En la jerarquía de objetos de vCenter Server, los objetos de etiqueta no son objetos secundarios de vCenter Server, sino que se crean al nivel superior de vCenter Server. En los entornos que tienen varias instancias de vCenter Server, los objetos de etiqueta se comparten en las instancias de vCenter Server. El funcionamiento de los permisos para los objetos de etiqueta es distinto al de los permisos para otros objetos de la jerarquía de objetos de vCenter Server.

Solo se aplican los permisos globales o los permisos asignados al objeto de etiqueta

Si otorga permisos a un usuario en un objeto de inventario de vCenter Server, como una máquina virtual, ese usuario puede realizar las tareas asociadas con el permiso. Sin embargo, el usuario no puede realizar operaciones de etiquetado en el objeto.

Por ejemplo, si otorga el privilegio Asignar etiqueta de vSphere al usuario Dana en el host TPA, ese permiso no afecta la posibilidad de Dana de asignar etiquetas en el host TPA. Dana debe tener el privilegio Asignar etiqueta de vSphere en el nivel superior, es decir, un permiso global, o debe tener el privilegio para el objeto de etiqueta.
Tabla 1. Cómo influyen los permisos globales y los permisos de objeto de etiqueta en lo que pueden hacer los usuarios
Permiso global Permiso de nivel de etiqueta Permiso de nivel de objeto de vCenter Server Permiso efectivo
No hay privilegios de etiquetado asignados. Dana tiene los privilegios Asignar o desasignar etiqueta de vSphere para la etiqueta. Dana tiene los privilegios Eliminar etiqueta de vSphere en el host ESXi TPA. Dana tiene los privilegios Asignar o desasignar etiqueta de vSphere para la etiqueta.
Dana tiene los privilegios Asignar o desasignar etiqueta de vSphere. No hay privilegios asignados para la etiqueta. Dana tiene los privilegios Eliminar etiqueta de vSphere en el host ESXi TPA. Dana tiene los privilegios globales Asignar o desasignar etiqueta de vSphere. Eso incluye privilegios en el nivel de etiqueta.
No hay privilegios de etiquetado asignados. No hay privilegios asignados para la etiqueta. Dana tiene los privilegios Asignar o desasignar etiqueta de vSphere en el host ESXi TPA. Dana no tiene privilegios de etiquetado en ningún objeto, incluido el host TPA.

Los permisos globales complementan los permisos de objeto de etiqueta

Los permisos globales, es decir, los permisos que están asignados en el objeto de nivel superior, complementan los permisos en los objetos de etiqueta cuando los permisos de los objetos de etiqueta tienen más restricciones. Los permisos de vCenter Server no influyen en los objetos de etiqueta.

Por ejemplo, suponga que asigna el privilegio Eliminar etiqueta de vSphere al usuario Robin en el nivel superior mediante el uso de permisos globales. Para la producción de la etiqueta, no asigna el privilegio Eliminar etiqueta de vSphere a Robin. En ese caso, Robin tiene el privilegio para la producción de etiqueta porque tiene el permiso global, que se propaga desde el nivel superior. No se pueden restringir los privilegios a menos que se modifique el permiso global.

Tabla 2. Los permisos globales complementan los permisos de nivel de etiqueta
Permiso global Permiso de nivel de etiqueta Permiso efectivo
Robin tiene los privilegios Eliminar etiqueta de vSphere. Robin no tiene los privilegios Eliminar etiqueta de vSphere para la etiqueta. Robin tiene los privilegios Eliminar etiqueta de vSphere.
No hay privilegios de etiquetado asignados. Robin no tiene los privilegios Eliminar etiqueta de vSphere asignados para la etiqueta. Robin no tiene los privilegios Eliminar etiqueta de vSphere.

Los permisos de nivel de etiqueta pueden extender los permisos globales

Se pueden utilizar permisos de nivel de etiqueta para extender los permisos globales. Eso significa que los usuarios pueden tener un permiso global y un permiso de nivel de etiqueta en una etiqueta.

Nota: Este comportamiento es diferente de la forma vCenter Server se heredan los privilegios. En vCenter Server, los permisos definidos para un objeto secundario siempre anulan los permisos propagados desde los objetos primarios.
Tabla 3. Los permisos globales extienden los permisos de nivel de etiqueta
Permiso global Permiso de nivel de etiqueta Permiso efectivo
Lee tiene el privilegio Asignar o desasignar etiqueta de vSphere. Lee tiene el privilegio Eliminar etiqueta de vSphere. Lee tiene los privilegios Asignar etiqueta de vSphere y Eliminar etiqueta de vSphere para la etiqueta.
No hay privilegios de etiquetado asignados. Lee tiene el privilegio Eliminar etiqueta de vSphere asignado para la etiqueta. Lee tiene el privilegio Eliminar etiqueta de vSphere para la etiqueta.