RBACの役割とアクセス権

役割

XenServerには、以下の6つの役割が用意されています。

  • プール管理者(Pool Admin): ローカルスーパーユーザー(root)と同レベルの管理者で、XenServerに対する完全なアクセス権が付与されます。

    注:

    ローカルスーパーユーザー(root)には、「プール管理者」の役割が適用されます。つまり、プール管理者にはローカルスーパーユーザーと同じ権限が設定されます。

  • プールオペレータ(Pool Operator): 管理者ユーザーを追加/削除したり役割を変更したりすることはできませんが、そのほかのすべての管理タスクを実行できます。ホストやプールの管理(ストレージの作成、プールの作成、ホストの管理など)に特化した役割です。

  • 仮想マシンパワー管理者(VM Power Admin): 仮想マシンを作成して管理できます。仮想マシンオペレータに仮想マシンを提供することに特化した役割です。

  • 仮想マシン管理者(VM Admin): 仮想マシンパワー管理者に似ていますが、仮想マシンを移行したりスナップショットを作成したりすることはできません。

  • 仮想マシンオペレータ(VM Operator): 仮想マシン管理者に似ていますが、仮想マシンを作成したり破棄したりすることはできません。ただし、ライフサイクル操作を開始したり終了したりすることは許可されます。

  • 読み取りのみ(Read Only): リソースプールとパフォーマンスのデータを表示することしかできません。

警告:

Active Directoryグループにプール管理者の役割を割り当ててホストへのSSHアクセスを許可する場合、そのActive Directoryグループのメンバー数は500以下である必要があります。

各役割で許可されるタスクについて詳しくは、次のセクションの「RBAC役割の定義とアクセス権」を参照してください。

XenServerで管理者ユーザーを作成した後で役割を割り当てないと、そのアカウントは使用できません。XenServerでは役割が自動的に割り当てられません。このため、ほかの管理者により役割が割り当てられるまで、これらのユーザーはXenServerプールにアクセスできません。

  1. サブジェクトに割り当てる役割を変更します。これを行うには役割の割り当て/変更権限が必要であり、この権限はプール管理者のみに付与されます。

  2. そのユーザーのグループメンバシップを変更して、必要な役割が割り当てられているActive Directoryグループにユーザーを追加します。

RBAC役割の定義とアクセス権

XenServerの各役割に付与されるアクセス権(実行可能な管理タスク)は以下のとおりです。各アクセス権について詳しくは、後述の「アクセス権の定義」を参照してください。

アクセス権 プール管理者 プールオペレータ VMパワー管理者 VM管理者 VMオペレータ 読み取り専用
役割の割り当て/変更          
物理サーバーのコンソールへのログイン(SSHおよびXenCenterの使用)          
サーバーのバックアップ/復元          
OVF/OVAパッケージとディスクイメージのインポート/エクスポート          
ソケットごとのコア数の設定    
XenServer Conversion Managerによる仮想マシンの変換          
スイッチポートのロック        
接続中のユーザーのログアウト        
アラートの作成と解除        
任意のユーザーのタスクのキャンセル        
プール管理        
XenMotion      
ストレージ XenMotion      
高度な仮想マシン操作      
仮想マシンの作成/破棄操作    
仮想マシンのCDメディアの変更  
仮想マシンの電源状態の変更  
仮想マシンコンソールの表示  
XenCenter の表示管理操作  
自分のタスクのキャンセル
監査ログの表示
プールへの接続およびすべてのプールメタデータの読み取り
仮想GPUの構成        
仮想GPU構成の表示
構成ドライブへのアクセス(CoreOS VMのみ)          
コンテナ管理          
スケジュールされたスナップショット(既存のスナップショットスケジュールに仮想マシンを追加/削除)      
スケジュールされたスナップショット(スナップショットスケジュールを追加/変更/削除)        
ヘルスチェックの構成        
ヘルスチェックの結果と設定の表示
変更ブロック追跡の構成    
変更ブロックの一覧作成  
PVSアクセラレータの構成        
PVSアクセラレータ構成の表示

アクセス権の定義

役割の割り当て/変更:

  • ユーザーの追加/削除
  • ユーザーアカウントの役割の追加/削除
  • Active Directory統合機能の有効化および無効化(ドメインへの追加)

この権限により、あらゆる権限が付与されたり、あらゆるタスクを実行できるようになったりします。

警告:Active Directory統合機能およびActive Directoryから追加されたすべてのサブジェクトの無効化が許可されます。

サーバーコンソールへのログイン:

  • SSHを使用したサーバーコンソールへのアクセス
  • XenCenterを使用したサーバーコンソールへのアクセス

警告:ルートシェルにアクセスできるため、RBACを含むシステム全体の再設定が独断的に可能になります。

サーバーのバックアップ/復元、仮想マシンの作成/破棄操作:

  • サーバーのバックアップおよび復元
  • プールメタデータのバックアップおよび復元

バックアップからの復元が許可されるため、RBAC構成の変更を元に戻すことが可能です。

OVF/OVAパッケージとディスクイメージのインポート/エクスポート:

  • OVFおよびOVAパッケージのインポート
  • ディスクイメージのインポート
  • OVF/OVAパッケージとしてのエクスポート

ソケットごとのコア数の設定:

  • 仮想マシンに割り当てる仮想CPUのソケットごとのコア数の設定

仮想マシンの仮想CPUのトポロジを指定するための権限です。

XenServer Conversion Managerによる仮想マシンの変換:

  • VMware仮想マシンのXenServer仮想マシンへの変換

VMwareの仮想マシンをXenServer用に変換できます。これにより、VMwareのワークロードをXenServer環境に移行できます。

スイッチポートのロック:

  • ネットワークトラフィックの制御

特定のネットワーク上のトラフィックをすべて ブロック(デフォルト)したり、特定のIPアドレス以外の送信トラフィックをブロックしたりできます。

接続中のユーザーのログアウト:

  • ログインしているユーザーの切断

アラートの作成/解除:

  • リソースの使用量が特定のしきい値に達したときにXenCenterで生成されるアラートの構成
  • [アラート]ビューのすべてのアラートの削除

警告:プール全体のアラートの解除が許可されます。

注:アラートの表示許可は、プールへの接続およびすべてのプールメタデータの読み取り権限に含まれます。

任意のユーザーのタスクのキャンセル:

  • 任意のユーザーによるタスクのキャンセル

だれが実行したタスクかにかかわらず、実行中のXenServerタスクをキャンセルできます。

プール管理:

  • プールプロパティ(名前、デフォルトSR)の設定
  • 高可用性の有効化、無効化、および構成
  • 各仮想マシンの再起動優先度の設定
  • 障害回復の構成、フェイルオーバー、フェイルバック、およびフェイルオーバーテストの実行
  • ワークロードバランス(WLB)の有効化、無効化、および構成
  • プールへのサーバーの追加とプールからの削除
  • メンバーのマスターへの変換
  • マスターアドレスの指定
  • マスターアドレスのメンバーへの通知
  • 新しいマスターの指定
  • プールおよびサーバー証明書の管理
  • パッチの適用
  • サーバープロパティの設定
  • サーバーのログ機能の構成
  • サーバーの有効化および無効化
  • サーバーのシャットダウン、再起動、および電源投入
  • ツールスタックの再起動
  • システム状態のレポート
  • ライセンスの適用
  • すべての仮想マシンのほかのサーバー上へのライブマイグレーション(保守モード、または高可用性での操作)
  • サーバーの管理インターフェイスおよびセカンダリインターフェイスの設定
  • サーバー管理の無効化
  • クラッシュダンプの削除
  • ネットワークの追加、変更、および削除
  • PBD/PIF/VLAN/ボンディング/ストレージリポジトリの追加、変更、および削除
  • シークレットの追加、削除、および取得

プール管理に必要なすべてのタスクに対する許可が含まれます。

注:管理インターフェイスが機能していない場合、ローカルのrootでのログイン以外は認証されません。

XenMotion:

  • 2つのホストが共有するストレージ上にある仮想マシンを、1つのホストから別のホストに移行

ストレージXenMotion:

  • 仮想マシンが2つのホスト間で共有されているストレージ上にない場合、1つのホストから別のホストに移行
  • ストレージリポジトリ間での仮想ディスク(VDI)の移動

高度な仮想マシン操作:

  • 仮想マシンメモリの調整(動的メモリ制御)
  • メモリを含んだスナップショット作成、スナップショット作成、および仮想マシンのロールバック
  • 仮想マシンの移行
  • 仮想マシンの起動(物理サーバーの指定を含む)
  • 仮想マシンの再開

XenServerにより選択されたサーバーとは異なるサーバー上での仮想マシンの起動操作が許可されます。

仮想マシンの作成/破棄操作:

  • インストールまたは削除
  • 仮想マシンの複製/コピー
  • 仮想ディスク/CDデバイスの追加、削除、および構成
  • 仮想ネットワークデバイスの追加、削除、および構成
  • XVAファイルのインポート/エクスポート
  • 仮想マシン構成の変更
  • サーバーのバックアップ/復元

注:

仮想マシン管理者の役割では、XVAファイルを共有ストレージリポジトリがあるプールにのみインポートできます。仮想マシン管理者の役割には、XVAファイルをホストや共有ストレージのないプールにインポートする権限はありません。

仮想マシンのCDメディアの変更:

  • CDのイジェクト
  • CDの挿入

OVF/OVAパッケージのインポート/エクスポートとディスクイメージのインポート

仮想マシンの電源状態の変更:

  • 仮想マシンの起動(自動配置)
  • 仮想マシンのシャットダウン
  • 仮想マシンの再起動
  • 仮想マシンのサスペンド
  • 仮想マシンの再開(自動配置)

サーバーを指定した仮想マシンの起動、再開、および移行は高度な仮想マシン操作に含まれ、このアクセス権では許可されません。

仮想マシンコンソールの表示:

  • 仮想マシンコンソールの表示と操作

サーバーコンソールにはアクセスできません。

XenCenter の表示管理操作:

  • グローバルXenCenterフォルダーの作成および変更
  • XenCenterカスタムフィールドの作成および変更
  • グローバルXenCenter検索クエリの作成および変更

フォルダ、カスタムフィールド、および検索クエリは、そのプールにアクセスするすべての管理者ユーザーで共有されます。

自分のタスクのキャンセル:

  • 自分で実行したタスクのキャンセル

監査ログの表示:

  • XenServer監査ログのダウンロード

プールへの接続およびすべてのプールメタデータの読み取り:

  • プールへのログイン
  • プールメタデータの表示
  • パフォーマンスの履歴データの表示
  • ログインユーザーの表示
  • ユーザーおよび役割の表示
  • メッセージの表示
  • イベントの登録および受信

仮想GPUの構成:

  • プールレベルの割り当てポリシーの指定
  • 仮想マシンへの仮想GPUの割り当て
  • 仮想マシンからの仮想GPUの割り当て解除
  • 許可される仮想GPUの種類の変更
  • GPUグループの作成、破棄、または割り当て

仮想GPU構成の表示:

  • GPU情報、GPUの割り当てポリシー、および仮想GPUの割り当ての表示

構成ドライブへのアクセス(CoreOS VMのみ):

  • 仮想マシンの構成ドライバーへのアクセス
  • クラウド構成パラメーターの変更

コンテナ管理:

  • 開始
  • 停止
  • 一時停止
  • 再開
  • コンテナに関するアクセス情報

スケジュールされたスナップショット:

  • 既存のスナップショットスケジュールに仮想マシンを追加
  • 既存のスナップショットスケジュールから仮想マシンを削除
  • スナップショットスケジュールを追加
  • スナップショットスケジュールを変更
  • スナップショットスケジュールを削除

ヘルスチェックの構成:

  • ヘルスチェックの有効化
  • ヘルスチェックの無効化
  • ヘルスチェック設定の更新
  • サーバーの状態レポートの手動アップロード

ヘルスチェックの結果と設定の表示:

  • ヘルスチェックのアップロード結果の表示
  • ヘルスチェックの登録設定の表示

変更ブロック追跡の構成:

  • 変更ブロック追跡の有効化
  • 変更ブロック追跡の無効化
  • スナップショットに関連付けられたデータを破棄してメタデータを保持
  • VDIのNBD接続情報を取得

変更ブロック追跡は、ライセンスが適用されたXenServer Enterprise Editionインスタンスでのみ有効にできます。

変更ブロックの一覧作成:

  • 2つのVDIスナップショットを比較し、スナップショット間で変更されたブロックの一覧を作成します。

PVSアクセラレータの構成:

  • PVSアクセラレータの有効化
  • PVSアクセラレータの無効化
  • (PVSアクセラレータ)キャッシュ構成のアップデート
  • (PVSアクセラレータ)キャッシュ構成の追加または削除

PVSアクセラレータ構成の表示:

  • PVSアクセラレータの状態の表示

注:

読み取り専用の役割では、昇格用の資格情報を入力しても、XenCenterのフォルダにリソースを移動できない場合があります。この問題が発生した場合は、より権限の強いユーザーアカウントでXenCenterにログオンし直してから再試行してください。

XenServerによってユーザーに適用される役割の決定プロセス

  1. Active Directoryサーバーがサブジェクトを認証します。認証時に、そのサブジェクトがほかのActive Directoryグループに属しているかどうかもチェックされます。

  2. XenServer が、そのサブジェクト、および所属するActive Directoryグループにどの役割が割り当てられているかを検証します。

  3. サブジェクトが複数のActive Directoryグループに属している場合は、割り当てられている役割のすべてのアクセス許可がそのサブジェクトに継承されます。

 この図で、Subject 2(Group 2)はプールオペレータで、User 1はGroup 2に属しています。このため、Subject 3(User 1)がログインすると、Subject 3(VMオペレータ)およびGroup 2(プールオペレータ)の役割が継承されます。ただし、プールオペレータの役割レベルの方が高いため、Subject 3(User 1)は(VMオペレータではなく)プールオペレータになります。