XenCenter

ユーザーの管理

注:

XenCenter 2023.xxは現在プレビュー段階にあり、実稼働環境でのサポートはされていません。これ以降に記載する実稼働環境でのサポートは、XenCenter 2023.xxおよびXenServer 8がプレビューステータスから一般提供に移行したときに初めて適用されることに注意してください。

XenServer 8およびCitrix Hypervisor 8.2 CU1の非実稼働環境は、XenCenter 2023.xxを使用して管理できます。これに対し、Citrix Hypervisor 8.2 CU1実稼働環境を管理する場合は、XenCenter 8.2.7を使用できます。詳しくは、XenCenter 8.2.7 documentationを参照してください。

XenCenter 8.2.7とXenCenter 2023.xxは同じシステムにインストールできます。XenCenter 2023.xxをインストールしても、XenCenter 8.2.7のインストールは上書きされません。

XenServerの初回インストール時に、管理者ユーザーのアカウントが自動的に追加されます。このアカウントはローカルスーパーユーザー(LSU)またはrootと呼ばれ、XenServerシステムによりローカルに認証されるものです。ほかのユーザーを追加するには、XenCenterの[ユーザー]タブを使用してActive Directoryアカウントを追加します

注:

ここで「ユーザー」とは、その役割レベルにかかわらず、XenServerアカウントを持つXenServer管理者を指します。

サーバーやプールに対して複数のユーザーアカウントを使用するには、Active Directoryユーザーアカウントで認証する必要があります。この機能により、リソースプール内のXenServerにWindowsドメインの資格情報でログインできるようになります。

注:

リソースプールで複数の認証方法を使用することはサポートされていません。つまり、プール内の一部のホストでのみActive Directory認証を有効にして、ほかのホストで無効にすることはできません。

XenServerで管理者ユーザーを作成した後、作成したユーザーに役割を割り当てないと、そのアカウントは使用できません。XenServerによって役割が自動的に割り当てられることはありません。このため、これらのユーザーにXenServerリソースプールへのアクセスを許可するには、いずれかの役割を割り当てる必要があります。

役割ベースのアクセス制御(RBAC) 機能を使用すると、管理者ユーザーとして追加したActive Directoryアカウントにさまざまなレベルのアクセス許可を割り当てることができます。Active Directoryを使用しない環境では、ローカルスーパーユーザーのみを使用します。

XenServer環境でのActive Directory認証

XenServerサーバーはLinuxベースのシステムですが、XenServerユーザーアカウントはActive Directoryアカウントを使用することができます。このため、Active Directory資格情報がActive Directoryドメインココントローラーに渡されます。

注:

ADドメインコントローラーでLDAPチャネルバインディングとLDAP署名を有効にできます。詳しくは、Microsoftセキュリティアドバイザリを参照してください。

XenServerにActive Directoryのユーザーまたはグループアカウントを追加すると、これらのアカウントはXenServerサブジェクトになります。サブジェクトは、XenCenterではユーザーと呼ばれます。サブジェクトがXenServerに登録されると、ユーザー/グループがログイン時にActive Directoryで認証されます。これらのユーザーおよびグループは、ドメイン名でユーザー名を修飾する必要はありません。

ユーザー名を修飾するには、ダウンレベルログオン名形式で入力する必要があります。例:mydomain\myuser

注:

ユーザー名を修飾しない場合、XenCenterでは、デフォルトでActive Directoryドメインユーザーでのログインが試行されます。ただし、ローカルスーバーユーザーでのログインは、常にローカルでの認証(つまりXenServerホスト上での認証)が試行されます。

外部認証プロセスは、以下のように機能します:

  1. Citrix Hypervisorホストに接続するときに提供された資格情報がActive Directoryドメインコントローラーに渡され、認証が要求されます。
  2. Active Directoryドメインコントローラーが、その資格情報を確認します。資格情報が無効な場合は、ここで認証に失敗します。
  3. 資格情報が有効な場合は、Active Directoryドメインコントローラーに照会され、その資格情報に関連付けられているサブジェクト識別子およびグループメンバシップが取得されます。
  4. 取得したサブジェクト識別子がXenServerに格納されているものと一致した場合は、認証が正しく完了します。

ドメインに参加した際、プールのActive Directory認証を有効にします。これにより、そのドメイン(および信頼関係のあるドメイン)のユーザーだけがリソースプールに接続できるようになります。

ユーザーの管理