Азур ВМваре: концепции идентификации

Облака Azure VMware Solution развертываются с помощью vCenter Server и NSX Manager. Вы используете vCenter Server для управления рабочими нагрузками виртуальных машин и диспетчером NSX для управления и расширения частного облака. Роль CloudAdmin используется для vCenter Server, а роль CloudAdmin (с ограниченными разрешениями) используется для диспетчера NSX.

Доступ и идентификация в vCenter Server

В Решение Azure VMware VMware vCenter Server имеет встроенную учетную запись локального пользователя с именем CloudAdmin, назначаемую роль CloudAdmin. Вы можете настроить пользователей и группы в Windows Server Active Directory с ролью CloudAdmin для частного облака. Как правило, роль CloudAdmin создает рабочие нагрузки в частном облаке и управляет ими. Но в Решение Azure VMware роль CloudAdmin имеет привилегии vCenter Server, отличные от других облачных решений VMware и локальных развертываний.

• В локальном развертывании vCenter Server и ESXi администратор имеет доступ к учетной записи vCenter Server [email protected] и корневой учетной записи ESXi. Администратору также может быть назначено больше пользователей и групп Windows Server Active Directory.

• В развертывании решения Azure VMware администратор не имеет доступа к учетной записи пользователя Administrator или учетной записи root ESXi. Но администратор может назначить пользователям и группам Windows Server Active Directory роль CloudAdmin в vCenter Server. Роль CloudAdmin не имеет разрешений на добавление источника удостоверений, например локального сервера LDAP или защищённого сервера LDAPS, к серверу vCenter. Однако можно использовать команды Run для добавления источника удостоверений и назначения роли CloudAdmin пользователям и группам.

Учетная запись пользователя в частном облаке не может получить доступ к определенным компонентам управления, которые корпорация Майкрософт поддерживает и управляет ими. Примерами являются кластеры, узлы, хранилища данных и распределенные виртуальные коммутаторы.

Просмотр привилегий vCenter Server

чтобы просмотреть привилегии, предоставленные роли CloudAdmin в Решении Azure VMware, выполните следующие действия в вашем vCenter частного облака Azure VMware Solution.

1. Войдите в клиент vSphere и перейдите в Меню>Администрирование.

2. В разделе Контроль доступа выберите Роли.

3. В списке ролей выберите CloudAdmin и выберите Привилегии.

   

Роль CloudAdmin в Azure VMware Solution обладает следующими привилегиями на сервере vCenter. Дополнительные сведения см. в документации по продуктам VMware.

Создание пользовательских ролей на сервере vCenter Server

Решение Azure VMware поддерживает использование пользовательских ролей с привилегиями, равными или меньшими, чем роль CloudAdmin. Используйте роль CloudAdmin для создания, изменения или удаления пользовательских ролей с привилегиями меньше или равно их текущей роли.

Чтобы предотвратить создание ролей, которые не могут быть назначены или удалены, клонируйте роль CloudAdmin как основу для создания новых пользовательских ролей.

Создайте пользовательскую роль

1. Войдите на сервер vCenter Server с [email protected] или войдите как пользователь с ролью CloudAdmin.

2. Перейдите в раздел конфигурации Роли и выберите Меню>Администрирование>Управление доступом>Роли.

3. Выберите роль CloudAdmin и нажмите значок действия Клонировать роль.

   Примечание.

   Не клонируйте роль Администратор, так как ее нельзя использовать. Кроме того, созданная пользовательская роль не может быть удалена [email protected].

4. Укажите имя для клонированной роли.

5. Удалите привилегии для роли и нажмите кнопку "ОК". Клонированная роль отображается в списке Роли.

Применение настраиваемой роли

1. Перейдите к объекту, для которого требуется добавленное разрешение. Например, чтобы применить разрешение к папке, перейдите в раздел Меню>Виртуальные машины и шаблоны>Имя папки.

2. Щелкните объект правой кнопкой мыши и выберите команду Добавить разрешение.

3. В раскрывающемся списке Пользователь выберите источник удостоверения, где находится группа или пользователь.

4. Найдите пользователя или группу, выбрав источник идентификации в разделе Пользователь.

5. Выберите роль, которую хотите применить к пользователю или группе.

   Примечание.

   Попытка применить пользователя или группу к роли, которая имеет привилегии, превышающие значение CloudAdmin, приведет к ошибкам.

6. При необходимости установите флажок Распространить на дочерние элементы и выберите OK. Добавленное разрешение отображается в разделе Разрешения.

Идентификация и доступ к диспетчеру NSX VMware

При подготовке частного облака с помощью портала Azure для клиентов подготавливаются компоненты управления программно-определяемым центром обработки данных (SDDC), такие как vCenter Server и VMware NSX Manager.

Корпорация Майкрософт отвечает за управление жизненным циклом устройств NSX, таких как VMware NSX Manager и устройства VMware NSX Edge. Они отвечают за загрузку конфигурации сети, например создание шлюза Уровня 0.

Вы несете ответственность за конфигурацию программно-определяемой сети VMware NSX (SDN), например:

• Сегменты сети
• Другие шлюзы уровня 1
• Правила распределенного брандмауэра
• Сервисы с отслеживанием состояния, такие как файервол шлюза
• Подсистема балансировки нагрузки на шлюзах уровня 1

Вы можете получить доступ к VMware NSX Manager с помощью встроенного локального пользователя "cloudadmin", назначенного на пользовательскую роль, которая предоставляет пользователю ограниченные привилегии для управления VMware NSX. Хотя корпорация Майкрософт управляет жизненным циклом VMware NSX, некоторые операции не допускаются пользователем. Операции не допускаются, включая изменение конфигурации хост-узлов и пограничных транспортных узлов или начало обновления. Для новых пользователей Решение Azure VMware развертывает их с определенным набором разрешений, необходимых для этого пользователя. Цель состоит в том, чтобы обеспечить четкое разделение управления между конфигурацией уровня управления Решение Azure VMware и Решение Azure VMware пользователем частного облака.

Для новых развертываний частного облака доступ к VMware NSX предоставляется встроенным локальным пользователем cloudadmin, назначенным в роль cloudadmin с определенным набором разрешений для использования функций VMware NSX для рабочих нагрузок.

Разрешения пользователя VMware NSX cloudadmin

Следующие разрешения назначаются пользователю cloudadmin в решении Azure VMware Solution NSX.

Разрешения, предоставленные в роли cloudadmin в решении Azure VMware, можно просмотреть в частном облаке Azure VMware Solution NSX.

1. Войдите в менеджер NSX.
2. Перейдите к системам и найдите пользователей и ролей.
3. Выберите и разверните роль cloudadmin, найденную в разделе "Роли".
4. Выберите категорию, например сеть или безопасность, чтобы просмотреть определенные разрешения.

Интеграция LDAP NSX для управления доступом на основе ролей (RBAC)

В развертывании решения Azure VMware можно интегрировать VMware NSX с внешней службой каталогов LDAP, чтобы добавлять пользователей или группы из удаленного каталога и назначать им роль RBAC в VMware NSX, как в локальном развертывании. Дополнительные сведения о включении интеграции LDAP VMware NSX см. в документации по продукту VMware.

В отличие от локального развертывания, не все предопределенные роли NSX RBAC поддерживаются в решении Azure VMware, чтобы сохранить управление конфигурацией уровня IaaS отдельно от конфигурации сети клиента и безопасности. Для получения дополнительной информации см. следующий раздел: Поддерживаемые роли NSX RBAC.

Поддерживаемые и неподдерживаемые роли NSX RBAC

В развертывании решения Azure VMware поддерживаются следующие предопределенные роли VMware NSX RBAC при интеграции с LDAP:

• Аудитор
• Cloudadmin
• Администратор LB
• Оператор LB
• Администратор VPN
• Оператор сети

В развертывании Azure VMware Solution следующие предустановленные роли RBAC VMware NSX не поддерживаются при интеграции с LDAP.

• Администратор организации
• Администратор сети
• администратор безопасности;
• Администратор партнера NetX
• Администратор ПАРТНЕРА GI

Пользовательские роли можно создать в NSX с разрешениями меньше или равно роли CloudAdmin, созданной корпорацией Майкрософт. Ниже приведены примеры создания поддерживаемой роли "Администратор сети" и "Администратор безопасности".

Создание роли "Администратор сети AVS"

Чтобы создать эту настраиваемую роль, выполните следующие действия.

1. Перейдите к Система>Пользователи и роли>Роли.

2. Клонируйте сетевого администратора и укажите имя администратора сети AVS.

3. Измените следующие разрешения на "Только чтение" или "Нет", как показано в столбце разрешений в следующей таблице.

   Категория	Подкатегория	Функция	Разрешение
   Сеть	Подключение Сетевые службы	Шлюзы уровня 0 Шлюзы > уровня 0 OSPF Политика пересылки	Только для чтения нет нет

4. Примените изменения и сохраните роль.

Создание роли "Администратор безопасности AVS"

Чтобы создать эту настраиваемую роль, выполните следующие действия.

1. Перейдите к Система>Пользователи и роли>Роли.

2. Клонируйте администратора безопасности и укажите имя "Администратор безопасности AVS".

3. Измените следующие разрешения на "Только чтение" или "Нет", как показано в столбце разрешений в следующей таблице.

4. Примените изменения и сохраните роль.

Следующие шаги

Теперь, когда вы изучили концепции доступа и идентификации в Решении Azure VMware, возможно, вы захотите узнать больше о следующих темах.

• Настройка внешнего источника удостоверений для vCenter

• Как включить ресурс решения Azure VMware

• Сведения о каждой из привилегий

• Как Решение Azure VMware отслеживает и исправляет частные облака