XenCenter

Vue d’ensemble du contrôle d’accès basé sur les rôles

La fonctionnalité de contrôle d’accès basé sur les rôles (RBAC) vous permet d’attribuer des rôles prédéfinis ou des ensembles d’autorisations aux utilisateurs et aux groupes Active Directory. Ces autorisations contrôlent le niveau d’accès des administrateurs XenServer aux serveurs et aux pools. Le RBAC est configuré et déployé au niveau du pool. Étant donné que les utilisateurs acquièrent des autorisations par le biais du rôle qui leur est attribué, attribuez un rôle à un utilisateur ou à son groupe pour lui donner les autorisations requises.

Utilisation de comptes Active Directory pour les comptes d’utilisateurs XenServer

RBAC vous permet de restreindre les opérations que différents groupes d’utilisateurs peuvent effectuer. Ce contrôle réduit la probabilité que des utilisateurs inexpérimentés effectuent des modifications accidentelles désastreuses. L’attribution de rôles RBAC permet également d’empêcher les modifications non autorisées apportées à vos pools de ressources pour des raisons de conformité. Pour faciliter la conformité et l’audit, RBAC fournit également une fonctionnalité de journal d’audit et le rapport de piste d’audit du pool d’équilibrage de la charge de travail correspondant. Pour plus d’informations, consultez Modifications de l’audit.

Les utilisateurs sont mappés aux rôles. Les rôles sont mappés à un ensemble d’autorisations.

Le RBAC dépend d’Active Directory pour les services d’authentification. Plus précisément, XenServer conserve une liste d’utilisateurs autorisés basée sur les comptes d’utilisateurs et de groupes Active Directory. Par conséquent, vous devez joindre le pool au domaine et ajouter des comptes Active Directory avant de pouvoir attribuer des rôles.

Processus RBAC

Le processus standard de mise en œuvre du RBAC et d’attribution d’un rôle à un utilisateur ou à un groupe comprend les étapes suivantes :

  1. Rejoindre le domaine.
  2. Ajouter un utilisateur ou un groupe Active Directory à la piscine.
  3. Assigner (ou modifier) le rôle RBAC de l’utilisateur ou du groupe.

Super utilisateur local

Le super-utilisateur local (LSU), ou root, est un compte d’utilisateur spécial utilisé pour l’administration du système et dispose de tous les droits ou autorisations. Dans XenServer, le super utilisateur local est le compte par défaut lors de l’installation. Le LSU est authentifié par XenServer et non par un service d’authentification externe. En cas d’échec du service d’authentification externe, le LSU peut toujours se connecter et gérer le système. Le LSU peut toujours accéder au serveur physique XenServer via SSH.

Rôles RBAC

XenServer est livré avec six rôles préétablis conçus pour s’aligner sur les différentes fonctions d’une organisation informatique.

  • Administrateur de pool (Pool Admin). Ce rôle est le plus puissant disponible. Les administrateurs de pool ont un accès complet à toutes les fonctionnalités et à tous les paramètres de XenServer. Ils peuvent effectuer toutes les opérations, y compris la gestion des rôles et des utilisateurs. Ils peuvent accorder l’accès à la console XenServer. Il est recommandé de recommander d’attribuer ce rôle à un nombre limité d’utilisateurs.

    Remarque :

    Le super utilisateur local (root) a toujours le rôle d’administrateur de pool. Le rôle Administrateur de pool dispose des mêmes autorisations que la racine locale.

    Si vous supprimez le rôle Administrateur de pool d’un utilisateur, envisagez également de modifier le mot de passe racine du serveur et de faire pivoter le secret du pool. Pour plus d’informations, consultez Sécurité de la piscine.

  • Exploitant de piscine (Exploitant de piscine). Ce rôle est conçu pour permettre à la personne assignée de gérer des ressources à l’échelle du pool. Les actions de gestion comprennent la création de stockage, la gestion des serveurs, la gestion des correctifs et la création de pools. Les opérateurs de pool peuvent configurer les ressources de pool. Ils disposent également d’un accès complet aux fonctionnalités suivantes : haute disponibilité, équilibrage de la charge de travail et gestion des correctifs. Les opérateurs de pool ne peuvent pas ajouter d’utilisateurs ou modifier les rôles.
  • Administrateur d’alimentation de machine virtuelle (VM Power Admin). Ce rôle dispose d’un accès complet à la gestion des machines virtuelles et des modèles. Ils peuvent choisir l’emplacement de démarrage des machines virtuelles. Ils ont un accès complet aux fonctionnalités de contrôle dynamique de la mémoire et à la fonctionnalité d’instantané de machine virtuelle. En outre, ils peuvent définir le serveur domestique et choisir l’emplacement d’exécution des charges de travail. L’attribution de ce rôle accorde à la personne assignée des autorisations suffisantes pour provisionner des machines virtuelles pour l’utilisation de l’opérateur de machine virtuelle.
  • Administrateur de machine virtuelle (administrateur de machine virtuelle). Ce rôle peut gérer les machines virtuelles et les modèles et accéder au stockage nécessaire pour effectuer ces tâches. Cependant, ce rôle s’appuie sur XenServer pour choisir l’emplacement d’exécution des charges de travail et doit utiliser les paramètres des modèles pour le contrôle dynamique de la mémoire et le serveur domestique. (Ce rôle ne peut pas accéder aux fonctionnalités de contrôle dynamique de la mémoire, créer des instantanés, définir le serveur domestique ou choisir l’emplacement d’exécution des charges de travail.)
  • Opérateur de machine virtuelle (opérateur de machine virtuelle). Ce rôle peut utiliser les machines virtuelles d’un pool et gérer leur cycle de vie de base. Les opérateurs de machines virtuelles peuvent interagir avec les consoles de machines virtuelles et démarrer ou arrêter des machines virtuelles, à condition que des ressources matérielles suffisantes soient disponibles. De même, les opérateurs de machines virtuelles peuvent effectuer des opérations de démarrage et d’arrêt du cycle de vie. Le rôle Opérateur de machine virtuelle ne peut pas créer ou détruire des machines virtuelles, modifier les propriétés de la machine virtuelle ou les ressources du serveur.
  • Lecture seule (lecture seule). Ce rôle peut uniquement afficher les données relatives au pool de ressources et aux performances.

Pour plus d’informations sur les autorisations associées à chaque rôle, consultez Définitions des rôles et des autorisations RBAC. Pour plus d’informations sur la façon dont RBAC calcule les rôles qui s’appliquent à un utilisateur, consultez Calcul des rôles RBAC.

Remarque :

Lorsque vous créez un utilisateur, vous devez d’abord attribuer un rôle à l’utilisateur nouvellement créé avant qu’il puisse utiliser le compte. XenServer ne le fait pas Attribuez automatiquement un rôle à l’utilisateur nouvellement créé.

Documentation associée

XenServer 8

Mise à jour cumulative 1 de Citrix Hypervisor 8.2

Vue d’ensemble du contrôle d’accès basé sur les rôles