vCenter Server オブジェクト階層では、タグ オブジェクトは vCenter Server の子でなく、vCenter Server のルート レベルに作成されます。複数の vCenter Server インスタンスがある環境では、タグ オブジェクトは vCenter Server インスタンス全体で共有されます。タグ オブジェクトに対する権限は、vCenter Server オブジェクト階層のその他のオブジェクトに対する権限とは機能が異なります。

グローバル権限またはタグ オブジェクトに割り当てられた権限のみ適用される

ESXi ホストや仮想マシンなどの vCenter Server インベントリ オブジェクトに対する権限をユーザーに付与しても、そのユーザーはそのオブジェクトに対してタグ操作を実行できません。

たとえば、ホスト TPA に vSphere タグを割り当て権限をユーザー Dana に付与しても、その権限によって Dana がホスト TPA にタグを割り当てることはできません。Dana は vSphere タグを割り当て権限を root レベルで取得する（つまりグローバル権限を取得する）か、そのタグ オブジェクトに対する権限を持つ必要があります。
表 1. グローバル権限およびタグ オブジェクト権限が、ユーザーの操作に与える影響
グローバル権限 タグレベル権限 vCenter Server オブジェクトレベル権限 有効な権限
タグ付け権限が割り当てられていない。 Dana には、そのタグに関して、vSphere タグを割り当てまたは割り当て解除権限がある。 Dana には、ESXi ホスト TPA における vSphere タグを削除権限がある。 Dana には、そのタグに関して、vSphere タグを割り当てまたは割り当て解除権限がある。
Dana には、vSphere タグを割り当てまたは割り当て解除権限がある。 そのタグに関する権限が割り当てられていない。 Dana には、ESXi ホスト TPA における vSphere タグを削除権限がある。 Dana には、vSphere タグを割り当てまたは割り当て解除グローバル権限がある。タグ レベルの権限を含む。
タグ付け権限が割り当てられていない。 そのタグに関する権限が割り当てられていない。 Dana には、ESXi ホスト TPA における vSphere タグを割り当てまたは割り当て解除権限がある。 Dana には、ホスト TPA をはじめ、どのオブジェクトに対してもタグ付け権限がない。

タグ オブジェクト権限を補足するグローバル権限

グローバル権限とは、ルート オブジェクトに関して割り当てられる権限であり、タグ オブジェクトに対する権限が制限されている場合に、タグ オブジェクトに対する権限を補足します。vCenter Server 権限は、タグ オブジェクトに影響しません。

たとえば、グローバル権限を使用して、root レベルでvSphere タグを削除権限をユーザー Robin に割り当てると仮定します。タグ Production に対しては、vSphere タグを削除権限を Robin に割り当てません。この場合、Robin はグローバル権限を持っているため、タグ Production に対しても権限を持ちます。グローバル権限を変更しない限り、権限を制限することはできません。

表 2. タグレベル権限を補足するグローバル権限
グローバル権限 タグレベル権限 有効な権限
Robin には、vSphere タグを削除権限がある。 Robin には、そのタグに関して、vSphere タグを削除権限がない。 Robin には、vSphere タグを削除権限がある。
タグ付け権限が割り当てられていない。 Robin には、そのタグに関して、vSphere タグを削除権限が割り当てられていない。 Robin には、vSphere タグを削除権限がない。

グローバル権限を拡張できるタグレベル権限

タグレベル権限を使用して、グローバル権限を拡張できます。つまり、ユーザーは 1 つのタグに関して、グローバル権限とタグレベル権限の両方を持つことができます。

表 3. タグレベル権限を拡張するグローバル権限
グローバル権限 タグレベル権限 有効な権限
Lee には、vSphere タグを割り当てまたは割り当て解除権限がある。 Lee には、vSphere タグを削除権限がある。 Lee には、そのタグに関して、vSphere タグを割り当て権限とvSphere タグを削除権限がある。
タグ付け権限が割り当てられていない。 Lee には、そのタグに関して、vSphere タグを削除権限が割り当てられている。 Lee には、そのタグに関して、vSphere タグを削除権限がある。