Übersicht über die rollenbasierte Zugriffssteuerung

Verwenden von Active Directory-Konten für XenServer-Benutzerkonten

RBAC ermöglicht es Ihnen, einzuschränken, welche Operationen verschiedene Benutzergruppen ausführen können. Diese Kontrolle verringert die Wahrscheinlichkeit, dass unerfahrene Benutzer katastrophale versehentliche Änderungen vornehmen. Das Zuweisen von RBAC-Rollen hilft auch, unbefugte Änderungen an Ihren Ressourcenpools aus Compliance-Gründen zu verhindern. Um Compliance und Auditing zu erleichtern, bietet RBAC auch eine Audit-Log-Funktion und den entsprechenden Workload Balancing Pool Audit Trail-Bericht. Weitere Informationen finden Sie unter Änderungen prüfen.

Benutzer werden Rollen zugeordnet. Rollen werden einem Satz von Berechtigungen zugeordnet.

RBAC ist für Authentifizierungsdienste auf Active Directory angewiesen. Insbesondere führt XenServer eine Liste autorisierter Benutzer, die auf Active Directory-Benutzer- und -Gruppenkonten basiert. Daher müssen Sie den Pool der Domäne beitreten und Active Directory-Konten hinzufügen, bevor Sie Rollen zuweisen können.

RBAC-Prozess

Der Standardprozess zur Implementierung von RBAC und zur Zuweisung einer Rolle an einen Benutzer oder eine Gruppe umfasst die folgenden Schritte:

Lokaler Superuser

Der lokale Superuser (LSU) oder Root ist ein spezielles Benutzerkonto, das für die Systemadministration verwendet wird und alle Rechte oder Berechtigungen besitzt. In XenServer ist der lokale Superuser das Standardkonto bei der Installation. Der LSU wird von XenServer und nicht von einem externen Authentifizierungsdienst authentifiziert. Wenn der externe Authentifizierungsdienst ausfällt, kann sich der LSU immer noch anmelden und das System verwalten. Der LSU kann immer über SSH auf den physischen XenServer-Server zugreifen.

RBAC-Rollen

XenServer wird mit sechs vordefinierten Rollen geliefert, die auf verschiedene Funktionen in einer IT-Organisation abgestimmt sind.

Pool-Administrator (Pool Admin). Diese Rolle ist die mächtigste verfügbare Rolle. Pool-Administratoren haben vollen Zugriff auf alle XenServer-Funktionen und -Einstellungen. Sie können alle Operationen durchführen, einschließlich der Rollen- und Benutzerverwaltung. Sie können Zugriff auf die XenServer-Konsole gewähren. Als Best Practice empfiehlt Citrix®, diese Rolle einer begrenzten Anzahl von Benutzern zuzuweisen.

Hinweis:

Der lokale Superuser (root) hat immer die Rolle des Pool-Administrators. Die Rolle des Pool-Administrators hat dieselben Berechtigungen wie der lokale root.

Wenn Sie die Rolle des Pool-Administrators von einem Benutzer entfernen, sollten Sie auch das Root-Passwort ändern und das Pool-Geheimnis rotieren. Weitere Informationen finden Sie unter Pool-Sicherheit.

Pool-Operator (Pool Operator). Diese Rolle ist darauf ausgelegt, dem zugewiesenen Benutzer die Verwaltung poolweiter Ressourcen zu ermöglichen. Verwaltungsaktionen umfassen das Erstellen von Speicher, die Verwaltung von Servern, die Verwaltung von Patches und das Erstellen von Pools. Pool-Operatoren können Pool-Ressourcen konfigurieren. Sie haben auch vollen Zugriff auf die folgenden Funktionen: Hochverfügbarkeit, Workload Balancing und Patch-Management. Pool-Operatoren können keine Benutzer hinzufügen oder Rollen ändern.

Administrator für virtuelle Maschinen (VM Power Admin). Diese Rolle hat vollen Zugriff auf die VM- und Template-Verwaltung. Sie können auswählen, wo VMs gestartet werden sollen. Sie haben vollen Zugriff auf die Funktionen zur dynamischen Speichersteuerung und die VM-Snapshot-Funktion. Darüber hinaus können sie den Home-Server festlegen und auswählen, wo Workloads ausgeführt werden sollen. Die Zuweisung dieser Rolle gewährt dem zugewiesenen Benutzer ausreichende Berechtigungen, um virtuelle Maschinen für die Nutzung durch VM-Operatoren bereitzustellen.

Administrator für virtuelle Maschinen (VM Admin). Diese Rolle kann VMs und Templates verwalten und auf den Speicher zugreifen, der zur Erledigung dieser Aufgaben erforderlich ist. Diese Rolle verlässt sich jedoch darauf, dass XenServer auswählt, wo Workloads ausgeführt werden sollen, und muss die Einstellungen in Templates für die dynamische Speichersteuerung und den Home-Server verwenden. (Diese Rolle kann nicht auf die Funktionen zur dynamischen Speichersteuerung zugreifen, Snapshots erstellen, den Home-Server festlegen oder auswählen, wo Workloads ausgeführt werden sollen.)

Operator für virtuelle Maschinen (VM Operator). Diese Rolle kann die VMs in einem Pool verwenden und deren grundlegenden Lebenszyklus verwalten. VM-Operatoren können mit den VM-Konsolen interagieren und VMs starten oder stoppen, sofern ausreichende Hardwareressourcen verfügbar sind. Ebenso können VM-Operatoren Start- und Stopp-Lebenszyklusoperationen durchführen. Die Rolle des VM-Operators kann keine VMs erstellen oder zerstören, VM-Eigenschaften oder Serverressourcen ändern.

Nur-Lese-Zugriff (Read Only). Diese Rolle kann nur Ressourcenpool- und Leistungsdaten anzeigen.

Informationen zu den Berechtigungen, die mit jeder Rolle verbunden sind, finden Sie unter Definitionen von RBAC-Rollen und -Berechtigungen. Informationen dazu, wie RBAC berechnet, welche Rollen für einen Benutzer gelten, finden Sie unter Berechnung von RBAC-Rollen.

Hinweis:

Wenn Sie einen Benutzer erstellen, müssen Sie dem neu erstellten Benutzer zuerst eine Rolle zuweisen, bevor dieser das Konto verwenden kann. XenServer weist dem neu erstellten Benutzer nicht automatisch eine Rolle zu.

In diesem Artikel

Verwenden von Active Directory-Konten für XenServer-Benutzerkonten
RBAC-Prozess
Lokaler Superuser
RBAC-Rollen
Zugehörige Dokumentation

War dieser Artikel hilfreich?