vCenter Server RBAC의 ONTAP tools 관련 고려 사항
변경 제안
PDF
운영 환경에서 사용하기 전에 고려해야 할 vCenter Server와 함께 사용하는 ONTAP tools for VMware vSphere 10 RBAC 구현의 몇 가지 측면이 있습니다.
vCenter 역할 및 관리자 계정
vCenter Server의 사용자 지정 역할을 정의하고 사용해야 하는 경우는 vSphere 객체 및 관련 관리 작업에 대한 액세스를 제한하려는 경우뿐입니다. 액세스 제한이 필요하지 않은 경우에는 관리자 계정을 대신 사용할 수 있습니다. 각 관리자 계정은 객체 계층 구조의 최상위 수준에서 관리자 역할로 정의됩니다. 이렇게 하면 ONTAP tools for VMware vSphere 10에 추가된 객체를 포함하여 vSphere 객체에 대한 전체 액세스 권한이 제공됩니다.
vSphere 객체 계층 구조
The vSphere 객체 인벤토리는 계층 구조로 구성되어 있습니다. 예를 들어 다음과 같이 계층 구조를 따라 아래로 이동할 수 있습니다.
vCenter Server -→ Datacenter -→ Cluster -→ ESXi host -→ Virtual Machine
모든 권한은 vSphere 객체 계층 구조에서 유효성 검사를 거치지만, VAAI 플러그인 작업은 대상 ESXi 호스트를 대상으로 유효성 검사를 거칩니다.
ONTAP tools for VMware vSphere 10에 포함된 역할
vCenter Server RBAC 작업을 간소화하기 위해 ONTAP tools for VMware vSphere는 다양한 관리 작업에 맞춰 사전 정의된 역할을 제공합니다.
|
필요한 경우 새 사용자 지정 역할을 생성할 수 있습니다. 이렇게 하려면 기존 ONTAP tools 역할 중 하나를 복제하고 필요에 따라 편집하십시오. 구성 변경 후 영향을 받는 vSphere 클라이언트 사용자는 로그아웃했다가 다시 로그인하여 변경 사항을 적용해야 합니다. |
VMware vSphere용 ONTAP 도구 역할을 보려면 vSphere Client 상단의 *Menu*를 선택하고 *Administration*을 클릭한 다음 왼쪽의 *Roles*를 클릭합니다. vCenter Server 배포 또는 온보딩을 담당하는 vCenter 사용자에게 할당된 역할에는 다음 권한이 포함되어야 합니다. 배포 또는 온보딩 프로세스의 사전 요구 사항으로 이러한 권한이 구성되어 있는지 확인하십시오.
-
경보
-
알람 확인
-
-
콘텐츠 라이브러리
-
라이브러리 항목 추가
-
템플릿 체크인
-
템플릿 확인
-
파일 다운로드
-
스토리지 가져오기
-
스토리지 읽기
-
라이브러리 항목 동기화
-
구독된 라이브러리 동기화
-
구성 설정 보기
-
-
데이터 저장소
-
공간 할당
-
데이터 저장소 찾아보기
-
저수준 파일 작업
-
파일 제거
-
가상 머신 파일 업데이트
-
가상 머신 메타데이터 업데이트
-
-
ESX Agent Manager
-
보기
-
-
폴더
-
폴더 생성
-
-
호스트
-
구성
-
고급 설정
-
설정 변경
-
네트워크 구성
-
시스템 리소스
-
가상 머신 자동 시작 구성
-
-
로컬 작업
-
가상 머신 생성
-
가상 머신 삭제
-
가상 머신 재구성
-
-
-
네트워크
-
네트워크 할당
-
구성
-
-
OvfManager
-
OvfConsumer 액세스
-
-
호스트 프로필
-
보기
-
-
리소스
-
가상 머신을 리소스 풀에 할당
-
-
예약된 작업
-
작업 생성
-
작업 수정
-
작업 실행
-
-
작업
-
작업 생성
-
업데이트 작업
-
-
vApp
-
가상 머신 추가
-
리소스 풀 할당
-
vApp 할당
-
생성
-
가져오기
-
이동
-
전원 끄기
-
전원 켜기
-
URL에서 가져오기
-
OVF 환경 보기
-
-
가상 머신
-
구성 변경
-
기존 디스크 추가
-
새 디스크 추가
-
기기 추가 또는 제거
-
고급 구성
-
CPU 수 변경
-
메모리 변경
-
설정 변경
-
리소스 변경
-
가상 디스크 확장
-
장치 설정 수정
-
디스크 제거
-
게스트 정보 재설정
-
가상 머신 호환성 업그레이드
-
-
재고 수정
-
기존 항목에서 생성
-
새로 만들기
-
이동
-
등록
-
제거
-
등록 취소
-
-
상호 작용
-
가상 머신에 대한 백업 작업
-
CD 미디어 구성
-
플로피 미디어 구성
-
기기 연결
-
콘솔 상호 작용
-
VIX API를 이용한 게스트 운영 체제 관리
-
전원 끄기
-
전원 켜기
-
재설정
-
일시 중단
-
-
프로비저닝
-
디스크 액세스 허용
-
클론 템플릿
-
게스트 맞춤 설정
-
배포 템플릿
-
사용자 지정 사양 수정
-
사용자 지정 사양 읽기
-
-
스냅샷 관리
-
스냅샷 생성
-
스냅샷 제거
-
스냅샷 이름 바꾸기
-
스냅샷으로 되돌리기
-
-
아래에 설명된 바와 같이 미리 정의된 세 가지 역할이 있습니다.
핵심 ONTAP tools for VMware vSphere 관리자 작업을 수행하는 데 필요한 모든 기본 vCenter Server 권한 및 ONTAP tools 전용 권한을 제공합니다.
ONTAP 도구에 대한 읽기 전용 액세스 권한을 제공합니다. 이러한 사용자는 액세스 제어가 적용된 ONTAP tools for VMware vSphere 작업을 수행할 수 없습니다.
스토리지 프로비저닝에 필요한 기본 vCenter Server 권한 및 ONTAP tools별 권한 중 일부를 제공합니다. 다음 작업을 수행할 수 있습니다.
-
새 데이터스토어 생성
-
데이터 저장소 관리
vSphere 객체 및 ONTAP 스토리지 백엔드
두 개의 RBAC 환경은 서로 연동하여 작동합니다. vSphere 클라이언트 인터페이스에서 작업을 수행할 때, vCenter Server에 정의된 ONTAP tools 역할을 먼저 확인합니다. 작업이 vSphere에서 허용되면 ONTAP 역할 권한을 검사합니다. 이 두 번째 단계는 스토리지 백엔드를 생성 및 구성할 때 사용자에게 할당된 ONTAP 역할을 기반으로 수행됩니다.
vCenter Server RBAC 작업
vCenter Server 권한 및 접근 권한을 다룰 때는 몇 가지 사항을 고려해야 합니다.
필수 권한
ONTAP tools for VMware vSphere 10 사용자 인터페이스에 액세스하려면 ONTAP tools 전용 보기 권한이 있어야 합니다. 이 권한 없이 vSphere에 로그인한 후 NetApp 아이콘을 클릭하면 ONTAP tools for VMware vSphere에서 오류 메시지가 표시되고 사용자 인터페이스에 액세스할 수 없게 됩니다.
vSphere 개체 계층 구조의 할당 수준에 따라 액세스할 수 있는 사용자 인터페이스 부분이 결정됩니다. 루트 개체에 보기 권한을 할당하면 NetApp 아이콘을 클릭하여 ONTAP tools for VMware vSphere에 액세스할 수 있습니다.
대신 보기 권한을 더 낮은 vSphere 객체 수준에 할당할 수 있습니다. 하지만 이렇게 하면 액세스하고 사용할 수 있는 ONTAP tools for VMware vSphere 메뉴가 제한됩니다.
권한 할당
vCenter Server 권한은 vSphere 객체 및 작업에 대한 액세스를 제한하려는 경우 사용해야 합니다. vSphere 객체 계층 구조에서 권한을 할당하는 위치에 따라 ONTAP tools for VMware vSphere 10 사용자가 수행할 수 있는 작업이 결정됩니다.
|
더욱 엄격한 접근 제어가 필요한 경우가 아니라면, 일반적으로 루트 객체 또는 루트 폴더 수준에서 권한을 할당하는 것이 좋습니다. |
ONTAP tools for VMware vSphere 10에서 사용할 수 있는 권한은 스토리지 시스템과 같은 맞춤형 비 vSphere 개체에 적용됩니다. 이를 할당할 수 있는 vSphere 개체가 없으므로 가능하면 이러한 권한을 ONTAP tools for VMware vSphere 루트 개체에 할당해야 합니다. 예를 들어 ONTAP tools for VMware vSphere "스토리지 시스템 추가/수정/제거" 권한이 포함된 모든 권한은 루트 개체 수준에서 할당되어야 합니다.
객체 계층 구조에서 상위 수준에 권한을 정의할 때, 해당 권한이 하위 객체로 전달되어 상속되도록 구성할 수 있습니다. 필요한 경우, 상위 객체에서 상속된 권한을 재정의하는 추가 권한을 하위 객체에 할당할 수도 있습니다.
권한은 언제든지 수정할 수 있습니다. 권한 내의 세부 권한을 변경하는 경우, 해당 권한과 연결된 사용자는 vSphere에서 로그아웃한 후 다시 로그인해야 변경 사항이 적용됩니다.