vCenter 7 — роли и привилегии

В vCenter для настройки прав доступа используется ролевая модель. Вы можете создать какую-то роль, назначить ей определенные привилегии. Потом добавить к объекту пользователя (локального или доменного, в зависимости от ваших настроек) и назначить ему роль. Допустимо наследование.

Administration → Access Control → Roles.

Рекомендации при настройке ролей

• Старайтесь выдавать права группам, а не конкретным пользователям.
• Выдавайте права только при необходимости. Выдавайте минимальные привилегии, чтобы не запутаться в структуре прав доступа.
• Если вы ограничиваете права группе, убедитесь что в ней не находятся администраторы. Вы можете случайно лишить администраторов необходимых им привилегий. 
• Используйте папки для группировки объектов в соответствии с различными разрешениями, которые вы хотите им предоставить.
• Будьте осторожны при предоставлении разрешения на корневом уровне сервера vCenter. Пользователи с разрешениями на корневом уровне имеют доступ к глобальным данным на сервере vCenter, таким как роли, пользовательские атрибуты, настройки сервера vCenter и лицензии. Изменения лицензий и ролей распространяются на все серверные системы vCenter в группе  Linked Mode, даже если у пользователя нет разрешений на все серверные системы vCenter в группе.
• В большинстве случаев используйте наследование. Это позволит выдавать автоматически распространять права на новые созданные объекты.
• Используйте роль No Access для скрытия определённых зон иерархии, в которые не хотите никому давать доступ.

Системные роли

В vCenter и ESXi имеются предустановленные системные роли, права которых нельзя изменить.

Administrator

• Все привилегии для всех объектов.
• Может добавлять, удалять, устанавливать права и привилегии для всех пользователей vCenter Server и всех объектов виртуальной инфраструктуры.

Read Only

• Просмотр состояния и информации об объектах
• Просмотр всех вкладок в интерфейсе.
• Запрет на выполнение действий в меню.

No Access

• Не может просматривать или изменять объекты.
• Вкладки доступны, но информация отсутствует.
• В основном используется для отзыва унаследованных разрешений.

Примеры ролей

В vCenter 7 имеются примеры ролей, которые можно склонировать и на их основе создать свою роль.

Content library administrator (sample)

• Администрирование Content library.

Content Library Registry administrator (sample)

• Администрирование реестра Content library.

Datastore consumer (sample)

• Настройка хранилища.

Network administrator (sample)

• Настройка сети

Resource pool administrator (sample)

• Управление пулами ресурсов.

Virtual machine power user (sample)

• Расширенное управление виртуальными машинами.

Virtual machine user (sample)

• Управление виртуальными машинами.

VMware Consolidated Backup user (sample)

• Управление резервным копированием VM

Другие роли

В vCenter 7 есть и другие предустановленные роли с различными наборами прав доступа, которые можно менять и удалять. Эти роли используются, изменяйте на свой страх и риск. А лучше не изменяйте.

Ссылки

https://docs.vmware.com/en/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-93B962A7-93FA-4E96-B68F-AE66D3D6C663.html

https://docs.vmware.com/en/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-18071E9A-EED1-4968-8D51-E0B4F526FDA3.html