vSphere는 사용자가 작업을 수행하도록 허용되는지 여부를 결정할 수 있도록 세밀한 제어 기능을 갖춘 여러 모델을 지원합니다. vCenter Single Sign-On에서는 vCenter Single Sign-On 그룹의 그룹 멤버 자격을 사용하여 사용자가 수행하도록 허용하는 작업을 결정합니다. 개체에 대한 사용자의 역할 또는 글로벌 사용 권한은 vSphere에서 다른 작업을 수행하도록 허용하는지 여부를 결정합니다.

권한 부여 개요

vSphere 6.0 이상에서는 권한이 있는 사용자가 다른 사용자에게 작업을 수행할 수 있는 사용 권한을 할당할 수 있습니다. 글로벌 사용 권한을 사용하거나, 로컬 vCenter Server 사용 권한을 사용하여 개별 vCenter Server 인스턴스에 대한 권한을 다른 사용자에게 부여할 수 있습니다.
vCenter Server 사용 권한

vCenter Server 시스템의 사용 권한 모델은 개체 계층의 계체에 대한 사용 권한 할당을 사용합니다. 각 사용 권한은 하나의 사용자 또는 그룹에 일련의 권한, 즉 선택된 개체에 대한 역할을 부여합니다. 예를 들어 가상 시스템을 선택하고 사용 권한 추가를 선택하여 선택한 도메인의 사용자 그룹에 역할을 할당할 수 있습니다. 이 역할은 해당 사용자에게 VM에 대한 권한을 부여합니다.

글로벌 사용 권한
글로벌 사용 권한은 여러 솔루션에 걸쳐 있는 글로벌 루트 개체에 적용됩니다. 예를 들어 vCenter Server와 vRealize Orchestrator가 모두 설치된 경우 글로벌 사용 권한을 사용하거나, 특정 사용자 그룹에 두 개체 계층의 모든 개체에 대한 읽기 권한을 부여할 수 있습니다.
환경에 온프레미스 vCenter Server와 클라우드의 vCenter Server가 포함되는 경우 글로벌 사용 권한이 복제되지 않습니다.
vCenter Single Sign-On 그룹의 그룹 멤버 자격
VMware Cloud on AWS의 경우 클라우드 관리자 그룹이 vCenter Single Sign-On에 미리 정의되어 있습니다. 하이브리드 연결 모드를 사용하는 경우 이 그룹을 연결된 도메인에 추가합니다.

개체 수준 사용 권한 모델 이해

개체에 대한 사용 권한을 사용하여 vCenter 개체에 대한 작업 수행 권한을 사용자 또는 그룹에 부여합니다. vSphere 사용 권한 모델은 vSphere 개체 계층의 개체에 대한 사용 권한 할당을 사용합니다. 각 권한은 하나의 사용자 또는 그룹에 일련의 권한, 즉 선택된 개체에 대한 역할을 부여합니다. 예를 들어 사용자 그룹에 한 VM에 대한 읽기 전용 역할과 다른 VM에 대한 관리자 역할이 있을 수 있습니다.

다음 개념이 중요합니다.

사용 권한
vCenter Server 개체 계층의 각 개체에는 연결된 사용 권한이 있습니다. 각 사용 권한은 그룹 또는 사용자가 개체에 대한 권한을 가지고 있는 하나의 그룹 또는 사용자에 대해 지정됩니다.
사용자 및 그룹
vCenter Server 시스템에서, 인증된 사용자 또는 인증된 사용자의 그룹에만 권한을 할당할 수 있습니다. 사용자는 vCenter Single Sign-On을 통해 인증됩니다. vCenter Single Sign-On에서 인증하는 데 사용하는 ID 소스에서 사용자 및 그룹을 정의해야 합니다. Active Directory와 같은 ID 소스에서 도구를 사용하여 사용자 및 그룹을 정의합니다.
권한
권한은 세분화된 액세스 제어입니다. 이러한 권한을 역할로 그룹화한 다음 사용자 또는 그룹에 매핑할 수 있습니다.
역할
역할은 권한의 집합입니다. 역할을 사용하여 사용자가 수행하는 일련의 일반 작업을 기반으로 개체에 대한 사용 권한을 할당할 수 있습니다. 관리자와 같은 기본 역할은 vCenter Server에 미리 정의되어 있으며 변경할 수 없습니다. 리소스 풀 관리자와 같은 기타 역할은 미리 정의된 샘플 역할입니다. 사용자 지정 역할은 처음부터 생성하거나 샘플 역할을 복제 및 수정하여 생성할 수 있습니다. 사용자 지정 역할 생성을 참조하십시오.
그림 1. vSphere 사용 권한
몇 개의 권한이 하나의 역할에 결합되어 있습니다. 역할은 사용자 또는 그룹에 할당됩니다.
개체에 권한을 할당하려면 다음 단계를 따르십시오.
  1. vCenter 개체 계층에서 사용 권한을 적용할 개체를 선택합니다.

    VMware Cloud on AWS에서는 VMware가 관리하는 개체(예: vCenter Server 인스턴스 또는 ESXi 호스트)에 대한 사용 권한을 변경할 수 없습니다.

  2. 개체에 대한 권한을 가져야 하는 그룹 또는 사용자를 선택합니다.
  3. 개체에 대해 그룹 또는 사용자가 가져야 하는 개별 권한 또는 역할(일련의 권한)을 선택합니다.

    기본적으로 권한은 전파됩니다. 즉 그룹 또는 사용자는 선택된 개체와 그 하위 개체에 대해 선택된 역할을 가집니다.

vCenter Server는 자주 사용되는 권한 집합이 결합된 미리 정의된 역할을 제공합니다. 역할 집합을 결합하여 사용자 지정 역할을 생성할 수도 있습니다.

많은 경우 소스 개체 및 대상 개체 모두에 대해 사용 권한을 정의해야 합니다. 예를 들어, 가상 시스템을 이동하는 경우 가상 시스템에 대한 권한이 필요하며 대상 데이터 센터에 대한 권한도 필요합니다.

다음 정보를 참조하십시오.
참조 내용 참조 위치
사용자 지정 역할 생성 사용자 지정 역할 생성
모든 권한 그리고 권한을 적용할 수 있는 개체 정의된 권한
다양한 작업을 위해 다양한 개체에 필요한 권한 집합 일반 작업에 필요한 권한

vCenter Server 사용자 유효성 검사

디렉토리 서비스를 사용하는 vCenter Server 시스템은 정기적으로 사용자 디렉토리 도메인을 기준으로 사용자 및 그룹을 검증합니다. vCenter Server 설정에 지정된 간격마다 정기적으로 검증이 이루어집니다. 예를 들어 Smith라는 사용자에게 여러 개체에 대한 역할이 할당되어 있는 경우 도메인 관리자가 이름을 Smith2로 바꾼다면 다음번 검증 시 호스트에서 Smith가 더 이상 없다고 결론짓고 이 사용자에 연결된 사용 권한을 vSphere 개체에서 제거합니다.

마찬가지로, 도메인에서 사용자 Smith가 제거되면 다음 유효성 검사가 수행될 때 해당 사용자와 연관된 모든 권한이 제거됩니다. 다음에 검증이 수행되기 전에 새 사용자 Smith가 도메인에 추가되면 새 사용자 Smith가 개체에 대한 사용 권한에 있어 이전 사용자 Smith를 대체합니다.