RBAC ロールと権限
ロール
XenServer® には、以下の6つの事前定義されたロールが同梱されています。
-
プール管理者 (Pool Admin) – ローカルのrootと同じです。すべての操作を実行できます。
注:
ローカルのスーパーユーザー (root) は「Pool Admin」ロールを持っています。Pool Admin ロールはローカルのrootと同じ権限を持っています。
ユーザーからPool Adminロールを削除する場合、rootパスワードの変更とプールシークレットのローテーションも検討してください。詳細については、プールセキュリティを参照してください。
-
プールオペレーター (Pool Operator) – ユーザーの追加/削除およびロールの変更以外のすべての操作を実行できます。このロールは主にホストとプールの管理 (つまり、ストレージの作成、プールの作成、ホストの管理など) に重点を置いています。
-
仮想マシンパワー管理者 (VM Power Admin) – 仮想マシンを作成および管理します。このロールは、VMオペレーターが使用するためのVMのプロビジョニングに重点を置いています。
-
仮想マシン管理者 (VM Admin) – VM Power Admin に似ていますが、VMの移行やスナップショットの実行はできません。
-
仮想マシンオペレーター (VM Operator) – VM Admin に似ていますが、VMの作成/破棄はできません。ただし、開始/停止のライフサイクル操作は実行できます。
-
読み取り専用 (Read Only) – リソースプールとパフォーマンスデータを表示できます。
注:
XenServer 8.4 プールに更新を適用するには、Pool Administrator または Pool Operator として、あるいはローカルのrootアカウントを使用してXenCenterにログインする必要があります。
Active Directory グループを使用して、ホストSSHアクセスを必要とするPool Administratorユーザーにアクセス権を付与する場合、Active Directory グループ内のユーザー数は500を超えてはなりません。
各ロールで利用可能な権限の概要と、各権限で利用可能な操作に関する情報については、次のセクションの「RBACロールと権限の定義」を参照してください。
XenServerでユーザーを作成する場合、そのアカウントを使用できるようにするには、まず新しく作成したユーザーにロールを割り当てる必要があります。XenServerは、新しく作成されたユーザーにロールを自動的に割り当てません。その結果、これらのアカウントは、ロールを割り当てるまでXenServerプールにアクセスできません。
-
サブジェクトからロールへのマッピングを変更します。これには、ロールの割り当て/変更権限が必要であり、これはプール管理者のみが利用できます。
-
Active Directoryでユーザーの所属グループメンバーシップを変更します。
RBACロールと権限の定義
次の表は、各ロールで利用可能な権限をまとめたものです。各権限で利用可能な操作の詳細については、「権限の定義」を参照してください。
| ロールの権限 | プール管理者 | プールオペレーター | VM電源管理者 | VM管理者 | VMオペレーター | 読み取り専用 |
|---|---|---|---|---|---|---|
| ロールの割り当て/変更 | X | |||||
| (物理)サーバーコンソールにログインする (SSH および XenCenter 経由) | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| サーバーにTLS証明書をインストールする | X | |||||
| プールに更新を適用する | X | X | ||||
| ローリングプールアップグレード | X | |||||
| OVF/OVA パッケージのインポート | X | X | ||||
| XVA パッケージのインポート。ディスクイメージのインポート | X | X | X | |||
| OVF/OVA/XVA パッケージのエクスポート | X | X | X | X | ||
| ソケットあたりのコア数を設定 | X | X | X | X | ||
| Conversion Manager を使用して VM を変換 | X | |||||
| スイッチポートロック | X | X | ||||
| マルチパス | X | X | ||||
| アクティブなユーザー接続をログアウトする | X | X | ||||
| NRPE を使用してホストと dom0 リソースを監視する | X | |||||
| SNMP を使用してホストと dom0 リソースを監視する | X | |||||
| アラートを作成および解除する | X | X | ||||
| 任意のユーザーのタスクをキャンセル | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| VM の高度な操作 | X | X | X | |||
| VM の作成/破棄操作 | X | X | X | X | ||
| VM の CD メディアの変更 | X | X | X | X | X | |
| VM の電源状態を変更 | X | X | X | X | X | |
| VM コンソールを表示 | X | X | X | X | X | |
| VM グループ (VM グループの追加/変更/削除) | X | X | X | X | ||
| VMグループ (既存のVMグループへのVMの追加/削除) | X | X | X | X | ||
| VMグループ (VMグループの表示) | X | X | X | X | X | X |
| vApp (vAppの追加/変更/削除) | X | X | ||||
| vApps (vAppの起動/シャットダウン) | X | X | ||||
| vApps (既存のvAppへのVMの追加/削除) | X | X | ||||
| vApps (vAppの表示) | X | X | X | X | X | X |
| XenCenterビュー管理操作 | X | X | X | X | X | |
| 自分のタスクをキャンセル | X | X | X | X | X | X |
| 監査ログの読み取り | X | X | X | X | X | X |
| ワークロードバランシング (WLB) の構成、初期化、有効化、無効化 | X | X | ||||
| WLB の最適化推奨事項を適用する | X | X | ||||
| WLB の配置推奨事項を受け入れる | X | X | X | |||
| WLB構成を表示 | X | X | X | X | X | X |
| WLBレポートを生成 | X | X | X | X | X | X |
| プールに接続し、すべてのプールメタデータ（アラートの表示を含む）を読み取る | X | X | X | X | X | X |
| 仮想GPUの構成 | X | X | ||||
| 仮想GPUの構成を表示 | X | X | X | X | X | X |
| 診断情報を収集する | X | X | ||||
| vCPUホットプラグ | X | X | X | X | ||
| 変更ブロック追跡を構成する | X | X | X | X | ||
| 変更されたブロックを一覧表示する | X | X | X | X | X | |
| PVS-Accelerator の構成 | X | X | ||||
| PVS-Accelerator の構成を表示 | X | X | X | X | X | X |
| スケジュール済みスナップショット (既存のスナップショットスケジュールへのVMの追加/削除) | X | X | X | |||
| スケジュール済みスナップショット (スナップショットスケジュールの追加/変更/削除) | X | X |
権限の定義
ロールの割り当て/変更:
- ユーザーの追加と削除
- ユーザーからのロールの追加と削除
- Active Directory統合の有効化と無効化 (ドメインへの参加)
この権限により、ユーザーは任意の権限を自身に付与したり、任意のタスクを実行したりできます。
警告:
このロールにより、ユーザーはActive Directory統合と、Active Directoryから追加されたすべてのサブジェクトを無効にできます。
サーバーコンソールへのログイン:
- ssh経由でのサーバーコンソールアクセス
- XenCenter®経由でのサーバーコンソールアクセス
警告:
ルートシェルへのアクセスがあれば、担当者はRBACを含むシステム全体を任意に再構成できます。
サーバーのバックアップ/復元:
- サーバーのバックアップと復元
- プールメタデータのバックアップと復元
バックアップを復元する機能により、担当者はRBAC構成の変更を元に戻すことができます。
サーバーにTLS証明書をインストールする:
この権限により、管理者はサーバーにTLS証明書をインストールできます。
プールに更新を適用する:
- プールをコンテンツデリバリーネットワーク (CDN) と同期する
- 必要に応じて各ホストからVMを移行し、ホストの再起動、ツールスタックの再起動、VMの再起動などの必要な更新タスクを実行して、更新を適用します。
ローリングプールアップグレード:
- 「ローリングプールアップグレード」ウィザードを使用して、プール内のすべてのホストをアップグレードします。
OVF/OVAパッケージのインポート:
- OVFおよびOVAパッケージをインポートする
XVAパッケージとディスクイメージのインポート:
- XVAパッケージをインポートする
- ディスクイメージをインポートする
OVF/OVA/XVAパッケージのエクスポート:
- VMをOVF/OVAパッケージとしてエクスポートする
- VMをXVAパッケージとしてエクスポートする
ソケットあたりのコア数の設定:
- VMの仮想CPUのソケットあたりのコア数を設定する
この権限により、ユーザーはVMの仮想CPUのトポロジを指定できます。
Conversion Managerを使用したVMの変換:
- VMware ESXi/vCenter VMをXenServer VMに変換する
この権限により、ユーザーはVMwareからXenServerにワークロードを変換できます。これらのワークロードは、VMware ESXi/vCenter VMのバッチをXenServer環境にコピーすることで変換します。
スイッチポートロック:
- ネットワーク上のトラフィックを制御する
この権限により、ユーザーはデフォルトですべてのネットワークトラフィックをブロックしたり、VMがトラフィックを送信できる特定のIPアドレスを定義したりできます。
マルチパス:
- マルチパスを有効にする
- マルチパスを無効にする
アクティブなユーザー接続をログアウト:
- ログイン中のユーザーを切断する機能
NRPE を使用してホストと dom0 リソースを監視:
詳細については、「NRPE を使用してホストと dom0 リソースを監視」を参照してください。
SNMP を使用してホストと dom0 リソースを監視:
詳細については、「SNMP を使用してホストと dom0 リソースを監視」を参照してください。
アラートの作成/解除:
- リソース使用量が特定のしきい値を超えたときにアラートを生成するように XenCenter を構成する
- アラートビューからアラートを削除する
警告: この権限を持つユーザーは、プール全体のアラートを無視できます。
注:
アラートを表示する機能は、プールに接続し、すべてのプールメタデータを読み取る権限の一部です。
任意のユーザーのタスクをキャンセル:
- 任意のユーザーの実行中のタスクをキャンセルする
この権限により、ユーザーは任意のユーザーによって開始された進行中のタスクをXenServerにキャンセルするよう要求できます。
プール管理:
- プールプロパティ (命名、デフォルトSR) を設定する
- GFS2クラスタープールを作成する
- HAを有効化、無効化、および構成する
- VMごとのHA再起動優先度を設定する
- DRを構成し、DRフェイルオーバー、フェイルバック、およびテストフェイルオーバー操作を実行する。
- ワークロードバランシング (WLB) を有効化、無効化、および構成する
- プールへのサーバーの追加と削除
- プールコーディネーターへの緊急移行
- 緊急プールコーディネーターアドレス
- プールメンバーの緊急リカバリ
- 新しいプールコーディネーターの指定
- プールおよびサーバー証明書の管理
- パッチ適用
- サーバープロパティの設定
- サーバーログの設定
- サーバーの有効化と無効化
- サーバーのシャットダウン、再起動、電源オン
- ツールスタックの再起動
- システムステータスレポート
- ライセンスの適用
- WLB、メンテナンスモード、または高可用性のいずれかにより、サーバー上の他のすべてのVMを別のサーバーにライブマイグレーションする
- サーバー管理インターフェースとセカンダリインターフェースの設定
- サーバー管理の無効化
- クラッシュダンプを削除
- ネットワークの追加、編集、削除
- PBD/PIF/VLAN/Bond/SR の追加、編集、削除
- シークレットの追加、削除、取得
この権限には、プールを維持するために必要なすべてのアクションが含まれます。
注: 管理インターフェースが機能していない場合、ローカルのrootログインを除き、どのログインも認証できません。
ライブマイグレーション:
- VMが両方のホストで共有されているストレージ上にある場合、VMをあるホストから別のホストに移行する
ストレージライブマイグレーション:
- VMが2つのホスト間で共有されていないストレージ上にある場合、あるホストから別のホストに移行する
- 仮想ディスク (VDI) をあるSRから別のSRに移動する
VMの高度な操作:
- VMメモリの調整 (動的メモリ制御による)
- メモリ付きVMスナップショットの作成、VMスナップショットの取得、VMのロールバック
- VMの移行
- VMを起動する（物理サーバーの指定を含む）
- VMを再開する
この権限により、割り当てられたユーザーは、XenServerが選択したホストに満足しない場合に、別のホストでVMを起動するのに十分な特権を得られます。
VMの作成/破棄操作:
- VMをインストールおよび削除する
- VMをクローン/コピーする
- 仮想ディスク/CDデバイスの追加、削除、および構成
- 仮想ネットワークデバイスの追加、削除、および構成
- VM構成の変更
- VMメタデータのバックアップ/復元
- VMをテンプレートに変換する
- 既存のスナップショットをテンプレートに変換する
VMのCDメディアの変更:
- 現在のCDを取り出す
- 新しいCDを挿入する
VM の電源状態の変更:
- VM の起動 (自動配置)
- VM のシャットダウン
- VM の再起動
- VM の一時停止
- VM の再開 (自動配置)
この権限には、start_on、resume_on、および migrate は含まれません。これらは VM の高度な操作権限の一部です。
VM コンソールの表示:
- VM コンソールの表示および操作
この権限では、ユーザーはホストコンソールを表示できません。
VM グループ (グループの追加/変更/削除):
- VM グループの作成
- VM グループの削除
- VM グループのプロパティの変更
VM グループ (既存の VM グループへの VM の追加/削除):
- VMをVMグループに割り当てる
- VMをVMグループから削除する
- VMが割り当てられているVMグループを変更する
VMグループ (VMグループの表示):
- プール内のVMグループを表示する
vApp (vAppの追加/変更/削除):
- vAppを作成する
- vAppを削除する
- vAppのプロパティを変更する
vApp (vAppの起動/シャットダウン):
- vAppを起動する
- vAppをシャットダウンする
vApp (既存のvAppへのVMの追加/削除):
- VMをvAppに追加する。
- VMをvAppから削除する
vApps (vAppの表示):
- プール内のvAppを表示
自身のタスクをキャンセル:
- ユーザーが自身のタスクをキャンセルできるようにする
監査ログの読み取り:
- XenServer監査ログをダウンロード
WLBの構成、初期化、有効化、無効化:
- WLBを構成
- WLBを初期化し、WLBサーバーを変更
- WLBを有効化
- WLBを無効化
WLB最適化の推奨事項を適用:
- WLBタブに表示される最適化の推奨事項を適用
WLBレポートのサブスクリプションを変更:
- 生成されるWLBレポートまたはその受信者を変更
WLB配置の推奨事項を受け入れる:
- Workload Balancingが配置に推奨するサーバーのいずれかを選択する（「スター」推奨）
WLB構成を表示する:
- WLBタブに表示されているプールのWLB設定を表示する
WLBレポートを生成する:
- プール監査証跡レポートを含むWLBレポートを表示および実行する
XenCenterビュー管理操作:
- グローバルXenCenterフォルダーを作成および変更する
- グローバルXenCenterカスタムフィールドを作成および変更する
- グローバルXenCenter検索を作成および変更する
プールに接続し、すべてのプールメタデータを読み取る:
- プールにログインする
- プールメタデータを表示する
- 履歴パフォーマンスデータを表示する
- ログイン中のユーザーを表示する
- ユーザーとロールを表示
- タスクを表示
- メッセージを表示
- イベントを登録して受信
仮想GPUの構成:
- プール全体の配置ポリシーを指定
- 仮想GPUをVMに割り当てる
- VMから仮想GPUを削除する
- 許可されている仮想GPUタイプを変更する
- GPUグループを作成、破棄、または割り当てる
仮想GPU構成の表示:
- GPU、GPU配置ポリシー、および仮想GPUの割り当てを表示します。
XenServerから診断情報を収集:
- GCコレクションとヒープ圧縮を開始
- ガベージコレクション統計を収集
- データベース統計を収集する
- ネットワーク統計を収集する
変更ブロック追跡を構成する:
- 変更ブロック追跡を有効にする
- 変更ブロック追跡を無効にする
- スナップショットに関連付けられたデータを破棄し、メタデータを保持する
- VDI の NBD 接続情報を取得する
- NBD 接続を介して VDI をエクスポートする
変更ブロック追跡は、XenServer Premium Edition のライセンスを持つインスタンスでのみ有効にできます。
変更されたブロックを一覧表示する:
- 2つのVDIスナップショットを比較し、それらの間で変更されたブロックを一覧表示する。
PVS-Accelerator を構成する:
- PVS-Accelerator を有効にする
- PVS-Accelerator を無効にする
- PVS-Accelerator キャッシュ構成を更新する
- PVS-Acceleratorキャッシュ構成の追加または削除
PVS-Accelerator構成の表示:
- PVS-Acceleratorのステータスを表示
スケジュールされたスナップショット (既存のスナップショットスケジュールへのVMの追加/削除):
- 既存のスナップショットスケジュールにVMを追加
- 既存のスナップショットスケジュールからVMを削除
スケジュールされたスナップショット (スナップショットスケジュールの追加/変更/削除):
- スナップショットスケジュールを追加
- スナップショットスケジュールを変更
- スナップショットスケジュールを削除
注:
読み取り専用ユーザーは、昇格プロンプトを受け取り、より特権のあるユーザーの資格情報を入力した後でも、XenCenterでリソースをフォルダーに移動できない場合があります。この場合、より特権のあるユーザーとしてXenCenterにログオンし、操作を再試行してください。
XenServerはセッションのロールをどのように計算しますか?
-
サブジェクトは、Active Directoryサーバーを介して認証され、サブジェクトが属する可能性のある包含グループを確認します。
-
その後、XenServerは、サブジェクトとその包含グループの両方に割り当てられているロールを確認します。
-
サブジェクトは複数のActive Directoryグループのメンバーになれるため、関連するロールのすべての権限を継承します。
この図では、サブジェクト2（グループ2）がプールオペレーターであり、ユーザー1がグループ2のメンバーであるため、サブジェクト3（ユーザー1）がログインしようとすると、サブジェクト3（VMオペレーター）とグループ2（プールオペレーター）の両方のロールを継承します。プールオペレーターのロールの方が上位であるため、サブジェクト3（ユーザー1）の最終的なロールはVMオペレーターではなくプールオペレーターになります。(/en-us/xenserver/8/media/rbac-compute-roles.png)