RBAC役割とアクセス権
役割
XenServerには、以下の6つの役割が用意されています：
-
プール管理者（Pool Admin）： ローカルスーパーユーザー（root）と同レベルの管理者で、すべての操作を実行できます。
注：
ローカルスーパーユーザー（root）には、「プール管理者」の役割が適用されます。つまり、プール管理者にはローカルスーパーユーザーと同じ権限が設定されます。
ユーザーからプール管理者の役割を削除する場合は、ルートパスワードの変更や、プールシークレットの入れ替えも検討してください。詳しくは、「プールのセキュリティ」を参照してください。
-
プールオペレータ（Pool Operator）： 管理者ユーザーを追加/削除したり役割を変更したりすることはできませんが、そのほかのすべての管理タスクを実行できます。ホストやプールの管理（ストレージの作成、プールの作成、ホストの管理など）に特化した役割です。
-
仮想マシンパワー管理者（VM Power Admin）： 仮想マシンを作成して管理できます。仮想マシンオペレータに仮想マシンを提供することに特化した役割です。
-
仮想マシン管理者（VM Admin）： 仮想マシンパワー管理者に似ていますが、仮想マシンを移行したりスナップショットを作成したりすることはできません。
-
仮想マシンオペレータ（VM Operator）： 仮想マシン管理者に似ていますが、仮想マシンを作成したり破棄したりすることはできません。ただし、ライフサイクル操作を開始したり終了したりすることは許可されます。
-
読み取りのみ（Read Only）： リソースプールとパフォーマンスのデータを表示することしかできません。
注：
XenServer 8プールにアップデートを適用するには、プール管理者、プールオペレータとして、またはローカルのルートアカウントでXenCenterにログインする必要があります。
Active Directoryグループにプール管理者の役割を割り当ててホストへのSSHアクセスを許可する場合、そのActive Directoryグループのメンバー数は500以下である必要があります。
各役割で許可されるタスクについて詳しくは、次のセクションの「RBAC役割の定義とアクセス権」を参照してください。
XenServerで管理者ユーザーを作成した後、作成したユーザーに役割を割り当てないと、そのアカウントは使用できません。XenServerによって役割が自動的に割り当てられることはありません。このため、これらのユーザーにXenServerリソースプールへのアクセスを許可するには、いずれかの役割を割り当てる必要があります。
-
サブジェクトに割り当てる役割を変更します。これを行うには役割の割り当て/変更権限が必要であり、この権限はプール管理者のみに付与されます。
-
そのユーザーのグループメンバシップを変更して、必要な役割が割り当てられているActive Directoryグループにユーザーを追加します。
RBAC役割の定義とアクセス権
次の表は、各役割で使用可能な権限をまとめたものです。各権限で使用できる操作の詳細については、「権限の定義」を参照してください。
| アクセス権 | プール管理者 | プールオペレータ | VMパワー管理者 | VM管理者 | VMオペレータ | 読み取り専用 |
|---|---|---|---|---|---|---|
| 役割の割り当て/変更 | X | |||||
| 物理サーバーのコンソールへのログイン（SSHおよびXenCenterの使用） | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| TLS証明書のサーバーへのインストール | X | |||||
| プールにアップデートを適用する | X | X | ||||
| プールのローリングアップグレード | X | |||||
| OVF/OVAパッケージのインポートとディスクイメージのインポート | X | X | ||||
| XVAパッケージのインポート | X | X | X | |||
| OVF/OVA/XVAパッケージのエクスポート | X | X | X | X | ||
| ソケットごとのコア数の設定 | X | X | X | X | ||
| XenServer Conversion Managerによる仮想マシンの変換 | X | |||||
| スイッチポートのロック | X | X | ||||
| マルチパス | X | X | ||||
| 接続中のユーザーのログアウト | X | X | ||||
| NRPEを使用してホストとdom0のリソースを監視する | X | |||||
| SNMPを使用してホストとdom0のリソースを監視する | X | |||||
| アラートの作成と解除 | X | X | ||||
| 任意のユーザーのタスクのキャンセル | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| 高度な仮想マシン操作 | X | X | X | |||
| 仮想マシンの作成/破棄操作 | X | X | X | X | ||
| 仮想マシンのCDメディアの変更 | X | X | X | X | X | |
| 仮想マシンの電源状態の変更 | X | X | X | X | X | |
| 仮想マシンコンソールの表示 | X | X | X | X | X | |
| vApps（vAppsの追加/変更/削除） | X | X | ||||
| vApps（vAppsの起動/シャッドダウン） | X | X | ||||
| vApps（既存のvAppに対して仮想マシンを追加/削除） | X | X | ||||
| vApps（vAppsを表示） | X | X | X | X | X | X |
| XenCenterの表示管理操作 | X | X | X | X | X | |
| 自分のタスクのキャンセル | X | X | X | X | X | X |
| 監査ログの表示 | X | X | X | X | X | X |
| ワークロードバランス（WLB）の構成、初期化、有効化、および無効化 | X | X | ||||
| WLB最適化推奨項目の適用 | X | X | ||||
| WLB配置推奨項目の承諾 | X | X | X | |||
| WLB構成の表示 | X | X | X | X | X | X |
| WLBレポートの生成 | X | X | X | X | X | X |
| プールへの接続およびすべてのプールメタデータの読み取り | X | X | X | X | X | X |
| 仮想GPUの構成 | X | X | ||||
| 仮想GPU構成の表示 | X | X | X | X | X | X |
| 診断情報の収集 | X | X | ||||
| vCPUホットプラグ | X | X | X | X | ||
| 変更ブロック追跡の構成 | X | X | X | X | ||
| 変更ブロックの一覧作成 | X | X | X | X | X | |
| PVSアクセラレータの構成 | X | X | ||||
| PVSアクセラレータ構成の表示 | X | X | X | X | X | X |
| スケジュールされたスナップショット（既存のスナップショットスケジュールに仮想マシンを追加/削除） | X | X | X | |||
| スケジュールされたスナップショット（スナップショットスケジュールを追加/変更/削除） | X | X |
アクセス権の定義
役割の割り当て/変更：
- ユーザーアカウントの追加と削除
- ユーザーアカウントの役割の追加と削除
- Active Directory統合機能の有効化および無効化（ドメインへの追加）
この権限により、あらゆる権限が付与されたり、あらゆるタスクを実行できるようになったりします。
警告：
Active Directory統合機能およびActive Directoryから追加されたすべてのサブジェクトの無効化が許可されます。
サーバーコンソールへのログイン：
- SSHを使用したサーバーコンソールへのアクセス
- XenCenterを使用したサーバーコンソールへのアクセス
警告：
ルートシェルにアクセスできるため、RBACを含むシステム全体の再設定が独断的に可能になります。
サーバーのバックアップ/復元：
- サーバーのバックアップおよび復元
- プールメタデータのバックアップおよび復元
バックアップからの復元が許可されるため、RBAC構成の変更を元に戻すことが可能です。
TLS証明書のサーバーへのインストール：
この権限により、管理者はCitrix Hypervisor 8.2以降を実行するサーバーにTLS証明書をインストールできます。
プールにアップデートを適用：
- プールをコンテンツ配信ネットワーク（CDN）と同期します
- 必要に応じてホスト間で仮想マシンを移行した後でアップデートを適用し、必要なアップデートタスク（例：ホストの再起動、ツールスタックの再起動、または仮想マシンの再起動）を実行します
プールのローリングアップグレード：
- プールのローリングアップグレードウィザードですべてのホストをアップグレードします。
OVF/OVAパッケージとディスクイメージのインポート：
- OVFおよびOVAパッケージのインポート
- ディスクイメージのインポート
XVAパッケージのインポート：
- XVAパッケージのインポート
OVF/OVA/XVAパッケージとディスクイメージのエクスポート：
- OVF/OVAパッケージとしてのエクスポート
- XVAパッケージとしてのエクスポート
- ディスクイメージのエクスポート
ソケットごとのコア数の設定：
- 仮想マシンに割り当てる仮想CPUのソケットごとのコア数の設定
仮想マシンの仮想CPUのトポロジを指定するための権限です。
XenServer Conversion Managerによる仮想マシンの変換：
- VMware ESXi/vCenter VMのXenServer仮想マシンへの変換
VMwareのワークロードをXenServer用に変換できます。これにより、VMware ESXi/vCenter VMのワークロードをXenServer環境に移行できます。
スイッチポートロック：
- ネットワークトラフィックの制御
特定のネットワーク上のトラフィックをすべてブロック（デフォルト）したり、特定のIPアドレス以外の送信トラフィックをブロックしたりできます。
マルチパス：
- マルチパスの有効化
- マルチパスの無効化
接続中のユーザーのログアウト：
- ログインしているユーザーの切断
NRPEを使用してホストとdom0のリソースを監視する：
詳しくは、「NRPEを使用してホストとdom0のリソースを監視する」を参照してください。
SNMPを使用してホストとdom0のリソースを監視する：
詳しくは、「SNMPを使用してホストとdom0のリソースを監視する」を参照してください。
アラートの作成/解除：
- リソースの使用量が特定のしきい値に達したときにXenCenterで生成されるアラートの構成
- ［アラート］ビューのすべてのアラートの削除
警告：プール全体のアラートの解除が許可されます。
注：アラートの表示許可は、プールへの接続およびすべてのプールメタデータの読み取り権限に含まれます。
任意のユーザーのタスクのキャンセル：
- 任意のユーザーによるタスクのキャンセル
だれが実行したタスクかにかかわらず、実行中のXenServerタスクをキャンセルできます。
プール管理：
- プールプロパティ（名前、デフォルトSR）の設定
- クラスター化プールを作成する
- 高可用性の有効化、無効化、および構成
- 各仮想マシンの再起動優先度の設定
- 障害回復の構成、フェイルオーバー、フェイルバック、およびフェイルオーバーテストの実行
- ワークロードバランス（WLB）の有効化、無効化、および構成
- プールへのサーバーの追加とプールからの削除
- プールコーディネーターへの緊急移行
- 緊急プールコーディネーターアドレス
- プールメンバーの緊急復旧
- 新しいプールコーディネーターの指名
- プールおよびサーバー証明書の管理
- パッチの適用
- サーバープロパティの設定
- サーバーのログ機能の構成
- サーバーの有効化および無効化
- サーバーのシャットダウン、再起動、および電源投入
- ツールスタックの再起動
- システム状態のレポート
- ライセンスの適用
- すべての仮想マシンのほかのサーバー上へのライブマイグレーション（WLB、保守モード、または高可用性での操作）
- サーバーの管理インターフェイスおよびセカンダリインターフェイスの設定
- サーバー管理の無効化
- クラッシュダンプの削除
- ネットワークの追加、変更、および削除
- PBD/PIF/VLAN/ボンディング/ストレージリポジトリの追加、変更、および削除
- シークレットの追加、削除、および取得
プール管理に必要なすべてのタスクに対する許可が含まれます。
注：管理インターフェイスが機能していない場合、ローカルのrootでのログイン以外は認証されません。
ライブマイグレーション：
- 2つのホストが共有するストレージ上にある仮想マシンを、1つのホストから別のホストに移行
ストレージライブマイグレーション：
- 仮想マシンが2つのホスト間で共有されているストレージ上にない場合、1つのホストから別のホストに移行
- ストレージリポジトリ間での仮想ディスク（VDI）の移動
高度な仮想マシン操作：
- 仮想マシンメモリの調整（動的メモリ制御）
- メモリを含んだスナップショット作成、スナップショット作成、および仮想マシンのロールバック
- 仮想マシンの移行
- 仮想マシンの起動（物理サーバーの指定を含む）
- 仮想マシンの再開
XenServerにより選択されたホストとは異なるホスト上での仮想マシンの起動操作が許可されます。
仮想マシンの作成/破棄操作：
- 仮想マシンのインストールおよび削除
- 仮想マシンの複製/コピー
- 仮想ディスク/CDデバイスの追加、削除、および構成
- 仮想ネットワークデバイスの追加、削除、および構成
- 仮想マシン構成の変更
仮想マシンのCDメディアの変更：
- CDのイジェクト
- CDの挿入
仮想マシンの電源状態の変更：
- 仮想マシンの起動（自動配置）
- 仮想マシンのシャットダウン
- 仮想マシンの再起動
- 仮想マシンの一時停止
- 仮想マシンの再開（自動配置）
サーバーを指定した仮想マシンの起動、再開、および移行は高度な仮想マシン操作に含まれ、このアクセス権では許可されません。
仮想マシンコンソールの表示：
- 仮想マシンコンソールの表示と操作
ホストコンソールにはアクセスできません。
vApps（vAppsの追加/変更/削除）：
- vAppの作成
- vAppの削除
- vAppのプロパティの変更
vApps（vAppsの起動/シャッドダウン）：
- vAppの起動
- vAppのシャットダウン
vApps（既存のvAppに対して仮想マシンを追加/削除）：
- vAppに仮想マシンを追加。
- vAppから仮想マシンを削除
vApps（vAppsを表示）：
- プール内のvAppを表示
自分のタスクのキャンセル：
- 自分で実行したタスクのキャンセル
監査ログの表示：
- XenServer監査ログのダウンロード
WLBの構成、初期化、有効化、および無効化：
- WLBの構成
- WLBの初期化とWLBサーバーの変更
- WLBの有効化
- WLBを無効にする
WLB最適化推奨項目の適用：
- ［WLB］タブに表示される最適化推奨項目の適用
WLBレポートサブスクリプションの変更：
- 生成するWLBレポートおよびその送信先の変更
WLB配置推奨項目の承諾：
- ワークロードの配置先として（「星」で）提示された推奨サーバーからの選択
WLB構成の表示：
- ［WLB］ タブに表示されるようにプールのWLB設定を表示
WLBレポートの生成：
- プール監査記録レポートを含むWLBレポートの表示および実行
XenCenterの表示管理操作：
- グローバルXenCenterフォルダーの作成および変更
- XenCenterカスタムフィールドの作成および変更
- グローバルXenCenter検索クエリの作成および変更
プールへの接続およびすべてのプールメタデータの読み取り：
- プールへのログイン
- プールメタデータの表示
- パフォーマンスの履歴データの表示
- ログインユーザーの表示
- ユーザーおよび役割の表示
- タスクの表示
- メッセージの表示
- イベントの登録および受信
仮想GPUの構成：
- プールレベルの割り当てポリシーの指定
- 仮想マシンへの仮想GPUの割り当て
- 仮想マシンからの仮想GPUの割り当て解除
- 許可される仮想GPUの種類の変更
- GPUグループの作成、破棄、または割り当て
仮想GPU構成の表示：
- GPU情報、GPUの割り当てポリシー、および仮想GPUの割り当ての表示
XenServerからの診断情報の収集：
- GC収集とヒープの圧縮の実行
- ガベージコレクションの統計情報の収集
- データベースの統計情報の収集
- ネットワークの統計情報の収集
変更ブロック追跡の構成：
- 変更ブロック追跡の有効化
- 変更ブロック追跡の無効化
- スナップショットに関連付けられたデータを破棄してメタデータを保持
- VDIのNBD接続情報を取得
- NBD接続経由でVDIをエクスポート
変更ブロック追跡は、ライセンスが適用されたXenServer Premium Editionのインスタンスでのみ有効にできます。
変更ブロックの一覧作成：
- 2つのVDIスナップショットを比較し、スナップショット間で変更されたブロックの一覧を作成します。
PVSアクセラレータの構成：
- PVSアクセラレータを有効にする
- PVSアクセラレータを無効にする
- PVSアクセラレータキャッシュ構成のアップデート
- PVSアクセラレータキャッシュ構成の追加または削除
PVSアクセラレータ構成の表示：
- PVSアクセラレータの状態の表示
スケジュールされたスナップショット（既存のスナップショットスケジュールに仮想マシンを追加/削除）：
- 既存のスナップショットスケジュールに仮想マシンを追加
- 既存のスナップショットスケジュールから仮想マシンを削除
スケジュールされたスナップショット（スナップショットスケジュールを追加/変更/削除）：
- スナップショットスケジュールを追加
- スナップショットスケジュールを変更
- スナップショットスケジュールを削除
注：
読み取り専用の役割では、昇格用の資格情報を入力しても、XenCenterのフォルダーにリソースを移動できない場合があります。この問題が発生した場合は、より権限の強いユーザーアカウントでXenCenterにログオンし直してから再試行してください。
XenServerによってユーザーに適用される役割の決定プロセス
-
Active Directoryサーバーがサブジェクトを認証します。認証時に、そのサブジェクトがほかのActive Directoryグループに属しているかどうかもチェックされます。
-
XenServerが、そのサブジェクト、および所属するActive Directoryグループにどの役割が割り当てられているかを検証します。
-
サブジェクトが複数のActive Directoryグループに属している場合は、割り当てられている役割のすべてのアクセス許可がそのサブジェクトに継承されます。
