RBAC ロールと権限
ロール
XenServer® には、以下の6つの事前定義されたロールが付属しています。
-
Pool Administrator (プール管理者) – ローカルのrootと同じです。すべての操作を実行できます。
注:
ローカルのスーパーユーザー (root) は「Pool Admin」ロールを持っています。「Pool Admin」ロールはローカルのrootと同じ権限を持っています。
ユーザーからPool Adminロールを削除する場合は、rootパスワードの変更とプールシークレットのローテーションも検討してください。詳細については、プールセキュリティを参照してください。
-
Pool Operator (プールオペレーター) – ユーザーの追加/削除やロールの変更以外のすべての操作を実行できます。このロールは主にホストとプールの管理 (ストレージの作成、プールの作成、ホストの管理など) に重点を置いています。
-
Virtual Machine Power Administrator (VMパワー管理者) – 仮想マシンを作成および管理します。このロールは、VMオペレーターが使用するVMのプロビジョニングに重点を置いています。
-
Virtual Machine Administrator (VM管理者) – VMパワー管理者に似ていますが、VMの移行やスナップショットの実行はできません。
-
仮想マシンオペレーター (VMオペレーター) – VM管理者に似ていますが、VMの作成/破棄はできません。ただし、開始/停止のライフサイクル操作は実行できます。
-
Read-only (読み取り専用) – リソースプールとパフォーマンスデータを表示できます。
注:
XenServer 9プールにアップデートを適用するには、Pool AdministratorまたはPool Operatorとして、あるいはローカルのrootアカウントを使用してXenCenterにログインする必要があります。
ホストSSHアクセスを必要とするPool Administratorユーザーにアクセス権を付与するためにActive Directoryグループを使用する場合、Active Directoryグループ内のユーザー数は500を超えてはなりません。
各ロールで利用可能な権限の概要、および各権限で利用可能な操作に関する情報については、次のセクションの「RBACロールと権限の定義」を参照してください。
XenServerでユーザーを作成する場合、そのユーザーがアカウントを使用できるようにするには、まず新しく作成されたユーザーにロールを割り当てる必要があります。XenServerは、新しく作成されたユーザーにロールを自動的に割り当てません。そのため、ロールを割り当てるまで、これらのアカウントはXenServerプールにアクセスできません。
-
サブジェクトからロールへのマッピングを変更します。これには、プール管理者のみが利用できるロールの割り当て/変更権限が必要です。
-
Active Directoryでユーザーの所属グループメンバーシップを変更します。
RBACロールと権限の定義
次の表は、各ロールで利用可能な権限をまとめたものです。各権限で利用可能な操作の詳細については、「権限の定義」を参照してください。
| ロールの権限 | プール管理者 | プールオペレーター | VM電源管理者 | VM管理者 | VMオペレーター | 読み取り専用 |
|---|---|---|---|---|---|---|
| ロールの割り当て/変更 | X | |||||
| (物理)サーバーコンソールにログインする (SSHおよびXenCenter経由) | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| サーバーにTLS証明書をインストールする | X | |||||
| プールに更新を適用する | X | X | ||||
| ローリングプールアップグレード | X | |||||
| OVF/OVAパッケージをインポートする | X | X | ||||
| XVAパッケージをインポートする。ディスクイメージをインポートする | X | X | X | |||
| OVF/OVA/XVA パッケージのエクスポート | X | X | X | X | ||
| ソケットあたりのコア数を設定 | X | X | X | X | ||
| Conversion Manager を使用して VM を変換 | X | |||||
| スイッチポートロック | X | X | ||||
| マルチパス | X | X | ||||
| アクティブなユーザー接続をログアウトする | X | X | ||||
| NRPE を使用してホストと dom0 リソースを監視する | X | |||||
| SNMP を使用してホストと dom0 リソースを監視する | X | |||||
| アラートを作成および解除する | X | X | ||||
| 任意のユーザーのタスクをキャンセル | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| VM の高度な操作 | X | X | X | |||
| VM の作成/破棄操作 | X | X | X | X | ||
| VM の CD メディアの変更 | X | X | X | X | X | |
| VM の電源状態を変更 | X | X | X | X | X | |
| VM コンソールを表示 | X | X | X | X | X | |
| VM グループ (VM グループの追加/変更/削除) | X | X | X | X | ||
| VMグループ (既存のVMグループにVMを追加/削除) | X | X | X | X | ||
| VMグループ (VMグループの表示) | X | X | X | X | X | X |
| vApp (vAppの追加/変更/削除) | X | X | ||||
| vApps (vAppの起動/シャットダウン) | X | X | ||||
| vApps (既存のvAppへのVMの追加/削除) | X | X | ||||
| vApps (vAppの表示) | X | X | X | X | X | X |
| XenCenter ビュー管理操作 | X | X | X | X | X | |
| 自身のタスクをキャンセル | X | X | X | X | X | X |
| 監査ログの読み取り | X | X | X | X | X | X |
| ワークロードバランシング (WLB) の構成、初期化、有効化、無効化 | X | X | ||||
| WLB の最適化推奨事項を適用する | X | X | ||||
| WLB の配置推奨事項を受け入れる | X | X | X | |||
| WLB構成の表示 | X | X | X | X | X | X |
| WLBレポートの生成 | X | X | X | X | X | X |
| プールに接続し、すべてのプールメタデータを読み取る（アラートの表示を含む） | X | X | X | X | X | X |
| 仮想GPUの構成 | X | X | ||||
| 仮想GPU構成の表示 | X | X | X | X | X | X |
| 診断情報を収集する | X | X | ||||
| vCPUホットプラグ | X | X | X | X | ||
| 変更されたブロック追跡を構成する | X | X | X | X | ||
| 変更されたブロックを一覧表示する | X | X | X | X | X | |
| PVS-Accelerator の設定 | X | X | ||||
| PVS-Accelerator の設定を表示 | X | X | X | X | X | X |
| スケジュールされたスナップショット (既存のスナップショットスケジュールへのVMの追加/削除) | X | X | X | |||
| スケジュールされたスナップショット (スナップショットスケジュールの追加/変更/削除) | X | X |
権限の定義
ロールの割り当て/変更:
- ユーザーの追加および削除
- ユーザーからのロールの追加および削除
- Active Directory統合の有効化および無効化 (ドメインへの参加)
この権限により、ユーザーは自身に任意の権限を付与したり、任意のタスクを実行したりできます。
警告:
このロールにより、ユーザーはActive Directory統合と、Active Directoryから追加されたすべてのサブジェクトを無効にできます。
サーバーコンソールへのログイン:
- ssh を介したサーバーコンソールアクセス
- XenCenter® を介したサーバーコンソールアクセス
警告:
ルートシェルへのアクセスがあれば、割り当てられたユーザーは RBAC を含むシステム全体を任意に再構成できます。
サーバーのバックアップ/復元:
- サーバーのバックアップと復元
- プールメタデータのバックアップと復元
バックアップを復元する機能により、割り当てられたユーザーは RBAC 構成の変更を元に戻すことができます。
サーバーに TLS 証明書をインストールする:
この権限により、管理者はサーバーに TLS 証明書をインストールできます。
プールに更新を適用する:
- プールをコンテンツデリバリーネットワーク (CDN) と同期する
- 必要に応じて各ホストから VM を移行し、ホストの再起動、ツールスタックの再起動、VM の再起動など、必要な更新タスクを実行して更新を適用します。
ローリングプールアップグレード:
- プール内のすべてのホストをローリングプールアップグレードウィザードを使用してアップグレードします。
OVF/OVAパッケージのインポート:
- OVFおよびOVAパッケージをインポートする
XVAパッケージとディスクイメージのインポート:
- XVAパッケージをインポートする
- ディスクイメージをインポートする
OVF/OVA/XVAパッケージのエクスポート:
- VMをOVF/OVAパッケージとしてエクスポートする
- VMをXVAパッケージとしてエクスポートする
ソケットあたりのコア数の設定:
- VMの仮想CPUのソケットあたりのコア数を設定する
この権限により、ユーザーはVMの仮想CPUのトポロジを指定できます。
Conversion Managerを使用したVMの変換:
- VMware ESXi/vCenter VMをXenServer VMに変換する
この権限により、ユーザーはVMwareからXenServerにワークロードを変換できます。これらのワークロードは、VMware ESXi/vCenter VMのバッチをXenServer環境にコピーすることで変換します。
スイッチポートロック:
- ネットワーク上のトラフィックを制御する
この権限により、ユーザーはデフォルトでネットワーク上のすべてのトラフィックをブロックしたり、VMがトラフィックを送信できる特定のIPアドレスを定義したりできます。
マルチパス:
- マルチパスを有効にする
- マルチパスを無効にする
アクティブなユーザー接続をログアウトする:
- ログイン中のユーザーを切断する機能
NRPE を使用してホストおよび dom0 リソースを監視する:
詳細については、「NRPE を使用してホストおよび dom0 リソースを監視する」を参照してください。
SNMP を使用してホストおよび dom0 リソースを監視する:
詳細については、「SNMP を使用してホストおよび dom0 リソースを監視する」を参照してください。
アラートの作成/解除:
- リソース使用量が特定のしきい値を超えたときにアラートを生成するように XenCenter を構成する
- アラートビューからアラートを削除する
警告：この権限を持つユーザーは、プール全体の警告を無視できます。
注：
警告を表示する機能は、Connect to pool and read all pool metadata permission の一部です。
任意のユーザーのタスクをキャンセル：
- 任意のユーザーの実行中のタスクをキャンセルする
この権限により、ユーザーはXenServerに対し、任意のユーザーによって開始された進行中のタスクのキャンセルを要求できます。
プール管理：
- プールプロパティ（命名、デフォルトSR）を設定する
- GFS2クラスタープールを作成する
- HAを有効化、無効化、および構成する
- VMごとのHA再起動優先度を設定する
- DRを構成し、DRフェイルオーバー、フェイルバック、およびテストフェイルオーバー操作を実行する。
- ワークロードバランシング（WLB）を有効化、無効化、および構成する
- プールへのサーバーの追加と削除
- プールコーディネーターへの緊急移行
- 緊急プールコーディネーターアドレス
- プールメンバーの緊急リカバリ
- 新しいプールコーディネーターの指定
- プールおよびサーバー証明書の管理
- パッチ適用
- サーバープロパティの設定
- サーバーログの設定
- サーバーの有効化と無効化
- サーバーのシャットダウン、再起動、電源オン
- ツールスタックの再起動
- システムステータスレポート
- ライセンスの適用
- WLB、メンテナンスモード、または高可用性のいずれかによる、サーバー上の他のすべてのVMの別のサーバーへのライブマイグレーション
- サーバー管理インターフェースとセカンダリインターフェースの設定
- サーバー管理の無効化
- クラッシュダンプを削除
- ネットワークの追加、編集、削除
- PBD/PIF/VLAN/Bond/SR の追加、編集、削除
- シークレットの追加、削除、取得
この権限には、プールを維持するために必要なすべてのアクションが含まれます。
注: 管理インターフェースが機能していない場合、ローカルの root ログインを除き、どのログインも認証できません。
ライブマイグレーション:
- VMが両方のホストで共有されているストレージ上にある場合に、あるホストから別のホストへVMを移行する
ストレージライブマイグレーション:
- VMが2つのホスト間で共有されていないストレージ上にある場合に、あるホストから別のホストへ移行する
- 仮想ディスク (VDI) をあるSRから別のSRへ移動する
VMの高度な操作:
- VMメモリの調整 (動的メモリ制御による)
- メモリ付きVMスナップショットの作成、VMスナップショットの取得、VMのロールバック
- VMの移行
- VMを起動する（物理サーバーの指定を含む）
- VMを再開する
この権限により、割り当てられたユーザーは、XenServerが選択したホストに満足できない場合、別のホストでVMを起動するのに十分な特権を得られます。
VMの作成/破棄操作:
- VMのインストールと削除
- VMのクローン/コピー
- 仮想ディスク/CDデバイスの追加、削除、構成
- 仮想ネットワークデバイスの追加、削除、構成
- VM構成の変更
- VMメタデータのバックアップ/復元
- VMをテンプレートに変換する
- 既存のスナップショットをテンプレートに変換する
VMのCDメディアの変更:
- 現在のCDを取り出す
- 新しいCDを挿入する
VM の電源状態の変更:
- VM の起動 (自動配置)
- VM のシャットダウン
- VM の再起動
- VM の一時停止
- VM の再開 (自動配置)
この権限には、VM の高度な操作権限の一部である start_on、resume_on、および migrate は含まれません。
VM コンソールの表示:
- VM コンソールの表示と操作
この権限では、ユーザーはホストコンソールを表示できません。
VM グループ (グループの追加/変更/削除):
- VM グループの作成
- VM グループの削除
- VM グループのプロパティの変更
VM グループ (既存の VM グループへの VM の追加/削除):
- VMをVMグループに割り当てる
- VMをVMグループから削除する
- VMが割り当てられているVMグループを変更する
VMグループ（VMグループの表示）：
- プール内のVMグループを表示する
vApp（vAppの追加/変更/削除）：
- vAppを作成する
- vAppを削除する
- vAppのプロパティを変更する
vApp（vAppの起動/シャットダウン）：
- vAppを起動する
- vAppをシャットダウンする
vApp（既存のvAppへのVMの追加/削除）：
- VMをvAppに追加する。
- VMをvAppから削除する
vApp (vAppの表示):
- プール内のvAppを表示
自身のタスクをキャンセル:
- ユーザーが自身のタスクをキャンセルできるようにする
監査ログの読み取り:
- XenServer監査ログをダウンロード
WLBの構成、初期化、有効化、無効化:
- WLBを構成
- WLBを初期化し、WLBサーバーを変更
- WLBを有効化
- WLBを無効化
WLB最適化の推奨事項を適用:
- WLBタブに表示される最適化の推奨事項を適用
WLBレポートのサブスクリプションを変更:
- 生成されるWLBレポートまたはその受信者を変更
WLB配置の推奨事項を受け入れる:
- Workload Balancingが配置に推奨するサーバーのいずれかを選択します（「スター」推奨）
WLB構成を表示:
- WLBタブに表示されているプールのWLB設定を表示します
WLBレポートを生成:
- プール監査証跡レポートを含むWLBレポートを表示および実行します
XenCenterビュー管理操作:
- グローバルXenCenterフォルダーを作成および変更します
- グローバルXenCenterカスタムフィールドを作成および変更します
- グローバルXenCenter検索を作成および変更します
プールに接続し、すべてのプールメタデータを読み取る:
- プールにログインします
- プールメタデータを表示します
- 履歴パフォーマンスデータを表示します
- ログイン中のユーザーを表示します
- ユーザーとロールを表示
- タスクを表示
- メッセージを表示
- イベントを登録して受信
仮想GPUを構成:
- プール全体の配置ポリシーを指定
- 仮想GPUをVMに割り当てる
- VMから仮想GPUを削除する
- 許可されている仮想GPUタイプを変更する
- GPUグループを作成、破棄、または割り当てる
仮想GPU構成を表示:
- GPU、GPU配置ポリシー、および仮想GPUの割り当てを表示します。
XenServerから診断情報を収集:
- GCコレクションとヒープ圧縮を開始
- ガベージコレクション統計を収集
- データベース統計情報を収集する
- ネットワーク統計情報を収集する
変更ブロック追跡の構成:
- 変更ブロック追跡を有効にする
- 変更ブロック追跡を無効にする
- スナップショットに関連付けられたデータを破棄し、メタデータを保持する
- VDI の NBD 接続情報を取得する
- NBD 接続経由で VDI をエクスポートする
変更ブロック追跡は、XenServer Premium Edition のライセンスを持つインスタンスでのみ有効にできます。
変更されたブロックのリスト:
- 2つのVDIスナップショットを比較し、それらの間で変更されたブロックをリストする。
PVS-Accelerator の構成:
- PVS-Accelerator を有効にする
- PVS-Accelerator を無効にする
- PVS-Accelerator キャッシュ構成を更新する
- PVS-Accelerator キャッシュ構成の追加または削除
PVS-Accelerator 構成の表示:
- PVS-Accelerator のステータスの表示
スケジュールされたスナップショット (既存のスナップショットスケジュールへの VM の追加/削除):
- 既存のスナップショットスケジュールに VM を追加する
- 既存のスナップショットスケジュールから VM を削除する
スケジュールされたスナップショット (スナップショットスケジュールの追加/変更/削除):
- スナップショットスケジュールを追加する
- スナップショットスケジュールを変更する
- スナップショットスケジュールを削除する
注:
読み取り専用ユーザーは、昇格プロンプトを受け取り、より特権のあるユーザーの資格情報を入力した後でも、XenCenter のフォルダーにリソースを移動できない場合があります。この場合、より特権のあるユーザーとして XenCenter にログオンし、操作を再試行してください。
XenServer はセッションのロールをどのように計算しますか?
-
サブジェクトは Active Directory サーバーを介して認証され、サブジェクトが属する可能性のあるグループが検証されます。
-
その後、XenServer は、サブジェクトとその所属グループの両方に割り当てられているロールを検証します。
-
サブジェクトは複数のActive Directoryグループのメンバーになれるため、関連付けられたロールのすべての権限を継承します。
この図では、サブジェクト2（グループ2）がプールオペレーターであり、ユーザー1がグループ2のメンバーであるため、サブジェクト3（ユーザー1）がログインしようとすると、サブジェクト3（VMオペレーター）とグループ2（プールオペレーター）の両方のロールを継承します。プールオペレーターのロールの方が上位であるため、サブジェクト3（ユーザー1）の最終的なロールはVMオペレーターではなくプールオペレーターになります。](/en-us/xenserver/9/media/rbac-compute-roles.png)