管理工作流权限的最佳实践

您可以使用 vRealize Orchestrator 限制可以查看工作流并与之交互的用户配置。理想情况下，只有管理员可以在 vRealize Orchestrator 中与工作流交互。委派管理员和最终用户通过 vSphere Web Client 或 vRealize Automation 与工作流交互。

vRealize Orchestrator Plug-in for Horizon 安装了一些工作流，这些工作流将组织到 vRealize Orchestrator 用户界面的目录中。API access 和 Business logic 文件夹不可修改，因为其内容构成了其他可执行工作流的构建块。为防止未经授权即对工作流进行自定义，最佳做法是，对于某些文件夹，移除所有用户（管理员除外）的编辑权限。

注： 仅当要向委派管理员和最终用户隐藏 CoreModules 文件夹和 View 文件夹内的配置元素时，才需要本主题中的建议权限设置。

在工作流视图中，可设置以下访问权限：

• 在左侧窗格中的根文件夹上，可设置访问权限，使委派管理员仅拥有查看和执行权限。
• 在 Configuration 文件夹和 CoreModules 文件夹上，可设置访问权限，使委派管理员不具有任何权限，并且无法查看文件夹。此限制会覆盖在根文件夹上设置的权限。
• 在 CoreModules 文件夹的 Business logic 文件夹上，可设置访问权限，使委派管理员仅具有查看权限。
• 在 CoreModules 文件夹的 API access 文件夹上，可设置访问权限，使委派管理员仅具有查看权限。
• 在 vSphereWebClient 文件夹上，可设置访问权限，使委派管理员仅具有查看权限。

如果您不熟悉设置访问权限的过程，请参阅 vRealize Orchestrator 文档中的“在工作流上设置用户权限”。

在配置视图中，可设置以下访问权限：

• 在 View 文件夹上，可设置访问权限，使委派管理员不具有任何权限。
• 在所有配置元素（位于 View 文件夹中）上，可设置访问权限，使委派管理员仅拥有查看权限。

如果您不熟悉设置访问权限的过程，请参阅 vRealize Orchestrator 文档中的“创建配置元素”。