Koncepty identit azure VMware Solution

Privátní cloudy Azure VMware Solution se zřizují pomocí vCenter Serveru a NSX Manageru. Pomocí vCenter Serveru můžete spravovat úlohy virtuálních počítačů a správce NSX ke správě a rozšíření privátního cloudu. Role Cloud Správa se používá pro vCenter Server a roli Cloud Správa (s omezenými oprávněními) pro správce NSX.

Přístup a identita vCenter Serveru

V Azure VMware Solution má VMware vCenter Server integrovaný místní uživatelský účet s názvem Cloud Správa který má přiřazenou roli Cloud Správa. Uživatele a skupiny ve Windows Serveru Active Directory můžete nakonfigurovat pomocí role Cloud Správa pro váš privátní cloud. Obecně platí, že role Cloud Správa vytváří a spravuje úlohy ve vašem privátním cloudu. V Řešení Azure VMware má ale role Cloud Správa oprávnění vCenter Serveru, která se liší od jiných cloudových řešení VMware a místních nasazení.

• V místním nasazení vCenter Serveru a ESXi má správce přístup k účtu vCenter Serveru administrator@vsphere.local a kořenovému účtu ESXi. Správce může být také přiřazen více uživatelům a skupinám služby Windows Server Active Directory.

• V nasazení azure VMware Solution nemá správce přístup k uživatelskému účtu Správa istrator nebo kořenovému účtu ESXi. Správce ale může uživatelům a skupinám služby Windows Server Active Directory přiřadit roli Cloud Správa vCenter Serveru. Role Cloud Správa nemá oprávnění k přidání zdroje identity, jako je místní server LDAP (Lightweight Directory Access Protocol) nebo Secure LDAPS (Secure LDAPS) do serveru vCenter. Příkazy Spustit ale můžete použít k přidání zdroje identity a přiřazení role Cloud Správa uživatelům a skupinám.

Uživatelský účet v privátním cloudu nemá přístup ke konkrétním komponentám pro správu, které Microsoft podporuje a spravuje. Mezi příklady patří clustery, hostitele, úložiště dat a distribuované virtuální přepínače.

Zobrazení oprávnění vCenter Serveru

Pomocí následujícího postupu můžete zobrazit oprávnění udělená službě Azure VMware Solution Cloud Správa roli vCenter privátního cloudu Azure VMware Solution.

1. Přihlaste se ke klientovi vSphere a přejděte do nabídky> Správa istrace.

2. V části Řízení přístupu vyberte Role.

3. V seznamu rolí vyberte Cloud Správa a pak vyberte Oprávnění.

   

Role Cloud Správa ve službě Azure VMware Solution má na vCenter Serveru následující oprávnění. Další informace najdete v dokumentaci k produktu VMware.

Vytvoření vlastních rolí na vCenter Serveru

Azure VMware Solution podporuje použití vlastních rolí se stejnými nebo menšími oprávněními než role Cloud Správa. Pomocí role Cloud Správa můžete vytvářet, upravovat nebo odstraňovat vlastní role s oprávněními, která jsou menší nebo rovna jejich aktuální roli.

Pokud chcete zabránit vytváření rolí, které nelze přiřadit nebo odstranit, naklonujte roli Cloud Správa jako základ pro vytváření nových vlastních rolí.

Vytvoření vlastní role

1. Přihlaste se k vCenter Serveru pomocí cloudadmin@vsphere.local role Cloud nebo uživatel s rolí Cloud Správa.

2. Přejděte do části Konfigurace rolí a vyberte Nabídku> Správa zádání>rolí řízení>přístupu.

3. Vyberte roli Cloud Správa a vyberte ikonu akce Klonovat roli.

   Poznámka:

   Nenaklonujte roli Správa istratoru, protože ji nemůžete použít. Vlastní vytvořená role se také nedá odstranit cloudadmin@vsphere.local.

4. Zadejte požadovaný název klonované role.

5. Odeberte oprávnění pro roli a vyberte OK. Klonovaná role je viditelná v seznamu rolí .

Použití vlastní role

1. Přejděte k objektu, který vyžaduje přidané oprávnění. Pokud chcete například použít oprávnění ke složce, přejděte do nabídky>virtuální počítače a název složky šablon.>

2. Klikněte pravým tlačítkem myši na objekt a vyberte Přidat oprávnění.

3. V rozevíracím seznamu Uživatel vyberte zdroj identity, kde lze skupinu nebo uživatele najít.

4. Po výběru zdroje identity v části Uživatel vyhledejte uživatele nebo skupinu.

5. Vyberte roli, kterou chcete použít pro uživatele nebo skupinu.

   Poznámka:

   Při pokusu o použití uživatele nebo skupiny na roli, která má oprávnění větší než cloud Správa způsobí chyby.

6. V případě potřeby zaškrtněte políčko Rozšířit na podřízené položky a vyberte OK. Přidané oprávnění se zobrazí v části Oprávnění .

Přístup a identita VMware NSX Manageru

Když je privátní cloud zřízený pomocí webu Azure Portal, zřizují se pro zákazníky komponenty pro správu softwarově definovaných datových center (SDDC), jako je vCenter Server a VMware NSX Manager.

Microsoft zodpovídá za správu životního cyklu zařízení NSX, jako jsou VMware NSX Manager a zařízení VMware NSX Edge. Zodpovídají za spouštění konfigurace sítě, jako je vytvoření brány vrstvy 0.

Zodpovídáte za konfiguraci softwarově definovaných sítí (SDN) VMware NSX, například:

• Segmenty sítě
• Další brány vrstvy 1
• Pravidla distribuované brány firewall
• Stavové služby, jako je brána firewall brány
• Nástroj pro vyrovnávání zatížení na branách vrstvy 1

Ke Správci VMware NSX můžete přistupovat pomocí integrovaného místního uživatele "cloudadmin" přiřazeného k vlastní roli, která uživateli poskytuje omezená oprávnění ke správě VMware NSX. Zatímco Microsoft spravuje životní cyklus VMware NSX, některé operace uživatel nepovoluje. Mezi operace, které nejsou povolené, patří úprava konfigurace hostitelského a hraničního přenosového uzlu nebo spuštění upgradu. Pro nové uživatele je Azure VMware Solution nasadí s konkrétní sadou oprávnění potřebných tímto uživatelem. Účelem je poskytnout jasné oddělení řízení mezi konfigurací řídicí roviny řešení Azure VMware a uživatelem privátního cloudu Azure VMware Solution.

Pro nová nasazení privátního cloudu se přístup K VMware NSX poskytuje integrovaný místní správce cloudu přiřazený k roli správce cloudu s konkrétní sadou oprávnění pro použití funkcí VMware NSX pro úlohy.

Uživatelská oprávnění správce cloudu VMware NSX

Následující oprávnění jsou přiřazena uživateli cloudadmin v Azure VMware Solution NSX.

Oprávnění udělená roli správce cloudu Azure VMware Solution můžete zobrazit ve vašem privátním cloudu VMware VMware NSX ve službě Azure VMware Solution.

1. Přihlaste se ke Správci NSX.
2. Přejděte do systémů a vyhledejte uživatele a role.
3. Vyberte a rozbalte roli správce cloudu, která se nachází v části Role.
4. Pokud chcete zobrazit konkrétní oprávnění, vyberte kategorii, například Sítě nebo Zabezpečení.

Integrace protokolu LDAP NSX pro řízení přístupu na základě role (RBAC)

V nasazení azure VMware Solution je možné integrovat VMware NSX s externí adresářovou službou LDAP a přidat vzdálené uživatele adresáře nebo skupinu a přiřadit jim roli RBAC VMware NSX, jako je místní nasazení. Další informace o povolení integrace protokolu LDAP VMware NSX najdete v dokumentaci k produktu VMware.

Na rozdíl od místního nasazení se u řešení Azure VMware nepodporují všechny předdefinované role NSX RBAC, aby se správa konfigurace řídicí roviny IaaS řešení Azure VMware zachovala odděleně od konfigurace sítě a zabezpečení tenanta. Další informace najdete v další části s podporovanými rolemi NSX RBAC.

Podporované a nepodporované role NSX RBAC

V nasazení azure VMware Solution se s integrací PROTOKOLU LDAP podporují následující předdefinované role RBAC VMware NSX:

• Auditor
• Cloudadmin
• Správa nástroje pro vyrovnávání zatížení
• Operátor nástroje pro vyrovnávání zatížení
• Správa VPN
• Síťový operátor

V nasazení azure VMware Solution nejsou s integrací PROTOKOLU LDAP podporovány následující předdefinované role RBAC VMware NSX:

• Podnikový správce
• Síťové Správa
• Správce zabezpečení
• NetX Partner Správa
• Gi Partner Správa

V NSX můžete vytvářet vlastní role s oprávněními menšími nebo rovnou cloudovým Správa rolím vytvořeným Microsoftem. Následuje příklad vytvoření podporované role Network Správa a Security Správa.

Vytvoření role Správce sítě AVS

Pomocí následujícího postupu vytvořte tuto vlastní roli.

1. Přejděte do rolí> a uživatelů systému.>

2. Naklonujte síť Správa a zadejte název síťového Správa AVS.

3. Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.

   Kategorie	Podkategorie	Funkce	Oprávnění
   Sítě	Připojení Network Services	Brány vrstvy 0 Brány vrstvy > 0 OSPF Zásady předávání	Jen pro čtení Nic Nic

4. Použijte změny a uložte roli.

Vytvoření role Správce zabezpečení AVS

Pomocí následujícího postupu vytvořte tuto vlastní roli.

1. Přejděte do rolí> a uživatelů systému.>

2. Naklonujte Správa zabezpečení a zadejte název AVS Security Správa.

3. Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.

4. Použijte změny a uložte roli.

Další kroky

Teď, když jste se zabývali koncepty přístupu a identit řešení Azure VMware, můžete se o tom dozvědět víc:

• Konfigurace externího zdroje identit pro vCenter

• Povolení prostředku Azure VMware Solution

• Podrobnosti o jednotlivých oprávněních

• Jak Azure VMware Solution monitoruje a opravuje privátní cloudy