续运行中，由于任务总是按相同的顺序执行，同样的问题可能会再次发生。为了识别有问题的任务，您应该通过设置 priv_backgroundtask 表中的状态，逐个暂停您怀疑有问题的任务，并查看是否已停止有问题的任务。这种情况通常是由于带来该任务的扩展的 bug，或任务面临计划外情况。

应监控日志文件以生成警报，以便提前通知此类问题。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:cron

版本：3_2_0/admin/cron.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 调优 iTop 性能

Fri, 27 Jun 2025 00:00:00 +0000

为了提高 iTop 服务器的性能，您必须首先找到瓶颈。是 PHP 页面执行太慢，还是 MySQL？

实际的应用性能调优需要深入了解 iTop 实例的实际使用模式，但有一些通用的检查点：

安装 APCu

如果系统上可用，请安装并启用 APCu（Alternative PHP Cache）。APCu 通过将 PHP 解析的结果作为操作码缓存在共享内存中来加速 PHP 应用。此外，iTop 使用 APCu 将许多内部结构缓存在内存中，而不是在每次页面加载时重建它们。

安装 APCu 将提高应用的整体响应性，这对于"小"页面尤其重要。如果不可用，iTop 实现了一个基于文件的简单缓存机制。

[apcu]
apc.shm_size=128M
apc.ttl=7200

安装 FPM

为了提高性能，您可以使用 php-fpm 和 fastcgi。

关于 Apache + FPM 的超时观察：

超时来自 Apache，通过 ProxyTimeout 指令。如果未定义，Apache 将使用 TimeOut 指令（默认为 60s）。
AJAX 请求确实返回 504 错误（超时）。
后续 AJAX 请求将不会发送，我们必须猜测 setup 何时结束以及何时可以重新运行它。
Setup 过程是健壮的，当启动 DB 升级时，即使 Apache 超时，它也会完成。这意味着如果我们重新运行 setup，它不会启动新的查询，而是等待当前查询的结束。
如果 MySQL 在 setup 期间重新启动，MySQL 会回滚并恢复到上一个表。没有减速，没有数据丢失。

警告：

超时发生后，我们不知道 setup 何时结束。当前的解决方案是检查当前的 MySQL 进程，等待结束并再次运行 setup。
注意磁盘可用空间。ALTER TABLE 需要相当于表大小的磁盘可用空间。例如，如果 “attachment” 表占用 7GB，则 ALTER TABLE 需要额外的 7GB。（如果选中了复选框，请考虑 iTop 备份的大小）。
维护和只读模式：在"小"服务器上，SQL 查询会占用如此多的资源，以至于在只读模式下使用 iTop 很可能不可用。

配置 Apache 模块：Headers & Expires

激活 apache 的模块：

a2enmod expires
a2enmod headers

配置它们：

<IfModule mod_expires.c>
 ExpiresActive On
 ExpiresByType image/gif A172800
 ExpiresByType image/jpeg A172800
 ExpiresByType image/png A172800
 ExpiresByType text/css A172800
 ExpiresByType text/javascript A172800
 ExpiresByType application/x-javascript A172800
</IfModule>

<IfModule mod_headers.c>
 <FilesMatch "\.(gif|jpe?g|png|css|swf|js)$">
 Header set Cache-Control "max-age=2592000, public"
 </FilesMatch>
</IfModule>

检查 MySQL 的键缓存

确保 MySQL 有足够的内存来缓存所有索引在内存中。重要的状态变量是：key_read_requests 和 key_reads。

实际的 key_reads / key_read_requests 比率应尽可能低（通常小于 0.1%）。如果此比率太高，这意味着您应该增加分配给缓存 MySQL 索引的内存量（在 my.cnf 中调整变量 key_buffer_size 并重新启动 MySQL 服务器）。

检查查询缓存

检查 MySQL 查询缓存是否已启用，并有足够的内存来缓存最常见查询的结果。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:performance

版本：3_2_0/admin/performance.txt · Last modified: 2025/05/16 09:57 by 127.0.0.1

Docs: 管理个人数据

Fri, 27 Jun 2025 00:00:00 +0000

如果您必须遵守 GDPR，以下是一些帮助您的提示…

iTop 中的个人数据清单

Person 对象中的个人数据

iTop 中的大部分个人信息存储在 Person 对象中。在标准 iTop 数据模型中，这些数据包括：

字段代码	标签	字段描述
email	Email	人员的电子邮件地址
employee_number	Employee number	员工编号或公司内使用的任何标识符
first_name	First Name	人员的名字
function	Function	人员的职能/职位
location_id	Location	人员的位置（链接到 Location 对象）
manager_id	Manager	人员的经理（链接到 Person 对象）
mobile_phone	Mobile Phone	手机号码
phone	Phone	固定电话号码
picture	Picture	人员的照片

由于 iTop 的关系性质，Person 对象中存储的信息不应在其他地方重复。此原则的少数例外如下：

历史记录中的个人数据

对 Person 对象的所有修改都记录在该 Person 对象的历史记录中，从而存储了一些个人信息。您可以使用以下 OQL 查询列出对给定 Person 对象所做的所有更改：

SELECT CMDBChangeOp WHERE objclass='Person' AND objkey=:person_id

其中：person_id 是 Person 对象的标识符。用户账号关联的联系人所做的所有修改也会记录联系人的名称（即 friendlyname）。

SELECT CMDBChange WHERE userinfo=:person_name

其中：person_name 是 Person 的完整名称（即 friendlyname），例如 “Claude Monet”。

案例日志中的个人数据

iTop 中的每个案例日志字段存储有关创建每个条目的人员的信息（在当前版本的 iTop 中，无法修改案例日志条目）。案例日志中记录的信息（每个条目）包含：

修改的日期和时间
进行修改的人员的全名（修改时）
进行修改的人员对象的标识符

例如，如果与 Person “Claude Monet”（id=3）关联的用户创建了两个案例日志条目，案例日志的内容将按如下方式存储在数据库中：

========== 2018-05-09 11:38:45 : Claude Monet (3) ============
<p>This is the second entry of the case log</p>
========== 2018-05-09 11:38:27 : Claude Monet (3) ============
<p>This is the first entry of the case log</p>

邮件通知中的个人数据

每当 iTop 以电子邮件形式发送通知时，信息都会记录在 EventNotificationEmail 对象中。此对象记录发送到邮件服务器的电子邮件。此对象包含收件人（在 TO、CC 或 BCC 中）的电子邮件地址和发送的消息内容。EmailNotification 对象还存储发送日期。

数据流

处理个人数据时的一个重要主题是记录组织内个人数据的流。本文档（和 iTop 本身）无法为您记录此流，因为每个用例都是特定的，取决于在操作 iTop 时建立的流程和集成。但是，iTop 提供了一些功能，可以帮助您记录和控制此信息流。

REST/JSON Web 服务日志

您可以通过在 iTop 配置文件中将配置参数 log_rest_service 设置为 true 来审计通过 REST/JSON 服务执行的操作。设置此参数后，每次 REST/JSON 操作都将在 iTop 数据库中创建一个 EventRestService 对象。此对象记录：

操作的日期/时间
用于执行操作的用户账号
JSON 输入参数
操作的输出（代码、消息和 JSON 输出的截断版本）

使用所有这些信息，您可以确定通过 REST/JSON Web 服务的个人信息流（如果有）。

同步数据源列表

您可以轻松列出所有导入或更新 Person 的同步数据源，通过搜索"目标类"为"Person"的同步数据源。此搜索可以通过"管理工具 / 同步数据源"执行，或运行以下 OQL 查询：

SELECT SynchroDataSource WHERE scope_class='Person'

每个数据源都保留其操作的完整日志，包括运行日期/时间和每次运行的执行操作摘要（创建/更新/删除）。

注意：如果为同步数据源指定了"用户"，则只有指定的用户账号才能执行此同步。

批量导出（和批量导入）的限制

只有具有对 Person 的"批量读取"能力的用户账号才能执行人员列表的导出。
类似地，只有具有对 Person 的"批量修改"能力的用户账号才能执行 Person 的 CSV 导入。
这些能力可以在每个用户账号的详情中的"授权矩阵"选项卡中查看。

清理个人数据

要完全清理与人员相关的数据，必须：

删除与此人员对应的 Person 对象，这也将删除有关此 Person 的历史信息。
删除此人员创建的案例日志条目
删除发送给此人员的 EmailNotification 对象

但这些操作存在限制：

根据目标 Person 对象与 iTop 数据库中其他对象之间的关系，删除 Person 对象可能不可能，除非在某些其他对象上指定替代 Person，以遵守数据库完整性约束。
删除案例日志条目目前在 iTop 中未实现，并且由于案例日志文本必须与另一个称为案例日志索引的字段保持一致，因此使用 SQL 查询实现非平凡。
更新 CMDBChange 对象以替换对联系人名称的引用可以通过单个 SQL 查询完成，因为只有一个字段 ‘userinfo’ 需要匿名化。由于此字段仅向最终用户显示，而不用于 iTop 中的任何引用，因此没有完整性约束，可以在字段中放入任何值。
由于一封邮件通知可能发送给多个人员（在 TO、CC 和 BCC 中），删除一封此类通知将影响除目标人员之外的其他用户。

由于上述限制，“假名化"方法似乎比完全擦除个人数据更现实。

个人数据的假名化

这就是 Personal data anonymizer 扩展为您提出的方案。

通过在所有必填字段中替换为匿名值（常量或随机）来匿名化 Person 对象
清空所有非必填字段（如 Location、Manager、Phone number、n:n 关系）
对案例日志条目进行假名化，删除所有对人员的引用，而不更改文本长度，以保留与案例日志"索引"字段的一致性
删除 Person 的历史记录（CMDBChange / CMDBChangeOp）以删除字段的"先前值”，这些值将有助于恢复值
匿名化包含 Person 名称的 CMDBChange “userinfo” 字段
删除超过（短）保留期（3 个月？）的所有 EmailNotification 对象

导出个人数据

可以使用 iTop 的标准导出功能导出 Person 详情。
可以通过搜索每个包含案例日志的对象类（即每个工单类）并搜索"公共日志"包含"联系人名称"来导出案例日志条目。

这可以使用"运行查询"菜单和如下 OQL 实现：

SELECT UserRequest WHERE (public_log LIKE :name OR private_log LIKE :name)

将 :name 参数的值指定为 %contact_friendlyname%。

例如，要导出 Claude Monet 在案例日志中创建条目的所有 User Request，OQL 查询将是：

SELECT UserRequest WHERE (public_log LIKE '%Claude Monet%' OR private_log LIKE '%Claude Monet%')

可以使用以下 OQL 查询列出和导出通知邮件：

SELECT EventNotificationEmail WHERE
 TO = 'email_address'
 OR cc LIKE '%email_address%'
 OR bcc LIKE '%email_address%'

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:rgpd

版本：3_2_0/admin/rgpd.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 监控健康检查

Fri, 27 Jun 2025 00:00:00 +0000

如果您需要通过外部工具轮询 iTop 状态，您有一个专用页面。此页面不需要任何认证。返回的状态为 JSON 格式。

端点

https://iTOP_URL/webservices/status.php

示例

curl http://localhost/iTop/webservices/status.php
{"status":"RUNNING","code":0,"message":""}

返回状态

HTTP 状态	含义
200	应用正常运行
500	至少一项检查失败

与监控系统集成

可将该端点配置为 Nagios 或 Zabbix 的 HTTP 检查项，实现自动告警。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:monitoring:healthcheck

2024/09/10 10:25 by127.0.0.1

版本：3_2_0/admin/monitoring/healthcheck.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 安全最佳实践

Fri, 27 Jun 2025 00:00:00 +0000

iTop 基于 PHP，其内容由 Web 服务器提供。

本页参考 PHP 和 Web 服务器配置，以增强 iTop 安装的安全性。

您将在这里找到一些 HTTP 标头配置，以在您的 Web 服务器中配置，从而增加额外的安全层。由于本页力求保持简单，这里提到的标头通常可以进一步微调以更加严格。

目录写入权限

Web 服务器用户应被允许对 iTop 根目录下的以下目录具有写入权限：

conf
data
env-*
根目录（iTop Hub 连接器将在编译之前删除 env-production-build 目录）
log

保护关键目录访问

以下文件目录必须对 Web 用户拒绝访问：

conf：目录及其所有内容
data：目录及其所有内容
datamodels：仅允许具有以下扩展名的文件：css|scss|js|map|png|bmp|gif|jpe?g|svg|tiff|woff2?|ttf|eot|html
env-*：仅允许具有以下扩展名的文件：css|scss|js|map|png|bmp|gif|jpe?g|svg|tiff|woff2?|ttf|eot|html
extensions：仅允许具有以下扩展名的文件：css|scss|js|map|png|bmp|gif|jpe?g|svg|tiff|woff2?|ttf|eot|html
lib：目录及其所有内容
log：目录及其所有内容
setup/permissions-test-folder/permissions-test-subfolder/：仅当您的 Web 服务器不使用 .htaccess 或 web.config 时才需要。如果访问未被拒绝，您将在 iTop 设置期间收到安全警告（自 3.0.2 和 2.7.8 起）

您还应阻止目录列表。

禁用配置编辑器

由于 iTop 配置存储为 PHP 文档，因此可以通过配置编辑器进行 PHP 代码注入。如果您认为让 iTop 管理员交互式编辑配置文件风险太大（例如，如果 iTop 安装在与其他应用共享的服务器上），您可以完全禁用交互式配置编辑器。要禁用交互式编辑器，请在配置文件的 ‘module_settings’ 部分设置以下配置参数：

'itop-config' => [
 'config_editor' => 'disabled',
]

使用 HTTPS

您应仅使用 https 协议提供页面。

Strict-Transport-Security HTTP 标头

强制 https 连接的一个好方法是发送 Strict-Transport-Security HTTP 标头。我们建议使用以下值：

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;" env=HTTPS

有关此标头的更多信息，请查看相应的参考：Strict-Transport-Security - HTTP | MDN

防止会话窃取

虽然 PHP 默认配置从安全角度来看相当相关，但可以增强：您应该更改以下条目的默认值：

session.cookie_httponly

为了防止恶意 JavaScript 代码嗅探用户的会话，您应该启用 session.cookie_httponly（请参阅 PHP 文档）。

您可以在 php.ini 中使用 session.cookie_httponly = 1 或在 Apache 中使用 php_flag session.cookie_httponly on 来实现。

session.cookie_secure

如果您使用 https，则应启用此指令，以便仅通过安全连接发送 cookie，请参阅 PHP 文档。

session.cookie_samesite

您应使用 LAX 值启用此指令，以便会话 cookie 更难拦截，请参阅 PHP 文档。

zend.exception_ignore_args

此 PHP 参数在某些 PHP 发行版中默认设置为 false，应设置为 true，以避免在发生异常时，参数值以明文形式写入 error_log。这些参数可能包含例如 iTop 数据库的登录名和密码。

iTop 发送的 HTTP 标头

X-Frame-Options

这指示浏览器是否应被允许在、、或中渲染页面。

请参阅参考：X-Frame-Options - HTTP | MDN

如果您使用的是较旧的 iTop 版本，可以在 Apache 配置中添加：

Header always set X-Frame-Options "sameorigin"

X-Content-Type-Options

这允许选择退出 MIME 类型嗅探（Content-Type 标头中公布的 MIME 类型不应更改）。

请参阅此参考：X-Content-Type-Options - HTTP | MDN

如果您使用的是较旧的 iTop 版本，可以在 Apache 配置中添加：

Header always set X-Content-Type-Options "nosniff"

其他 HTTP 标头

Referrer-Policy

HTTP_REFERER 标头由浏览器在每个 http 查询中发送，以给出上一页的 URL。可以通过从服务器发送 Referrer-Policy http 标头来更改此行为。

参考文档：Referrer-Policy - HTTP | MDN

我们建议使用 strict-origin-when-cross-origin 值，以便：

在 iTop 内部发送整个字符串
仅在 https 上的跨源请求中发送 origin（方案、主机、端口）
在非安全目标（http）上不发送 referer

Apache 的示例配置：

Header always set Referrer-Policy "strict-origin-when-cross-origin"

Content-Security-Policy

此标头将指定浏览器可以在每个页面上加载哪些资源。其主要目标是防止跨站脚本（XSS）和数据注入攻击。

请参阅参考：Content Security Policy (CSP) - HTTP | MDN

iTop 社区包的简单配置可以是：

Header set Content-Security-Policy "default-src 'self'; frame-src 'self' www.itophub.io; img-src 'self' data: blob:; script-src 'self' 'unsafe-inline' 'unsafe-eval'; connect-src 'self' www.itophub.io; style-src 'self' 'unsafe-inline';

Apache 配置示例

php_flag session.cookie_httponly on
# 仅用于 https:
Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"
php_flag session.cookie_secure on

iTop 扩展

摘自新扩展指南：

安全

如果您希望文件在没有任何认证的情况下被调用（在大多数情况下不推荐），您需要将文件添加到 model..php 文件的 delegated_authentication_endpoints 中。

...
 'delegated_authentication_endpoints' => [
 'index.php',
 'open_access.php'
 ],
...

原文：https://www.itophub.io/wiki/page?id=3_2_0:install:security

版本：3_2_0/install/security.txt · Last modified: 2026/04/13 17:00 by 127.0.0.1

Docs: 归档

Fri, 27 Jun 2025 00:00:00 +0000

目的：当您的过时数据开始比活跃数据多得多时，提高搜索性能。

启用归档

默认情况下，任何类都不启用归档。只能在数据模型中的根类上激活，例如 FunctionalCI、Contact、Ticket 等。有关详细信息，请参阅 XML 参考。

<classes>
 <class id="Ticket">
 <properties>
 <archive _delta="define">
 <enabled>true</enabled>
 </archive>
 </properties>
 </class>
</classes>

允许类的对象被归档对用户界面没有直接影响，直到模块提供归档和取消归档对象的功能。

如果您想自动归档每个已关闭且超过两年的工单，则可以开发一个特定的扩展，使用后台任务来完成。此模块目前尚不存在。

归档模块的 API

DBSearch::DBBulkArchive()
DBSearch::DBBulkUnarchive()
DBSearch::DBBulkWriteArchiveFlag.

用户体验

标准模式

所有归档对象对所有用户（包括管理员）都是隐藏的，就像它们被删除了一样。

在其他指向它们的对象中可以找到对其友好名称的引用。例如，一个已归档的联系人是一个未归档变更的呼叫者。如您所见，链接是非活动的，您无法打开呼叫者详情。

在其他对象的历史记录中，您只会得到该归档对象的 id：

如果您尝试使用书签 URL 或构建如下 URL 来打开该归档对象的详情：http://myitop/pages/UI.php?operation=details&class=Person&id=11&

当对象被归档时，其所有与其他对象的 n:n 链接也会被归档，这意味着它们不再可见。

归档模式

您可以切换归档模式：

在归档模式下，您会看到一个橙色标签提醒您已激活它。
所有对象都是只读的
归档对象是可见的并标记为已归档
引用已归档对象的属性是可点击的：

如果您在归档对象上停用归档模式：

您会再次收到反馈消息。

常见问题

问：“激活归档模式"菜单不可用？

答：归档必须在至少一个类上启用。如果您刚刚通过 Setup、Move To Test、Move To Production 或 iTop Hub 扩展安装完成，请确保清空 Web 浏览器缓存，因为这是一个已知问题。

问：我可以在用户门户中看到"归档对象"吗？

**答：**不，归档对象永远不能在任何用户门户中显示。

原文：https://www.itophub.io/wiki/page?id=3_2_0:feature:archiving

版本：3_2_0/feature/archiving.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: 对象废弃

Fri, 27 Jun 2025 00:00:00 +0000

iTop 2.4 引入，数据模型现在包含按对象类定义的废弃概念，以通过突出显示/隐藏废弃对象来改善用户体验。

请参阅用户指南中的废弃用户体验。
有关配置自己的废弃规则，请参阅教程：定义废弃规则。

搜索废弃对象

SELECT Person WHERE obsolescence_flag

限制

默认废弃规则

哪些对象被视为废弃？

一般而言：

状态等于 obsolete 或 inactive 的对象
作为另一个对象的子对象的对象，如果其主对象被废弃，则该对象也被废弃。例如：如果其 ConnectableCI 被废弃，则 Physical Interface 被废弃。此规则有两个例外：Virtual Machine 和 Hypervisor 仅当且仅当它们自己的状态为 obsolete 时才被废弃
超过 15 个月前过期的许可证（搜索查询无法缓存，因此高容量时需谨慎）

配置管理核心

Contact: status=‘inactive’
Document: status=‘obsolete’

CIs

Application Solution: status=‘inactive’
Business Process: status=‘inactive’
DB Server: status=‘inactive’
Database Schema: 其 DBServer 被废弃
Middleware: status=‘inactive’
Middleware Instance: 其 Middleware 被废弃
Network Device: status=‘obsolete’
Other Software: status=‘inactive’
PC Software: status=‘inactive’
Server: status=‘obsolete’
Web Application: 其 Web server 被废弃
Web server: status=‘inactive’

其他

Group: status=‘obsolete’
Location: status=‘inactive’
OSLicence: 许可证不是永久的，且定义了结束日期，并已超过 15 个月
OSPatch: 未定义废弃
Organization: status=‘inactive’
Physical Interface: 其 Device 被废弃
Software: 未定义废弃
Software Licence: 许可证不是永久的，且定义了结束日期，并已超过 15 个月
Software Patch: 未定义废弃
Subnet: 未定义废弃
VLAN: 未定义废弃

最终用户设备

所有最终用户设备使用在 Physical Device 上定义的逻辑：status=‘obsolete’

虚拟化管理

Farm: status=‘obsolete’
Hypervisor: status=‘obsolete’
Logical Interface: 其 Virtual Machine 被废弃
Virtual Machine: status=‘obsolete’

高级存储

Fiber Channel Interface: 其 Datacenter Device 被废弃
Logical Volume: 其 Storage System 被废弃
NAS: status=‘obsolete’
NAS File System: 其 NAS 被废弃
SAN Switch: status=‘obsolete’
Storage System: status=‘obsolete’
Tape: 其 Tape Library 被废弃
Tape Library: status=‘obsolete’

数据中心

Enclosure: status=‘obsolete’
PDU: status=‘obsolete’
Power Source: status=‘obsolete’
Rack: status=‘obsolete’

工单

自 2.5.0 起，工单不再定义废弃规则，因为它会降低性能。

原文：https://www.itophub.io/wiki/page?id=3_2_0:feature:obsolescence

Last modified: 2024/09/10 10:25 by127.0.0.1

版本：3_2_0/feature/obsolescence.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

Docs: iTop 日志

Fri, 27 Jun 2025 00:00:00 +0000

与许多其他应用一样，iTop 在日志文件中写入大量有用的信息。它们都可以在 iTop 根目录下的 log 目录中找到。

请注意，此目录不应被 Web 用户读取：请参阅安全关键目录访问。

文件

Setup

setup.log
install-<date>.xml：安装向导中做出的选择摘要
setup-queries-<date>_<time>.sql：在"更新数据库架构"步骤期间发送到 DB 的查询列表

iTop 应用

error.log
deadlocks.log（自 iTop 2.7.1 起）：数据库死锁的附加跟踪信息
deprecated-calls.log（自 iTop 3.0.0 起）：对已弃用 PHP 方法或文件的调用
tools.log：工具错误，当前仅用于备份

数据库

除了文件之外，在发生未捕获的异常时，iTop 可以将日志写入 EventIssue 类。您可以使用以下查询访问它们：在"运行查询"菜单中执行 SELECT EventIssue。

并非所有异常都会被写入（例如，REST 服务异常不会）。总体而言，如果满足以下条件，它们会被写入：

问题发生在标准页面中（在 UI.php 下）
问题发生在门户页面中，并且存在适当的 log_level_min.write_in_db 级别（请参阅下面的 filter_portal_exceptions）

配置

日志轮转

自 iTop 2.7.0 起，日志文件每月轮转。这意味着上个月的日志会加上后缀 <year>-month<month_no>。例如，如果我们在 2021 年 2 月，当前错误日志是 error.log，而上个月（2021 年 1 月）的错误日志是 error.2021-month01.log。

轮转周期可以在 iTop 配置中使用 log_filename_builder_impl 参数进行配置。可能的值：

DefaultLogFileNameBuilder：不轮转
DailyRotatingLogFileNameBuilder：后缀 <year>-<month_no>_<day_no>
WeeklyRotatingLogFileNameBuilder：后缀 <year>-week<week_no>
MonthlyRotatingLogFileNameBuilder：后缀 <year>-month<month_no>

自动日志清除：您可以使用 log_purge.enabled 参数激活清除（默认禁用）。您可以使用 log_purge.max_keep_days 参数定义日志保留时间（默认 365 天）。

过滤日志

自 iTop 2.7.0 起，log_level_min 配置参数允许过滤日志。这允许按通道指定要保留的日志级别。

级别按以下层次结构包含（值对应 LogAPI 类常量）：

abstract class LogAPI {
 public const LEVEL_ERROR = 'Error';
 public const LEVEL_WARNING = 'Warning';
 public const LEVEL_INFO = 'Info';
 public const LEVEL_OK = 'Ok';
 public const LEVEL_DEBUG = 'Debug';
 public const LEVEL_TRACE = 'Trace';

因此，例如过滤 LEVEL_INFO 将包含以下级别的日志：LEVEL_INFO、LEVEL_WARNING、LEVEL_ERROR。

要将级别应用于所有通道，只需在 iTop 配置文件中设置以下参数值，如下例所示。请注意，自 2.7.5 和 3.0.0 起，iTop 核心通道在 LogChannels 类中分组。

'log_level_min' => LogAPI::LEVEL_TRACE,

要按通道设置特定级别：

'log_level_min' => array(
 LogChannels::INLINE_IMAGE => LogAPI::LEVEL_TRACE,
 'UserRequest' => LogAPI::LEVEL_TRACE,
 'MyCustomExtension' => LogAPI::LEVEL_INFO,
 ),

由于默认日志通道（\LogAPI::CHANNEL_DEFAULT）是 “"（空字符串），您也可以这样做：

'log_level_min' => array(
 '' => LogAPI::LEVEL_WARNING,
 LogChannels::INLINE_IMAGE => LogAPI::LEVEL_TRACE,
 'UserRequest' => LogAPI::LEVEL_TRACE,
 'MyCustomExtension' => LogAPI::LEVEL_INFO,
 ),

现有通道在专门的 wiki 页面中详细说明：iTop logs channels。

以下示例均无效：

'MyChannel' => LEVEL_WARNING,
'MyChannel' => '',
'MyChannel' => 'LogAPI::LEVEL_WARNING',
'MyChannel' => 'warning',

为 ITSM Designer 中的 PHP 开发人员

为了调试您在 ITSM Designer 中创建的 PHP 方法，您可以：

在方法中添加调试跟踪到专用通道 Delta XML

public function UpdateParentTicketLog()
{
 IssueLog::Debug("Entering UpdateParentTicketLog",'Delta XML');
 $oLog = $this->Get('log');
 $sLog = $oLog->GetModifiedEntry('html');
 IssueLog::Debug("Modified entry:$sLog.",'Delta XML');
 if ($sLog != '')
 {
 IssueLog::Debug("Test (sLog != chaine vide) == true",'Delta XML');
 $oTicket = MetaModel::GetObject('Ticket', $this->Get('ticket_id'), false);
 if ($oTicket)
 {
 IssueLog::Debug("Test (oTicket) == true",'Delta XML');
 $oTicket->Set('private_log', $sLog);
 $oTicket->DBUpdate();
 }
 }
}

在 iTop 配置文件中激活它们

'log_level_min' => array(
 'Delta XML' => LogAPI::LEVEL_DEBUG,
 ),

在 iTop 中导航以触发您正在调试的方法
检查日志以查看结果

异常日志记录

自 iTop 3.0 起，可以使用 \ExceptionLog::LogException($oException); 记录异常。

您可以像往常一样使用 log_level_min 和 log_level_min.write_in_db 配置其行为。通道必须是异常的类，如果未找到，它将尝试所有父树直到 Exception。

当没有配置存在时，请注意数据库日志记录对 Error 级别启用。

过滤门户异常

门户触发 “Warning” 异常，默认情况下不会写入数据库日志。

例如，要启用其中一些，您可以配置：

'log_level_min.write_in_db' => array(
 'CoreCannotSaveObjectException' => LogAPI::LEVEL_WARNING,
 'CoreOqlException' => LogAPI::LEVEL_WARNING,
 ),

扩展开发人员

由于此行为是通用的，扩展开发人员可以通过调用 \ExceptionLog::LogException($oException); 来使用它。

在这种情况下，建议抛出特定的异常，以便能够按类过滤它们。

模块开发人员如何记录日志

最简单的答案：使用 IssueLog 类及其静态日志记录方法：Trace、Ok、Info、Warning、Error。

如果使用特定通道，您应该在模块的文档中说明！

如果您想记录到特定文件和/或自定义行为，您可以创建自己的日志实现！扩展 LogAPI 抽象类会有所帮助。如果是这样，请不要忘记：

调用 Enable 方法！此外，您可以覆盖它以记录到特定文件路径（例如参见 \DeadLockLog::Enable）
将适当的 LEVEL_DEFAULT 常量值设置为您的实现，设置为 LEVEL_* 常量之一
记录文档！;)

您还可以通过实现 iLogFileNameBuilder 接口或 RotatingLogFileNameBuilder 抽象类来添加新的轮转行为。

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:log

版本：3_2_0/admin/log.txt · Last modified: 2025/10/02 19:16 by 127.0.0.1

Docs: HTML 格式限制

Thu, 26 Jun 2025 00:00:00 +0000

自 iTop 2.3.0 起，某些字段（例如案例日志条目和工单的描述）支持富文本格式。

此格式使用 HTML 标记实现。这对于在浏览器中显示、在线所见即所得编辑以及从 HTML 邮件导入很方便。

然而，在基于 Web 的应用程序中插入任何类型的 HTML 标记是不可接受的，因为它为各种恶意注入打开了大门。因此，HTML 标记在记录到 iTop 数据库之前总是经过清理过程。此清理基于 HTML 标签名、属性和样式的白名单。

任何不在标签白名单中的标签都会被完全移除（包括子标签）
任何不在属性白名单中的属性（对于考虑的标签）都会被移除
任何不在样式白名单中的样式都会被移除
最后，唯一接受的 URL 方案（在 href 和 src 属性中）是：http:、https:、mailto: 和 data:。

标签和属性白名单

以下标签在清理要存储在 iTop 中的 HTML 时被保留。对于每个标签，下表列出了允许的属性。

HTML 标签	允许的属性
a	href、name、style、target、title
b	无
big	无
blockquote	style
body	无
br	无
caption	无
center	无
cite	无
code	无
code	style
del	无
div	style
em	无
fieldset	style
font	face、color、style、size
h1	style
h2	style
h3	style
h4	style
hr	style
html	无
i	无
img	src、style、alt、title
ins	无
kbd	无
legend	style
li	style、value
nav	style
ol	reversed、start、style、type
p	style
pre	无
q	无
s	无
samp	无
section	style
small	无
span	style
strong	无
table	style、width、summary、align、border、cellpadding、cellspacing
tbody	style
td	style、colspan
th	style
thead	style
tr	style
tt	无
u	无
ul	style
var	无

样式白名单

以下样式是允许在 style 属性内使用的唯一项（对于允许 style 的标签）：

background-color、border、border-collapse、bordercolor、cellpadding、cellspacing、color、float、font、font-family、font-size、font-style、height、margin、padding、text-align、vertical-align、width、white-space

禁用清理器

HTMLDOMSanitizer：默认
HTMLPurifierSanitizer：???
HTMLNullSanitizer：完全不清理

'html_sanitizer' => 'HTMLNullSanitizer',

原文：https://www.itophub.io/wiki/page?id=3_2_0:admin:rich_text_limitations

2024/09/10 10:25 by127.0.0.1

版本：3_2_0/admin/rich_text_limitations.txt · Last modified: 2024/09/10 10:25 by 127.0.0.1

iTopCN – 管理员指南

Docs: 用户账号和配置文件

查看配置文件

iTop 核心配置文件

扩展配置文件

查看用户账号

创建用户

批量导入登录账号

限制对一组组织的访问

更改用户密码

忘记密码

停用账号

委派给非管理员

Docs: 用户认证选项

概述

登录类型（控制台和门户）

更多详情

登录类型（Web 服务）

配置文件

’login_mode’ 页面参数

示例

基本认证与 Apache CGI 模式

与外部认证集成

使用 Apache .htpasswd 进行外部认证的示例配置

iTop 配置

Apache 配置文件

集成测试脚本

LDAP 认证配置

配置 iTop 连接到您的 LDAP 服务器

配置 iTop 连接到您的 CAS 服务器

Docs: 审计 CMDB

审计报告

管理审计类别

管理审计规则

示例

Docs: 运行对象查询

使用

Docs: 查询手册

使用

创建

Docs: 导出数据

使用

命令行接口

远程 Web 访问

参数

输出

HTML

Spreadsheet

格式特定参数

XML

CSV

格式特定参数

PDF

格式特定参数

XLSX

格式特定参数

历史

Docs: 浏览数据模型

选择类

类详细信息选项卡

Docs: 使用 iTop

连接到 iTop

在 iTop 中导航

Docs: 通用配置

在线编辑器

Docs: 同步数据源

数据源定义

描述

搜索与协调

删除规则

属性

协调列

更新列

更新策略列

协调键列

状态

同步历史

副本

使用 MySQL 语句填充 synchro_data_xxxx 表

使用 synchro_import 填充 synchro_data_xxxx 表