NSX 支持在环境中设置多租户时创建组。
项目中的
组页面会显示以下组:
- 系统在项目中创建的默认组。
- 项目拥有的用户创建的组。
如果企业管理员与项目共享组,您可以选择查看共享组。
如果在项目中添加了
NSX VPC,则可以选择查看项目内的以下组:
- 系统在 NSX VPC 中创建的默认组。
- 用户在 NSX VPC 中创建的组。
默认情况下,与项目共享的组以及
NSX VPC 内的组不会显示在
组页面上。
- 要查看共享组,请单击共享对象复选框。
- 要查看 NSX VPC 内的组,请单击 VPC 已实现对象复选框。
您可以在组页面底部找到这些复选框。
例如,请参阅以下屏幕截图。
![在“组”页面上已选中“共享对象”和“VPC 对象”复选框。](images/GUID-99EC6FA7-BD31-4E96-8DD2-BDA2283ACD66-low.png)
可以观察到组名称旁边显示药丸形状的图标,可帮助您识别以下组:
- 由默认空间拥有并与项目共享的组。
- 在 NSX VPC 中创建的组,包括系统创建的 VPC 组和用户创建的 VPC 组。
项目中的默认组
NSX 会为环境中添加的每个项目创建一个通用类型的默认组。该默认组代表项目本身。
默认情况下,系统会将用户在项目中创建的所有分段添加到项目的默认组中。连接到项目中分段的那些虚拟机接口 (VIF) 才是默认组的成员。如果虚拟机为双宿主,例如,当一个接口连接到默认空间中的一个分段,而另一个接口连接到项目中的某个分段时,默认空间中该分段上的 VIF 将不是项目默认组的成员。
默认组可帮助您将防火墙规则的范围限制为特定项目。例如,在默认空间中添加 DFW 策略时,企业管理员可以在防火墙规则的源、目标或应用对象字段中使用项目的默认组。但是,默认空间中的防火墙策略不能使用项目的默认组以外的组。
以下命名约定用于标识项目中的默认组:
PROJECT-<Project_Name>-defaultProject_Name 将替换为系统中的实际值。
项目中用户创建的组
在项目中支持常规和仅限 IP 地址类型的组。
支持将以下
NSX 对象以静态方式添加到项目中的组定义:
- 分段
- 分段端口
- VIF
- 虚拟机
- 组
在“设置成员”对话框的成员选项卡上,系统仅显示项目拥有的对象。此对话框中未列出与项目共享的对象,因为共享对象不能作为成员添加到项目组中。
支持将以下
NSX 对象添加到项目中的动态组成员资格条件:
- 虚拟机
- 分段
- 分段端口
- 组
以下几点适用于在
NSX 环境的
默认视图(默认空间)中创建的组:
- 动态组成员资格评估为 NSX 系统中的所有虚拟机,包括项目中的虚拟机以及项目内 NSX VPC 中的虚拟机。
例如,如果默认空间中的组包含带有 Web 标记的虚拟机,则此组的有效成员将包括以下对象中带有 Web 标记的虚拟机:
- 项目
- 项目内部的 NSX VPC
- 项目外部(默认空间)
注: 标记是 NSX 中虚拟机的元数据。如果虚拟机连接到项目中的某个分段,则项目管理员和企业管理员均可为虚拟机分配标记。例如,假设在默认空间中,企业管理员为项目 1 中的虚拟机分配了一个标记。项目 1 的项目管理员可以修改向该虚拟机分配的标记,因为该虚拟机显示在项目 1 清单中。 - 对于默认空间中具有静态成员资格的组,可以通过明确引用虚拟机(“成员”>“虚拟机”)或添加项目默认组 (PROJECT-<Project_Name>-default) 来添加连接到项目的工作负载虚拟机。
在项目下创建的其他对象无法作为静态成员添加到默认空间中的组。
将组添加到项目
用于在项目中添加组的 UI 工作流与当前在 NSX 部署的默认视图(默认空间)中添加组的工作流相同。
唯一的区别在于,在 UI 中,您必须先从顶部应用程序栏上的项目下拉菜单中选择一个项目,然后导航到 ,才能在该选定项目中添加组。