Na hierarquia de objetos vCenter Server, os objetos de tag não são filhos de vCenter Server, mas são criados no nível superior vCenter Server. Em ambientes com várias instâncias de vCenter Server, os objetos de tag são compartilhados entre instâncias de vCenter Server. As permissões para objetos de tag funcionam de forma diferente das permissões para outros objetos na hierarquia de objetos vCenter Server.

Somente permissões globais ou permissões atribuídas ao objeto de tag se aplicam

Se você conceder permissões a um usuário em um objeto de inventário do vCenter Server, como uma máquina virtual, esse usuário poderá realizar as tarefas associadas à permissão. No entanto, o usuário não pode realizar operações de tag no objeto.

Por exemplo, se você conceder o privilégio Assign vSphere Tag ao usuário Dana no host TPA, essa permissão não afetará se o Dana pode atribuir tags no host TPA. O Dana deve ter o privilégio Assign vSphere Tag no nível superior, ou seja, uma permissão global, ou deve ter o privilégio para o objeto de tag.
Tabela 1. Como as permissões globais e as permissões de objeto de tag afetam o que os usuários podem fazer
Permissão global Permissão em nível de tag Permissão de nível de objeto do vCenter Server Permissão efetiva
Nenhum privilégio de marcação atribuído. A Dana tem privilégios de Atribuir ou Cancelar Atribuição de Tag do vSphere para a tag. A Dana tem privilégios de Delete vSphere Tag no ESXi host TPA. A Dana tem privilégios de Atribuir ou Cancelar Atribuição de Tag do vSphere para a tag.
A Dana tem privilégios de Atribuir ou Cancelar Atribuição de Etiqueta do vSphere . Nenhum privilégio atribuído para a tag. A Dana tem privilégios de Delete vSphere Tag no ESXi host TPA. A Dana tem privilégios globais Atribuir ou Cancelar Atribuição de Etiqueta do vSphere . Isso inclui privilégios no nível de tag.
Nenhum privilégio de marcação atribuído. Nenhum privilégio atribuído para a tag. A Dana tem privilégios de Atribuir ou Cancelar Atribuição de Etiqueta do vSphere ESXi na TPA de host. O Dana não tem privilégios de marcação em nenhum objeto, incluindo o host TPA.

Permissões globais Complementam as permissões do objeto de tag

Permissões globais, ou seja, permissões que são atribuídas no objeto de nível superior, complementam as permissões em objetos de tag quando as permissões nos objetos de tag são mais restritivas. As permissões de vCenter Server não afetam os objetos de tag.

Por exemplo, suponha que você atribua o privilégio Delete vSphere Tag ao usuário Robin no nível superior usando permissões globais. Para a tag Production, você não atribui o privilégio Delete vSphere Tag a Robin. Nesse caso, Robin tem o privilégio para a tag Produção porque Robin tem a permissão global, que se propaga do nível superior. Você não pode restringir os privilégios, a menos que você modifique a permissão global.

Tabela 2. Permissões globais complementam as permissões de nível de tag
Permissão global Permissão em nível de tag Permissão efetiva
Robin tem privilégios Delete vSphere Tag Robin não tem privilégios Delete vSphere Tag para a tag. Robin tem privilégios Delete vSphere Tag .
Nenhum privilégio de marcação atribuído Robin não tem privilégios Delete vSphere Tag atribuídos para a tag. Robin não tem privilégios Delete vSphere Tag

Permissões de nível de tag podem estender permissões globais

Você pode usar permissões de nível de tag para estender permissões globais. Isso significa que os usuários podem ter uma permissão global e uma permissão de nível de tag em uma tag.

Observação: Esse comportamento é diferente de como os privilégios de vCenter Server são herdados. Em vCenter Server, as permissões definidas para um objeto filho sempre substituem as permissões que são propagadas de objetos pai.
Tabela 3. Permissões globais Estender permissões de nível de tag
Permissão global Permissão em nível de tag Permissão efetiva
Lee tem o privilégio Atribuir ou Cancelar atribuição de tag do vSphere . Lee tem o privilégio Delete vSphere Tag . Lee tem o privilégio Assign vSphere Tag e o privilégio Delete vSphere Tag para a tag.
Nenhum privilégio de marcação atribuído. Lee tem o privilégio Delete vSphere Tag atribuído para a tag. Lee tem o privilégio Delete vSphere Tag para a tag.