RBACの概要

役割ベースのアクセス制御(RBAC:Role Based Access Control)機能では、XenServerの管理タスクの定義済みセットである 役割 を、Active Directoryのユーザーやグループアカウントを使用して特定のユーザー(つまりXenServer管理者)に割り当てることができます。この役割により、XenServerユーザー(XenServerの管理者)がアクセスできるXenServerの機能が決定されます。役割ベースのアクセス制御は、個々のサーバーレベルではなくリソースプールレベルで適用されます。各管理者には、そのユーザーアカウントまたはグループアカウントに割り当てられた役割によりアクセス許可が付与されます。

XenServerのユーザーアカウントとしてActive Directoryアカウントを使用する

役割ベースのアクセス制御では、管理者が実行可能な操作を、その管理者が属するグループに基づいて制御します。これにより、不適切な管理者による操作により壊滅的な問題が生じたり、意図しない変更が加えられたりすることを防ぐことができます。また、法令遵守の観点から、許可を得ていない操作を禁止するためにこの機能を使用することもできます。役割ベースのアクセス制御の 監査ログ機能 と、これに対応するワークロードバランスのプール監査記録レポートを、コンプライアンスおよび監査に役立てることもできます。

ユーザーは役割にマップされます。役割は権限のセットにマップされます。

役割ベースのアクセス制御では、認証サービスとしてActive Directoryが使用されます。XenServerは、認証されたユーザーの一覧をActive Directoryのユーザーおよびグループアカウントに基づいて管理します。このため、役割を割り当てるには、事前にリソースプールをドメインに追加して、Active Directoryアカウントを追加しておく必要があります。

役割ベースのアクセス制御の基本的な手順

役割ベースのアクセス制御を有効にしてユーザーやグループに役割を割り当てるには、以下の手順を行います。

  1. ドメインに参加する
  2. Active Directoryのユーザーまたはグループ をプールに追加する。
  3. ユーザーまたはグループにRBACの役割を 割り当てる (または変更する)。

ローカルスーパーユーザー

ローカルスーパーユーザー (root)は特別なシステム管理用アカウントであり、すべての権限およびアクセス許可を持ちます。ローカルスーパーユーザーは、XenServerをインストールするときのデフォルトのアカウントです。このアカウントはXenServerにより認証され、外部の認証サービスは使用されません。つまり、外部の認証サービスに障害が生じた場合でも、ローカルスーパーユーザーとしてログインすればシステムを管理できます。ローカルスーパーユーザーは、SSHを使用してXenServer物理ホストに常にアクセスできます。

RBACの役割

XenServer 異なる管理業務を担当する各IT部門に合わせて、あらかじめ6つの役割が用意されています。

  • プール管理者(Pool Admin) :最も強力な権限を持つ役割です。プール管理者には、XenServerのすべての機能および設定に対する完全なアクセス権が付与されます。役割やほかの管理者の管理を含む、すべての管理タスクを実行できます。このレベルの管理者は、XenServerのコンソール画面にアクセスできます。Citrixでは、この役割を割り当てる管理者の数は、最小限にとどめておくことをお勧めします。

    注: ローカルスーパーユーザー(root)には、常にプール管理者の役割が適用されます。つまり、プール管理者にはローカルスーパーユーザーと同じ権限が設定されます。

  • プールオペレータ(Pool Operator) :ストレージの作成、サーバーの管理、パッチの適用、プールの作成など、プール全体のリソースを管理できる役割です。プールオペレータは、プールのリソースを設定できます。また、以下の機能に対する完全なアクセスが付与されます。高可用性(HA)、ワークロードバランス、およびパッチ管理。プールオペレータは、管理者ユーザーを追加したり役割を変更したりすることはできません。
  • 仮想マシンパワー管理者(VM Power Admin) :仮想マシンおよびテンプレートに対する完全な管理権限を持つ役割です。このレベルの管理者には、動的メモリ制御機能および仮想マシンのスナップショット機能への完全なアクセスが付与されます。さらに、ホームサーバーを設定したり、仮想マシンをどのサーバー上で実行するかを決定したりすることもできます。この役割が割り当てられた管理者には、仮想マシンオペレータに仮想マシンを提供するために必要な権限が付与されます。
  • 仮想マシン管理者(VM Admin) :仮想マシンおよびテンプレートを管理でき、そのために必要なストレージにアクセスできる役割です。ただし、仮想マシンをどのサーバー上で実行するかを決定したり、テンプレートに定義されている動的メモリ制御やホームサーバーの設定を変更したりすることはできません。これらの処理は、XenServerで行われます。(動的メモリ制御機能の使用、スナップショット作成、ホームサーバーの設定、および仮想マシンの実行サーバーの選択はできません)。
  • 仮想マシンオペレータ(VM Operator) :リソースプール内の仮想マシンを使用して、基本的なライフサイクル操作を行うための役割です。仮想マシンオペレータは仮想マシンのコンソール画面を操作でき、仮想マシンの起動や終了を実行できます(十分なハードウェアリソースが使用可能な場合)。同様に、仮想マシンのライフサイクル操作を開始したり終了したりできます。ただし、仮想マシンの作成や破棄、および仮想マシンのプロパティやサーバーリソースを変更することはできません。
  • 読み取りのみ(Read Only) :この役割では、リソースプールとパフォーマンスデータを表示することしかできません。

各役割で許可される管理タスクについては、「RBAC役割の定義とアクセス権」を参照してください。また、ユーザーに適用される役割の決定方法については、「XenServerにログインしたユーザーのアクセス許可の決定プロセス」を参照してください。

注: 管理者ユーザーを作成した後で役割を割り当てないと、そのアカウントは使用できません。XenServerによって役割が自動的に割り当てられないことに注意してください。

XenServerのアップグレード

役割ベースのアクセス制御は、XenServerバージョン5.6以降でサポートされています。これ以前のバージョンのXenServerで作成されたユーザーアカウントには、XenServerバージョン5.6以降へのアップグレードによりプール管理者の役割が割り当てられます。これは後方互換性を維持するための機能です。このため、XenServerをアップグレードした後で、各ユーザーアカウントに適切な役割が割り当てられているかどうかを確認する必要があります。