vSphere prend en charge plusieurs modèles pour déterminer si un utilisateur est autorisé à effectuer une tâche. L'appartenance à un groupe vCenter Single Sign-On détermine ce que vous êtes autorisé à faire. Votre rôle sur un objet ou votre autorisation globale détermine si vous êtes autorisé à effectuer d'autres tâches.
Présentation des autorisations
vSphere permet aux utilisateurs privilégiés d'accorder à d'autres utilisateurs des autorisations d'exécution de tâches. Vous pouvez exploiter les autorisations globales ou les autorisations vCenter Server locales pour permettre à d'autres utilisateurs d'utiliser des instances vCenter Server individuelles.
La figure suivante illustre le fonctionnement des autorisations globales et locales.
Dans cette figure :
- Vous attribuez une autorisation globale au niveau de l'objet racine en sélectionnant l'option « Propager vers les enfants ».
- vCenter Server propage les autorisations aux hiérarchies d'objets vCenter Server 1 et vCenter Server 2 dans l'environnement.
- Une autorisation locale sur le dossier racine sur vCenter Server 2 remplace l'autorisation globale.
- Autorisations vCenter Server
-
Le modèle d'autorisation des systèmes vCenter Server repose sur l'attribution d'autorisations à des objets dans la hiérarchie d'objets. Les utilisateurs obtiennent des autorisations de l'une des manières suivantes.
- À partir d'une autorisation spécifique pour l'utilisateur ou à partir des groupes dont l'utilisateur est membre.
- À partir d'une autorisation sur l'objet ou via l'héritage d'autorisations depuis un objet parent.
Chaque autorisation accorde à un utilisateur ou à un groupe un ensemble de privilèges, c'est-à-dire un rôle sur l'objet sélectionné. Vous pouvez utiliser vSphere Client pour ajouter des autorisations. Par exemple, vous pouvez cliquer avec le bouton droit sur une machine virtuelle, sélectionner Ajouter une autorisation et remplir la boîte de dialogue pour attribuer un rôle à un groupe d'utilisateurs. Ce rôle accorde à ces utilisateurs les privilèges correspondants sur la machine virtuelle.
Figure 2. Ajout d'autorisations à une machine virtuelle à l'aide de vSphere Client 
- Autorisations globales
- Les autorisations globales donnent à un utilisateur ou à un groupe des privilèges pour afficher ou gérer tous les objets dans chacune des hiérarchies d’inventaire des solutions du déploiement. Autrement dit, les autorisations globales sont appliquées à un objet racine global qui couvre les hiérarchies d’inventaire de solutions. (Les solutions incluent vCenter Server, vRealize Orchestrator, etc.) Les autorisations globales s'appliquent également aux objets globaux tels que les balises et les bibliothèques de contenu. Par exemple, envisagez un déploiement qui se compose de deux solutions : vCenter Server et vRealize Orchestrator. Vous pouvez utiliser des autorisations globales pour attribuer un rôle à un groupe d'utilisateurs qui dispose de privilèges en lecture seule sur tous les objets dans les hiérarchies d'objets vCenter Server et vRealize Orchestrator.
- Appartenance à un groupe dans des groupes vCenter Single Sign-On
- Les membres d'un groupe du domaine vCenter Single Sign-On peuvent effectuer certaines tâches. Par exemple, vous pouvez effectuer la gestion de licences si vous êtes membre du groupe LicenseService.Administrators. Consultez la documentation de Authentification vSphere.
Présentation du modèle d'autorisation de niveau objet
Vous autorisez un utilisateur ou un groupe d'utilisateurs à effectuer des tâches sur les objets vCenter Server en utilisant des autorisations sur l'objet. D'un point de vue programmatique, lorsqu'un utilisateur tente d'effectuer une opération, une méthode API est exécutée. vCenter Server vérifie les autorisations de cette méthode pour voir si l'utilisateur est autorisé à effectuer l'opération. Par exemple, lorsqu'un utilisateur tente d'ajouter un hôte, la méthode AddStandaloneHost_Task est invoquée. Cette méthode nécessite que le rôle de l'utilisateur dispose du privilège . Si la vérification ne trouve pas ce privilège, l'autorisation d'ajout de l'hôte est refusée à l'utilisateur.
Les concepts suivants sont importants.
- Autorisations
- Chaque objet de la hiérarchie des objets vCenter Server a des autorisations associées. Chaque autorisation spécifie pour un groupe ou un utilisateur les privilèges dont dispose ce groupe ou cet utilisateur sur l'objet. Les autorisations peuvent se propager aux objets enfants.
- Utilisateurs et groupes
- Sur les systèmes vCenter Server, vous ne pouvez attribuer des privilèges qu'aux utilisateurs ou aux groupes d'utilisateurs authentifiés. Les utilisateurs sont authentifiés via vCenter Single Sign-On. Les utilisateurs et les groupes doivent être définis dans la source d'identité utilisée par vCenter Single Sign-On pour l'authentification. Définissez les utilisateurs et les groupes à l'aide des outils de votre source d'identité, par exemple Active Directory.
- Privilèges
- Les privilèges sont des contrôles d'accès précis. Vous pouvez regrouper ces privilèges dans des rôles, que vous pouvez ensuite mapper à des utilisateurs ou à des groupes.
- Rôles
- Les rôles sont des ensembles de privilèges. Les rôles vous permettent d'attribuer des autorisations sur un objet en fonction d'un ensemble de tâches par défaut exécutées par les utilisateurs. Les rôles système, par exemple Administrateur, sont prédéfinis sur vCenter Server et ne peuvent pas être modifiés. vCenter Server fournit également des exemples de rôles par défaut, tels que l'administrateur de pool de ressources, que vous pouvez modifier. Vous pouvez créer des rôles personnalisés totalement nouveaux, ou cloner et modifier des exemples de rôles. Reportez-vous à la section Créer un rôle personnalisé vCenter Server.
La figure suivante illustre comment une autorisation est construite à partir de privilèges et de rôles, puis attribuée à un utilisateur ou à un groupe pour un objet vSphere.
- Sélectionnez l'objet auquel vous souhaitez appliquer l'autorisation dans la hiérarchie d'objets vCenter Server.
- Sélectionnez le groupe ou l'utilisateur qui doit avoir des privilèges sur l'objet.
- Sélectionnez des privilèges individuels ou un rôle, c'est-à-dire un ensemble de privilèges, que le groupe ou l'utilisateur doit avoir sur l'objet.
Par défaut, l'option Propager vers les enfants n'est pas sélectionnée. Vous devez cocher la case pour le groupe ou l'utilisateur afin d'obtenir le rôle sélectionné sur l'objet sélectionné et ses objets enfants.
vCenter Server offre des exemples de rôles qui combinent les ensembles de privilèges fréquemment utilisés. Vous pouvez également créer des rôles personnalisés en combinant un ensemble de rôles.
Les autorisations doivent souvent être définies à la fois sur un objet source et un objet de destination. Par exemple, si vous déplacez une machine virtuelle, vous devez disposer de privilèges sur cette machine virtuelle ainsi que sur le centre de données de destination.
| Pour savoir comment... | Reportez-vous à... |
|---|---|
| Création de rôles personnalisés. | Créer un rôle personnalisé vCenter Server |
| Tous les privilèges et objets auxquels vous pouvez appliquer les privilèges | Privilèges définis |
| Ensembles de privilèges requis sur des objets différents pour des tâches différentes. | Privilèges requis pour les tâches courantes |
Validation des utilisateurs de vCenter Server
Les systèmes vCenter Server qui utilisent régulièrement un service d'annuaire valident les utilisateurs et les groupes selon le domaine de l'annuaire utilisateur. La validation est effectuée à intervalles réguliers, comme spécifié dans les paramètres de vCenter Server. Par exemple, supposez qu'un rôle soit attribué à l'utilisateur Smith sur plusieurs objets. L'administrateur de domaine modifie le nom en Smith2. L'hôte conclut que Smith n'existe plus et supprime les autorisations associées à cet utilisateur à partir des objets vSphere lors de la prochaine validation.
De même, si l'utilisateur Smith est supprimé du domaine, toutes les autorisations associées à cet utilisateur sont supprimées lors de la validation suivante. Si un nouvel utilisateur Smith est ajouté au domaine avant la validation suivante, les autorisations des objets de l'ancien utilisateur Smith sont remplacées par celles du nouvel utilisateur Smith.
