Rôles et autorisations RBAC

Rôles

XenServer est fourni avec les six rôles préétablis suivants :

• Administrateur de pool (administrateur de pool) — identique à la racine locale. Peut effectuer toutes les opérations.

  Remarque :

  Le super utilisateur local (root) a le rôle « Administrateur du pool ». Le rôle Administrateur de pool dispose des mêmes autorisations que la racine locale.

  Si vous supprimez le rôle d’administrateur du pool à un utilisateur, pensez également à modifier le mot de passe root et à alterner le secret du pool. Pour plus d’informations, consultez la section Sécurité du pool.

• Opérateur de pool (Pool Operator) — peut tout faire, sauf ajouter/supprimer des utilisateurs et modifier leurs rôles. Ce rôle est principalement axé sur la gestion des hôtes et des pools (c’est-à-dire la création de stockage, la création de pools, la gestion des hôtes, etc.).

• Virtual Machine Power Administrator (VM Power Admin) : crée et gère les machines virtuelles. Ce rôle est axé sur le provisionnement de machines virtuelles destinées à être utilisées par un opérateur de machine virtuelle.

• Virtual Machine Administrator (VM Admin) : similaire à un Power Admin VM, mais ne peut pas migrer les machines virtuelles ni effectuer des snapshots.

• Virtual Machine Operator (VM Operator), similaire à VM Admin, mais ne peut pas créer/détruire des machines virtuelles, mais peut effectuer des opérations de démarrage/arrêt du cycle de vie.

• Lecture seule (lecture seule) : permet d’afficher le pool de ressources et les données de performance.

Remarque :

• Pour appliquer des mises à jour aux pools XenServer 8, vous devez être connecté à XenCenter en tant qu’administrateur ou opérateur de pool, ou en utilisant un compte root local.

• Lorsque vous utilisez des groupes Active Directory pour accorder l’accès aux utilisateurs de l’administrateur du pool qui ont besoin d’un accès SSH à l’hôte, le nombre d’utilisateurs du groupe Active Directory ne doit pas dépasser 500.

Pour un résumé des autorisations disponibles pour chaque rôle et pour plus d’informations sur les opérations disponibles pour chaque autorisation, consultez la section Définitions des rôles et autorisations RBAC dans la section suivante.

Lorsque vous créez un utilisateur dans XenServer, vous devez d’abord attribuer un rôle au nouvel utilisateur avant qu’il puisse utiliser le compte. XenServer n’attribue pas automatiquement de rôle à l’utilisateur nouvellement créé. Par conséquent, ces comptes n’ont aucun accès au pool XenServer tant que vous ne leur avez pas attribué un rôle.

1. Modifiez le mappage sujet/rôle. Cela nécessite l’autorisation d’attribuer/modifier le rôle, disponible uniquement pour un administrateur de pool.

2. Modifiez l’appartenance au groupe contenant l’utilisateur dans Active Directory.

Définitions des rôles et des autorisations RBAC

Le tableau suivant récapitule les autorisations disponibles pour chaque rôle. Pour plus de détails sur les opérations disponibles pour chaque autorisation, consultez la section Définitions des autorisations.

Définitions des autorisations

Attribuer/modifier des rôles :

• Ajouter et supprimer des utilisateurs
• Ajouter et supprimer des rôles pour les utilisateurs
• Activer et désactiver l’intégration Active Directory (en cours de connexion au domaine)

Cette autorisation permet à l’utilisateur de s’accorder n’importe quelle autorisation ou d’effectuer n’importe quelle tâche.

Avertissement :

Ce rôle permet à l’utilisateur de désactiver l’intégration Active Directory et tous les sujets ajoutés à partir d’Active Directory.

Connectez-vous aux consoles du serveur :

• Accès à la console du serveur via SSH
• Accès à la console du serveur via XenCenter

Avertissement :

Avec l’accès à un shell racine, le cessionnaire peut reconfigurer arbitrairement l’ensemble du système, y compris le RBAC.

Sauvegarde/restauration du serveur :

• Sauvegarde et restauration des serveurs
• Sauvegarde et restauration des métadonnées du pool

La possibilité de restaurer une sauvegarde permet au destinataire d’annuler les modifications de configuration RBAC.

Installer un certificat TLS sur un serveur :

Cette autorisation permet à un administrateur d’installer un certificat TLS sur un serveur qui exécute Citrix Hypervisor 8.2 ou version ultérieure.

Appliquer les mises à jour à un pool :

• Synchronisez votre pool avec le réseau de diffusion de contenu (CDN)
• Appliquez les mises à jour en migrant les machines virtuelles hors de chaque hôte si nécessaire et en exécutant les tâches de mise à jour nécessaires, telles que le redémarrage de l’hôte, le redémarrage de la pile d’outils ou le redémarrage des machines virtuelles

Mise à niveau propagée de pool :

• Mettez à niveau tous les hôtes d’un pool à l’aide de l’assistant Rolling Pool Upgrade

Importer des packages OVF/OVA et des images disque :

• Importer des packages OVF et O
• Importer des images de disque

Importer des packages XVA :

• Importer des packages XVA

Exporter des packages OVF/OVA/XVA et des images disque :

• Exporter les machines virtuelles sous forme de packages OVF/OVA
• Exporter des machines virtuelles sous forme de packages XVA
• Exporter des images de disque

Définir les cœurs par socket :

• Définir le nombre de cœurs par socket pour les processeurs virtuels de la machine virtuelle

Cette autorisation permet à l’utilisateur de spécifier la topologie des processeurs virtuels de la machine virtuelle.

Convertissez des machines virtuelles à l’aide de XenServer Conversion Manager :

• Convertir les machines virtuelles VMware ESXi/vCenter en machines virtuelles XenServer

Cette autorisation permet à l’utilisateur de convertir les charges de travail de VMware vers XenServer. Convertissez ces charges de travail en copiant des lots de machines virtuelles VMware ESXi/vCenter dans l’environnement XenServer.

Verrouillage du port de commutation :

• Contrôler le trafic sur un réseau

Cette autorisation permet à l’utilisateur de bloquer tout le trafic sur un réseau par défaut ou de définir des adresses IP spécifiques à partir desquelles une machine virtuelle peut envoyer du trafic.

Multiacheminement :

• Activer le multiacheminement
• Désactiver le multiacheminement

Déconnectez les connexions utilisateur actives :

• Possibilité de déconnecter les utilisateurs connectés

Surveiller les ressources de l’hôte et du dom0 avec NRPE :

Pour plus d’informations, voir Surveiller les ressources de l’hôte et du dom0 avec NRPE.

Surveiller les ressources de l’hôte et du dom0 avec SNMP :

Pour plus d’informations, consultez Surveiller les ressources de l’hôte et du dom0 avec SNMP.

Créer/rejeter des alertes :

• Configurer XenCenter pour générer des alertes lorsque l’utilisation des ressources dépasse certains seuils
• Supprimer les alertes de la vue Alertes

Avertissement : un utilisateur disposant de cette autorisation peut ignorer les alertes pour l’ensemble du pool.

Remarque : La possibilité d’afficher les alertes fait partie de l’ autorisation Se connecter au pool et lire toutes les métadonnées du pool.

Annuler la tâche de n’importe quel utilisateur :

• Annuler la tâche en cours d’exécution d’un utilisateur

Cette autorisation permet à l’utilisateur de demander à XenServer d’annuler une tâche en cours initiée par n’importe quel utilisateur.

Gestion de pools :

• Définir les propriétés du pool (dénomination, SR par défaut)
• Créer un pool en cluster
• Activer, désactiver et configurer la haute disponibilité
• Définition des priorités de redémarrage HA par machine virtuelle
• Configurez la reprise après sinistre et effectuez des opérations de basculement, de restauration automatique et de test de reprise après sinistre.
• Activer, désactiver et configurer l’équilibrage de la charge de travail (WLB)
• Ajouter et supprimer un serveur du pool
• Transition d’urgence vers le coordinateur
• Adresse du coordonnateur du pool d’urgence
• Rétablissement d’urgence des membres du pool
• Désigner un nouveau coordonnateur de pool
• Gérer les certificats de pool et de serveur
• Application de correctifs
• Définition des propriétés du serveur
• Configuration de la journalisation du serveur
• Activation et désactivation des serveurs
• Arrêtez, redémarrez et mettez les serveurs sous tension
• Pile d’outils de redémarrage
• Rapports d’état du système
• Appliquer une licence
• Migration en direct de toutes les autres machines virtuelles d’un serveur vers un autre serveur, en raison du WLB, du mode de maintenance ou de la haute disponibilité
• Configurer les interfaces de gestion des serveurs et les interfaces secondaires
• Désactiver la gestion des serveurs
• Supprimer les crashdumps
• Ajouter, modifier et supprimer des réseaux
• Ajouter, modifier et supprimer des PBD/PIFS/VLAN/Bonds/SR
• Ajouter, supprimer et récupérer des secrets

Cette autorisation inclut toutes les actions requises pour gérer un pool.

Remarque : si l’interface de gestion ne fonctionne pas, aucune connexion ne peut s’authentifier, sauf les connexions racine locales.

Migration en direct :

• Migrer les machines virtuelles d’un hôte vers un autre hôte lorsque les machines virtuelles se trouvent sur un stockage partagé par les deux hôtes

Migration en direct du stockage :

• Migration d’un hôte vers un autre hôte lorsque les machines virtuelles ne se trouvent pas sur un stockage partagé entre les deux hôtes
• Déplacer un disque virtuel (VDI) d’un SR vers un autre SR

Opérations avancées des machines virtuelles :

• Régler la mémoire de la machine virtuelle (via Dynamic Memory Control)
• Créer un instantané de machine virtuelle avec de la mémoire, prendre des instantanés de VM et restaurer des machines virtuelles
• Migration des machines virtuelles
• Démarrage des machines virtuelles, y compris la spécification du serveur physique
• Reprendre les machines virtuelles

Cette autorisation fournit au destinataire suffisamment de privilèges pour démarrer une machine virtuelle sur un autre hôte s’il n’est pas satisfait de l’hôte XenServer sélectionné.

Opérations de création/destruction de machines virtuelles :

• Installer et supprimer des machines virtuelles
• Cloner/copier des machines virtuelles
• Ajouter, supprimer et configurer des périphériques de disque virtuel/CD
• Ajouter, supprimer et configurer des périphériques réseau virtuels
• Modification de la configuration de la machine virtuelle

Support CD pour changer de machine virtuelle :

• Éjecter le CD actuel
• Insérer un nouveau CD

Modification de l’état d’alimentation de la machine virtuelle :

• Démarrage des machines virtuelles (placement automatique)
• Arrêter les machines virtuelles
• Redémarrer les machines virtuelles
• Suspendre les VM
• Reprendre les machines virtuelles (placement automatique)

Cette autorisation n’inclut pas start_on, resume_on et migrate, qui font partie de l’autorisation des opérations avancées de la machine virtuelle.

Afficher les consoles de machines virtuelles :

• Voir et interagir avec les consoles de machines virtuelles

Cette autorisation ne permet pas à l’utilisateur de consulter les consoles hôtes.

Annulez vos propres tâches :

• Permet aux utilisateurs d’annuler leurs propres tâches

Lire le journal d’audit :

• Télécharger le journal d’audit XenServer

Configurer, initialiser, activer, désactiver WLB :

• Configurer WLB
• Initialisation du WLB et modification des serveurs WLB
• Activer WLB
• Désactiver WLB

Appliquer les recommandations d’optimisation du WLB :

• Appliquez toutes les recommandations d’optimisation qui apparaissent dans l’onglet WLB

Modifier les abonnements aux rapports WLB :

• Modifier le rapport WLB généré ou son destinataire

Accepter les recommandations de placement du WLB :

• Sélectionnez l’un des serveurs que l’équilibrage de la charge de travail recommande pour le placement (recommandations « étoiles »)

Afficher la configuration WLB :

• Afficher les paramètres WLB d’un pool comme indiqué dans l’onglet WLB

Générer des rapports WLB :

• Afficher et exécuter des rapports WLB, y compris le rapport Pool Audit Trail

Opérations de gestion des vues XenCenter :

• Créer et modifier des dossiers XenCenter globaux
• Créer et modifier des champs personnalisés XenCenter globaux
• Créer et modifier des recherches globales XenCenter

Connectez-vous au pool et lisez toutes les métadonnées du pool :

• Se connecter au pool
• Afficher les métadonnées du pool
• Afficher les données de performance historiques
• Afficher les utilisateurs connectés
• Afficher les utilisateurs et les rôles
• Afficher les tâches
• Afficher les messages
• S’inscrire et recevoir des événements

Configurez le GPU virtuel :

• Spécifier une stratégie de placement à l’échelle du pool
• Attribuer un GPU virtuel à une machine virtuelle
• Supprimer un GPU virtuel d’une machine virtuelle
• Modifier les types de GPU virtuels autorisés
• Création, destruction ou attribution d’un groupe de GPU

Afficher la configuration du GPU virtuel :

• Affichez les GPU, les stratégies de placement des GPU et les attributions de GPU virtuels.

Collectez des informations de diagnostic à partir de XenServer :

• Lancement de la collecte du GC et du compactage du tas
• Recueillir les statistiques de collecte
• Recueillir des statistiques
• Collectez des statistiques réseau

Configurer le suivi des blocs modifiés :

• Activer le suivi des blocs modifiés
• Désactiver le suivi des blocs modifiés
• Détruire les données associées à un instantané et conserver les métadonnées
• Obtenir les informations de connexion NBD pour un VDI
• Exportation d’un VDI via une connexion NBD

Le suivi des blocs modifiés ne peut être activé que pour les instances sous licence de XenServer Premium Edition.

Lister les blocs modifiés :

• Comparez deux instantanés VDI et répertoriez les blocs qui ont changé entre eux.

Configurer PVS-Accelerator :

• Activer l’accélérateur PVS
• Désactiver PVS-Accelerator
• Mettre à jour la configuration du cache de l’accélérateur
• Ajouter ou supprimer la configuration du cache PVS-Accelerator

Afficher la configuration PVS-Accelerator :

• Afficher l’état de PVS-Accelerator

Instantanés planifiés (ajouter/supprimer des machines virtuelles aux calendriers de snapshots existants) :

• Ajouter des machines virtuelles aux planifications de snapshots existantes
• Supprimer les machines virtuelles des planifications de snapshots existantes

Instantanés planifiés (ajouter/modifier/supprimer des calendriers de clichés) :

• Ajouter des calendriers instantanés
• Modifier les calendriers des captures d’écran
• Supprimer des plannings de snapshots

Remarque :

Parfois, un utilisateur en lecture seule ne peut pas déplacer une ressource vers un dossier dans XenCenter, même après avoir reçu une invite d’élévation et fourni les informations d’identification d’un utilisateur plus privilégié. Dans ce cas, connectez-vous à XenCenter en tant qu’utilisateur disposant de privilèges et réessayez l’action.

Comment XenServer calcule-t-il les rôles de la session ?

1. Le sujet est authentifié via le serveur Active Directory pour vérifier à quels groupes de contenants il peut également appartenir.

2. XenServer vérifie ensuite quels rôles ont été attribués à la fois au sujet et aux groupes qui le contiennent.

3. Comme les sujets peuvent être membres de plusieurs groupes Active Directory, ils héritent de toutes les autorisations des rôles associés.