Usuarios y funciones

NSX utiliza funciones existentes e introduce otras nuevas para admitir varios tenants.

A continuación, se muestran algunas de las funciones que se utilizan en el contexto de varios tenants:

Funciones que tienen acceso al espacio de / , lo que les permite acceder a toda la configuración en /infra y /org:
- Administrador empresarial: el administrador del proveedor es responsable de preparar la infraestructura y es un superusuario que puede acceder a configuraciones dentro y fuera de proyectos.
- Auditor: los usuarios con esta función tienen acceso de solo lectura a la configuración y a los ajustes del sistema, pero tienen acceso completo a las herramientas de solución de problemas.
Funciones introducidas en NSX 4.0.1.1 para varios tenants que solo tienen acceso a la configuración en /orgs:
- Administrador de organización (vista previa técnica, no para implementaciones de producción): el rol de administrador de organización está disponible actualmente en el modo de vista previa técnica para administrar proyectos dentro de la organización. Sin embargo, esta función no tiene acceso a los objetos /infra necesarios para crear proyectos. Utilice la función de administrador empresarial para la creación de proyectos.
- Administrador de proyectos: el administrador de proyectos administra un proyecto y tiene acceso completo a la configuración dentro de ese proyecto.

Asigne la función de administrador de proyectos mediante la siguiente llamada API:

POST /policy/api/v1/aaa/role-bindings/

Solicitud de ejemplo:

URL:

POST https://{{nsx-manager-ip}}/policy/api/v1/aaa/role-bindings/

Cuerpo:

{
    “name”: “[email protected]”,
    “type”: “remote_user”,
    “roles_for_paths”: [
        {
            “path”: “/orgs/default/projects/project-1”,
            “roles”: [
                {
                    “role”: “project_admin”
                }
            ]
        }
    ],
    “resource_type”: “RoleBinding”,
    “identity_source_type”: “LDAP”,
    “read_roles_for_paths”: true
}

También puede asignar las siguientes funciones existentes a un proyecto específico proporcionando la ruta del proyecto:

Administrador de red: la función Administrador de red, cuando se asigna a una ruta de proyecto, administra las redes y los servicios en ese nivel de proyecto.
Operador de red: los usuarios con esta función, cuando se asignan a una ruta de proyecto, tienen acceso de solo lectura a la configuración de redes en ese nivel de proyecto.
Administrador de seguridad: la función Administrador de seguridad, cuando se asigna a una ruta de proyecto, administra las directivas de seguridad en ese nivel de proyecto.
Operador de seguridad: los usuarios con esta función, cuando se asignan a una ruta de proyecto, tienen acceso de solo lectura a la configuración de seguridad en ese nivel de proyecto.

Solicitud de muestra para asignar una función para un proyecto específico:

URL:

POST https://{{nsx-manager-ip}}/policy/api/v1/aaa/role-bindings/

Cuerpo:

{
    “name”: “[email protected]”,
    “type”: “remote_user”,
    “roles_for_paths”: [
        {
            “path”: “/orgs/default/projects/project-1”,
            “roles”: [
                {
                    “role”: “network_engineer”
                }
            ]
        }
    ],
    “resource_type”: “RoleBinding”,
    “identity_source_type”: “LDAP”,
    “read_roles_for_paths”: true
}

Autenticación

El modo de varios tenants de NSX admite usuarios configurados en varios tipos de orígenes de identidad. A continuación, se muestran los tipos compatibles de orígenes de identidad y sus parámetros de configuración:

Usuarios locales (admin, audit, guestuser1, guestuser2)
```
“type”: “local_user”,
```

vIDM (VMware Identity Manager)

“type”: “remote_user”,
“identity_source_type”: “VIDM”,

LDAP (Protocolo ligero de acceso a directorios)

“type”: “remote_user”,
“identity_source_type”: “LDAP”,

Identidad de entidad de seguridad (mediante certificado o token JWT)
Las funciones solo se pueden asignar mediante la API de identidad principal.