RBAC ロールと権限
ロール
XenServer® には、以下の6つの事前定義されたロールが付属しています。
-
Pool Administrator (Pool Admin) – ローカルのrootと同じです。すべての操作を実行できます。注記:ローカルのスーパーユーザー (root) は「Pool Admin」ロールを持っています。「Pool Admin」ロールは、ローカルのrootと同じ権限を持っています。ユーザーからPool Adminロールを削除する場合は、rootパスワードの変更とプールシークレットのローテーションも検討してください。詳細については、プールセキュリティを参照してください。
-
プールオペレーター (プールオペレーター) – ユーザーの追加/削除およびロールの変更を除く、すべての操作を実行できます。このロールは、主にホストとプールの管理（ストレージの作成、プールの作成、ホストの管理など）に重点を置いたものです。
-
Virtual Machine Power Administrator (VM Power Admin) – 仮想マシンを作成および管理します。このロールは、VMオペレーターが使用するためのVMのプロビジョニングに重点を置いています。
-
Virtual Machine Administrator (VM Admin) – VM Power Adminに似ていますが、VMの移行やスナップショットの実行はできません。
-
仮想マシンオペレーター (VMオペレーター) – VM管理者と似ていますが、VMの作成/破棄はできません。ただし、開始/停止のライフサイクル操作は実行できます。
-
Read-only (Read Only) – リソースプールとパフォーマンスデータを表示できます。
注記:
-
XenServer 9プールに更新を適用するには、Pool AdministratorまたはPool Operatorとして、あるいはローカルのrootアカウントを使用してXenCenterにログインする必要があります。
-
ホストSSHアクセスを必要とするPool Administratorユーザーにアクセス権を付与するためにActive Directoryグループを使用する場合、Active Directoryグループ内のユーザー数は500を超えてはなりません。
各ロールで利用可能な権限の概要、および各権限で利用可能な操作に関する情報については、次のセクションの「RBACロールと権限の定義」を参照してください。
XenServerでユーザーを作成する際、アカウントを使用できるようにするには、まず新しく作成したユーザーにロールを割り当てる必要があります。XenServerは、新しく作成されたユーザーにロールを自動的に割り当てません。そのため、ロールを割り当てるまで、これらのアカウントはXenServerプールにアクセスできません。
-
サブジェクトからロールへのマッピングを変更します。これには、プール管理者のみが利用できる割り当て/変更ロール権限が必要です。
-
Active Directoryでユーザーの所属グループメンバーシップを変更します。
RBACロールと権限の定義
次の表は、各ロールで利用可能な権限をまとめたものです。各権限で利用可能な操作の詳細については、「権限の定義」を参照してください。
| ロールの権限 | プール管理者 | プールオペレーター | VM電源管理者 | VM管理者 | VMオペレーター | 読み取り専用 |
|---|---|---|---|---|---|---|
| ロールの割り当て/変更 | X | |||||
| (物理)サーバーコンソールにログインする (SSHおよびXenCenter経由) | X | |||||
| サーバーのバックアップ/復元 | X | |||||
| サーバーにTLS証明書をインストールする | X | |||||
| プールに更新を適用する | X | X | ||||
| ローリングプールアップグレード | X | |||||
| OVF/OVAパッケージをインポートする | X | X | ||||
| XVAパッケージをインポートする; ディスクイメージをインポートする | X | X | X | |||
| OVF/OVA/XVA パッケージのエクスポート | X | X | X | X | ||
| ソケットあたりのコア数を設定 | X | X | X | X | ||
| Conversion Manager を使用して VM を変換 | X | |||||
| スイッチポートロック | X | X | ||||
| マルチパス | X | X | ||||
| アクティブなユーザー接続をログアウトする | X | X | ||||
| NRPE を使用してホストと dom0 リソースを監視する | X | |||||
| SNMP を使用してホストと dom0 リソースを監視する | X | |||||
| アラートを作成および解除する | X | X | ||||
| 任意のユーザーのタスクをキャンセル | X | X | ||||
| プール管理 | X | X | ||||
| ライブマイグレーション | X | X | X | |||
| ストレージライブマイグレーション | X | X | X | |||
| VM の高度な操作 | X | X | X | |||
| VM の作成/破棄操作 | X | X | X | X | ||
| VM の CD メディアの変更 | X | X | X | X | X | |
| VM の電源状態を変更 | X | X | X | X | X | |
| VM コンソールを表示 | X | X | X | X | X | |
| VM グループ (VM グループの追加/変更/削除) | X | X | X | X | ||
| VMグループ (既存のVMグループへのVMの追加/削除) | X | X | X | X | ||
| VMグループ (VMグループの表示) | X | X | X | X | X | X |
| vApp (vAppの追加/変更/削除) | X | X | ||||
| vApps (vAppの起動/シャットダウン) | X | X | ||||
| vApps (既存のvAppへのVMの追加/削除) | X | X | ||||
| vApps (vAppの表示) | X | X | X | X | X | X |
| XenCenter ビュー管理操作 | X | X | X | X | X | |
| 自身のタスクのキャンセル | X | X | X | X | X | X |
| 監査ログの読み取り | X | X | X | X | X | X |
| ワークロードバランシング (WLB) の構成、初期化、有効化、無効化 | X | X | ||||
| WLB の最適化に関する推奨事項を適用する | X | X | ||||
| WLB の配置に関する推奨事項を受け入れる | X | X | X | |||
| WLB構成の表示 | X | X | X | X | X | X |
| WLBレポートの生成 | X | X | X | X | X | X |
| プールに接続し、すべてのプールメタデータを読み取る（アラートの表示を含む） | X | X | X | X | X | X |
| 仮想 GPU を設定する | X | X | ||||
| 仮想 GPU の設定を表示する | X | X | X | X | X | X |
| 診断情報を収集する | X | X | ||||
| vCPUホットプラグ | X | X | X | X | ||
| 変更されたブロック追跡を構成する | X | X | X | X | ||
| 変更されたブロックを一覧表示する | X | X | X | X | X | |
| PVS-Accelerator を設定する | X | X | ||||
| PVS-Accelerator の設定を表示する | X | X | X | X | X | X |
| スケジュール済みスナップショット (既存のスナップショットスケジュールへのVMの追加/削除) | X | X | X | |||
| スケジュール済みスナップショット (スナップショットスケジュールの追加/変更/削除) | X | X |
権限の定義
ロールの割り当て/変更:
-
ユーザーの追加と削除
-
ユーザーからのロールの追加と削除
-
Active Directory統合の有効化と無効化 (ドメインへの参加)
この権限により、ユーザーは自分自身にあらゆる権限を付与したり、あらゆるタスクを実行したりできます。
警告:
このロールにより、ユーザーはActive Directory統合と、Active Directoryから追加されたすべてのサブジェクトを無効にできます。
サーバーコンソールへのログイン:
-
ssh を介したサーバーコンソールアクセス
-
XenCenter® を介したサーバーコンソールアクセス
警告:
ルートシェルへのアクセスがあれば、割り当てられたユーザーは RBAC を含むシステム全体を任意に再構成できます。
サーバーのバックアップ/復元:
-
サーバーのバックアップと復元
-
プールメタデータのバックアップと復元
バックアップを復元する機能により、割り当てられたユーザーは RBAC 構成の変更を元に戻すことができます。
サーバーに TLS 証明書をインストールする:
この権限により、管理者はサーバーに TLS 証明書をインストールできます。
プールに更新を適用する:
-
プールをコンテンツデリバリーネットワーク (CDN) と同期する
-
必要に応じて各ホストから VM を移行し、ホストの再起動、ツールスタックの再起動、VM の再起動など、必要な更新タスクを実行して更新を適用します。
ローリングプールアップグレード:
-
Rolling Pool Upgrade ウィザードを使用して、プール内のすべてのホストをアップグレードします。
OVF/OVAパッケージのインポート:
-
OVFおよびOVAパッケージをインポートする
XVAパッケージとディスクイメージのインポート:
-
XVAパッケージをインポートする
-
ディスクイメージをインポートする
OVF/OVA/XVAパッケージのエクスポート:
-
VMをOVF/OVAパッケージとしてエクスポートする
-
VMをXVAパッケージとしてエクスポートする
ソケットあたりのコア数の設定:
-
VMの仮想CPUのソケットあたりのコア数を設定する
この権限により、ユーザーはVMの仮想CPUのトポロジを指定できます。
Conversion Managerを使用したVMの変換:
-
VMware ESXi/vCenter VMをXenServer VMに変換する
この権限により、ユーザーはVMwareからXenServerにワークロードを変換できます。これらのワークロードは、VMware ESXi/vCenter VMのバッチをXenServer環境にコピーすることで変換します。
スイッチポートロック:
-
ネットワーク上のトラフィックを制御する
この権限により、ユーザーはデフォルトですべてのネットワークトラフィックをブロックしたり、VMがトラフィックを送信できる特定のIPアドレスを定義したりできます。
マルチパス:
-
マルチパスを有効にする
-
マルチパスを無効にする
アクティブなユーザー接続をログアウトする:
-
ログイン中のユーザーを切断する機能
NRPE を使用してホストと dom0 のリソースを監視する:
詳細については、「NRPE を使用してホストと dom0 のリソースを監視する」(/ja-jp/xencenter/current-release/performance-nrpe.html)を参照してください。
SNMP を使用してホストと dom0 のリソースを監視する:
詳細については、「SNMP を使用してホストと dom0 のリソースを監視する」(/ja-jp/xencenter/current-release/performance-snmp.html)を参照してください。
アラートの作成/解除:
-
リソース使用量が特定のしきい値を超えたときにアラートを生成するように XenCenter を構成する
-
アラートビューからアラートを削除する
警告: この権限を持つユーザーは、プール全体の警告を無視できます。
注:
警告を表示する機能は、Connect to pool and read all pool metadata permission の一部です。
任意のユーザーのタスクをキャンセル:
-
任意のユーザーの実行中のタスクをキャンセルする
この権限により、ユーザーはXenServerに対し、任意のユーザーによって開始された進行中のタスクをキャンセルするよう要求できます。
プール管理:
-
プールプロパティ（命名、デフォルトSR）を設定する
-
GFS2クラスタープールを作成する
-
HAを有効化、無効化、および構成する
-
VMごとのHA再起動優先度を設定する
-
DRを構成し、DRフェイルオーバー、フェイルバック、およびテストフェイルオーバー操作を実行する。
-
ワークロードバランシング (WLB) を有効化、無効化、および構成する
-
プールへのサーバーの追加と削除
-
プールコーディネーターへの緊急移行
-
緊急プールコーディネーターアドレス
-
プールメンバーの緊急リカバリ
-
新しいプールコーディネーターの指定
-
プールおよびサーバー証明書の管理
-
パッチ適用
-
サーバープロパティの設定
-
サーバーログの設定
-
サーバーの有効化と無効化
-
サーバーのシャットダウン、再起動、電源オン
-
ツールスタックの再起動
-
システムステータスレポート
-
ライセンスの適用
-
WLB、メンテナンスモード、または高可用性のいずれかにより、サーバー上の他のすべてのVMを別のサーバーにライブマイグレーションする
-
サーバー管理インターフェースとセカンダリインターフェースの設定
-
サーバー管理の無効化
-
クラッシュダンプを削除
-
ネットワークの追加、編集、削除
-
PBD/PIF/VLAN/Bond/SR の追加、編集、削除
-
シークレットの追加、削除、取得
この権限には、プールを維持するために必要なすべてのアクションが含まれます。
注: 管理インターフェースが機能していない場合、ローカルの root ログインを除き、どのログインも認証できません。
ライブマイグレーション:
-
VM が両方のホストで共有されているストレージ上にある場合に、VM をあるホストから別のホストに移行する
ストレージライブマイグレーション:
-
VM が両方のホスト間で共有されていないストレージ上にある場合に、あるホストから別のホストに移行する
-
仮想ディスク (VDI) をある SR から別の SR に移動する
VM の高度な操作:
-
VM メモリの調整 (動的メモリ制御による)
-
メモリ付き VM スナップショットの作成、VM スナップショットの取得、VM のロールバック
-
VM の移行
-
VMを起動する（物理サーバーの指定を含む）
-
VMを再開する
この権限は、XenServerが選択したホストに満足できない場合に、割り当てられたユーザーが別のホストでVMを起動するための十分な特権を提供します。
VMの作成/破棄操作:
-
VMをインストールおよび削除する
-
VMをクローン/コピーする
-
仮想ディスク/CDデバイスを追加、削除、および構成する
-
仮想ネットワークデバイスを追加、削除、および構成する
-
VM構成の変更
-
VMメタデータのバックアップ/復元
-
VMをテンプレートに変換する
-
既存のスナップショットをテンプレートに変換する
VMのCDメディアの変更:
-
現在のCDを取り出す
-
新しいCDを挿入する
VM の電源状態の変更:
-
VM の起動 (自動配置)
-
VM のシャットダウン
-
VM の再起動
-
VM の一時停止
-
VM の再開 (自動配置)
この権限には、VM の高度な操作権限の一部である start_on、resume_on、および migrate は含まれません。
VM コンソールの表示:
-
VM コンソールの表示および操作
この権限では、ユーザーはホストコンソールを表示できません。
VM グループ (グループの追加/変更/削除):
-
VM グループの作成
-
VM グループの削除
-
VM グループのプロパティの変更
VM グループ (既存の VM グループへの VM の追加/削除):
-
VMをVMグループに割り当てる
-
VMをVMグループから削除する
-
VMが割り当てられているVMグループを変更する
VMグループ（VMグループの表示）：
-
プール内のVMグループを表示する
vApp（vAppの追加/変更/削除）：
-
vAppを作成する
-
vAppを削除する
-
vAppのプロパティを変更する
vApp（vAppの起動/シャットダウン）：
-
vAppを起動する
-
vAppをシャットダウンする
vApp（既存のvAppへのVMの追加/削除）：
-
VMをvAppに追加する。
-
VMをvAppから削除する
vApp (vAppの表示):
-
プール内のvAppを表示
自身のタスクをキャンセル:
-
ユーザーが自身のタスクをキャンセルできるようにする
監査ログの読み取り:
-
XenServer監査ログをダウンロード
WLBの構成、初期化、有効化、無効化:
-
WLBを構成
-
WLBを初期化し、WLBサーバーを変更
-
WLBを有効化
-
WLBを無効化
WLB最適化推奨事項の適用:
-
WLBタブに表示される最適化推奨事項を適用
WLBレポートのサブスクリプションを変更:
-
生成されるWLBレポートまたはその受信者を変更
WLB配置の推奨事項を受け入れる:
-
ワークロードバランシングが配置に推奨するサーバーのいずれかを選択します（「スター」推奨）
WLB構成を表示:
-
WLBタブに表示されているプールのWLB設定を表示します
WLBレポートを生成:
-
プール監査証跡レポートを含むWLBレポートを表示および実行します
XenCenterビュー管理操作:
-
グローバルXenCenterフォルダーを作成および変更します
-
グローバルXenCenterカスタムフィールドを作成および変更します
-
グローバルXenCenter検索を作成および変更します
プールに接続し、すべてのプールメタデータを読み取る:
-
プールにログインします
-
プールメタデータを表示します
-
履歴パフォーマンスデータを表示します
-
ログイン中のユーザーを表示します
-
ユーザーとロールを表示
-
タスクを表示
-
メッセージを表示
-
イベントに登録して受信する
仮想GPUを構成する:
-
プール全体の配置ポリシーを指定する
-
仮想GPUをVMに割り当てる
-
VMから仮想GPUを削除する
-
許可されている仮想GPUタイプを変更する
-
GPUグループを作成、破棄、または割り当てる
仮想GPU構成を表示する:
-
GPU、GPU配置ポリシー、および仮想GPU割り当てを表示する。
XenServerから診断情報を収集する:
-
GCコレクションとヒープ圧縮を開始する
-
ガベージコレクション統計を収集する
-
データベース統計を収集する
-
ネットワーク統計を収集する
変更ブロック追跡の構成:
-
変更ブロック追跡を有効にする
-
変更ブロック追跡を無効にする
-
スナップショットに関連付けられたデータを破棄し、メタデータを保持する
-
VDIのNBD接続情報を取得する
-
NBD接続を介してVDIをエクスポートする
変更ブロック追跡は、XenServer Premium Editionのライセンスを持つインスタンスでのみ有効にできます。
変更されたブロックを一覧表示:
-
2つのVDIスナップショットを比較し、それらの間で変更されたブロックを一覧表示します。
PVS-Acceleratorの構成:
-
PVS-Acceleratorを有効にする
-
PVS-Acceleratorを無効にする
-
PVS-Acceleratorキャッシュ構成を更新する
-
PVS-Accelerator キャッシュ構成の追加または削除
PVS-Accelerator 構成の表示:
-
PVS-Accelerator のステータスの表示
スケジュールされたスナップショット (既存のスナップショットスケジュールへの VM の追加/削除):
-
既存のスナップショットスケジュールに VM を追加する
-
既存のスナップショットスケジュールから VM を削除する
スケジュールされたスナップショット (スナップショットスケジュールの追加/変更/削除):
-
スナップショットスケジュールを追加する
-
スナップショットスケジュールを変更する
-
スナップショットスケジュールを削除する
注:
読み取り専用ユーザーは、昇格プロンプトを受け取り、より特権のあるユーザーの資格情報を入力した後でも、XenCenter のフォルダーにリソースを移動できない場合があります。この場合、より特権のあるユーザーとして XenCenter にログオンし、操作を再試行してください。
XenServer がセッションのロールを計算する方法?
-
サブジェクトは Active Directory サーバーを介して認証され、サブジェクトが属する可能性のあるグループが検証されます。
-
その後、XenServer は、サブジェクトとその所属グループの両方に割り当てられているロールを確認します。
-
サブジェクトは複数のActive Directoryグループのメンバーになれるため、関連付けられたロールのすべての権限を継承します。
