RBAC ロールと権限
ロール
XenServer® には、以下の6つの事前定義されたロールが同梱されています。
-
プール管理者 (Pool Admin) – ローカルのrootと同じです。すべての操作を実行できます。注:ローカルのスーパーユーザー (root) は「プール管理者」ロールを持っています。プール管理者ロールはローカルのrootと同じ権限を持っています。ユーザーからプール管理者ロールを削除する場合、rootパスワードの変更とプールシークレットのローテーションも検討してください。詳細については、プールセキュリティ を参照してください。
-
プールオペレーター (Pool Operator) – ユーザーの追加/削除およびロールの変更以外のすべての操作を実行できます。このロールは主にホストとプールの管理 (つまり、ストレージの作成、プールの作成、ホストの管理など) に重点を置いています。
-
仮想マシンパワー管理者 (VM Power Admin) – 仮想マシンを作成および管理します。このロールは、VMオペレーターが使用するVMのプロビジョニングに重点を置いています。
-
仮想マシン管理者 (VM Admin) – VMパワー管理者に似ていますが、VMの移行やスナップショットの実行はできません。
-
仮想マシンオペレーター (VM Operator) – VM管理者に似ていますが、VMの作成/破棄はできません。ただし、開始/停止のライフサイクル操作は実行できます。
-
読み取り専用 (Read Only) – リソースプールとパフォーマンスデータを表示できます。
注:
-
XenServer 8.4 プールに更新を適用するには、XenCenter にプール管理者またはプールオペレーターとして、あるいはローカルのrootアカウントを使用してログインする必要があります。
-
ホストSSHアクセスを必要とするプール管理者ユーザーにアクセス権を付与するためにActive Directoryグループを使用する場合、Active Directoryグループ内のユーザー数は500を超えてはなりません。
各ロールで利用可能な権限の概要、および各権限で利用可能な操作に関する情報については、次のセクションの「RBACロールと権限の定義」を参照してください。
XenServerでユーザーを作成する場合、そのアカウントを使用できるようにするには、まず新しく作成したユーザーにロールを割り当てる必要があります。XenServerは、新しく作成されたユーザーにロールを自動的に割り当てません。その結果、これらのアカウントには、ロールを割り当てるまでXenServerプールへのアクセス権がありません。
-
サブジェクトからロールへのマッピングを変更します。これには、プール管理者のみが利用できるロールの割り当て/変更権限が必要です。
-
Active Directoryでユーザーの所属グループメンバーシップを変更します。
RBACロールと権限の定義
次の表は、各ロールで利用可能な権限をまとめたものです。各権限で利用可能な操作の詳細については、「権限の定義」を参照してください。
| ロールの権限 | プール管理者 | プールオペレーター | VM電源管理者 | VM管理者 | VMオペレーター | 読み取り専用 |
|---|---|---|---|---|---|---|
| ロールの割り当て/変更 | X | |||||
| (物理)サーバーコンソールにログインする (SSHおよびXenCenter経由) | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| サーバーにTLS証明書をインストールする | X | |||||
| プールに更新を適用する | X | X | ||||
| ローリングプールアップグレード | X | |||||
| OVF/OVAパッケージをインポートする | X | X | ||||
| XVAパッケージをインポートする。ディスクイメージをインポートする | X | X | X | |||
| OVF/OVA/XVA パッケージのエクスポート | X | X | X | X | ||
| ソケットあたりのコア数を設定 | X | X | X | X | ||
| Conversion Manager を使用して VM を変換 | X | |||||
| スイッチポートのロック | X | X | ||||
| マルチパス | X | X | ||||
| アクティブなユーザー接続をログアウトする | X | X | ||||
| NRPE を使用してホストと dom0 リソースを監視する | X | |||||
| SNMP を使用してホストと dom0 リソースを監視する | X | |||||
| アラートの作成と解除 | X | X | ||||
| 任意のユーザーのタスクをキャンセルする | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| VM の高度な操作 | X | X | X | |||
| VM の作成/破棄操作 | X | X | X | X | ||
| VM の CD メディアの変更 | X | X | X | X | X | |
| VM の電源状態を変更 | X | X | X | X | X | |
| VM コンソールを表示 | X | X | X | X | X | |
| VM グループ (VM グループの追加/変更/削除) | X | X | X | X | ||
| VMグループ (既存のVMグループへのVMの追加/削除) | X | X | X | X | ||
| VMグループ (VMグループの表示) | X | X | X | X | X | X |
| vApp (vAppの追加/変更/削除) | X | X | ||||
| vApps (vAppの起動/シャットダウン) | X | X | ||||
| vApps (既存のvAppへのVMの追加/削除) | X | X | ||||
| vApps (vAppの表示) | X | X | X | X | X | X |
| XenCenter ビュー管理操作 | X | X | X | X | X | |
| 自分のタスクをキャンセル | X | X | X | X | X | X |
| 監査ログの読み取り | X | X | X | X | X | X |
| ワークロードバランシング (WLB) の構成、初期化、有効化、無効化 | X | X | ||||
| WLB の最適化推奨事項を適用する | X | X | ||||
| WLB の配置推奨事項を受け入れる | X | X | X | |||
| WLB構成を表示 | X | X | X | X | X | X |
| WLBレポートを生成 | X | X | X | X | X | X |
| プールに接続し、すべてのプールメタデータ（アラートの表示を含む）を読み取る | X | X | X | X | X | X |
| 仮想GPUを構成する | X | X | ||||
| 仮想GPU構成を表示する | X | X | X | X | X | X |
| 診断情報を収集する | X | X | ||||
| vCPUホットプラグ | X | X | X | X | ||
| 変更ブロック追跡を構成する | X | X | X | X | ||
| 変更されたブロックを一覧表示する | X | X | X | X | X | |
| PVS-Accelerator の構成 | X | X | ||||
| PVS-Accelerator の構成を表示 | X | X | X | X | X | X |
| スケジュール済みスナップショット (既存のスナップショットスケジュールへのVMの追加/削除) | X | X | X | |||
| スケジュール済みスナップショット (スナップショットスケジュールの追加/変更/削除) | X | X |
権限の定義
ロールの割り当て/変更:
-
ユーザーの追加と削除
-
ユーザーからのロールの追加と削除
-
Active Directory統合の有効化と無効化 (ドメインへの参加)
この権限により、ユーザーは任意の権限を自分自身に付与したり、任意のタスクを実行したりできます。
警告:
このロールにより、ユーザーはActive Directory統合と、Active Directoryから追加されたすべてのサブジェクトを無効にできます。
サーバーコンソールへのログイン:
-
ssh経由でのサーバーコンソールアクセス
-
XenCenter®経由でのサーバーコンソールアクセス
警告:
ルートシェルにアクセスできる場合、担当者はRBACを含むシステム全体を任意に再構成できます。
サーバーのバックアップ/復元:
-
サーバーのバックアップと復元
-
プールメタデータのバックアップと復元
バックアップを復元する機能により、担当者はRBAC構成の変更を元に戻すことができます。
サーバーにTLS証明書をインストールする:
この権限により、管理者はサーバーにTLS証明書をインストールできます。
プールに更新を適用する:
-
プールをコンテンツデリバリーネットワーク (CDN) と同期する
-
必要に応じて各ホストからVMを移行し、ホストの再起動、ツールスタックの再起動、VMの再起動などの必要な更新タスクを実行して、更新を適用します。
ローリングプールアップグレード:
-
「ローリングプールアップグレード」ウィザードを使用して、プール内のすべてのホストをアップグレードします。
OVF/OVAパッケージのインポート:
-
OVFおよびOVAパッケージをインポートする
XVAパッケージとディスクイメージのインポート:
-
XVAパッケージをインポートする
-
ディスクイメージをインポートする
OVF/OVA/XVAパッケージのエクスポート:
-
VMをOVF/OVAパッケージとしてエクスポートする
-
VMをXVAパッケージとしてエクスポートする
ソケットあたりのコア数の設定:
-
VMの仮想CPUのソケットあたりのコア数を設定する
この権限により、ユーザーはVMの仮想CPUのトポロジを指定できます。
Conversion Managerを使用したVMの変換:
-
VMware ESXi/vCenter VMをXenServer VMに変換する
この権限により、ユーザーはVMwareからXenServerにワークロードを変換できます。これらのワークロードは、VMware ESXi/vCenter VMのバッチをXenServer環境にコピーすることで変換します。
スイッチポートロック:
-
ネットワーク上のトラフィックを制御する
この権限により、ユーザーはデフォルトでネットワーク上のすべてのトラフィックをブロックしたり、VMがトラフィックを送信できる特定のIPアドレスを定義したりできます。
マルチパス:
-
マルチパスを有効にする
-
マルチパスを無効にする
アクティブなユーザー接続のログアウト:
-
ログイン中のユーザーを切断する機能
NRPE を使用してホストと dom0 リソースを監視する:
詳細については、NRPE を使用してホストと dom0 リソースを監視するを参照してください。
SNMP を使用してホストと dom0 リソースを監視する:
詳細については、SNMP を使用してホストと dom0 リソースを監視するを参照してください。
アラートの作成/解除:
-
リソース使用量が特定のしきい値を超えたときにアラートを生成するようにXenCenterを構成する
-
アラートビューからアラートを削除する
警告：この権限を持つユーザーは、プール全体の警告を解除できます。
注：
警告を表示する機能は、プールに接続してすべてのプールメタデータを読み取る権限の一部です。
任意のユーザーのタスクをキャンセル：
-
任意のユーザーの実行中のタスクをキャンセルする
この権限により、ユーザーは任意のユーザーによって開始された進行中のタスクをXenServerにキャンセルするよう要求できます。
プール管理：
-
プールプロパティ（命名、デフォルトSR）を設定する
-
GFS2クラスタープールを作成する
-
HAを有効、無効、および構成する
-
VMごとのHA再起動優先度を設定する
-
DRを構成し、DRフェイルオーバー、フェイルバック、およびテストフェイルオーバー操作を実行する。
-
ワークロードバランシング（WLB）を有効、無効、および構成する
-
プールへのサーバーの追加と削除
-
プールコーディネーターへの緊急移行
-
緊急プールコーディネーターアドレス
-
プールメンバーの緊急リカバリ
-
新しいプールコーディネーターの指定
-
プールおよびサーバー証明書の管理
-
パッチ適用
-
サーバープロパティの設定
-
サーバーログの設定
-
サーバーの有効化と無効化
-
サーバーのシャットダウン、再起動、電源投入
-
ツールスタックの再起動
-
システムステータスレポート
-
ライセンスの適用
-
サーバー上の他のすべてのVMを、WLB、メンテナンスモード、または高可用性のいずれかにより、別のサーバーにライブマイグレーションする
-
サーバー管理インターフェースとセカンダリインターフェースの設定
-
サーバー管理の無効化
-
クラッシュダンプを削除
-
ネットワークの追加、編集、削除
-
PBD/PIF/VLAN/Bond/SRの追加、編集、削除
-
シークレットの追加、削除、取得
この権限には、プールを維持するために必要なすべてのアクションが含まれます。
注: 管理インターフェースが機能していない場合、ローカルのrootログインを除き、どのログインも認証できません。
ライブマイグレーション:
-
VMが両方のホストで共有されているストレージ上にある場合、VMをあるホストから別のホストに移行する
ストレージライブマイグレーション:
-
VMが2つのホスト間で共有されていないストレージ上にある場合、あるホストから別のホストに移行する
-
仮想ディスク (VDI) をあるSRから別のSRに移動する
VMの高度な操作:
-
VMメモリの調整 (動的メモリ制御による)
-
メモリ付きVMスナップショットの作成、VMスナップショットの取得、VMのロールバック
-
VMの移行
-
VMを起動する（物理サーバーの指定を含む）
-
VMを再開する
この権限により、割り当てられたユーザーは、XenServerが選択したホストに満足できない場合に、別のホストでVMを起動するのに十分な特権を得られます。
VMの作成/破棄操作:
-
VMのインストールと削除
-
VMのクローン/コピー
-
仮想ディスク/CDデバイスの追加、削除、構成
-
仮想ネットワークデバイスの追加、削除、構成
-
VM構成の変更
-
VMメタデータのバックアップ/復元
-
VMをテンプレートに変換する
-
既存のスナップショットをテンプレートに変換する
VMのCDメディアの変更:
-
現在のCDを取り出す
-
新しいCDを挿入する
VMの電源状態の変更:
-
VMの起動 (自動配置)
-
VMのシャットダウン
-
VMの再起動
-
VMの一時停止
-
VMの再開 (自動配置)
この権限には、start_on、resume_on、およびmigrateは含まれません。これらはVMの高度な操作権限の一部です。
VMコンソールの表示:
-
VMコンソールの表示および操作
この権限では、ユーザーはホストコンソールを表示できません。
VMグループ (グループの追加/変更/削除):
-
VMグループの作成
-
VMグループの削除
-
VMグループのプロパティの変更
VMグループ (既存のVMグループへのVMの追加/削除):
-
VMをVMグループに割り当てる
-
VMをVMグループから削除する
-
VMが割り当てられているVMグループを変更する
VMグループ（VMグループの表示）：
-
プール内のVMグループを表示する
vApp（vAppの追加/変更/削除）：
-
vAppを作成する
-
vAppを削除する
-
vAppのプロパティを変更する
vApp（vAppの起動/シャットダウン）：
-
vAppを起動する
-
vAppをシャットダウンする
vApp（既存のvAppへのVMの追加/削除）：
-
VMをvAppに追加する。
-
VMをvAppから削除する
vApp (vAppの表示):
-
プール内のvAppを表示
自身のタスクをキャンセル:
-
ユーザーが自身のタスクをキャンセルできるようにする
監査ログの読み取り:
-
XenServer監査ログをダウンロード
WLBの構成、初期化、有効化、無効化:
-
WLBを構成
-
WLBを初期化し、WLBサーバーを変更
-
WLBを有効化
-
WLBを無効化
WLB最適化推奨事項の適用:
-
WLBタブに表示される最適化推奨事項を適用
WLBレポートのサブスクリプションを変更:
-
生成されるWLBレポートまたはその受信者を変更
WLB配置の推奨事項を承認する:
-
Workload Balancingが配置に推奨するサーバーのいずれかを選択する（「スター」推奨）
WLB構成の表示:
-
WLBタブに表示されるプールのWLB設定を表示する
WLBレポートの生成:
-
Pool Audit Trailレポートを含むWLBレポートを表示および実行する
XenCenterビュー管理操作:
-
グローバルXenCenterフォルダーを作成および変更する
-
グローバルXenCenterカスタムフィールドを作成および変更する
-
グローバルXenCenter検索を作成および変更する
プールに接続し、すべてのプールメタデータを読み取る:
-
プールにログインする
-
プールメタデータを表示する
-
履歴パフォーマンスデータを表示する
-
ログイン中のユーザーを表示する
-
ユーザーとロールを表示する
-
タスクを表示する
-
メッセージを表示する
-
イベントを登録して受信する
仮想GPUを構成する:
-
プール全体の配置ポリシーを指定する
-
仮想GPUをVMに割り当てる
-
VMから仮想GPUを削除する
-
許可されている仮想GPUタイプを変更する
-
GPUグループを作成、破棄、または割り当てる
仮想GPU構成を表示する:
-
GPU、GPU配置ポリシー、および仮想GPUの割り当てを表示する。
XenServerから診断情報を収集する:
-
GCコレクションとヒープ圧縮を開始する
-
ガベージコレクションの統計情報を収集する
-
データベース統計を収集する
-
ネットワーク統計を収集する
変更ブロック追跡を構成する:
-
変更ブロック追跡を有効にする
-
変更ブロック追跡を無効にする
-
スナップショットに関連付けられたデータを破棄し、メタデータを保持する
-
VDIのNBD接続情報を取得する
-
NBD接続を介してVDIをエクスポートする
変更ブロック追跡は、XenServer Premium Editionのライセンスを持つインスタンスでのみ有効にできます。
変更されたブロックを一覧表示する:
-
2つのVDIスナップショットを比較し、それらの間で変更されたブロックを一覧表示します。
PVS-Acceleratorを構成する:
-
PVS-Acceleratorを有効にする
-
PVS-Acceleratorを無効にする
-
PVS-Acceleratorキャッシュ構成を更新する
-
PVS-Accelerator キャッシュ構成の追加または削除
PVS-Accelerator 構成の表示:
-
PVS-Accelerator のステータスを表示する
スケジュールされたスナップショット (既存のスナップショットスケジュールへの VM の追加/削除):
-
既存のスナップショットスケジュールに VM を追加する
-
既存のスナップショットスケジュールから VM を削除する
スケジュールされたスナップショット (スナップショットスケジュールの追加/変更/削除):
-
スナップショットスケジュールを追加する
-
スナップショットスケジュールを変更する
-
スナップショットスケジュールを削除する
注:
読み取り専用ユーザーは、昇格プロンプトを受け取り、より特権のあるユーザーの資格情報を入力した後でも、XenCenter のフォルダーにリソースを移動できない場合があります。この場合、より特権のあるユーザーとして XenCenter にログオンし、操作を再試行してください。
XenServer はセッションのロールをどのように計算しますか?
-
サブジェクトは Active Directory サーバーを通じて認証され、サブジェクトが属する可能性のあるグループが検証されます。
-
その後、XenServer は、サブジェクトとその所属グループの両方に割り当てられているロールを確認します。
-
サブジェクトは複数のActive Directoryグループのメンバーになれるため、関連するロールのすべての権限を継承します。
この図では、サブジェクト2（グループ2）がプールオペレーターであり、ユーザー1がグループ2のメンバーであるため、サブジェクト3（ユーザー1）がログインしようとすると、サブジェクト3（VMオペレーター）とグループ2（プールオペレーター）の両方のロールを継承します。プールオペレーターのロールの方が高いため、サブジェクト3（ユーザー1）の結果的なロールはVMオペレーターではなくプールオペレーターになります。(/en-us/xenserver/8/media/rbac-compute-roles.png)