Rollenbasierte Zugriffskontrolle in SnapCenter
Änderungen vorschlagen
PDFs
Die rollenbasierte Zugriffskontrolle (RBAC) und ONTAP Berechtigungen von SnapCenter ermöglichen es SnapCenter Administratoren, die Kontrolle über SnapCenter -Ressourcen an verschiedene Benutzer oder Benutzergruppen zu delegieren. Dieser zentral verwaltete Zugriff ermöglicht Anwendungsadministratoren, sicher in delegierten Umgebungen zu arbeiten.
Sie können jederzeit Rollen erstellen und ändern und Benutzern Ressourcenzugriff gewähren. Wenn Sie SnapCenter jedoch zum ersten Mal einrichten, sollten Sie zumindest Active Directory-Benutzer oder -Gruppen zu Rollen hinzufügen und diesen Benutzern oder Gruppen dann Ressourcenzugriff gewähren.
|
Sie können SnapCenter nicht zum Erstellen von Benutzer- oder Gruppenkonten verwenden. Sie sollten Benutzer- oder Gruppenkonten im Active Directory des Betriebssystems oder der Datenbank erstellen. |
Arten von RBAC in SnapCenter
SnapCenter verwendet die folgenden Arten der rollenbasierten Zugriffskontrolle:
-
SnapCenter RBAC
-
RBAC auf Anwendungsebene
-
SnapCenter -Plug-in für VMware vSphere RBAC
-
ONTAP-Berechtigungen
SnapCenter RBAC
SnapCenter verfügt über vordefinierte Rollen und Sie können diesen Rollen Benutzer oder Benutzergruppen zuweisen. Die vordefinierten Rollen sind:
-
SnapCenter -Administratorrolle
-
Rolle „App-Backup und -Klon-Administrator“
-
Rolle „Backup- und Klon-Viewer“
-
Rolle des Infrastrukturadministrators
Wenn Sie einem Benutzer eine Rolle zuweisen, werden auf der Seite „Jobs“ nur die für diesen Benutzer relevanten Jobs angezeigt, es sei denn, Sie haben ihm die Rolle „SnapCenterAdmin“ zugewiesen.
Sie können auch neue Rollen erstellen und Berechtigungen und Benutzer verwalten. Sie können Benutzern oder Gruppen Berechtigungen für den Zugriff auf SnapCenter -Objekte wie Hosts, Speicherverbindungen und Ressourcengruppen zuweisen.
Sie können Benutzern und Gruppen innerhalb derselben Gesamtstruktur und Benutzern, die zu verschiedenen Gesamtstrukturen gehören, RBAC-Berechtigungen zuweisen. Sie können Benutzern, die zu verschachtelten Gruppen gehören, keine RBAC-Berechtigungen über Gesamtstrukturen hinweg zuweisen.
|
|
Wenn Sie eine benutzerdefinierte Rolle erstellen, muss diese alle Berechtigungen der SnapCenterAdmin-Rolle enthalten. Wenn Sie nur einige der Berechtigungen kopieren, beispielsweise „Host hinzufügen“ oder „Host entfernen“, können Sie diese Vorgänge nicht ausführen. |
Benutzer müssen sich bei der Anmeldung über die grafische Benutzeroberfläche (GUI) oder mithilfe von PowerShell-Cmdlets authentifizieren. Wenn Benutzer Mitglieder mehrerer Rollen sind, werden sie nach der Eingabe der Anmeldeinformationen aufgefordert, die Rolle anzugeben, die sie verwenden möchten. Benutzer müssen sich außerdem authentifizieren, um die APIs auszuführen.
RBAC auf Anwendungsebene
SnapCenter verwendet Anmeldeinformationen, um zu überprüfen, ob autorisierte SnapCenter Benutzer auch über Berechtigungen auf Anwendungsebene verfügen.
Wenn Sie beispielsweise Datenschutzvorgänge in einer SQL Server-Umgebung durchführen möchten, müssen Sie die Anmeldeinformationen mit den richtigen Windows- oder SQL-Anmeldeinformationen festlegen. Der SnapCenter -Server authentifiziert die festgelegten Anmeldeinformationen mit einer der beiden Methoden. Wenn Sie Datenschutzvorgänge in einer Windows-Dateisystemumgebung auf ONTAP -Speicher durchführen möchten, muss die SnapCenter Administratorrolle über Administratorrechte auf dem Windows-Host verfügen.
Wenn Sie Datenschutzvorgänge für eine Oracle-Datenbank durchführen möchten und die Betriebssystemauthentifizierung im Datenbankhost deaktiviert ist, müssen Sie die Anmeldeinformationen mit den Anmeldeinformationen der Oracle-Datenbank oder von Oracle ASM festlegen. Der SnapCenter -Server authentifiziert die festgelegten Anmeldeinformationen je nach Vorgang mit einer dieser Methoden.
SnapCenter Plug-in for VMware vSphere RBAC
Wenn Sie das SnapCenter VMware-Plug-In für VM-konsistenten Datenschutz verwenden, bietet der vCenter Server eine zusätzliche RBAC-Ebene. Das SnapCenter VMware-Plug-in unterstützt sowohl vCenter Server RBAC als auch ONTAP RBAC. "Weitere Informationen"
Best Practice: NetApp empfiehlt, dass Sie eine ONTAP Rolle für SnapCenter Plug-in for VMware vSphere Vorgänge erstellen und ihr alle erforderlichen Berechtigungen zuweisen. |
ONTAP-Berechtigungen
Sie sollten ein vsadmin-Konto mit den erforderlichen Berechtigungen für den Zugriff auf das Speichersystem erstellen."Weitere Informationen"
Den vordefinierten SnapCenter -Rollen zugewiesene Berechtigungen
Wenn Sie einen Benutzer zu einer Rolle hinzufügen, müssen Sie entweder die Berechtigung „StorageConnection“ zuweisen, um die Kommunikation mit der Storage Virtual Machine (SVM) zu ermöglichen, oder dem Benutzer eine SVM zuweisen, um die Berechtigung zur Verwendung der SVM zu aktivieren. Mit der Berechtigung „Speicherverbindung“ können Benutzer SVM-Verbindungen erstellen.
Beispielsweise kann ein Benutzer mit der SnapCenter -Administratorrolle SVM-Verbindungen erstellen und sie einem Benutzer mit der Rolle „App Backup and Clone Admin“ zuweisen, der standardmäßig nicht über die Berechtigung zum Erstellen oder Bearbeiten von SVM-Verbindungen verfügt. Ohne eine SVM-Verbindung können Benutzer keine Sicherungs-, Klon- oder Wiederherstellungsvorgänge durchführen.
SnapCenter -Administratorrolle
Für die SnapCenter Administratorrolle sind alle Berechtigungen aktiviert. Sie können die Berechtigungen für diese Rolle nicht ändern. Sie können der Rolle Benutzer und Gruppen hinzufügen oder sie entfernen.
Rolle „App-Backup und -Klon-Administrator“
Die Rolle „App-Backup- und -Klon-Administrator“ verfügt über die erforderlichen Berechtigungen zum Ausführen administrativer Aktionen für Anwendungs-Backups und klonbezogene Aufgaben. Diese Rolle verfügt nicht über Berechtigungen für Hostverwaltung, Bereitstellung, Speicherverbindungsverwaltung oder Remoteinstallation.
| Berechtigungen | Ermöglicht | Erstellen | Lesen | Aktualisieren | Löschen |
|---|---|---|---|---|---|
Ressourcengruppe |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Politik |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Sicherung |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Gastgeber |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Speicherverbindung |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Klonen |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Bestimmung |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Dashboard |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Berichte |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Wiederherstellen |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Ressource |
Ja |
Ja |
Ja |
Ja |
Ja |
Plug-in installieren/deinstallieren |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
|
Migration |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Montieren |
Ja |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Aushängen |
Ja |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Vollständige Volume-Wiederherstellung |
Nein |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Sekundärschutz |
Nein |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Job-Monitor |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Rolle „Backup- und Klon-Viewer“
Die Rolle „Backup- und Klon-Viewer“ verfügt über schreibgeschützte Ansicht aller Berechtigungen. Für diese Rolle sind außerdem Berechtigungen für die Erkennung, Berichterstellung und den Zugriff auf das Dashboard aktiviert.
| Berechtigungen | Ermöglicht | Erstellen | Lesen | Aktualisieren | Löschen |
|---|---|---|---|---|---|
Ressourcengruppe |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Politik |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Sicherung |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Gastgeber |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Speicherverbindung |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Klonen |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Bestimmung |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Dashboard |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Berichte |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Wiederherstellen |
Nein |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Ressource |
Nein |
Nein |
Ja |
Ja |
Nein |
Plug-in installieren/deinstallieren |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Migration |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Montieren |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Aushängen |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Vollständige Volume-Wiederherstellung |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Sekundärschutz |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Job-Monitor |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Rolle des Infrastrukturadministrators
Die Rolle „Infrastrukturadministrator“ verfügt über Berechtigungen für Hostverwaltung, Speicherverwaltung, Bereitstellung, Ressourcengruppen, Remote-Installationsberichte und Zugriff auf das Dashboard.
| Berechtigungen | Ermöglicht | Erstellen | Lesen | Aktualisieren | Löschen |
|---|---|---|---|---|---|
Ressourcengruppe |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Politik |
Nicht zutreffend |
Nein |
Ja |
Ja |
Ja |
Sicherung |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Gastgeber |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Speicherverbindung |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Klonen |
Nicht zutreffend |
Nein |
Ja |
Nein |
Nein |
Bestimmung |
Nicht zutreffend |
Ja |
Ja |
Ja |
Ja |
Dashboard |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Berichte |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Wiederherstellen |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Ressource |
Ja |
Ja |
Ja |
Ja |
Ja |
Plug-in installieren/deinstallieren |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Migration |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Montieren |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Aushängen |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Vollständige Volume-Wiederherstellung |
Nein |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Sekundärschutz |
Nein |
Nein |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Job-Monitor |
Ja |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |
Nicht zutreffend |