vCenter Server の RBAC と ONTAP tools for VMware vSphere の連携方法
変更を提案
PDF
ONTAP tools for VMware vSphereは、vCenter Serverとともにロールベースアクセス制御（RBAC）を実装し、vSphereオブジェクトおよび管理タスクへのアクセスを制御します。事前定義されたロール、権限の割り当て、およびvCenterとONTAP権限の相互作用を含むRBACモデルを理解することで、本番環境にONTAP toolsを導入する前に適切なアクセスを設定できます。
vCenterのロールと管理者アカウント
カスタムのvCenter Serverロールを定義して使用する必要があるのは、vSphereオブジェクトおよび関連する管理タスクへのアクセスを制限する場合のみです。アクセスを制限する必要がない場合は、代わりに管理者アカウントを使用できます。各管理者アカウントは、オブジェクト階層の最上位レベルにある管理者ロールで定義されます。これにより、ONTAP tools for VMware vSphere 10によって追加されたvSphereオブジェクトを含む、vSphereオブジェクトへのフルアクセスが提供されます。
vSphereオブジェクト階層
vSphereオブジェクトインベントリは階層構造になっています。たとえば、次のように階層を下に移動できます。
vCenter Server-→-→-→-→ Datacenter Cluster ESXi host Virtual Machine
vSphereオブジェクト階層ではすべての権限が検証されますが、VAAIプラグインの処理はターゲットESXiホストに対して検証されます。
ONTAP Tools for VMware vSphere 10に含まれるロール
vCenter Server RBAC での作業を簡素化するために、ONTAP tools for VMware vSphere では、さまざまな管理タスクに合わせた事前定義ロールが提供されます。
|
必要に応じて、新しいカスタムロールを作成できます。そのためには、既存のONTAP toolsロールの1つをクローニングし、必要に応じて編集します。構成変更後、影響を受けるvSphereクライアントユーザーは、変更を有効にするために一度ログアウトしてから再度ログインする必要があります。 |
ONTAP tools for VMware vSphere のロールを表示するには、vSphere Client の上部にある メニュー を選択し、管理 を選択してから、左側の ロール を選択します。以下の権限は、vCenter Server のデプロイまたはオンボーディングを担当する vCenter ユーザーに割り当てられたロールに含める必要があります。デプロイまたはオンボーディングプロセスを開始する前に、これらの権限が設定されていることを確認してください。
-
アラーム
-
アラームを確認する
-
-
コンテンツライブラリ
-
ライブラリアイテムを追加
-
テンプレートをチェックインする
-
テンプレートをチェックする
-
ファイルをダウンロードする
-
輸入ストレージ
-
ストレージの読み取り
-
ライブラリアイテムを同期
-
購読したライブラリを同期する
-
構成設定を表示する
-
-
データストア
-
Allocate space
-
Browse datastore
-
Low level file operations
-
Remove file
-
Update virtual machine files
-
仮想マシンのメタデータを更新する
-
-
ESXエージェントマネージャ
-
View
-
-
フォルダ
-
フォルダを作成
-
-
ホスト
-
構成
-
詳細設定
-
設定の変更
-
ネットワーク構成
-
System resources
-
仮想マシンの自動起動構成
-
-
現地での活動
-
Create virtual machine
-
Delete virtual machine
-
Reconfigure virtual machine
-
-
-
ネットワーク
-
Assign network
-
設定
-
-
Ovfマネージャー
-
OvfConsumer アクセス
-
-
ホストプロフィール
-
View
-
-
リソース
-
Assign virtual machine to resource pool
-
-
スケジュールされたタスク
-
タスクを作成する
-
タスクの変更
-
タスクを実行
-
-
タスク
-
タスクを作成
-
タスクの更新
-
-
vApp
-
仮想マシンを追加する
-
リソース プールの割り当て
-
vAppの割り当て
-
作成
-
インポート
-
動く
-
Power off
-
Power on
-
URLから取得
-
OVF環境の表示
-
-
仮想マシン
-
構成の変更
-
Add existing disk
-
Add new disk
-
Add or remove device
-
高度な設定
-
Change CPU count
-
メモリの変更
-
Change Settings
-
Change resource
-
Extend virtual disk
-
Modify device settings
-
Remove disk
-
ゲスト情報をリセットする
-
Upgrade virtual machine compatibility
-
-
在庫を編集
-
Create from existing
-
Create new
-
動く
-
登録
-
削除
-
登録解除
-
-
交流
-
仮想マシン上のバックアップ操作
-
Configure CD media
-
Configure floppy media
-
デバイスを接続する
-
コンソール操作
-
VIX APIによるゲストシステム管理
-
Power off
-
Power on
-
リセット
-
中断
-
-
プロビジョニング
-
Allow disk access
-
Clone template
-
ゲストをカスタマイズ
-
Deploy template
-
カスタマイズ仕様を変更する
-
Read customization specifications
-
-
Snapshotの管理
-
Snapshot の作成
-
Remove snapshot
-
スナップショットの名前を変更する
-
Revert to snapshot
-
-
ONTAP tools for VMware vSphereには、3つの事前定義されたロールが含まれています。
VMware vSphere管理者タスク用のコアONTAPツールを実行するために必要なvCenter Server PrivilegesおよびONTAPツール固有のPrivilegesをすべて提供します。
ONTAP toolsへの読み取り専用アクセスを許可します。アクセスが制御されたONTAP tools for VMware vSphereアクションを実行することはできません。
ストレージのプロビジョニングに必要なvCenter Server標準の権限とONTAP tools固有の権限が含まれています。次のタスクを実行できます。
-
新しいデータストアを作成する
-
データストアを管理します
vSphereオブジェクトとONTAPストレージのバックエンド
これら2つのRBAC環境は連携して動作します。vSphere Clientでタスクを実行すると、ONTAP toolsはまずvCenter Serverのロールを確認します。操作がvSphereによって許可されている場合、ONTAPロールの権限が確認されます。この2番目のステップは、ストレージバックエンドの作成および設定時にユーザーに割り当てられたONTAPロールに基づいて実行されます。
vCenter Server RBACノシヨウ
vCenter Server の権限とアクセス許可を使用する際は、以下の点に留意してください。
必要な権限
ONTAP tools for VMware vSphere 10 のユーザーインターフェースにアクセスするには、ONTAP tools 固有の「表示」権限が必要です。この権限なしで vSphere にサインインして NetApp アイコンを選択すると、ONTAP tools for VMware vSphere はエラーメッセージを表示し、ユーザーインターフェースへのアクセスを禁止します。
vSphereオブジェクト階層の割り当てレベルによって、ユーザインターフェイスのどの部分にアクセスできるかが決まります。ルートオブジェクトにView権限を割り当てると、NetAppアイコンをクリックしてONTAP tools for VMware vSphereにアクセスできるようになります。
代わりに、「表示」権限を別の下位の vSphere オブジェクトレベルに割り当てることができます。ただし、これによりアクセスできる ONTAP tools for VMware vSphere のメニューが制限されます。
権限を割り当てます
vSphereのオブジェクトおよびタスクへのアクセスを制限する場合は、vCenter Serverアクセス許可を使用する必要があります。vSphereオブジェクト階層で権限を割り当てる場所によって、ユーザが実行できるONTAP tools for VMware vSphere 10タスクが決まります。
|
アクセスをより制限的に定義する必要がないかぎり、ルートオブジェクトレベルまたはルートフォルダレベルで権限を割り当てることをお勧めします。 |
ONTAP tools for VMware vSphere 10で使用できる権限は、ストレージシステムなどのvSphere以外のカスタムオブジェクトに適用されます。割り当て可能なvSphereオブジェクトがないため、可能であればこれらのアクセス許可をONTAP tools for VMware vSphereルートオブジェクトに割り当てる必要があります。たとえば、ONTAP tools for VMware vSphereの「Add/Modify/Remove storage systems」権限を含むすべてのアクセス許可は、ルートオブジェクトレベルに割り当てる必要があります。
オブジェクト階層の上位レベルで権限を定義する場合、その権限が下位レベルに渡され、子オブジェクトに継承されるように構成できます。必要に応じて、子オブジェクトに追加の権限を割り当てて、親オブジェクトから継承された権限を上書きすることができます。
権限はいつでも変更できます。アクセス許可に含まれるPrivilegesを変更した場合、アクセス許可に関連付けられているユーザが変更を有効にするには、vSphereからログアウトしてログインし直す必要があります。