Технический справочник. Разрешения и роли

1. Разрешения

Разрешение представляет собой право, которое разрешает пользователю выполнение определенных операций с элементами инфраструктуры.

Основная цель данного инструмента заключается в обеспечении надежного и контролируемого доступа пользователей к элементам инфраструктуры и возможностям самой системы.

1.1. Структура разрешений

Разрешения в ПО «zVirt Max» организованы следующим образом:

Объекты инфраструктуры: это элементы среды ПО «zVirt Max», к которым применяются разрешения. Разрешения могут действовать в отношении следующих объектов:
- Система
- Центры данных
- Кластеры
- Хосты
- Домены хранения
- Логические сети
- Виртуальные машины
- Шаблоны
- Пулы виртуальных машин
- Виртуальные диски
- Пулы MAC-адресов
- Профили vNIC
- Профили ЦП
- Профили дисков
- Квоты
- Закладки
- Метки
Операции: определенные виды действий, которые можно выполнять с указанными объектами. Например, "создание ВМ".
Роли: каждое разрешение связано с одной или несколькими ролями, которые определяют, кому доступно данное разрешение
Назначение: пользователь или группа получают доступ к операциям с объектом инфраструктуры при назначении соответствующей роли с необходимым разрешением

Разрешения могут наследоваться от объекта более высокого уровня к объектам более низких уровней. Например, если пользователю выдается разрешение на создание дисков на уровне центра данных, то пользователь сможет создавать диски в любом домене хранения этого центра данных.

1.2. Описание разрешений

1.2.1. Разрешения для пользовательских ролей

Разрешения для пользовательских ролей определяют действия, доступные на пользовательском портале. Добавление разрешений в роль имеет смысл только при наличии разрешения на вход в категории Система > Настроить систему.

Некоторые разрешения в пользовательских ролях дают право на выполнение операции на портале администрирования (см. примечания в таблице). Для предоставления пользователям с такими разрешениями минимального доступа к порталу администрирования выполните следующее:

Создайте новую административную роль.
В этой роли включите единственное разрешение Система > Настроить систему > Разрешение входа.
Назначьте созданную роль пользователю на системном уровне.

Некоторые разрешения в пользовательских ролях дают право на выполнение операций с объектами, принадлежащими пользователю. Владельцем объекта считается пользователь, создавший его.

Таблица 1. Категория "Система"
Подкатегория	Наименование разрешения	Описание	Примечания
Настроить систему	Управление разрешениями	Пользователь с этим разрешением имеет право на управление разрешениями для объектов, которыми он обладает (например, ВМ)	Требует доступ к порталу администрирования
	Добавление пользователей и групп из каталога при добавлении разрешений	Пользователь с этим разрешением имеет право на добавление пользователей и групп из сервера каталога при управлении разрешениями для объектов, которыми он обладает (например, ВМ)	Требует доступ к порталу администрирования
	Разрешения входа	Пользователь с этим разрешением может авторизоваться на пользовательском портале
	Потребление квоты	Пользователь с этим разрешением автоматически назначается потребителем квот	Список назначаемых квот зависит от уровня, на котором для пользователя определена роль с этим разрешением: При назначении роли на уровне системы: пользователь становится потребителем всех существующих в системе квот. При назначении роли на уровне центра данных: пользователь становится потребителем квот, определенных для этого центра данных.

Таблица 2. Категория "Сеть"
Подкатегория	Наименование разрешения	Описание	Примечания
Настроить vNIC-профиль	Связать профиль vNIC с ВМ	Позволяет выполнять операции (добавление, удаление, изменение) с виртуальными NIC виртуальных машин
Настроить vNIC-профиль	Связать профиль vNIC с шаблоном	Позволяет выполнять операции (добавление, удаление, изменение) с виртуальными NIC шаблонов	Требует доступ к порталу администрирования. Список шаблонов, для которых будут доступны операции с vNIC зависит от уровня, на котором назначена пользовательская роль: На уровне системы: доступно редактирование vNIC любого шаблона в системе На уровне центра данных: доступно редактирование vNIC любого шаблона в этом центре данных На уровне кластера: доступно редактирование vNIC любого шаблона в этом кластере На уровне шаблона: доступно редактирование vNIC только этого шаблона

Таблица 3. Категория "Шаблон"

Подкатегория

Наименование разрешения

Описание

Примечания

Основные операции

Изменить свойства

Позволяет редактировать свойства шаблонов, принадлежащих пользователю

Требует доступ к порталу администрирования

Операции резервирования

Создать

Позволяет создавать шаблоны из виртуальных машин, принадлежащих пользователю

Требует доступ к порталу администрирования

Это разрешение должно быть добавлено на уровне центра данных или системном уровне.

Удалить

Позволяет удалять шаблоны, принадлежащие пользователю

Требует доступ к порталу администрирования

Копировать

Требует доступ к порталу администрирования

Таблица 4. Категория "ВМ"

Подкатегория

Наименование разрешения

Описание

Примечания

Основные операции

Перезагрузить ВМ

Позволяет выполнять перезагрузку ВМ, принадлежащих пользователю

Сброс ВМ

Позволяет выполнять сброс (принудительную перезагрузку) ВМ, принадлежащих пользователю

Операция сброса доступна только на портале администрирования

Остановить ВМ

Позволяет выполнять остановку (принудительное выключение) ВМ, принадлежащих пользователю

Выключить ВМ

Позволяет выполнять выключение ВМ, принадлежащих пользователю

Перевести виртуальную машину в спящий режим

Позволяет выполнять перевод ВМ, принадлежащих пользователю, в спящий режим (приостановка)

Запустить ВМ

Позволяет выполнять запуск ВМ, принадлежащих пользователю

Сменить CD

Позволяет извлекать и подключать к ВМ, принадлежащим пользователю, образы ISO

Удаленный вход

Позволяет подключаться к ВМ, принадлежащим пользователю, с помощью консолей SPICE, VNC и NoVNC

Операции резервирования

Изменить свойства

Позволяет изменять свойства ВМ, принадлежащих пользователю

Создать

Позволяет создавать виртуальные машины

При назначении этого разрешения необходимо учитывать следующие особенности:

Разрешение на создание ВМ не дает право на создание/подключение дисков к ВМ.
Разрешение на создание ВМ не дает право на подключение логических сетей к ВМ.
Возможность выбора кластера для ВМ зависит от уровня, на котором назначается роль:
- На системном уровне: ВМ можно размещать в любом кластере системы (если это не противоречит иным разрешениям)
- На уровне центра данных: ВМ можно размещать в любом кластере этого центра данных (если это не противоречит иным разрешениям)
- На уровне кластера: ВМ можно размещать только в этом кластере (если это не противоречит иным разрешениям)

Примером конфликта разрешений является следующая ситуация: пользователю дано право на создание ВМ в определенном кластере, но при этом не выданы права на использование доменов хранения. В этом случае невозможно будет создать ВМ с подключенным диском.

Создать экземпляр

Удалить

Позволяет удалять ВМ, принадлежащие пользователю

Изменить хранилище

Позволяет добавлять диски к ВМ, принадлежащим пользователю

Это разрешение требует наличия следующих дополнительных прав:

Разрешение на создание (Диск > Операции резервирования > Создать) или прикрепление (Диск > Операции резервирования > Прикрепить) диска
Разрешение на подключение профиля диска (Диск > Профиль диска > Прикрепить профиль диска)

Важно учитывать, что право на создание дисков должно распространяться хотя бы на один домен хранения, принадлежащий тому же центру данных, которому принадлежит ВМ

Изменить снимки

Позволяет управлять снимками ВМ, принадлежащих пользователю

Если кроме конфигурации ВМ снимки должны содержать диски, необходимо, чтобы это разрешение распространялось на соответствующие домены хранения

Операции администрирования

MOVE_VM

Мигрировать

Позволяет запускать живую миграцию ВМ

Требует доступ к порталу администрирования.

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение дополнительных параметров ВМ в любом кластере в системе
На уровне центра данных: доступна миграция ВМ в соответствующем центре данных
На уровне кластера: доступна миграция ВМ в соответствующем кластере

При назначении разрешения на миграцию необходимо учитывать следующие особенности:

Начиная с версии ПО «zVirt Max» 1.2 для миграции ВМ используется визард миграции. Разрешение "Мигрировать" дает право на миграцию только виртуальной машины, но не дисков
При назначении разрешения на уровне кластера, доступна миграция только в пределах кластера. Если необходимо разрешение на миграцию ВМ между кластерами центра данных, требуется назначить разрешение либо на уровне соответствующего центра данных, либо на уровне системы.

Соединить с последовательной консолью ВМ

Позволяет подключаться к последовательной консоли виртуальной машины

Переопределить открытую консольную сессию

Позволяет принудительно завершить существующую активную сессию подключения к графической консоли виртуальной машины и инициировать новую сессию

Использовать это разрешение следует с осторожностью, поскольку оно может нарушить текущую активность другого пользователя, особенно если последний выполняет важные задачи.

Таблица 5. Категория "Пул ВМ"
Подкатегория	Наименование разрешения	Описание	Примечания
Основные операции	Базовые операции	Позволяют запрашивать виртуальные машины из пула
Операции резервирования	Создать	Позволяет создавать пулы виртуальных машин	Требует доступ к порталу администрирования
	Удалить	Позволяет удалять пулы ВМ, принадлежащие пользователю	Требует доступ к порталу администрирования
	Изменить свойства	Позволяет редактировать параметры пулов ВМ, принадлежащих пользователю	Требует доступ к порталу администрирования

Таблица 6. Категория "Диск"

Подкатегория

Наименование разрешения

Описание

Примечания

Операции резервирования

Создать

Позволяет создавать виртуальные диски.

При работе в пользовательском портале это разрешение позволяет добавить новый диск к виртуальной машине.

При наличии доступа в портал администрирования это разрешение позволяет также создавать "плавающие" диски.

При назначении роли с этим разрешением важно учитывать, что доступность операции по созданию дисков определяется уровнем, на котором назначена роль:

На уровне системы: можно создавать диски в любом домене хранения, существующем в системе
На уровне центра данных: можно создавать диски в любом домене хранения центра данных
На уровне домена хранения: можно создавать диски в только в соответствующем домене хранения

Если предполагается дать разрешение на создание виртуальных машин через пользовательский портал с возможностью создания дисков, необходимо также активировать разрешение на прикрепление профиля диска (Профиль диска > Прикрепить профиль диска).

Удалить

Позволяет удалять виртуальные диски

Требует доступ к порталу администрирования.

При назначении роли с этим разрешением важно учитывать, что доступность операции по удалению дисков определяется уровнем, на котором назначена роль:

На уровне системы: можно удалять диски в любом домене хранения, существующем в системе
На уровне центра данных: можно удалять диски в любом домене хранения центра данных
На уровне домена хранения: можно удалять диски в только в соответствующем домене хранения

Изменить хранилище

Позволяет выполнять операции связанные с изменением структуры доменов хранения (копирование дисков, перемещение дисков между доменами)

Требует доступ к порталу администрирования

Прикрепить

Позволяет прикреплять "плавающие" диски в ВМ, принадлежащим пользователям

Требует доступ к порталу администрирования.

При назначении роли с этим разрешением важно учитывать, что доступность операции по прикреплению дисков определяется уровнем, на котором назначена роль:

На уровне системы: можно прикреплять диски из любого домена хранения, существующего в системе
На уровне центра данных: можно прикреплять диски из любого домена хранения центра данных
На уровне домена хранения: можно прикреплять диски из соответствующего домена хранения

Это разрешение требует также права на изменение хранилища ВМ (ВМ > Операции резервирования > Изменить хранилище)

Оптимизация диска

Позволяет выполнять оптимизацию (сжатие) дисков в подробном представлении виртуальных машин

Требует доступ к порталу администрирования.

При назначении роли с этим разрешением важно учитывать, что доступность операции по оптимизации дисков определяется уровнем, на котором назначена роль:

На уровне системы: доступна оптимизация дисков в любом домене хранения в системе
На уровне центра данных: доступна оптимизация дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступна оптимизация дисков в соответствующем домене хранения
На уровне диска: доступна оптимизация соответствующего диска

Изменить свойства

Доступ к образам домена хранения

Живая миграция хранилища

Позволяет запускать живую миграцию дисков между доменами хранения

Требует доступ к порталу администрирования.

Это разрешение также требует прав на изменение хранилища Диск > Операции резервирования > Изменить хранилище, которое должно распространяться на исходный и целевой домены хранения

Профиль диска

Прикрепить профиль диска

Позволяет прикреплять новые диски к ВМ на пользовательском портале

1.2.2. Разрешения для административных ролей

Разрешения для административных ролей определяют действия, доступные на портале администрирования. Добавление разрешений в роль имеет смысл только при наличии разрешения на вход в категории Система > Настроить систему.

Подкатегория Наименование разрешения Описание Примечания

Настроить систему

Управление пользователями

Позволяет выполнять следующие операции с пользователями и группами:

Удаление с портала администрирования
Добавление на портал администрирования
Создание на портале администрирования

При добавлении этого разрешения необходимо учитывать следующие особенности:

Роль с разрешением необходимо назначать на уровне системы
Создание будет доступно только при использовании AAA-JDBC вместо Keycloak
При наличии активной сессии, после добавления этого разрешения пользователь должен выйти из системы и войти снова.

Управление параметрами аккаунта пользователей

Позволяет управлять (добавление/изменение/удаление) параметрами учетных записей пользователей

При добавлении этого разрешения необходимо учитывать следующие особенности:

Роль с разрешением необходимо назначать на уровне системы
Добавление и изменение параметров аккаунтов на текущий момент доступно только через POST-запрос к сервису API users/{user:id}/options

Управление разрешениями

Позволяет назначать и отзывать пользовательские роли

Это разрешение позволяет управлять только пользовательскими ролями. Для назначения административных ролей требуется право Назначение роли администратора.

При интеграции с Keycloak в дополнение к этому разрешению также требуется право Добавление пользователей и групп из каталога при добавлении разрешений. В ином случае будет доступен только отзыв существующих разрешений.

Объекты, для которых будет доступно управление разрешениями зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно управление разрешениями на уровне системы и всех объектов в системе (центры данных, кластеры, хосты и т.д.)
На уровне контейнеров (центры данных, кластеры): доступно управление разрешениями для соответствующего контейнера и всех связанных с ним объектов
На уровне объекта (хост, ВМ и т.д.): доступно управление разрешениями только для этого объекта

Назначение роли администратора

Позволяет назначать и отзывать административные роли

Это разрешение работает только совместно с правом Управление разрешениями.

На уровне системы: доступно управление разрешениями на уровне системы и всех объектов в системе (центры данных, кластеры, хосты и т.д.)
На уровне контейнеров (центры данных, кластеры): доступно управление разрешениями для соответствующего контейнера и всех связанных с ним объектов
На уровне объекта (хост, ВМ и т.д.): доступно управление разрешениями только для этого объекта

Управление сессиями пользователей

Позволяет управлять параметрами сессий пользователей (количество, длительность)

Роль с разрешением необходимо назначать на уровне системы

Прерывание сессий пользователя

Позволяет завершать активные сессии пользователей (Управление Активные сессии пользователей Завершить сессию)

Роль с разрешением необходимо назначать на уровне системы

Добавление пользователей и групп из каталога при добавлении разрешений

Позволяет выполнять поиск и добавление пользователей и групп из каталогов при назначении ролей

Управление ролями

Позволяет управлять (создание/копирование/изменение/удаление) ролями

Роль с разрешением необходимо назначать на уровне системы

Разрешения входа

Позволяет авторизоваться на портале администрирования и пользовательском портале

Метки управления разрешениями

Позволяет управлять (создание/изменение/назначение/удаление) метками

Роль с разрешением необходимо назначать на уровне системы

Закладки управления разрешениями

Позволяет управлять (создание/изменение/удаление) закладками

Роль с разрешением необходимо назначать на уровне системы

Уведомления о событиях управления разрешениями

Позволяет управлять параметрами уведомлений для пользователей (Подробное представление пользователя > Уведомления о событиях > Управление событиями)

Роль с разрешением необходимо назначать на уровне системы

Аудит журнала управления разрешениями

Позволяет удалять события журнала аудита (Блок уведомлений () > Дополнительные действия события > Очистить событие/Удалить тревогу)

Роль с разрешением необходимо назначать на уровне системы

Управление квотами

Позволяет управлять (создание/изменение/удаление) квотами

Доступность операций по управлению квотами зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание квот для любого центра данных в системе
На уровне центра данных: доступно создание квот только для этого центра данных

Возможность назначения потребителей квот (пользователей и групп) определяется наличием разрешений Управление разрешениями и Добавление пользователей и групп из каталога при добавлении разрешений.

Возможность назначения квот на объекты (ВМ, Диски) определяется наличием разрешения на изменение свойств соответствующего объекта (ВМ, диск).

Наличие этого разрешения не даёт права на изменение режима квотирования в центре данных.

Право на изменение режима квотирования добавляется с разрешением Центр данных > Конфигурировать центр данных > Изменить свойства.

Потребление квоты

Пользователь с этим разрешением автоматически назначается потребителем квот

Список назначаемых квот зависит от уровня, на котором для пользователя определена роль с этим разрешением:

При назначении роли на уровне системы: пользователь становится потребителем всех существующих в системе квот.
При назначении роли на уровне центра данных: пользователь становится потребителем квот, определенных для этого центра данных.

Общая настройка

Предоставляет доступ к диаграмме инфраструктуры (Мониторинг Обзор)

Роль с разрешением необходимо назначать на уровне системы

Внедрение внешних событий

Позволяет добавлять события при интеграции с внешними системами

Роль с разрешением необходимо назначать на уровне системы

Внедрение внешних задач

Позволяет формировать задачи при интеграции с внешними системами

Роль с разрешением необходимо назначать на уровне системы

Управление ВМ Hosted Engine

Управление доменом хранения Hosted Engine

Позволяет управлять дисками в домене хранения hosted_storage.

Следует учитывать, что наличие данного разрешения:

Не дает права на создание дисков в домене hosted_storage, если отсутствует разрешение Диск > Операции резервирования > Создать
Не дает права на изменение дисков в домене hosted_storage, если отсутствует разрешение Диск > Операции резервирования > Изменить свойства
Дает право на удаление дисков в домене hosted_storage, даже если отсутствует разрешение Диск > Операции резервирования > Удалить

Резервное копирование менеджера управления

Позволяет использовать оснастку Управление Резервное копирование конфигурации

Роль с разрешением необходимо назначать на уровне системы.

При наличии активной сессии, после добавления этого разрешения пользователю необходимо выйти из системы и авторизоваться заново.

Создание отчетов о состоянии виртуальной инфраструктуры

Предоставляет доступ к созданию и выгрузке отчетов (Мониторинг Отчеты)

Роль с разрешением необходимо назначать на уровне системы.

Управление аварийным восстановлением

Предоставляет доступ к сервису Репликация и DR

Роль с разрешением необходимо назначать на уровне системы.

Управление конвертацией

Предоставляет доступ к сервису Конвертация

Роль с разрешением необходимо назначать на уровне системы.

Управление задачами taskcleaner

Предоставляет доступ к утилите очистки задач (Управление Утилита очистки задач)

Роль с разрешением необходимо назначать на уровне системы.

Управление сертификатами

Предоставляет доступ к утилите управления сертификатами (Управление Сертификаты)

Роль с разрешением необходимо назначать на уровне системы.

Управление кластеризацией хранилищ

Позволяет управлять (создание/изменение/удаление) кластерами хранилищ (Хранилище Кластеры хранилищ)

Роль с разрешением необходимо назначать на уровне системы.

Доступ к метрикам

Позволяет запрашивать метрики в формате Prometheus через обращение к точке API https://<engine-fqdn>/ovirt-engine/services/metrics

Роль с разрешением необходимо назначать на уровне системы.

Управление настройками NTP

Таблица 8. Категория "Центр данных"
Подкатегория	Наименование разрешения	Описание	Примечания
Конфигурировать центр данных	Создать	Позволяет создавать центры данных	Роль с разрешением необходимо назначать на уровне системы.
	Удалить	Позволяет удалять центры данных	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно удаление любого центра данных (если операция допустима) На уровне центра данных: доступно удаление только соответствующего центра данных (если операция допустима)
	Изменить свойства	Позволяет изменять параметры центров данных	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно изменение параметров любого центра данных На уровне центра данных: доступно изменение параметров только соответствующего центра данных

Таблица 9. Категория "Сеть"

Подкатегория

Наименование разрешения

Описание

Примечания

Настроить сеть

Создать

Позволяет создавать традиционные логические сети

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание традиционных логических сетей в любом центре данных
На уровне центра данных: доступно создание традиционных логических сетей только в соответствующем центре данных

После создания логическая сеть принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить сеть даже если не имеет прямого разрешения на изменение/удаление сетей.

Изменить свойства

Позволяет изменять свойства существующих традиционных логических сетей

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение традиционных логических сетей в любом центре данных
На уровне центра данных: доступно изменение традиционных логических сетей только в соответствующем центре данных
На уровне логической сети: доступно изменение только соответствующей логической сети

Удалить

Позволяет удалять традиционные логические сети

Роль с разрешением необходимо назначать на уровне системы.

Связать сеть с кластером

Позволяет управлять подключением логических сетей к кластерам

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно управление подключением логических сетей к любому кластеру в любом центре данных
На уровне центра данных: доступно управление подключением логических сетей только к кластерам соответствующего центра данных
На уровне логической сети: доступно управление подключением только соответствующей логической сети к любому кластеру в центре данных, которому принадлежит сеть

Настроить vNIC-профиль

Создать

Позволяет создавать профили vNIC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание профилей vNIC для любой логической сети ВМ в системе
На уровне центра данных: доступно создание профилей vNIC только для логических сетей ВМ в соответствующем центре данных
На уровне логической сети: доступно создание профилей vNIC только для соответствующей логической сети ВМ

После создания профиль vNIC принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить профиль даже если не имеет прямого разрешения на изменение/удаление профилей vNIC.

Изменить свойства

Позволяет редактировать параметры профилей vNIC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение профилей vNIC для любой логической сети ВМ в системе
На уровне центра данных: доступно изменение профилей vNIC только для логических сетей ВМ в соответствующем центре данных
На уровне логической сети: доступно изменение профилей vNIC только для соответствующей логической сети ВМ
На уровне профиля vNIC: доступно изменение только соответствующего профиля vNIC

Удалить

Позволяет удалять профили vNIC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление профилей vNIC для любой логической сети ВМ в системе
На уровне центра данных: доступно удаление профилей vNIC только для логических сетей ВМ в соответствующем центре данных
На уровне логической сети: доступно удаление профилей vNIC только для соответствующей логической сети ВМ
На уровне профиля vNIC: доступно удаление только соответствующего профиля vNIC

Связать профиль vNIC с ВМ

Позволяет подключать виртуальные машины к логическим сетям с использованием соответствующего профиля vNIC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно подключение любых ВМ в системе с использованием любых профилей vNIC
На уровне центра данных: доступно подключение ВМ с использование профилей vNIC логических сетей в соответствующем центре данных

Связать профиль vNIC с шаблоном

Позволяет подключать шаблоны к логическим сетям с использованием соответствующего профиля vNIC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно подключение любых шаблонов в системе с использованием любых профилей vNIC
На уровне центра данных: доступно подключение шаблонов с использование профилей vNIC логических сетей в соответствующем центре данных

Таблица 10. Категория "Домен хранения"

Подкатегория

Наименование разрешения

Описание

Примечания

Настроить домен хранения

Создать

Позволяет создавать домены хранения в центрах данных

Роль с разрешением необходимо назначать на уровне системы.

Разрешение на создание домена хранения не включает право на управление состоянием (Состояние манипулирования). Если право на управление состоянием не добавлено к роли, домен будет создаваться в откреплённом состоянии с отображением ошибки о недостаточных разрешениях.

Удалить

Позволяет удалять домены хранения

Роль с разрешением необходимо назначать на уровне системы.

Разрешение на удаление домена хранения не дает право на управление состоянием (Состояние манипулирования). Если право на управление состоянием не добавлено к роли, домен невозможно перевести в обслуживание и, следовательно, невозможно удалить.

Изменить свойства

Позволяет изменять свойства доменов хранения

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение параметров любых доменов хранения в системе
На уровне центра данных: доступно изменение параметров доменов хранения в соответствующем центре данных
На уровне домена хранения: доступно изменение параметров только соответствующего домена хранения

Состояние манипулирования

Позволяет управлять состоянием домена хранения в центре данных. Управление состоянием включает следующие операции:

Перевод домена в режим обслуживания
Активация домена из режима обслуживания
Прикрепление домена хранения к центру данных
Открепление домена хранения от центра данных

Возможности управления состоянием доменов хранения зависят от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступны все операции по управлению состоянием со всеми доменами хранения в системе
На уровне центра данных: доступны активация, перевод в обслуживание и открепление доменов хранения в соответствующем центре данных
На уровне домена хранения: доступны активация, перевод в обслуживание и открепление только соответствующего домена хранения

Для предоставления возможности прикреплять домены хранения к центрам данных, разрешение должно быть выдано на уровне системы.

Конфигурировать профиль диска

Создать профиль диска

Позволяет создавать профили дисков

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание профилей для любого домена хранения в системе
На уровне центра данных: доступно создание профилей для доменов хранения в соответствующем центре данных
На уровне домена хранения: доступно создание профилей только для соответствующего домена хранения

Удалить профиль диска

Позволяет удалять профили дисков

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление профилей для любого домена хранения в системе
На уровне центра данных: доступно удаление профилей для доменов хранения в соответствующем центре данных
На уровне домена хранения: доступно удаление профилей для только соответствующего домена хранения
На уровне профиля диска: доступно удаление только соответствующего профиля диска

Управление профилями дисков

Позволяет редактировать параметры профилей дисков

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение профилей для любого домена хранения в системе
На уровне центра данных: доступно изменение профилей для доменов хранения в соответствующем центре данных
На уровне домена хранения: доступно изменение профилей для только соответствующего домена хранения
На уровне профиля диска: доступно изменение только соответствующего профиля диска

Таблица 11. Категория "Кластер"

Подкатегория

Наименование разрешения

Описание

Примечания

Настройка кластера

Создать

Позволяет создавать кластеры

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание кластеров в любом центре данных
На уровне центра данных: доступно создание кластеров только в соответствующем центре данных

После создания кластер принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить кластер даже если не имеет прямого разрешения на изменение/удаление.

Удалить

Позволяет удалять кластеры

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление кластеров в любом центре данных
На уровне центра данных: доступно удаление кластеров только в соответствующем центре данных
На уровне кластера: доступно удаление только соответствующего кластера

Изменить свойства

Позволяет редактировать параметры кластера

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение кластеров в любом центре данных
На уровне центра данных: доступно изменение кластеров только в соответствующем центре данных
На уровне кластера: доступно изменение только соответствующего кластера

Изменить сеть

Позволяет управлять ролями сетей в кластере, а также флагом Обязательная

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение сетей любых кластеров в любом центре данных
На уровне центра данных: доступно изменение сетей кластеров только в соответствующем центре данных
На уровне кластера: доступно изменение сетей только соответствующего кластера

Управление группами сходства

Позволяет управлять (создание/изменение/удаление) группами сходства в кластере

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно управление группами сходства в любых кластерах в любом центре данных
На уровне центра данных: доступно управление группами сходства в кластерах только в соответствующем центре данных
На уровне кластера: доступно управление группами сходства только соответствующего кластера

Таблица 12. Категория "Том"
Подкатегория	Наименование разрешения	Описание	Примечания
Настроить тома	Создать том	Позволяет создавать тома Gluster на портале администрирования	Роль с разрешением необходимо назначать на уровне системы.
	Удалить том	Позволяет удалять тома Gluster на портале администрирования	Роль с разрешением необходимо назначать на уровне системы.
	Управление томами	Позволяет выполнять операции по управлению томами Gluster на портале администрирования. К таким операциям относятся: Запуск тома Остановка тома Операции над снимками Операции профилирование Изменение параметров тома (репликация, подключение/сброс/замена/удаление бриков, настройка опций)	Роль с разрешением необходимо назначать на уровне системы.

Таблица 13. Категория "Хост"

Подкатегория

Наименование разрешения

Описание

Примечания

Настроить хост

Создать

Позволяет добавлять хосты в среду

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно добавление хостов в любой кластер в системе
На уровне центра данных: доступно добавление хостов только в кластеры соответствующего центра данных
На уровне кластера: доступно добавление хостов только в соответствующий кластер

Удалить

Позволяет удалять хосты из среды

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление хостов в любом кластере в системе
На уровне центра данных: доступно удаление хостов только в кластерах соответствующего центра данных
На уровне кластера: доступно удаление хостов только в соответствующем кластере
На уровне хоста: доступно удаление только соответствующего хоста

Изменить свойства

Позволяет изменять параметры хоста

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение параметров хостов в любом кластере в системе
На уровне центра данных: доступно изменение параметров хостов только в кластерах соответствующего центра данных
На уровне кластера: доступно изменение параметров хостов только в соответствующем кластере
На уровне хоста: доступно изменение параметров только соответствующего хоста

Наличие этого разрешения на уровне кластера или выше дает возможность переносить хост между кластерами при отсутствии разрешения на создание.

Состояние манипулирования

Позволяет управлять состоянием хоста. К управлению состоянием относятся следующие операции:

Перевод в обслуживание
Активация
Обновление возможностей
Управление питанием (через агента управления питанием или по SSH)

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно управление состоянием хостов в любом кластере в системе
На уровне центра данных: доступно управление состоянием хостов только в кластерах соответствующего центра данных
На уровне кластера: доступно управление состоянием хостов только в соответствующем кластере
На уровне хоста: доступно управление состоянием только соответствующего хоста

Изменить сеть

Позволяет настраивать сетевую конфигурацию хоста на портале администрирования, включая:

Создание бондов
Подключение традиционных логических сетей к интерфейсам хоста
Настройку сетевых параметров на интерфейсе хоста
Переопределение QoS сети хоста

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение сетей хостов в любом кластере в системе
На уровне центра данных: доступно изменение сетей хостов только в кластерах соответствующего центра данных
На уровне кластера: доступно изменение сетей хостов только в соответствующем кластере
На уровне хоста: доступно изменение сетей только соответствующего хоста

Таблица 14. Категория "Шаблон"

Подкатегория

Наименование разрешения

Описание

Примечания

Основные операции

Изменить свойства

Позволяет редактировать параметры шаблонов

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение параметров шаблонов в любом кластере в системе
На уровне шаблона: доступно изменение параметров только соответствующего шаблона

Операции резервирования

Создать

Позволяет создавать шаблоны

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание шаблонов в любом кластере в системе
На уровне центра данных: доступно создание шаблонов только в кластерах соответствующего центра данных

После создания шаблон принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить шаблон даже если не имеет прямого разрешения на изменение/удаление.

Удалить

Позволяет удалять шаблоны

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление шаблонов в любом кластере в системе
На уровне шаблона: доступно удаление только соответствующего шаблона

Импорт/Экспорт

Позволяет импортировать и экспортировать шаблоны. Операции импорта/экспорта включают:

Импорт из .ova и экспорт в .ova
Экспорт в домен экспорта и импорт из него.

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступны импорт и экспорт шаблонов в любом кластере в системе
На уровне шаблона: доступны импорт и экспорт только соответствующего шаблона

Копировать

Операции администрирования

Изменить административные свойства

Таблица 15. Категория "ВМ"

Подкатегория

Наименование разрешения

Описание

Примечания

Основные операции

Перезагрузить ВМ

Позволяет выполнять перезагрузку ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно выполнение перезагрузки любой ВМ в системе
На уровне центра данных: доступно выполнение перезагрузки ВМ в соответствующем центре данных
На уровне кластера: доступно выполнение перезагрузки ВМ в соответствующем кластере
На уровне ВМ: доступно выполнение перезагрузки только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Сброс ВМ

Позволяет выполнять сброс (принудительную перезагрузку) ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно выполнение сброса любой ВМ в системе
На уровне центра данных: доступно выполнение сброса ВМ в соответствующем центре данных
На уровне кластера: доступно выполнение сброса ВМ в соответствующем кластере
На уровне ВМ: доступно выполнение сброса только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Остановить ВМ

Позволяет выполнять остановку (принудительное выключение) ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно выполнение остановки любой ВМ в системе
На уровне центра данных: доступно выполнение остановки ВМ в соответствующем центре данных
На уровне кластера: доступно выполнение остановки ВМ в соответствующем кластере
На уровне ВМ: доступно выполнение остановки только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Выключить ВМ

Позволяет выполнять выключение ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно выключение любой ВМ в системе
На уровне центра данных: доступно выключение ВМ в соответствующем центре данных
На уровне кластера: доступно выключение ВМ в соответствующем кластере
На уровне ВМ: доступно выключение только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Перевести виртуальную машину в спящий режим

Позволяет выполнять перевод ВМ в спящий режим (приостановка)

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступен перевод в спящий режим любой ВМ в системе
На уровне центра данных: доступен перевод в спящий режим ВМ в соответствующем центре данных
На уровне кластера: доступен перевод в спящий режим ВМ в соответствующем кластере
На уровне ВМ: доступен перевод в спящий режим только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Запустить ВМ

Позволяет выполнять запуск ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступен запуск любой ВМ в системе
На уровне центра данных: доступен запуск ВМ в соответствующем центре данных
На уровне кластера: доступен запуск ВМ в соответствующем кластере
На уровне ВМ: доступен запуск только соответствующей ВМ

Разрешение не распространяется на ВМ HostedEngine.

Сменить CD

Позволяет извлекать и подключать к ВМ образы ISO

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступен запуск любой ВМ в системе
На уровне центра данных: доступен запуск ВМ в соответствующем центре данных
На уровне кластера: доступен запуск ВМ в соответствующем кластере
На уровне ВМ: доступен запуск только соответствующей ВМ

Удаленный вход

Позволяет подключаться к ВМ с помощью консолей SPICE, VNC и NoVNC

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступен запуск любой ВМ в системе
На уровне центра данных: доступен запуск ВМ в соответствующем центре данных
На уровне кластера: доступен запуск ВМ в соответствующем кластере
На уровне ВМ: доступен запуск только соответствующей ВМ

Операции резервирования

Изменить свойства

Позволяет изменять свойства ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение свойств любой ВМ в системе
На уровне центра данных: доступно изменение свойств ВМ в соответствующем центре данных
На уровне кластера: доступно изменение свойств ВМ в соответствующем кластере
На уровне ВМ: доступно изменение свойств только соответствующей ВМ

Создать

Позволяет создавать виртуальные машины

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание ВМ в любом кластере системы
На уровне центра данных: доступно создание ВМ в кластерах соответствующего центра данных
На уровне кластера: доступно создание ВМ в соответствующем кластере

После создания ВМ принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить ВМ даже если не имеет прямого разрешения на изменение/удаление. Это же правило распространяется на диски ВМ, за исключением прикрепленных "плавающих" дисков.

Разрешение на создание ВМ не дает права на создание/подключение дисков к ВМ.

Если планируется предоставить разрешение на создание ВМ необходимо также обеспечить:

Разрешение на создание дисков (Диск > Операции резервирования > Создать) в нужном домене хранения, если планируется создавать ВМ с новыми дисками. Также это разрешение необходимо для создания ВМ на базе шаблонов.
Разрешение на прикрепление дисков (Диск > Операции резервирования > Прикрепить) в нужном домене хранения, если планируется при создании ВМ прикреплять существующие диски.

Создать экземпляр

Удалить

Позволяет удалять ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление любой ВМ в системе
На уровне центра данных: доступно удаление ВМ в соответствующем центре данных
На уровне кластера: доступно удаление ВМ в соответствующем кластере
На уровне ВМ: доступно удаление только соответствующей ВМ

Импорт/Экспорт

Позволяет импортировать и экспортировать ВМ. Операции импорта/экспорта включают:

Импорт из .ova и экспорт в .ova
Экспорт в домен экспорта и импорт из него.
Экспорт в домен данных и импорт из него.

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступны импорт и экспорт ВМ в любом кластере в системе
На уровне центра данных: доступны импорт и экспорт ВМ в соответствующем центре данных
На уровне кластера: доступен только экспорт ВМ в соответствующем кластере
На уровне ВМ: доступен только экспорт соответствующей ВМ

Изменить хранилище

Позволяет выполнять операции с дисками ВМ в подробном представлении. К таким операциям относятся:

Включение и выключение дисков
Добавление нового диска
Добавление существующего "плавающего" диска
Удаление диска из ВМ, включая окончательное удаление диска из системы

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение дисков ВМ в любом кластере в системе
На уровне центра данных: доступно изменение дисков ВМ в соответствующем центре данных
На уровне кластера: доступно изменение дисков ВМ в соответствующем кластере
На уровне ВМ: доступно изменение дисков соответствующей ВМ

Для выполнения некоторых операций требуются дополнительные разрешения:

Добавление нового диска: разрешение на создание дисков (Диск > Операции резервирования > Создать) в соответствующем домене
Прикрепление "плавающего" диска: разрешение на прикрепление дисков (Диск > Операции резервирования > Прикрепить) в соответствующем домене
Удаление диска (для активации опции "окончательное удаление"): разрешение на удаление дисков (Диск > Операции резервирования > Удалить) в соответствующем домене

Изменить снимки

Позволяет управлять снимками ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение дисков ВМ в любом кластере в системе
На уровне центра данных: доступно изменение дисков ВМ в соответствующем центре данных
На уровне кластера: доступно изменение дисков ВМ в соответствующем кластере
На уровне ВМ: доступно изменение дисков соответствующей ВМ

Операции администрирования

MOVE_VM

Мигрировать

Позволяет запускать живую миграцию ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение дополнительных параметров ВМ в любом кластере в системе
На уровне центра данных: доступна миграция ВМ в соответствующем центре данных
На уровне кластера: доступна миграция ВМ в соответствующем кластере

При назначении разрешения на миграцию необходимо учитывать следующие особенности:

Начиная с версии ПО «zVirt Max» 1.2 для миграции ВМ используется визард миграции. Разрешение "Мигрировать" дает право на миграцию только виртуальной машины, но не дисков
При назначении разрешения на уровне кластера, доступна миграция только в пределах кластера. Если необходимо разрешение на миграцию ВМ между кластерами центра данных, требуется назначить разрешение либо на уровне соответствующего центра данных, либо на уровне системы.

Изменить настраиваемые параметры

Позволяет добавлять/изменять/удалять ключи на вкладке Доп.параметры в окне изменения ВМ

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение дополнительных параметров ВМ в любом кластере в системе
На уровне центра данных: доступно изменение дополнительных параметров ВМ в соответствующем центре данных
На уровне кластера: доступно изменение дополнительных параметров ВМ в соответствующем кластере
На уровне ВМ: доступно изменение дополнительных параметров соответствующей ВМ

Для работы этого разрешения не требуется право на изменение свойств ВМ (ВМ > Операции резервирования > Изменить свойства).

Изменить административные свойства

Позволяет изменять параметры закрепления ВМ за хостом

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение административных свойств ВМ в любом кластере в системе
На уровне центра данных: доступно изменение административных свойств ВМ в соответствующем центре данных
На уровне кластера: доступно изменение административных свойств ВМ в соответствующем кластере
На уровне ВМ: доступно изменение административных свойств соответствующей ВМ

Соединить с последовательной консолью ВМ

Позволяет подключаться к последовательной консоли виртуальной машины

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно подключение к последовательной консоли ВМ в любом кластере в системе
На уровне центра данных: доступно подключение к последовательной консоли ВМ в соответствующем центре данных
На уровне кластера: доступно подключение к последовательной консоли ВМ в соответствующем кластере
На уровне ВМ: доступно подключение к последовательной консоли соответствующей ВМ

Переопределить открытую консольную сессию

Таблица 16. Категория "Пул ВМ"
Подкатегория	Наименование разрешения	Описание	Примечания
Основные операции	Базовые операции
Операции резервирования	Создать	Позволяет создавать пулы виртуальных Машин	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно создание пулов ВМ в любом кластере системы На уровне центра данных: доступно создание пулов ВМ в кластерах соответствующего центра данных На уровне кластера: доступно создание пулов ВМ в соответствующем кластере
	Удалить	Позволяет удалять пулы ВМ	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно удаление любого пула ВМ в системе На уровне центра данных: доступно удаление пула ВМ в соответствующем центре данных На уровне кластера: доступно удаление пула ВМ в соответствующем кластере На уровне пула ВМ: доступно удаление только соответствующего пула ВМ
	Изменить свойства	Позволяет изменять свойства пула ВМ	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно изменение свойств любого пула ВМ в системе На уровне центра данных: доступно изменение свойств пула ВМ в соответствующем центре данных На уровне кластера: доступно изменение свойств пула ВМ в соответствующем кластере На уровне пула ВМ: доступно изменение свойств только соответствующего пула ВМ

Таблица 17. Категория "Диск"

Подкатегория

Наименование разрешения

Описание

Примечания

Операции резервирования

Создать

Позволяет создавать диски в домене хранения

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно создание дисков в любом домене хранения в системе
На уровне центра данных: доступно создание дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступно создание дисков в соответствующем домене хранения

После создания диск принадлежит создавшему пользователю. Это означает, что владелец может изменить параметры и удалить диск даже если не имеет прямого разрешения на изменение/удаление.

Удалить

Позволяет удалять диски из домена хранения

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно удаление дисков в любом домене хранения в системе
На уровне центра данных: доступно удаление дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступно удаление дисков в соответствующем домене хранения
На уровне диска: доступно удаление соответствующего диска

Изменить хранилище

Позволяет перемещать диски между доменами хранения

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно перемещение дисков из любого домена хранения в системе
На уровне центра данных: доступно перемещение дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступно удаление дисков в соответствующем домене хранения
На уровне диска: доступно удаление соответствующего диска

Это разрешение необходимо назначать на исходный домен хранения.

Это разрешение распространяется только на операцию "перемещения" дисков между доменами хранения в пределах одного центра данных.

Это разрешение не даёт право на:

Перенос дисков между центрами данных
Живую миграцию дисков (перенос дисков работающих виртуальных машин)

Прикрепить

Позволяет прикреплять существующие диски к виртуальным машинам

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно прикрепление дисков из любого домена хранения в системе
На уровне центра данных: доступно прикрепление дисков из доменов хранения соответствующего центра данных
На уровне домена хранения: доступно прикрепление дисков из соответствующего домена хранения
На уровне диска: доступно прикрепление соответствующего диска

Оптимизация диска

Позволяет выполнять оптимизацию (сжатие) дисков в подробном представлении виртуальных машин

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступна оптимизация дисков в любом домене хранения в системе
На уровне центра данных: доступна оптимизация дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступна оптимизация дисков в соответствующем домене хранения
На уровне диска: доступна оптимизация соответствующего диска

Изменить свойства

Позволяет изменять параметры дисков

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступно изменение параметров дисков в любом домене хранения в системе
На уровне центра данных: доступно изменение параметров дисков в доменах хранения соответствующего центра данных
На уровне домена хранения: доступно изменение параметров дисков в соответствующем домене хранения
На уровне диска: доступно изменение параметров соответствующего диска

Управление привилегиями ввода/вывода SCSI

Доступ к образам домена хранения

Живая миграция хранилища

Позволяет выполнять живую миграцию дисков между доменами хранения

Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением:

На уровне системы: доступна миграция дисков из любого домена хранения в системе
На уровне центра данных: доступна миграция дисков из доменов хранения соответствующего центра данных
На уровне домена хранения: доступна миграция дисков из соответствующего домена хранения
На уровне диска: доступна миграция соответствующего диска

Это разрешение необходимо назначать на исходный домен хранения.

BACKUP_DISK

Профиль диска

Прикрепить профиль диска

Таблица 18. Категория "Профиль ЦП"
Подкатегория	Наименование разрешения	Описание	Примечания
Операции резервирования	Создать	Позволяет создавать профили ЦП в кластере	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно создание профилей ЦП в любом кластере в системе На уровне центра данных: доступно создание профилей ЦП в кластерах соответствующего центра данных На уровне кластера: доступно создание профилей ЦП в соответствующем кластере
	Удалить	Позволяет удалять профили ЦП	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно удаление профилей ЦП в любом кластере в системе На уровне центра данных: доступно удаление профилей ЦП в кластерах соответствующего центра данных На уровне кластера: доступно удаление профилей ЦП в соответствующем кластере
	Обновить	Позволяет изменять параметры профилей ЦП	Область действия разрешения зависит от уровня, на котором назначена роль с этим разрешением: На уровне системы: доступно обновление профилей ЦП в любом кластере в системе На уровне центра данных: доступно обновление профилей ЦП в кластерах соответствующего центра данных На уровне кластера: доступно обновление профилей ЦП в соответствующем кластере
Операции администрирования	Связать

Таблица 19. Категория "Пулы MAC-адресов"
Подкатегория	Наименование разрешения	Описание	Примечания
Основные операции	Создать	Позволяет создавать пулы MAC-адресов	Роль с этим разрешением должна быть назначена на системном уровне
	Изменить настройки	Позволяет изменять параметры пулов MAC-адресов	Роль с этим разрешением должна быть назначена на системном уровне
	Удалить	Позволяет удалять пулы MAC-адресов	Роль с этим разрешением должна быть назначена на системном уровне
	Использовать существующий пул MAC	Позволяет использовать пулы MAC-адресов в кластерах

Все разрешения категории Операции SDN:

После назначения требуют, чтобы пользователь вышел из системы и авторизовался повторно.
Должны назначаться на уровне системы

Таблица 20. Категория "Операции SDN"
Подкатегория	Наименование разрешения	Описание	Примечания
Управление SDN	Управление инфраструктурой SDN	Позволяет управлять (создание/изменение/удаление) инфраструктурными компонентами SDN (сети, подсети, порты, маршрутизаторы)	Это разрешение требует также дополнительных разрешений для обеспечения полной функциональности: Разрешения на управление логическими сетями (Сеть > Настроить сеть) Разрешения на управление профилями vNIC (Сеть > Настроить профили vNIC)
Управление SDN	Конфигурация маршрутизаторов	Позволяет подключать к маршрутизаторам внешние сети и настраивать таблицы трансляций и маршрутизации
Управление микросегментацией SDN	Управление мигросегментацией	Позволяет управлять правилами и группами безопасности (создание/изменение/удаление)
Управление микросегментацией SDN	Конфигурация мигросегментации	Позволяет включать/отключать поддержку групп безопасности на портах, а также подключать группы к портам

2. Роли

Роль в ПО «zVirt Max» представляет собой набор заранее определенных прав (разрешений), предназначенных для ограничения и предоставления определённых возможностей пользователям и группам пользователей в зависимости от выполняемых ими функций.

Рисунок 1. Разрешения и роли

Благодаря иерархической структуре объектов в ПО «zVirt Max» роли, применимые к какому-либо контейнеру (центр данных, кластер), также применимы ко всем отдельным объектам в этом контейнере.

Рисунок 2. Иерархия объектов ПО «zVirt Max»

Примеры:

Если пользователю назначить роль администратора конкретного хоста, то пользователь получает разрешения на выполнение любых доступных операций только на назначенном хосте.
Если пользователю назначить роль администратора хоста в центре данных, то пользователь получает разрешения на выполнение операций со всеми хостами в кластерах центра данных.

2.1. Особенности ролевой модели в ПО «zVirt Max»

Роли используются для чёткого разделения полномочий и обеспечивают гибкую систему авторизации и контроля доступа.

ПО «zVirt Max» включает набор шаблонных ролей, таких как SuperUser, UserRole, и др. Каждая роль обладает своим уникальным набором разрешений. Шаблонные роли нельзя изменять и удалять.

Можно создавать дополнительные роли, адаптированные под конкретные потребности организации. Подробнее об управлении ролями см. в статье Роли руководства по администрированию ПО «zVirt Max».

Когда пользователю назначается определённая роль, он автоматически получает соответствующие ей права (разрешения).

Одному пользователю может быть одновременно назначено несколько ролей. Роли также могут назначаться группам пользователей. В этом случае роль наследуется всеми пользователями в группе.

2.2. Типы ролей

в ПО «zVirt Max» выделяется два типа ролей:

Административные роли: позволяют получать доступ к Порталу администрирования (Administration Portal) для управления физическими и виртуальными ресурсами. Административные роли также позволяют выполнять действия на пользовательском портале, однако они не влияют на то, какую информацию пользователи смогут видеть.
Роль пользователя: позволяет получать доступ к Пользовательскому порталу (VM Portal) для управления и обращения к виртуальным машинам. Что именно пользователь может увидеть на Пользовательском портале (VM Portal), зависит от назначенной роли. Разрешения, предоставленные пользователем с ролью администратора, отображаются в действиях, доступных для этого пользователя в на Пользовательском портале (VM Portal).

2.3. Описание шаблонных ролей

2.3.1. Пользовательские роли

В следующей таблице описаны основные пользовательские роли, которым разрешен доступ к виртуальным машинам и их конфигурирование на Пользовательском портале (VM Portal).

Таблица 21. Основные пользовательские роли ПО «zVirt Max»
Роль	Права	Примечания
UserRole	Может получать доступ к виртуальным машинам и пулам и использовать их.	Может авторизоваться на Пользовательском портале, использовать выделенные виртуальные машины и пулы, просматривать информацию о виртуальных машинах и их состоянии.
PowerUserRole	Может создавать виртуальные машины и шаблоны и управлять ими.	В окне Настройка (Configure) назначьте эту роль пользователю для всей среды, либо только для отдельных центров данных или кластеров. Например, если роль с расширенными правами пользователя (PowerUserRole) применяется на уровне центра данных, то пользователь с этой ролью может создавать виртуальные машины и шаблоны центре данных.
UserVmManager	Системный администратор виртуальной машины.	Может управлять виртуальными машинами, создавать и использовать моментальные снимки. Пользователю, который создает виртуальную машину через Пользовательский портал, автоматически назначается роль пользователя, управляющего ВМ (UserVmManager) для этой машины.

В приведенной ниже таблице описаны дополнительные пользовательские роли, которые позволяют более тонко настраивать разрешения в отношении ресурсов на Пользовательском портале.

Таблица 22. Дополнительные пользовательские роли ПО «zVirt Max»
Роль	Права	Примечания
UserTemplateBasedVm	Ограниченные права - только на использование шаблонов.	Может использовать шаблоны для создания виртуальных машин.
DiskOperator	Пользователь виртуального диска.	Может использовать, просматривать и изменять виртуальные диски. Наследует разрешения на использование виртуальной машины, к которой подключен виртуальный диск.
VmCreator	Может создавать виртуальные машины на Пользовательском портале.	Эта роль применяется не к отдельной виртуальной машине. Применяйте эту роль ко всей среде в окне Настройка (Configure). Либо эту роль можно применять к конкретным центрам данных или кластерам. Применяя эту роль к кластеру, нужно также применить роль DiskCreator ко всему центру данных или к конкретным доменам хранения.
TemplateCreator	Может создавать, изменять, управлять и удалять шаблоны виртуальных машин в пределах выделенных ресурсов.	Эта роль применяется не к отдельному шаблону. Применяйте ее ко всей среде в окне Настройка (Configure). Либо эту роль можно применять к конкретным центрам данных, кластерам или доменам хранения.
DiskCreator	Может создавать, изменять, удалять и управлять виртуальными дисками в назначенных кластерах или центрах данных.	Эта роль применяется не к отдельному виртуальному диску. Применяйте ее ко всей среде в окне Настройка (Configure). Либо эту роль можно применять к конкретным центрам данных или доменам хранения.
TemplateOwner	Может изменять и удалять шаблон, выдавать пользователям разрешения на применение шаблона и управлять этими разрешениями.	Эта роль автоматически назначается пользователю, создавшему шаблон. Другие пользователи, у которых нет разрешений от пользователя с ролью TemplateOwner в отношении шаблона, не могут просматривать или использовать этот шаблон.
VnicProfileUser	Пользователь логической сети и сетевого интерфейса для виртуальной машины и шаблона.	Может подключать сетевые интерфейсы к конкретным логическим сетям и отключать их.

2.3.2. Административные роли

В следующей таблице описаны основные административные роли, которым разрешен доступ к ресурсам и их конфигурирование на Портале администрирования.

Таблица 23. Основные административные роли ПО «zVirt Max»
Роль	Права	Примечания
SuperUser	Системный администратор среды ПО «zVirt Max».	Обладает всеми разрешениями для всех объектов и уровней, может управлять всеми объектами во всех центрах данных.
ClusterAdmin	Администратор кластера.	Обладает административными разрешениями в отношении всех объектов в конкретном кластере.
DataCenterAdmin	Администратор центра данных.	Обладает административными разрешениями в отношении всех объектов в конкретном центре данных, за исключением хранилища.

Не используйте администратора сервера каталогов в качестве администратора виртуализации ПО «zVirt Max». Создайте пользователя на сервере каталогов специально для использования в качестве администратора виртуализации ПО «zVirt Max».

В следующей таблице описаны дополнительные административные роли, позволяющие тонко настраивать разрешения в отношении ресурсов на Портале администрирования.

Таблица 24. Дополнительные административные роли ПО «zVirt Max»
Роль	Права	Примечания
TemplateAdmin	Администратор шаблона виртуальной машины.	Может создавать, удалять, конфигурировать домены хранения и параметры сети для шаблонов, а также перемещать шаблоны между доменами.
StorageAdmin	Администратор хранилища.	Может создавать, удалять, конфигурировать назначенный домен хранения, а также управлять этим доменом.
HostAdmin	Администратор хоста.	Может подключать, удалять, конфигурировать конкретный хост или управлять им.
NetworkAdmin	Администратор сети.	Может конфигурировать сеть отдельного центра данных или кластера и управлять назначенной сетью. Сетевой администратор центра данных или кластера наследует сетевые разрешения для работы с виртуальными пулами в кластере.
VmPoolAdmin	Системный администратор виртуального пула.	Может создавать, удалять и конфигурировать виртуальный пул, назначать и удалять пользователей виртуального пула, а также выполнять базовые операции с виртуальными машинами в пуле.
GlusterAdmin	Администратор хранилища Gluster.	Может создавать, удалять и конфигурировать тома хранения Gluster, а также управлять ими.
VmImporterExporter	Администратор импорта и экспорта виртуальной машины.	Может импортировать и экспортировать виртуальные машины, а также просматривать все виртуальные машины и шаблоны, которые экспортировали другие пользователи.

2.3.3. Роли для управления ресурсами

Администратор с ролью SuperUser управляет всеми аспектами Портала администрирования. Другим пользователям могут быть назначены ограниченные административные роли. Ограниченные роли нужны, чтобы предоставить пользователю административные права, которые действуют только в отношении определенного ресурса.

Например, роль DataCenterAdmin предусматривает права администратора только для назначенного центра данных, за исключением хранилища для этого центра данных, а ClusterAdmin доступны права администратора только в отношении назначенного кластера.

2.3.3.1. Центры данных

DataCenterAdmin - это административная роль только в отношении определенного центра данных. Роль полезна в средах виртуализации с несколькими центрами данных, где у каждого центра данных должен быть свой администратор. Роль DataCenterAdmin - это иерархическая модель. Пользователь, которому назначена административная роль центра данных, может управлять всеми объектами в конкретном центре данных, за исключением его хранилища.

Роль DataCenterAdmin разрешает выполнять следующие действия:

Создавать и удалять кластеры, ассоциированные с центром данных.
Добавлять и удалять хосты, виртуальные машины и пулы, ассоциированные с центром данных.
Изменять разрешения пользователей для виртуальных машин, ассоциированных с центром данных.

В таблице ниже описаны роли и права, применимые для администрирования центра данных.

Таблица 25. Административные роли для центров данных
Роль	Права	Примечания
DataCenterAdmin	Администратор центра данных	Может использовать, создавать, удалять и управлять всеми физическими и виртуальными ресурсами в пределах одного определенного центра данных, за исключением хранилища, но включая кластеры, хосты, шаблоны и виртуальные машины.
NetworkAdmin	Администратор сети	Может конфигурировать сеть конкретного центра данных и управлять ею. Сетевой администратор центра данных также наследует сетевые разрешения на работу с виртуальными машинами в пределах центра данных.

2.3.3.2. Кластеры

ClusterAdmin - это административная роль только в отношении определенного кластера. Роль полезна в центрах данных со множеством кластеров, когда для каждого кластера требуется отдельный администратор. Роль ClusterAdmin - это иерархическая модель. Пользователь, которому назначается роль ClusterAdmin в кластере, может управлять всеми объектами в этом кластере.

Роль ClusterAdmin разрешает выполнять следующие действия:

Создавать и удалять ассоциированные кластеры.
Добавлять и удалять хосты, виртуальные машины и пулы, ассоциированные с кластером.
Изменять разрешения пользователей для виртуальных машин, ассоциированных с кластером.

В таблице ниже описаны роли и права, применимые для администрированию кластера.

Таблица 26. Административные роли для кластеров
Роль	Права	Примечания
ClusterAdmin	Администратор кластера	Может использовать, создавать, удалять и управлять всеми физическими и виртуальными ресурсами в пределах одного определенного кластера, включая хосты, шаблоны и виртуальные машины. Может конфигурировать свойства сети в пределах кластера, например, определять отображаемые сети или обозначать сеть как обязательную или необязательную. При этом у ClusterAdmin нет прав, чтобы подключать и отключать сети от кластера, для этого необходимы права NetworkAdmin.
NetworkAdmin	Администратор сети	Может конфигурировать и управлять сетью конкретного кластера. Администратор сети кластера также наследует сетевые разрешения для виртуальных машин в кластере.

2.3.3.3. Логические сети

NetworkAdmin - это административная роль, которую можно применять к конкретной сети, либо ко всем сетям в центре данных, кластере, хосте, виртуальной машине или шаблоне. Пользователь сети может выполнять ограниченные действия: просмотр и подключение сетей к определенной виртуальной машине или шаблону.

Роль NetworkAdmin разрешает выполнять следующие действия:

Создавать, изменять и удалять сети.
Изменять конфигурацию сети, включая конфигурирование зеркалирования портов.
Подключать и отключать сети от ресурсов, включая кластеры и виртуальные машины.

Пользователю, который создает сеть, автоматически назначаются разрешения NetworkAdmin в созданной сети.

В приведенной ниже таблице описаны роли и права, применимые для администрирования сети.

Таблица 27. Административные роли для логических сетей
Роль	Права	Примечания
NetworkAdmin	Администратор сети для центра данных, кластера, хоста, виртуальной машины или шаблона.	Может конфигурировать и управлять сетью конкретного центра данных, кластера, хоста, виртуальной машины или шаблона. Администратор сети центра данных или кластера наследует сетевые разрешения на работу с виртуальными пулами в кластере. Чтобы сконфигурировать зеркалирование портов в сети виртуальных машин, примените роль NetworkAdmin к сети и роль UserVmManager к виртуальной машине.
VnicProfileUser	Пользователь логической сети и сетевого интерфейса для виртуальной машины и шаблона.	Может подключать сетевые интерфейсы к конкретным логическим сетям и отключать их.

2.3.3.4. Хосты

HostAdmin - это административная роль только для определенного хоста. Роль полезна в кластерах с несколькими хостами, где для каждого хоста требуется отдельный администратор.

Роль HostAdmin разрешает выполнять следующие действия:

Изменять конфигурацию хоста.
Настраивать логические сети.
Удалять хост.

В приведенной ниже таблице описаны роли и права, применимые для администрирования хоста.

Таблица 28. Административные роли для хостов
Роль	Права	Примечания
HostAdmin	Администратор хоста	Может конфигурировать, управлять и удалять конкретный хост. Может также выполнять операции, связанные с сетью на конкретном хосте.

2.3.3.5. Домены хранения

StorageAdmin - это административная роль только для определенного домена хранения. Роль полезна в центрах данных с несколькими доменами хранения, где для каждого домена хранения требуется отдельный администратор.

Роль StorageAdmin разрешает выполнять следующие действия:

Изменять конфигурацию домена хранения.
Переводить домен хранения в режим обслуживания.
Удалять домен хранения.

В приведенной ниже таблице описаны роли и права, применимые для администрированию домена хранения.

Таблица 29. Административные роли для доменов хранения
Роль	Права	Примечания
StorageAdmin	Администратор хранилища	Может создавать, удалять, конфигурировать и управлять конкретным доменом хранения.
GlusterAdmin	Администратор хранилища Gluster	Может создавать, удалять, конфигурировать и управлять томами хранения Gluster.

2.3.3.6. Пулы виртуальных машин

VmPoolAdmin - это административная роль для пулов ВМ в центре данных. Роль можно применять к конкретным пулам ВМ, к центру данных или ко всей среде виртуализации. Это позволяет различным пользователям управлять определенными ресурсами пула ВМ.

Роль VmPoolAdmin разрешает выполнять следующие действия:

Создавать, изменять и удалять пулы.
Добавлять виртуальные машины к пулу и отключать их от него.

В приведенной ниже таблице описаны роли и права, применимые для администрирования пула ВМ.

Таблица 30. Административные роли для пула ВМ
Роль	Права	Примечания
VmPoolAdmin	Роль системного администратора виртуального пула.	Может создавать, удалять и конфигурировать виртуальный пул, назначать и удалять пользователей виртуального пула, а также выполнять базовые операции на виртуальной машине.
ClusterAdmin	Администратор кластера	Может использовать, создавать, удалять и управлять всеми пулами ВМ в конкретном кластере.

2.3.4. Виртуальные диски

В Менеджере управления по умолчанию предусмотрены две пользовательские роли виртуальных дисков, но ни одной административной роли.

Пользовательская роль DiskCreator позволяет администрировать виртуальные диски через пользовательской портал. Роль можно применять к конкретным виртуальным машинам, центру данных, конкретному домену хранения или ко всей среде виртуализации. Это позволяет различным пользователям управлять различными виртуальными ресурсами.

Роль DiskCreator разрешает выполнять следующие действия:

Создавать, изменять и удалять виртуальные диски, ассоциированные с виртуальной машиной или другими ресурсами.
Изменять разрешения пользователей для виртуальных дисков.

В приведенной ниже таблице описаны роли и права, применимые для использования и администрирования виртуальных дисков на Пользовательском портале.

Таблица 31. Административные роли для виртуальных дисков
Роль	Права	Примечания
DiskOperator	Пользователь виртуального диска.	Может использовать, просматривать и изменять виртуальные диски. Наследует разрешения на использование виртуальной машины, к которой подключен виртуальный диск.
DiskCreator	Может создавать, изменять, удалять и управлять виртуальными дисками в назначенных кластерах или центрах данных.	Эта роль применяется не к отдельному виртуальному диску. Применяйте ее к пользователю для всей среды в разделе Управление (Administration) Пользователи (Users). Либо эту роль можно применять к конкретным центрам данных, кластерам или доменам хранения.