【VMware】ロールでの権限設定に関する学習記録

こんにちは、キクです。

本記事は、僕が自己学習で学んだことをブログでアウトプットするシリーズになります。
今回は『VMwareにおけるロールでの権限設定』について書いていこうと思います。

本記事の内容

ロールでの権限設定について
- オブジェクトへの権限追加時に設定する項目
関連調査メモ
- 定義範囲に関するメモ
- 権限設定の例
参考情報

それでは、よろしくお願いします。

注意事項

本記事は自己学習としてのアウトプットが目的となります。

そのため、本記事には誤った情報が含まれる可能性もありますが、ご了承ください。

ロールでの権限設定について

VMware公式情報として、ロールについては次のように説明されている

ロールとは、事前に定義された権限セットです。権限は、操作の実行やプロパティの読み取りを行う権利を定義します。

たとえば、仮想マシン管理者ロールを持つユーザーには、仮想マシン属性の読み取りや変更が許可されます。

権限を割り当てるときは、ユーザーまたはグループをロールとペアにして、このペアをインベントリオブジェクトに関連付けます。
各ユーザーまたはグループには、インベントリのオブジェクトごとに異なるロールを設定できます。

たとえば、インベントリにプール A とプール B という 2 つのリソースプールがある場合、Sales グループに、プール A では仮想マシンユーザーロールを割り当て、プール B では読み取り専用ロールを割り当てることができます。
この場合、Sales グループのユーザーはプール A の仮想マシンをパワーオンできますが、プール B の仮想マシンは表示のみが可能です。

デフォルトでは「システムロール」と「サンプルロール」が利用できる

■システムロール

システムロールは永続的なロール
このロールに関連付けられた権限は変更できない

■サンプルロール

頻繁に実行される特定の組み合わせの権限をまとめたロール
これらのロールはクローン / 作成 / 変更 / 削除することができる

参考：ロールを使用した権限の割り当て

オブジェクトへの権限追加時に設定する項目

実際にユーザAに対して「クラスタ」などのオブジェクトへの権限を設定する際には、以下の項目を設定する

ドメイン
ユーザー / グループ
ロール
子へ伝達

ユーザに権限を追加する際の手順

インベントリオブジェクトをクリック
｢権限｣タブをクリック
｢+｣をクリックし、「権限の追加」をクリック
｢ユーザ｣にて、ユーザが所属するドメインを選択
対象ユーザを検索して指定
割り当てたいロールを選択
必要に応じて｢子に伝達｣にチェックを入れる

選択したドメイン配下に存在するユーザー/グループの中で、対象のvCenterへの接続権限があるユーザー/グループが選択できる模様
指定したユーザー/グループに対してvCenter上で作成したロールの権限が与えられる

「子へ伝達」にチェックを入れた場合、そのオブジェクトだけでなく、その配下のオブジェクトに対しても権限が付与される

例えば、「vCenter ->データセンタ -> フォルダ -> 仮想マシン」というオブジェクト構成において、あるユーザAに対して「フォルダ」に「子へ伝達」にチェックを入れた状態でロールAを割り当てた場合、権限を与えられたユーザAは指定したフォルダおよびその配下の仮想マシンに対してロールAに紐付けられた権限の操作が可能になる

なお、上記の場合には「フォルダ」の親となる「vCenter」や「データセンタ」は画面上表示はされるものの、「このオブジェクトを表示する権限がないか、オブジェクトが存在しません。」と表示されて操作はできない

各オブジェクトでの操作内容

【層1】vCenter ：「このオブジェクトを表示する権限がないか～」と表示されて操作不可

【層2】データセンタ：「このオブジェクトを表示する権限がないか～」と表示されて操作不可

【層3】フォルダ（親）：ロールAに則った操作が可能

【層4】仮想マシン（子）：ロールAに則った操作が可能