RBAC役割とアクセス権
役割
Citrix Hypervisorには、以下の6つの役割が用意されています：
-
プール管理者（Pool Admin）： ローカルスーパーユーザー（root）と同レベルの管理者で、すべての操作を実行できます。
注：
ローカルスーパーユーザー（root）には、「プール管理者」の役割が適用されます。つまり、プール管理者にはローカルスーパーユーザーと同じ権限が設定されます。
ユーザーからプール管理者の役割を削除する場合は、サーバーのルートパスワードの変更や、プールシークレットの入れ替えも検討してください。詳しくは、「プールのセキュリティ」を参照してください。
-
プールオペレータ（Pool Operator）： 管理者ユーザーを追加/削除したり役割を変更したりすることはできませんが、そのほかのすべての管理タスクを実行できます。ホストやプールの管理（ストレージの作成、プールの作成、ホストの管理など）に特化した役割です。
-
仮想マシンパワー管理者（VM Power Admin）： 仮想マシンを作成して管理できます。仮想マシンオペレータに仮想マシンを提供することに特化した役割です。
-
仮想マシン管理者（VM Admin）： 仮想マシンパワー管理者に似ていますが、仮想マシンを移行したりスナップショットを作成したりすることはできません。
-
仮想マシンオペレータ（VM Operator）： 仮想マシン管理者に似ていますが、仮想マシンを作成したり破棄したりすることはできません。ただし、ライフサイクル操作を開始したり終了したりすることは許可されます。
-
読み取りのみ（Read Only）： リソースプールとパフォーマンスのデータを表示することしかできません。
警告：
Active Directoryグループにプール管理者の役割を割り当ててホストへのSSHアクセスを許可する場合、そのActive Directoryグループのメンバー数は500以下である必要があります。
各役割で許可されるタスクについて詳しくは、次のセクションの「RBAC役割の定義とアクセス権」を参照してください。
Citrix Hypervisorで管理者ユーザーを作成した後で役割を割り当てないと、そのアカウントは使用できません。Citrix Hypervisorは、新規に作成されたユーザーに自動で役割を割り当てません。このため、これらのユーザーにCitrix Hypervisorリソースプールへのアクセスを許可するには、いずれかの役割を割り当てる必要があります。
-
サブジェクトに割り当てる役割を変更します。これを行うには役割の割り当て/変更権限が必要であり、この権限はプール管理者のみに付与されます。
-
そのユーザーのグループメンバシップを変更して、必要な役割が割り当てられているActive Directoryグループにユーザーを追加します。
RBAC役割の定義とアクセス権
次の表は、各役割で使用可能な権限をまとめたものです。各権限で使用できる操作の詳細については、「権限の定義」を参照してください。
| アクセス権 | プール管理者 | プールオペレータ | VMパワー管理者 | VM管理者 | VMオペレータ | 読み取り専用 |
|---|---|---|---|---|---|---|
| 役割の割り当て/変更 | X | |||||
| 物理サーバーのコンソールへのログイン（SSHおよびXenCenterの使用） | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| OVF/OVAパッケージのインポートとディスクイメージのインポート | X | |||||
| XVAパッケージのインポート | X | X | X | |||
| OVF/OVAパッケージのエクスポート | X | |||||
| XVAパッケージのエクスポート | X | X | X | |||
| ソケットごとのコア数の設定 | X | X | X | X | ||
| XenServer Conversion Managerによる仮想マシンの変換 | X | |||||
| スイッチポートのロック | X | X | ||||
| マルチパス | X | X | ||||
| 接続中のユーザーのログアウト | X | X | ||||
| アラートの作成と解除 | X | X | ||||
| 任意のユーザーのタスクのキャンセル | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| 高度な仮想マシン操作 | X | X | X | |||
| 仮想マシンの作成/破棄操作 | X | X | X | X | ||
| 仮想マシンのCDメディアの変更 | X | X | X | X | X | |
| 仮想マシンの電源状態の変更 | X | X | X | X | X | |
| 仮想マシンコンソールの表示 | X | X | X | X | X | |
| vApps（vAppsの追加/変更/削除） | X | X | ||||
| vApps（vAppsの起動/シャッドダウン） | X | X | ||||
| vApps（既存のvAppに対して仮想マシンを追加/削除） | X | X | ||||
| vApps（vAppsを表示） | X | X | X | X | X | X |
| XenCenterの表示管理操作 | X | X | X | X | X | |
| 自分のタスクのキャンセル | X | X | X | X | X | X |
| 監査ログの表示 | X | X | X | X | X | X |
| プールへの接続およびすべてのプールメタデータの読み取り | X | X | X | X | X | X |
| 仮想GPUの構成 | X | X | ||||
| 仮想GPU構成の表示 | X | X | X | X | X | X |
| 構成ドライブへのアクセス（CoreOS VMのみ） | X | |||||
| スケジュールされたスナップショット（既存のスナップショットスケジュールに仮想マシンを追加/削除） | X | X | X | |||
| スケジュールされたスナップショット（スナップショットスケジュールを追加/変更/削除） | X | X | ||||
| 診断情報の収集 | X | X | ||||
| 変更ブロック追跡の構成 | X | X | X | X | ||
| 変更ブロックの一覧作成 | X | X | X | X | X | |
| PVSアクセラレータの構成 | X | X | ||||
| PVSアクセラレータ構成の表示 | X | X | X | X | X | X |
アクセス権の定義
役割の割り当て/変更：
- ユーザーの追加/削除
- ユーザーアカウントの役割の追加/削除
- Active Directory統合機能の有効化および無効化（ドメインへの追加）
この権限により、あらゆる権限が付与されたり、あらゆるタスクを実行できるようになったりします。
警告：Active Directory統合機能およびActive Directoryから追加されたすべてのサブジェクトの無効化が許可されます。
サーバーコンソールへのログイン：
- SSHを使用したサーバーコンソールへのアクセス
- XenCenterを使用したサーバーコンソールへのアクセス
警告：ルートシェルにアクセスできるため、RBACを含むシステム全体の再設定が独断的に可能になります。
サーバーのバックアップ/復元、仮想マシンの作成/破棄操作：
- サーバーのバックアップおよび復元
- プールメタデータのバックアップおよび復元
バックアップからの復元が許可されるため、RBAC構成の変更を元に戻すことが可能です。
OVF/OVAパッケージとディスクイメージのインポート/エクスポート：
- OVFおよびOVAパッケージのインポート
- ディスクイメージのインポート
- OVF/OVAパッケージとしてのエクスポート
ソケットごとのコア数の設定：
- 仮想マシンに割り当てる仮想CPUのソケットごとのコア数の設定
仮想マシンの仮想CPUのトポロジを指定するための権限です。
XenServer Conversion Manager（旧称Citrix Hypervisor Conversion Manager）を使用した仮想マシンの変換：
- VMware ESXi/vCenter仮想マシンのCitrix Hypervisor仮想マシンへの変換
VMware ESXi/vCenter仮想マシンをCitrix Hypervisor用に変換できます。これにより、VMwareのワークロードをCitrix Hypervisor環境に移行できます。
スイッチポートロック：
- ネットワークトラフィックの制御
特定のネットワーク上のトラフィックをすべて ブロック（デフォルト）したり、特定のIPアドレス以外の送信トラフィックをブロックしたりできます。
マルチパス：
- マルチパスの有効化
- マルチパスの無効化
接続中のユーザーのログアウト：
- ログインしているユーザーの切断
アラートの作成/解除：
- リソースの使用量が特定のしきい値に達したときにXenCenterで生成されるアラートの構成
- ［アラート］ビューのすべてのアラートの削除
警告：プール全体のアラートの解除が許可されます。
注：アラートの表示許可は、プールへの接続およびすべてのプールメタデータの読み取り権限に含まれます。
任意のユーザーのタスクのキャンセル：
- 任意のユーザーによるタスクのキャンセル
だれが実行したタスクかにかかわらず、実行中のCitrix Hypervisorタスクをキャンセルできます。
プール管理：
- プールプロパティ（名前、デフォルトSR）の設定
- クラスター化プールを作成する
- 高可用性の有効化、無効化、および構成
- 各仮想マシンの再起動優先度の設定
- 障害回復の構成、フェイルオーバー、フェイルバック、およびフェイルオーバーテストの実行
- ワークロードバランス（WLB）の有効化、無効化、および構成
- プールへのサーバーの追加とプールからの削除
- メンバーのマスターへの変換
- マスターアドレスの指定
- プールメンバーの緊急復旧
- 新しいマスターの指定
- プールおよびサーバー証明書の管理
- パッチの適用
- サーバープロパティの設定
- サーバーのログ機能の構成
- サーバーの有効化および無効化
- サーバーのシャットダウン、再起動、および電源投入
- ツールスタックの再起動
- システム状態のレポート
- ライセンスの適用
- すべての仮想マシンのほかのサーバー上へのライブマイグレーション（保守モード、または高可用性での操作）
- サーバーの管理インターフェイスおよびセカンダリインターフェイスの設定
- サーバー管理の無効化
- クラッシュダンプの削除
- ネットワークの追加、変更、および削除
- PBD/PIF/VLAN/ボンディング/ストレージリポジトリの追加、変更、および削除
- シークレットの追加、削除、および取得
プール管理に必要なすべてのタスクに対する許可が含まれます。
注：管理インターフェイスが機能していない場合、ローカルのrootでのログイン以外は認証されません。
ライブマイグレーション：
- 2つのホストが共有するストレージ上にある仮想マシンを、1つのホストから別のホストに移行
ストレージライブマイグレーション：
- 仮想マシンが2つのホスト間で共有されているストレージ上にない場合、1つのホストから別のホストに移行
- ストレージリポジトリ間での仮想ディスク（VDI）の移動
高度な仮想マシン操作：
- 仮想マシンメモリの調整（動的メモリ制御）
- メモリを含んだスナップショット作成、スナップショット作成、および仮想マシンのロールバック
- 仮想マシンの移行
- 仮想マシンの起動（物理サーバーの指定を含む）
- 仮想マシンの再開
Citrix Hypervisorにより選択されたサーバーとは異なるサーバー上の仮想マシンの、起動操作が許可されます。
仮想マシンの作成/破棄操作：
- インストールまたは削除
- 仮想マシンの複製/コピー
- 仮想ディスク/CDデバイスの追加、削除、および構成
- 仮想ネットワークデバイスの追加、削除、および構成
- XVAファイルのインポート/エクスポート
- 仮想マシン構成の変更
- サーバーのバックアップ/復元
仮想マシンのCDメディアの変更：
- CDのイジェクト
- CDの挿入
OVF/OVAパッケージのインポート/エクスポートとディスクイメージのインポート
仮想マシンの電源状態の変更：
- 仮想マシンの起動（自動配置）
- 仮想マシンのシャットダウン
- 仮想マシンの再起動
- 仮想マシンの一時停止
- 仮想マシンの再開（自動配置）
サーバーを指定した仮想マシンの起動、再開、および移行は高度な仮想マシン操作に含まれ、このアクセス権では許可されません。
仮想マシンコンソールの表示：
- 仮想マシンコンソールの表示と操作
サーバーコンソールにはアクセスできません。
vApps（vAppsの追加/変更/削除）：
- vAppの作成
- vAppの削除
- vAppのプロパティの変更
vApps（vAppsの起動/シャッドダウン）：
- vAppの起動
- vAppのシャットダウン
vApps（既存のvAppに対して仮想マシンを追加/削除）：
- vAppに仮想マシンを追加。
- vAppから仮想マシンを削除
vApps（vAppsを表示）：
- プール内のvAppを表示
XenCenterの表示管理操作：
- グローバルXenCenterフォルダーの作成および変更
- XenCenterカスタムフィールドの作成および変更
- グローバルXenCenter検索クエリの作成および変更
フォルダ、カスタムフィールド、および検索クエリは、そのプールにアクセスするすべての管理者ユーザーで共有されます。
自分のタスクのキャンセル：
- 自分で実行したタスクのキャンセル
監査ログの表示：
- Citrix Hypervisor監査ログのダウンロード
プールへの接続およびすべてのプールメタデータの読み取り：
- プールへのログイン
- プールメタデータの表示
- パフォーマンスの履歴データの表示
- ログインユーザーの表示
- ユーザーおよび役割の表示
- メッセージの表示
- イベントの登録および受信
仮想GPUの構成：
- プールレベルの割り当てポリシーの指定
- 仮想マシンへの仮想GPUの割り当て
- 仮想マシンからの仮想GPUの割り当て解除
- 許可される仮想GPUの種類の変更
- GPUグループの作成、破棄、または割り当て
仮想GPU構成の表示：
- GPU情報、GPUの割り当てポリシー、および仮想GPUの割り当ての表示
構成ドライブへのアクセス（CoreOS VMのみ）：
- 仮想マシンの構成ドライバーへのアクセス
スケジュールされたスナップショット：
- 既存のスナップショットスケジュールに仮想マシンを追加
- 既存のスナップショットスケジュールから仮想マシンを削除
- スナップショットスケジュールを追加
- スナップショットスケジュールを変更
- スナップショットスケジュールを削除
Citrix Hypervisorからの診断情報の収集：
- GC収集とヒープの圧縮の実行
- ガベージコレクションの統計情報の収集
- データベースの統計情報の収集
- ネットワークの統計情報の収集
変更ブロック追跡の構成：
- 変更ブロック追跡の有効化
- 変更ブロック追跡の無効化
- スナップショットに関連付けられたデータを破棄してメタデータを保持
- VDIのNBD接続情報を取得
変更ブロック追跡は、ライセンスが適用されたCitrix Hypervisor Premium Editionのインスタンスでのみ有効にできます。
変更ブロックの一覧作成：
- 2つのVDIスナップショットを比較し、スナップショット間で変更されたブロックの一覧を作成します。
PVSアクセラレータの構成：
- PVSアクセラレータを有効にする
- PVSアクセラレータを無効にする
- （PVSアクセラレータ）キャッシュ構成のアップデート
- （PVSアクセラレータ）キャッシュ構成の追加または削除
PVSアクセラレータ構成の表示：
- PVSアクセラレータの状態の表示
注：
読み取り専用の役割では、昇格用の資格情報を入力しても、XenCenterのフォルダーにリソースを移動できない場合があります。この問題が発生した場合は、より権限の強いユーザーアカウントでXenCenterにログオンし直してから再試行してください。
Citrix Hypervisorによってユーザーに適用される役割の決定プロセス
-
Active Directoryサーバーがサブジェクトを認証します。認証時に、そのサブジェクトがほかのActive Directoryグループに属しているかどうかもチェックされます。
-
Citrix Hypervisorが、そのサブジェクト、および所属するActive Directoryグループにどの役割が割り当てられているかを検証します。
-
サブジェクトが複数のActive Directoryグループに属している場合は、割り当てられている役割のすべてのアクセス許可がそのサブジェクトに継承されます。
