Skip to main content
ONTAP tools for VMware vSphere 105
本製品の最新リリースがご利用いただけます。
日本語は機械翻訳による参考訳です。内容に矛盾や不一致があった場合には、英語の内容が優先されます。

vCenter ServerのRBACに関するONTAP toolsの考慮事項

共同作成者 netapp-revathid
PDF

ONTAP tools for VMware vSphere 10 の RBAC 実装には、vCenter Server を本番環境で使用する前に考慮すべきいくつかの側面があります。

vCenter のロールと管理者アカウント

カスタム vCenter Server ロールを定義して使用する必要があるのは、vSphere オブジェクトおよび関連する管理タスクへのアクセスを制限する場合のみです。アクセスを制限する必要がない場合は、代わりに管理者アカウントを使用できます。各管理者アカウントは、オブジェクト階層の最上位レベルで管理者ロールが定義されています。これにより、ONTAP tools for VMware vSphere 10 によって追加されたオブジェクトを含む、vSphere オブジェクトへのフルアクセスが提供されます。

vSphereオブジェクト階層

vSphereオブジェクトインベントリは階層構造で整理されています。例えば、以下のように階層を下っていくことができます。

vCenter Server -→ Datacenter -→ Cluster -→ ESXi host -→ Virtual Machine

すべての権限は、VAAI プラグイン操作を除く vSphere オブジェクト階層で検証されます。VAAI プラグイン操作は、対象の ESXi ホストに対して検証されます。

ONTAP tools for VMware vSphere 10 に含まれるロール

vCenter Server RBAC での作業を簡素化するために、ONTAP tools for VMware vSphere では、さまざまな管理タスクに合わせた事前定義ロールが提供されます。

メモ 必要に応じて、新しいカスタムロールを作成できます。そのためには、既存のONTAP toolsロールの1つをクローニングし、必要に応じて編集します。構成変更後、影響を受けるvSphereクライアントユーザーは、変更を有効にするために一度ログアウトしてから再度ログインする必要があります。

ONTAP tools for VMware vSphere のロールを表示するには、vSphere Client の上部にある Menu を選択し、Administration をクリックしてから、左側の Roles をクリックします。以下の権限は、vCenter Server の導入またはオンボーディングを担当する vCenter ユーザに割り当てられたロールに含める必要があります。これらの権限が、導入またはオンボーディング プロセスの前提条件として設定されていることを確認してください。

  • アラーム

    • 警報を確認する

  • コンテンツライブラリ

    • ライブラリアイテムを追加

    • テンプレートでチェックイン

    • テンプレートを確認する

    • ファイルをダウンロード

    • ストレージのインポート

    • ストレージを読み取る

    • ライブラリアイテムを同期する

    • 購読ライブラリを同期する

    • 設定を表示する

  • データストア

    • Allocate space

    • Browse datastore

    • Low level file operations

    • Remove file

    • Update virtual machine files

    • 仮想マシンのメタデータを更新する

  • ESX Agent Manager

    • View

  • フォルダ

    • フォルダを作成

  • ホスト

    • 構成

      • 詳細設定

      • 設定の変更

      • ネットワーク設定

      • System resources

      • 仮想マシンの自動起動構成

    • ローカル操作

      • Create virtual machine

      • Delete virtual machine

      • Reconfigure virtual machine

  • Network

    • Assign network

    • 設定

  • OvfManager

    • OvfConsumer アクセス

  • ホストプロファイル

    • View

  • リソース

    • Assign virtual machine to resource pool

  • スケジュールされたタスク

    • タスクを作成する

    • タスクの変更

    • タスクを実行する

  • タスク

    • タスクを作成する

    • タスクの更新

  • vApp

    • 仮想マシンを追加する

    • リソース プールの割り当て

    • vApp の割り当て

    • 作成

    • インポート

    • Move

    • Power off

    • Power on

    • URLから取得

    • OVF環境の表示

  • 仮想マシン

    • 構成の変更

      • Add existing disk

      • Add new disk

      • Add or remove device

      • 高度な設定

      • Change CPU count

      • メモリの変更

      • Change Settings

      • Change resource

      • Extend virtual disk

      • Modify device settings

      • Remove disk

      • ゲスト情報をリセットする

      • Upgrade virtual machine compatibility

    • 在庫を編集

      • Create from existing

      • Create new

      • Move

      • 登録

      • 削除

      • 登録解除

    • インタラクション

      • 仮想マシン上でのバックアップ操作

      • Configure CD media

      • Configure floppy media

      • デバイスを接続する

      • コンソール操作

      • VIX API によるゲストオペレーティングシステム管理

      • Power off

      • Power on

      • リセット

      • 中断

    • プロビジョニング

      • Allow disk access

      • Clone template

      • ゲストをカスタマイズ

      • Deploy template

      • カスタマイズ仕様の変更

      • Read customization specifications

    • Snapshotの管理

      • Snapshot の作成

      • Remove snapshot

      • スナップショットの名前を変更する

      • Revert to snapshot

以下に説明するように、あらかじめ定義された3つのロールがあります。

NetApp ONTAP tools for VMware vSphere 管理者

すべてのネイティブ vCenter Server の Privileges と、VMware vSphere 管理者タスクのコア ONTAP tools for VMware を実行するために必要な ONTAP tools 固有の Privileges を提供します。

NetApp ONTAP tools for VMware vSphere 読み取り専用

ONTAP tools への読み取り専用アクセスを提供します。これらのユーザーは、アクセス制御された ONTAP tools for VMware vSphere の操作を実行できません。

NetApp ONTAP tools for VMware vSphere のプロビジョニング

ストレージのプロビジョニングに必要なネイティブの vCenter Server Privileges の一部と ONTAP tools 固有の Privileges を提供します。以下のタスクを実行できます：

  • 新しいデータストアの作成

  • データストアの管理

vSphereオブジェクトとONTAPストレージバックエンド

これら2つのRBAC環境は連携して動作します。vSphereクライアントインターフェースでタスクを実行する際、vCenter Serverに定義されたONTAPツールのロールが最初にチェックされます。操作がvSphereによって許可されている場合、ONTAPロールの権限が確認されます。この2番目のステップは、ストレージバックエンドの作成および構成時にユーザーに割り当てられたONTAPロールに基づいて実行されます。

vCenter Server RBAC の操作

vCenter Server の権限とアクセス許可を使用する際には、いくつか考慮すべき点があります。

必要な権限

ONTAP tools for VMware vSphere 10 のユーザーインターフェースにアクセスするには、ONTAPツール固有の「表示」権限が必要です。vSphere にこの権限なしでサインインして NetApp アイコンをクリックすると、ONTAP tools for VMware vSphere はエラーメッセージを表示し、ユーザーインターフェースへのアクセスを禁止します。

vSphereオブジェクト階層での割り当てレベルによって、アクセスできるユーザー インターフェイスの部分が決まります。ルート オブジェクトに表示（View）Privilegesを割り当てると、NetAppアイコンをクリックしてONTAP tools for VMware vSphereにアクセスできるようになります。

代わりに、別の下位の vSphere オブジェクトレベルに「表示」権限を割り当てることができます。ただし、これにより、アクセスして使用できる ONTAP tools for VMware vSphere のメニューが制限されます。

アクセス許可の割り当て

vSphereオブジェクトおよびタスクへのアクセスを制限する場合は、vCenter Serverの権限を使用する必要があります。vSphereオブジェクト階層のどの位置に権限を割り当てるかによって、ユーザーが実行できるONTAP tools for VMware vSphere 10のタスクが決まります。

ヒント より制限的なアクセス権限を定義する必要がない限り、一般的にはルートオブジェクトまたはルートフォルダのレベルで権限を割り当てることをお勧めします。

ONTAP tools for VMware vSphere 10 で使用可能な権限は、ストレージシステムなどのカスタム非 vSphere オブジェクトに適用されます。可能であれば、割り当て先となる vSphere オブジェクトが存在しないため、これらの権限は ONTAP tools for VMware vSphere のルートオブジェクトに割り当てることをお勧めします。たとえば、ONTAP tools for VMware vSphere の「ストレージシステムの追加/変更/削除」権限を含む権限は、ルートオブジェクトレベルで割り当てる必要があります。

オブジェクト階層の上位レベルで権限を定義する場合、その権限が下位レベルに渡され、子オブジェクトに継承されるように構成できます。必要に応じて、子オブジェクトに追加の権限を割り当てて、親オブジェクトから継承された権限を上書きすることができます。

権限はいつでも変更できます。権限内の Privileges を変更すると、その権限に関連付けられているユーザーは vSphere からログアウトし、変更を有効にするために再度ログインする必要があります。