虛擬化技術(shù)項目教程（ESXi）課件項目10 權(quán)限管理

vSphere權(quán)限管理項目十目錄CONTENTS1項目導(dǎo)入ProjectImport2職業(yè)能力目標(biāo)和要求Vocationalcompetencyobjectivesandrequirements3相關(guān)知識relatedknowledge一、項目導(dǎo)入學(xué)校信息中心為了充分利用現(xiàn)有的服務(wù)器硬件資源，，將實施一個虛擬化項目，將原有的2臺服務(wù)器進行虛擬化。為了進行分級管理，對ESXi主機創(chuàng)建不同的用戶和進行相應(yīng)的角色分配。二、職業(yè)能力目標(biāo)和要求掌握vSphere的權(quán)限類型能熟練配置vSphere中的各種權(quán)限掌握vSphere權(quán)限結(jié)構(gòu)掌握vSphere中常見任務(wù)所需特權(quán)三、相關(guān)知識1.vSphere中的授權(quán)在vSphere中授權(quán)用戶或組的主要方式是vCenterServer權(quán)限。根據(jù)要執(zhí)行的任務(wù)，可能需要其他授權(quán)。vSphere6.0及更高版本允許有特權(quán)的用戶以下列方式授予其他用戶執(zhí)行任務(wù)的權(quán)限。這些方法大多數(shù)互相排斥；但是，可以使用全局權(quán)限授予某些用戶對所有解決方案的權(quán)限，以及使用本地vCenterServer權(quán)限授予其他用戶對各個vCenterServer系統(tǒng)的權(quán)限。權(quán)限類型如表10-1所示。三、相關(guān)知識

三、相關(guān)知識2.vCenterServer權(quán)限模型vCenterServer系統(tǒng)的權(quán)限模型需要向vSphere對象層次結(jié)構(gòu)中的對象分配權(quán)限。每種權(quán)限都會向一個用戶或組授予一組特權(quán)，即選定對象的角色。相關(guān)概念如下：（1)權(quán)限vCenterServer對象層次結(jié)構(gòu)中的每個對象都具有關(guān)聯(lián)的權(quán)限。每個權(quán)限為一個組或用戶指定該組或用戶具有對象的哪些特權(quán)。三、相關(guān)知識（2)用戶和組在vCenterServer系統(tǒng)中，可以僅向經(jīng)過身份驗證的用戶或經(jīng)過身份驗證的用戶組分配特權(quán)。用戶通過vCenterSingleSign-On進行身份驗證。必須在vCenterSingleSign-On正用于進行身份驗證的標(biāo)識源中定義用戶和組。使用您的標(biāo)識源（例如ActiveDirectory）中的工具定義用戶和組。（3)角色角色允許基于用戶執(zhí)行的一系列典型任務(wù)分配對對象的權(quán)限。默認角色（例如管理員）已在vCenterServer中預(yù)定義，不能更改。其他角色（例如資源池管理員）是預(yù)定義的樣本角色。可以從頭開始或者通過克隆和修改樣本角色創(chuàng)建自定義角色。三、相關(guān)知識（4)特權(quán)特權(quán)是精細的訪問控制?？梢詫⑦@些特權(quán)分組到角色中，然后可以將其映射到用戶或組。（5)vSphere權(quán)限vSphere權(quán)限結(jié)構(gòu)如圖10-1所示。圖10-1vSphere權(quán)限結(jié)構(gòu)三、相關(guān)知識

要向?qū)ο蠓峙錂?quán)限，執(zhí)行以下步驟：①在vCenter對象層次結(jié)構(gòu)中選擇要對其應(yīng)用權(quán)限的對象。②選擇應(yīng)對該對象具有特權(quán)的組或用戶。③選擇組或用戶針對該對象應(yīng)具有的角色（即一組特權(quán)）。默認情況下，權(quán)限會傳播，即組或用戶對選定對象及其子對象具有選定角色。權(quán)限是可以繼承的，當(dāng)向?qū)ο笫谟铏?quán)限時，可以選擇是否允許其沿對象層次結(jié)構(gòu)向下傳播。為每個權(quán)限設(shè)置傳播。傳播并非普遍適用。為子對象定義的權(quán)限將總是替代從父對象中傳播的權(quán)限。三、相關(guān)知識3.vCenterServer系統(tǒng)角色角色是一組預(yù)定義的特權(quán)。向?qū)ο筇砑訖?quán)限時，請將用戶或組與角色配對。vCenterServer包括多種無法更改的系統(tǒng)角色。vCenterServer提供少量默認角色。不能更改與默認角色關(guān)聯(lián)的特權(quán)。默認角色以層次結(jié)構(gòu)方式進行組織；每個角色將繼承前一個角色的特權(quán)。例如，管理員角色繼承只讀角色的特權(quán)。創(chuàng)建的角色不繼承任何系統(tǒng)角色的特權(quán)。三、相關(guān)知識（1)管理員角色分配有管理員角色的對象用戶可在對象上查看和執(zhí)行所有操作。此角色也包括只讀角色固有的所有特權(quán)。如果您使用管理員角色對對象執(zhí)行操作，可以將特權(quán)分配給各個用戶和組。如果您使用管理員角色在vCenterServer中進行操作，可以將特權(quán)分配給默認vCenterSingleSign-On標(biāo)識源中的用戶和組。支持的身份服務(wù)包括WindowsActiveDirectory和OpenLDAP2.4。默認情況下，安裝后，administrator@vsphere.local用戶將對vCenterSingleSign-On和vCenterServer具有管理員角色。該用戶之后可以將其他用戶與vCenterServer上的管理員角色相關(guān)聯(lián)。三、相關(guān)知識（2)無權(quán)訪問角色分配有無權(quán)訪問角色的對象用戶不能以任何方式查看或更改對象。默認情況下向新用戶和組分配此角色。administrator@vsphere.local用戶、root用戶和vpxuser用戶默認分配有管理員角色。其他用戶默認分配有“無權(quán)訪問”角色。（3)只讀角色分配有只讀角色的對象用戶可查看對象的狀況和詳細信息。具有此角色的用戶可查看虛擬機、主機和資源池屬性。該用戶不能查看主機的遠程控制臺。通過菜單和工具欄執(zhí)行的所有操作均被禁止。三、相關(guān)知識常見任務(wù)所需特權(quán)，如表10-2所示。三、相關(guān)知識

三、相關(guān)知識

三、相關(guān)知識