権限は、VMware Cloud Director のアクセス コントロールの基本単位です。ロールとは、ロール名に一連の権限が関連付けられたものです。組織ごとに異なる権限およびロールを設定できます。
VMware Cloud Director は、ロールとそれに関連付けられた権限を使用して、ユーザーまたはグループが操作の実行を許可されているかどうかを判断します。VMware Cloud Director のガイドに記載されている手順の多くには、前提条件ロールが含まれています。これらの前提条件では、指定されたロールが、未変更の事前定義ロール、または対応する一連の権限を含むロールであることを想定しています。
システム管理者とサブプロバイダ管理者は権限バンドルおよびグローバル テナント ロールを使用して、各組織で使用可能な権限およびロールを管理することができます。
VMware Cloud Director をインストールしたシステムには、System Rights Bundle のみが含まれており、このバンドルにはシステムで使用可能なすべての権限が含まれています。System Rights Bundle は、どの組織にも公開されません。システムには、デフォルトでは公開されていないサブプロバイダ管理者ロールを除き、system 組織によって管理されているすべての組織に公開される組み込みのグローバル テナント ロールも含まれます。事前定義済みロールの詳細については、「VMware Cloud Director の事前定義ロールとその権限」を参照してください。
システムには、System Rights Bundle に加えて、既存の組織ごとに Legacy Rights Bundle が含まれる場合があります。各 Legacy Rights Bundle にはアップグレード時点で関連付けられた組織で使用可能な権限で、この組織でのみ公開されているものが含まれています。
Legacy Rights Bundle を削除する必要があります。
VMware Cloud Director では、権限およびロールを管理するための OpenAPI が用意されています。VMware Cloud Director OpenAPI の詳細については、『VMware Cloud Director OpenAPI スタート ガイド』(https://developer.broadcom.com/) を参照してください。
権限に関する用語
- 権限
-
各権限は、
VMware Cloud Director で特定のオブジェクト タイプへのアクセスを管理および表示します。権限は、関連するオブジェクトに応じて、
vApp、Catalog、Organizationなどのさまざまなカテゴリに属しています。プロバイダ組織には、システムで使用可能なすべての権限が含まれています。 システム管理者は、各組織が使用できる権限を定義します。サブプロバイダは、管理する組織で使用できる権限を定義できます。 VMware Cloud Director に含まれる権限を作成または変更することはできません。 - 権限バンドル
- システム管理者は権限バンドルを使用して、各組織が使用できる権限を管理できます。権限バンドルとは、 システム管理者が 1 つ以上の組織に公開できる権限のセットを指します。 システム管理者または サブプロバイダ管理者は、サービスの階層、個別の収益化可能な機能、またはその他の任意の権限グループ分けに応じて権限バンドルを作成して、公開できます。 システム管理者と サブプロバイダ管理者は、自分が直接管理する組織にのみ権限バンドルを公開できます。たとえば、プロバイダはサブプロバイダが管理するテナント組織には権限バンドルを公開できません。権限バンドルを表示および管理できるのは、 システム管理者と サブプロバイダ管理者のみです。管理者は複数のバンドルを同じ組織に公開できます。
- 権限の分類
-
バージョン 10.6 以降では、
VMware Cloud Director の権限は、
Provider、Sub-provider、Tenantの 3 つのグループに分類されます。provider権限はプロバイダにのみ適用され、それ以外に割り当てたり、表示したりすることはできません。プロバイダは直接テナントにsub-provider権限を公開してサブプロバイダの機能を付与できますが、 サブプロバイダ管理者は自分が管理するテナント組織にsub-provider権限を公開できません。tenant権限は、誰にでも割り当てることができる通常の権限です。すべての VMware Cloud Director 権限の、API での権限の名前、ユーザー インターフェイスでの権限の名前、権限の分類、ユーザー インターフェイスでの権限カテゴリなどを含むリストについては、CSV 形式の VMware Cloud Director 10.6 Rights ファイルを参照してください。
または、VMware Cloud Director API を使用するときには権限の分類を確認できます。VMware Cloud Director は、各権限とともに
isPublishableフィールドを返します。このフィールドは、呼び出し元の分類とコンテキストに応じてtrueまたはfalseになります。たとえば、sub-providerと分類された権限は、プロバイダのコンテキストではtrueになりますが、サブプロバイダのコンテキストではfalseになります。
ロールに関する用語
- ロール
- ロールとは、1 つまたは複数のユーザーおよびグループに割り当てることができる権限セットを指します。ユーザーまたはグループを作成またはインポートするときは、ロールを割り当てる必要があります。
- プロバイダ ロール
- プロバイダ ロールとは、プロバイダ組織のみが使用できるロール セットを指します。 システム管理者は、プロバイダ ユーザーにのみプロバイダ ロールを割り当てることができます。 システム管理者は、カスタム プロバイダ ロールを作成できます。
- サブプロバイダ ロール
-
VMware Cloud Director 10.6 以降では、
システム管理者は必要な権限を組織に公開して、その組織をサブプロバイダ組織にすることができます。事前定義された
サブプロバイダ管理者ロールを持つユーザーは、組織および組織 VDC の作成と管理、サブプロバイダの組織内のユーザーとグループの管理、および事前定義された
サブプロバイダ管理者ロールを含むロールの割り当てを行うことができます。
サブプロバイダ管理者はサブプロバイダ組織内で活動します。
サブプロバイダ管理者ロールは、グローバル ロールと権限バンドルの両方を作成および公開できます。
サブプロバイダ ロールの詳細については、「VMware Cloud Director 管理の概要」を参照してください。サブプロバイダ権限の完全なリストについては、「事前定義グローバル テナント ロールの VMware Cloud Director 権限」を参照してください。
- テナント ロール
-
テナント ロールとは、組織が使用できるロール セットのことです。
システム管理者とサブプロバイダ管理者は、グローバル テナント ロールを作成および編集し、1 つ以上の組織に公開することができます。システム管理者とサブプロバイダ管理者は、自分が直接管理する組織にのみグローバル テナント ロールを公開できます。たとえば、プロバイダはサブプロバイダが管理するテナント組織にはグローバル テナント ロールを公開できません。管理者は、グローバル テナント ロールを公開先の組織内のテナント ユーザーに割り当てることができます。組織管理者は、グローバル テナント ロールを編集できません。
注： テナント ユーザーは、組織に公開されているロール内の権限のみを使用できます。 - テナント固有のロール
-
組織管理者は、組織に対してローカルなテナント固有のロールを作成および編集できます。テナント固有のロールは、所属先の組織内のテナント ユーザーにのみ割り当てることができます。テナント固有のロールには、組織の権限のサブセットのみを含めることができます。
テナント固有のロールの管理の詳細については、『VMware Cloud Director サブプロバイダおよびテナント ガイド』を参照してください。
