Koncepty identit azure VMware Solution
Privátní cloudy Azure VMware Solution se zřizují pomocí vCenter Serveru a NSX Manageru. Pomocí vCenter Serveru můžete spravovat úlohy virtuálních počítačů a správce NSX ke správě a rozšíření privátního cloudu. Role Cloud Správa se používá pro vCenter Server a roli Cloud Správa (s omezenými oprávněními) pro správce NSX.
Přístup a identita vCenter Serveru
V Azure VMware Solution má VMware vCenter Server integrovaný místní uživatelský účet s názvem Cloud Správa který má přiřazenou roli Cloud Správa. Uživatele a skupiny ve Windows Serveru Active Directory můžete nakonfigurovat pomocí role Cloud Správa pro váš privátní cloud. Obecně platí, že role Cloud Správa vytváří a spravuje úlohy ve vašem privátním cloudu. V Řešení Azure VMware má ale role Cloud Správa oprávnění vCenter Serveru, která se liší od jiných cloudových řešení VMware a místních nasazení.
Důležité
Místní cloud Správa uživatelský účet by se měl použít jako účet pro nouzový přístup pro scénáře "rozbitého skla" ve vašem privátním cloudu. Není určená k používání pro každodenní aktivity správy ani pro integraci s jinými službami.
V místním nasazení vCenter Serveru a ESXi má správce přístup k účtu vCenter Serveru administrator@vsphere.local a kořenovému účtu ESXi. Správce může být také přiřazen více uživatelům a skupinám služby Windows Server Active Directory.
V nasazení azure VMware Solution nemá správce přístup k uživatelskému účtu Správa istrator nebo kořenovému účtu ESXi. Správce ale může uživatelům a skupinám služby Windows Server Active Directory přiřadit roli Cloud Správa vCenter Serveru. Role Cloud Správa nemá oprávnění k přidání zdroje identity, jako je místní server LDAP (Lightweight Directory Access Protocol) nebo Secure LDAPS (Secure LDAPS) do serveru vCenter. Příkazy Spustit ale můžete použít k přidání zdroje identity a přiřazení role Cloud Správa uživatelům a skupinám.
Uživatelský účet v privátním cloudu nemá přístup ke konkrétním komponentám pro správu, které Microsoft podporuje a spravuje. Mezi příklady patří clustery, hostitele, úložiště dat a distribuované virtuální přepínače.
Poznámka:
V Azure VMware Solution je doména jednotného přihlašování (SSO) vsphere.local poskytována jako spravovaný prostředek pro podporu operací platformy. Nemůžete ho použít k vytváření nebo správě místních skupin a uživatelů s výjimkou těch, které jsou ve výchozím nastavení poskytovány ve vašem privátním cloudu.
Důležité
Azure VMware Solution nabízí na vCenter Serveru vlastní role, ale v současné době je nenabízí na portálu Azure VMware Solution. Další informace najdete v části Vytvoření vlastních rolí na vCenter Serveru dále v tomto článku.
Zobrazení oprávnění vCenter Serveru
Pomocí následujícího postupu můžete zobrazit oprávnění udělená službě Azure VMware Solution Cloud Správa roli vCenter privátního cloudu Azure VMware Solution.
Přihlaste se ke klientovi vSphere a přejděte do nabídky> Správa istrace.
V části Řízení přístupu vyberte Role.
V seznamu rolí vyberte Cloud Správa a pak vyberte Oprávnění.
Role Cloud Správa ve službě Azure VMware Solution má na vCenter Serveru následující oprávnění. Další informace najdete v dokumentaci k produktu VMware.
| Privilege | Popis |
|---|---|
| Upozornění | Potvrzení upozornění Vytvoření alarmu Zakázat akci alarmu Úprava alarmu Odebrání alarmu Nastavení stavu alarmu |
| Knihovna obsahu | Přidat položku knihovny Přidání kořenového certifikátu do úložiště důvěryhodnosti Vrácení šablony se změnami Rezervace šablony Vytvoření předplatného pro publikovanou knihovnu Vytvoření místní knihovny Vytvoření nebo odstranění registru Harbor Vytvoření odebírané knihovny Vytvoření, odstranění nebo vymazání projektu registru Harbor Odstranit položku knihovny Odstranění místní knihovny Odstranění kořenového certifikátu z úložiště důvěryhodnosti Odstranění odebírané knihovny Odstranění předplatného publikované knihovny Stažení souborů Vyřazení položek knihovny Vyřazení odebírané knihovny Import úložiště Správa prostředků registru Harbor u zadaného výpočetního prostředku Informace o odběru sondy Publikování položky knihovny pro předplatitele Publikování knihovny pro předplatitele Úložiště pro čtení Synchronizovat položku knihovny Synchronizace odebírané knihovny Introspekce typu Aktualizace nastavení konfigurace Aktualizace souborů Aktualizovat knihovnu Aktualizace položky knihovny Aktualizace místní knihovny Aktualizace odebírané knihovny Aktualizace předplatného publikované knihovny Zobrazení nastavení konfigurace |
| Kryptografické operace | Přímý přístup |
| Datastore | Přidělení místa Procházení úložiště dat Konfigurace úložiště dat Operace se soubory nízké úrovně Odebrání souborů Aktualizace metadat virtuálního počítače |
| Složka | Vytvořit složku Odstranit složku Přesunout složku Přejmenovat složku |
| Globální | Zrušit úkol Globální značka Zdravotnictví Událost protokolu Správa vlastních atributů Správci služeb Nastavení vlastního atributu Systémová značka |
| Hostitel | Replikace vSphere Správa replikace |
| Síť | Přiřazení sítě |
| Oprávnění | Modify permissions Úprava role |
| Úložiště řízené profilem | Zobrazení úložiště řízené profilem |
| Prostředek | Použít doporučení Přiřazení aplikace vApp k fondu zdrojů Přiřazení virtuálního počítače k fondu zdrojů Vytvoření fondu zdrojů Migrace vypnutého virtuálního počítače Migrace na virtuálním počítači Úprava fondu zdrojů Přesun fondu zdrojů Query vMotion Odebrání fondu zdrojů Přejmenování fondu zdrojů |
| Naplánovaný úkol | Vytvoření úkolu Úprava úkolu Odebrat úkol Spustit úkol |
| Přednášky | Zpráva Ověření relace |
| Zobrazení úložiště | Zobrazení |
| vApp | Přidání virtuálního počítače Přiřazení fondu zdrojů Přiřazení aplikace vApp Klonování Vytvořit Odstranit Export Dovoz Přesunout Vypnutí Zapnutí Přejmenovat Suspend Zrušit registraci Zobrazení prostředí OVF Konfigurace aplikace vApp Konfigurace instance vApp Konfigurace vApp managedBy Konfigurace prostředku vApp |
| Virtuální počítač | Změnit konfiguraci Získání zapůjčení disku Přidání existujícího disku Přidání nového disku Přidání nebo odebrání zařízení Rozšířená konfigurace Změna počtu procesorů Změna paměti Změna nastavení Změna umístění swapfile Změna prostředku Konfigurace hostitelského zařízení USB Konfigurace nezpracovaných zařízení Konfigurace managedBy Zobrazení nastavení připojení Rozšíření virtuálního disku Úprava nastavení zařízení Kompatibilita odolnosti proti chybám dotazů Dotazování nesměných souborů Opětovné načtení z cest Odebrání disku Přejmenovat Resetování informací o hostech Nastavení poznámek Přepnutí sledování změn disku Přepnout nadřazený fork Upgrade kompatibility virtuálních počítačů Úprava inventáře Vytvořit z existujícího vytvoření nových Přesunout Registrovat Odebrat Zrušit registraci Operace hosta Úprava aliasu operace hosta Dotaz aliasu operace hosta Úpravy operací hosta Spuštění programu operace hosta Dotazy na operace hosta Interakce Odpověď na otázku Operace zálohování na virtuálním počítači Konfigurace média CD Konfigurace disketové jednotky Připojte zařízení Interakce konzoly Vytvořit snímek obrazovky Defragmentace všech disků Přetažení Správa hostovaného operačního systému pomocí rozhraní API VIX Vložení kódů skenování USB HID Instalace nástrojů VMware Pozastavení nebo zrušení pozastavení Operace vymazání nebo zmenšení Vypnutí Zapnutí Záznam relace na virtuálním počítači Přehrání relace na virtuálním počítači Reset Obnovení odolnosti proti chybám Suspend Pozastavení odolnosti proti chybám Test převzetí služeb při selhání Testování restartování sekundárního virtuálního počítače Vypnutí odolnosti proti chybám Zapnutí odolnosti proti chybám Zřizování Povolit přístup k disku Povolit přístup k souborům Povolit přístup k disku jen pro čtení Povolit stahování virtuálních počítačů Klonování šablony Klonování virtuálního počítače Vytvoření šablony z virtuálního počítače Přizpůsobení hosta Nasazení šablony Označit jako šablonu Úprava specifikace přizpůsobení Zvýšení úrovně disků Specifikace přizpůsobení pro čtení Konfigurace služby Povolit oznámení Povolit dotazování globálních oznámení událostí Správa konfigurace služby Úprava konfigurace služby Dotazování konfigurací služby Konfigurace služby čtení Správa snímků Vytvořit snímek Odebrat snímek Přejmenování snímku Vrácení snímku Replikace vSphere Konfigurace replikace Správa replikace Monitorování replikace |
| vService | Vytvoření závislosti Zničit závislost Změna konfigurace závislostí Aktualizace závislosti |
| Označování vSphere | Přiřazení a zrušení přiřazení značky vSphere Vytvoření značky vSphere Vytvoření kategorie značek vSphere Odstranění značky vSphere Odstranit kategorii značek vSphere Úprava značky vSphere Upravit kategorii značek vSphere Změnit pole UsedBy pro kategorii Úprava pole UsedBy pro značku |
Vytvoření vlastních rolí na vCenter Serveru
Azure VMware Solution podporuje použití vlastních rolí se stejnými nebo menšími oprávněními než role Cloud Správa. Pomocí role Cloud Správa můžete vytvářet, upravovat nebo odstraňovat vlastní role s oprávněními, která jsou menší nebo rovna jejich aktuální roli.
Poznámka:
Můžete vytvářet role s oprávněními většími než Cloud Správa. Roli ale nemůžete přiřadit žádným uživatelům ani skupinám ani roli odstranit. Role s oprávněními většími než cloud Správa nejsou podporovány.
Pokud chcete zabránit vytváření rolí, které nelze přiřadit nebo odstranit, naklonujte roli Cloud Správa jako základ pro vytváření nových vlastních rolí.
Vytvoření vlastní role
Přihlaste se k vCenter Serveru pomocí cloudadmin@vsphere.local role Cloud nebo uživatel s rolí Cloud Správa.
Přejděte do části Konfigurace rolí a vyberte Nabídku> Správa zádání>rolí řízení>přístupu.
Vyberte roli Cloud Správa a vyberte ikonu akce Klonovat roli.
Poznámka:
Nenaklonujte roli Správa istratoru, protože ji nemůžete použít. Vlastní vytvořená role se také nedá odstranit cloudadmin@vsphere.local.
Zadejte požadovaný název klonované role.
Odeberte oprávnění pro roli a vyberte OK. Klonovaná role je viditelná v seznamu rolí .
Použití vlastní role
Přejděte k objektu, který vyžaduje přidané oprávnění. Pokud chcete například použít oprávnění ke složce, přejděte do nabídky>virtuální počítače a název složky šablon.>
Klikněte pravým tlačítkem myši na objekt a vyberte Přidat oprávnění.
V rozevíracím seznamu Uživatel vyberte zdroj identity, kde lze skupinu nebo uživatele najít.
Po výběru zdroje identity v části Uživatel vyhledejte uživatele nebo skupinu.
Vyberte roli, kterou chcete použít pro uživatele nebo skupinu.
Poznámka:
Při pokusu o použití uživatele nebo skupiny na roli, která má oprávnění větší než cloud Správa způsobí chyby.
V případě potřeby zaškrtněte políčko Rozšířit na podřízené položky a vyberte OK. Přidané oprávnění se zobrazí v části Oprávnění .
Přístup a identita VMware NSX Manageru
Když je privátní cloud zřízený pomocí webu Azure Portal, zřizují se pro zákazníky komponenty pro správu softwarově definovaných datových center (SDDC), jako je vCenter Server a VMware NSX Manager.
Microsoft zodpovídá za správu životního cyklu zařízení NSX, jako jsou VMware NSX Manager a zařízení VMware NSX Edge. Zodpovídají za spouštění konfigurace sítě, jako je vytvoření brány vrstvy 0.
Zodpovídáte za konfiguraci softwarově definovaných sítí (SDN) VMware NSX, například:
- Segmenty sítě
- Další brány vrstvy 1
- Pravidla distribuované brány firewall
- Stavové služby, jako je brána firewall brány
- Nástroj pro vyrovnávání zatížení na branách vrstvy 1
Ke Správci VMware NSX můžete přistupovat pomocí integrovaného místního uživatele "cloudadmin" přiřazeného k vlastní roli, která uživateli poskytuje omezená oprávnění ke správě VMware NSX. Zatímco Microsoft spravuje životní cyklus VMware NSX, některé operace uživatel nepovoluje. Mezi operace, které nejsou povolené, patří úprava konfigurace hostitelského a hraničního přenosového uzlu nebo spuštění upgradu. Pro nové uživatele je Azure VMware Solution nasadí s konkrétní sadou oprávnění potřebných tímto uživatelem. Účelem je poskytnout jasné oddělení řízení mezi konfigurací řídicí roviny řešení Azure VMware a uživatelem privátního cloudu Azure VMware Solution.
Pro nová nasazení privátního cloudu se přístup K VMware NSX poskytuje integrovaný místní správce cloudu přiřazený k roli správce cloudu s konkrétní sadou oprávnění pro použití funkcí VMware NSX pro úlohy.
Uživatelská oprávnění správce cloudu VMware NSX
Následující oprávnění jsou přiřazena uživateli cloudadmin v Azure VMware Solution NSX.
Poznámka:
Uživatel cloudadmin VMware NSX ve službě Azure VMware Solution není stejný jako uživatel cloudadmin uvedený v dokumentaci k produktu VMware. Následující oprávnění platí pro rozhraní API zásad VMware NSX. Funkce rozhraní API správce můžou být omezené.
| Kategorie | Typ | Operace | Oprávnění |
|---|---|---|---|
| Sítě | Připojení | Brány vrstvy 0 Brány vrstvy 1 Segments |
Jen pro čtení Plný přístup Plný přístup |
| Sítě | Network Services | Síť VPN NAT Vyrovnávání zatížení Zásady předávání Statistika |
Plný přístup Plný přístup Plný přístup Jen pro čtení Plný přístup |
| Sítě | Správa IP adres | DNS DHCP Fondy IP adres |
Plný přístup Plný přístup Plný přístup |
| Sítě | Profily | Plný přístup | |
| Zabezpečení | Zabezpečení – východ – západ | Distribuovaná brána firewall Distribuovaná IDS a IPS Brána firewall identit |
Plný přístup Plný přístup Plný přístup |
| Zabezpečení | Zabezpečení severního jihu | Brána firewall brány Analýza adres URL |
Plný přístup Plný přístup |
| Zabezpečení | Introspekce sítě | Jen pro čtení | |
| Zabezpečení | Funkce Endpoint Protection | Jen pro čtení | |
| Zabezpečení | Nastavení | Plný přístup | |
| Zásoby | Plný přístup | ||
| Řešení problému | IPFIX | Plný přístup | |
| Řešení problému | Zrcadlení portů | Plný přístup | |
| Řešení problému | Traceflow | Plný přístup | |
| Systémový | Konfigurace Nastavení Nastavení Nastavení |
Brána firewall identit Uživatelé a role Správa certifikátů (pouze certifikát služby) Nastavení uživatelského rozhraní |
Plný přístup Plný přístup Plný přístup Plný přístup |
| Systémový | Všechny ostatní | Jen pro čtení |
Oprávnění udělená roli správce cloudu Azure VMware Solution můžete zobrazit ve vašem privátním cloudu VMware VMware NSX ve službě Azure VMware Solution.
- Přihlaste se ke Správci NSX.
- Přejděte do systémů a vyhledejte uživatele a role.
- Vyberte a rozbalte roli správce cloudu, která se nachází v části Role.
- Pokud chcete zobrazit konkrétní oprávnění, vyberte kategorii, například Sítě nebo Zabezpečení.
Poznámka:
Privátní cloudy vytvořené před červnem 2022 se převedou z role správce na roli správce . Prostřednictvím služby Azure Service Health obdržíte oznámení, které zahrnuje časovou osu této změny, abyste mohli změnit přihlašovací údaje NSX, které jste použili pro jinou integraci.
Integrace protokolu LDAP NSX pro řízení přístupu na základě role (RBAC)
V nasazení azure VMware Solution je možné integrovat VMware NSX s externí adresářovou službou LDAP a přidat vzdálené uživatele adresáře nebo skupinu a přiřadit jim roli RBAC VMware NSX, jako je místní nasazení. Další informace o povolení integrace protokolu LDAP VMware NSX najdete v dokumentaci k produktu VMware.
Na rozdíl od místního nasazení se u řešení Azure VMware nepodporují všechny předdefinované role NSX RBAC, aby se správa konfigurace řídicí roviny IaaS řešení Azure VMware zachovala odděleně od konfigurace sítě a zabezpečení tenanta. Další informace najdete v další části s podporovanými rolemi NSX RBAC.
Poznámka:
Integrace protokolu LDAP VMware NSX se podporuje jenom u uživatele SDDC s uživatelem cloudadmin VMware NSX.
Podporované a nepodporované role NSX RBAC
V nasazení azure VMware Solution se s integrací PROTOKOLU LDAP podporují následující předdefinované role RBAC VMware NSX:
- Auditor
- Cloudadmin
- Správa nástroje pro vyrovnávání zatížení
- Operátor nástroje pro vyrovnávání zatížení
- Správa VPN
- Síťový operátor
V nasazení azure VMware Solution nejsou s integrací PROTOKOLU LDAP podporovány následující předdefinované role RBAC VMware NSX:
- Podnikový správce
- Síťové Správa
- Správce zabezpečení
- NetX Partner Správa
- Gi Partner Správa
V NSX můžete vytvářet vlastní role s oprávněními menšími nebo rovnou cloudovým Správa rolím vytvořeným Microsoftem. Následuje příklad vytvoření podporované role Network Správa a Security Správa.
Poznámka:
Vytvoření vlastní role selže, pokud přiřadíte oprávnění, které cloud nepovoluje Správa roli.
Vytvoření role Správce sítě AVS
Pomocí následujícího postupu vytvořte tuto vlastní roli.
Přejděte do rolí> a uživatelů systému.>
Naklonujte síť Správa a zadejte název síťového Správa AVS.
Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.
Kategorie Podkategorie Funkce Oprávnění Sítě Připojení
Network ServicesBrány vrstvy 0
Brány vrstvy > 0 OSPF
Zásady předáváníJen pro čtení
Nic
NicPoužijte změny a uložte roli.
Vytvoření role Správce zabezpečení AVS
Pomocí následujícího postupu vytvořte tuto vlastní roli.
Přejděte do rolí> a uživatelů systému.>
Naklonujte Správa zabezpečení a zadejte název AVS Security Správa.
Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.
| Kategorie | Podkategorie | Funkce | Oprávnění |
|---|---|---|---|
| Sítě | Network Services | Zásady předávání | Nic |
| Zabezpečení |
Introspekce sítě Funkce Endpoint Protection Nastavení |
Profily služeb |
Nic Žádné Nic |
- Použijte změny a uložte roli.
Poznámka:
Vlastní role NSX nepodporuje konfiguraci ad brány firewall systémové>identity VMware NSX. Doporučuje se uživateli přiřadit roli Operátor zabezpečení s vlastní rolí, aby bylo možné pro daného uživatele spravovat funkci firewallu identit (IDFW).
Poznámka:
Funkce Trasování VMware NSX není podporována vlastní rolí VMware NSX. Doporučuje se uživateli přiřadit roli Auditor spolu s vlastní rolí, aby pro daného uživatele povolila funkci Traceflow.
Poznámka:
Integrace služby VMware Aria Operations Automation s komponentou NSX řešení Azure VMware vyžaduje přidání role auditora do uživatele s rolí správce cloudu NSX Manageru.
Další kroky
Teď, když jste se zabývali koncepty přístupu a identit řešení Azure VMware, můžete se o tom dozvědět víc: