Koncepty identit azure VMware Solution

Privátní cloudy Azure VMware Solution se zřizují pomocí vCenter Serveru a NSX Manageru. Pomocí vCenter Serveru můžete spravovat úlohy virtuálních počítačů a správce NSX ke správě a rozšíření privátního cloudu. Role Cloud Správa se používá pro vCenter Server a roli Cloud Správa (s omezenými oprávněními) pro správce NSX.

Přístup a identita vCenter Serveru

V Azure VMware Solution má VMware vCenter Server integrovaný místní uživatelský účet s názvem Cloud Správa který má přiřazenou roli Cloud Správa. Uživatele a skupiny ve Windows Serveru Active Directory můžete nakonfigurovat pomocí role Cloud Správa pro váš privátní cloud. Obecně platí, že role Cloud Správa vytváří a spravuje úlohy ve vašem privátním cloudu. V Řešení Azure VMware má ale role Cloud Správa oprávnění vCenter Serveru, která se liší od jiných cloudových řešení VMware a místních nasazení.

Důležité

Místní cloud Správa uživatelský účet by se měl použít jako účet pro nouzový přístup pro scénáře "rozbitého skla" ve vašem privátním cloudu. Není určená k používání pro každodenní aktivity správy ani pro integraci s jinými službami.

• V místním nasazení vCenter Serveru a ESXi má správce přístup k účtu vCenter Serveru administrator@vsphere.local a kořenovému účtu ESXi. Správce může být také přiřazen více uživatelům a skupinám služby Windows Server Active Directory.

• V nasazení azure VMware Solution nemá správce přístup k uživatelskému účtu Správa istrator nebo kořenovému účtu ESXi. Správce ale může uživatelům a skupinám služby Windows Server Active Directory přiřadit roli Cloud Správa vCenter Serveru. Role Cloud Správa nemá oprávnění k přidání zdroje identity, jako je místní server LDAP (Lightweight Directory Access Protocol) nebo Secure LDAPS (Secure LDAPS) do serveru vCenter. Příkazy Spustit ale můžete použít k přidání zdroje identity a přiřazení role Cloud Správa uživatelům a skupinám.

Uživatelský účet v privátním cloudu nemá přístup ke konkrétním komponentám pro správu, které Microsoft podporuje a spravuje. Mezi příklady patří clustery, hostitele, úložiště dat a distribuované virtuální přepínače.

Poznámka:

V Azure VMware Solution je doména jednotného přihlašování (SSO) vsphere.local poskytována jako spravovaný prostředek pro podporu operací platformy. Nemůžete ho použít k vytváření nebo správě místních skupin a uživatelů s výjimkou těch, které jsou ve výchozím nastavení poskytovány ve vašem privátním cloudu.

Důležité

Azure VMware Solution nabízí na vCenter Serveru vlastní role, ale v současné době je nenabízí na portálu Azure VMware Solution. Další informace najdete v části Vytvoření vlastních rolí na vCenter Serveru dále v tomto článku.

Zobrazení oprávnění vCenter Serveru

Pomocí následujícího postupu můžete zobrazit oprávnění udělená službě Azure VMware Solution Cloud Správa roli vCenter privátního cloudu Azure VMware Solution.

1. Přihlaste se ke klientovi vSphere a přejděte do nabídky> Správa istrace.

2. V části Řízení přístupu vyberte Role.

3. V seznamu rolí vyberte Cloud Správa a pak vyberte Oprávnění.

   

Role Cloud Správa ve službě Azure VMware Solution má na vCenter Serveru následující oprávnění. Další informace najdete v dokumentaci k produktu VMware.

Privilege	Popis
Upozornění	Potvrzení upozornění Vytvoření alarmu Zakázat akci alarmu Úprava alarmu Odebrání alarmu Nastavení stavu alarmu
Knihovna obsahu	Přidat položku knihovny Přidání kořenového certifikátu do úložiště důvěryhodnosti Vrácení šablony se změnami Rezervace šablony Vytvoření předplatného pro publikovanou knihovnu Vytvoření místní knihovny Vytvoření nebo odstranění registru Harbor Vytvoření odebírané knihovny Vytvoření, odstranění nebo vymazání projektu registru Harbor Odstranit položku knihovny Odstranění místní knihovny Odstranění kořenového certifikátu z úložiště důvěryhodnosti Odstranění odebírané knihovny Odstranění předplatného publikované knihovny Stažení souborů Vyřazení položek knihovny Vyřazení odebírané knihovny Import úložiště Správa prostředků registru Harbor u zadaného výpočetního prostředku Informace o odběru sondy Publikování položky knihovny pro předplatitele Publikování knihovny pro předplatitele Úložiště pro čtení Synchronizovat položku knihovny Synchronizace odebírané knihovny Introspekce typu Aktualizace nastavení konfigurace Aktualizace souborů Aktualizovat knihovnu Aktualizace položky knihovny Aktualizace místní knihovny Aktualizace odebírané knihovny Aktualizace předplatného publikované knihovny Zobrazení nastavení konfigurace
Kryptografické operace	Přímý přístup
Datastore	Přidělení místa Procházení úložiště dat Konfigurace úložiště dat Operace se soubory nízké úrovně Odebrání souborů Aktualizace metadat virtuálního počítače
Složka	Vytvořit složku Odstranit složku Přesunout složku Přejmenovat složku
Globální	Zrušit úkol Globální značka Zdravotnictví Událost protokolu Správa vlastních atributů Správci služeb Nastavení vlastního atributu Systémová značka
Hostitel	Replikace vSphere     Správa replikace
Síť	Přiřazení sítě
Oprávnění	Modify permissions Úprava role
Úložiště řízené profilem	Zobrazení úložiště řízené profilem
Prostředek	Použít doporučení Přiřazení aplikace vApp k fondu zdrojů Přiřazení virtuálního počítače k fondu zdrojů Vytvoření fondu zdrojů Migrace vypnutého virtuálního počítače Migrace na virtuálním počítači Úprava fondu zdrojů Přesun fondu zdrojů Query vMotion Odebrání fondu zdrojů Přejmenování fondu zdrojů
Naplánovaný úkol	Vytvoření úkolu Úprava úkolu Odebrat úkol Spustit úkol
Přednášky	Zpráva Ověření relace
Zobrazení úložiště	Zobrazení
vApp	Přidání virtuálního počítače Přiřazení fondu zdrojů Přiřazení aplikace vApp Klonování Vytvořit Odstranit Export Dovoz Přesunout Vypnutí Zapnutí Přejmenovat Suspend Zrušit registraci Zobrazení prostředí OVF Konfigurace aplikace vApp Konfigurace instance vApp Konfigurace vApp managedBy Konfigurace prostředku vApp
Virtuální počítač	Změnit konfiguraci     Získání zapůjčení disku     Přidání existujícího disku     Přidání nového disku     Přidání nebo odebrání zařízení     Rozšířená konfigurace     Změna počtu procesorů     Změna paměti     Změna nastavení     Změna umístění swapfile     Změna prostředku     Konfigurace hostitelského zařízení USB     Konfigurace nezpracovaných zařízení     Konfigurace managedBy     Zobrazení nastavení připojení     Rozšíření virtuálního disku     Úprava nastavení zařízení     Kompatibilita odolnosti proti chybám dotazů     Dotazování nesměných souborů     Opětovné načtení z cest     Odebrání disku     Přejmenovat     Resetování informací o hostech     Nastavení poznámek     Přepnutí sledování změn disku     Přepnout nadřazený fork     Upgrade kompatibility virtuálních počítačů Úprava inventáře     Vytvořit z existujícího     vytvoření nových     Přesunout     Registrovat     Odebrat     Zrušit registraci Operace hosta     Úprava aliasu operace hosta     Dotaz aliasu operace hosta     Úpravy operací hosta     Spuštění programu operace hosta     Dotazy na operace hosta Interakce     Odpověď na otázku     Operace zálohování na virtuálním počítači     Konfigurace média CD     Konfigurace disketové jednotky     Připojte zařízení     Interakce konzoly     Vytvořit snímek obrazovky     Defragmentace všech disků     Přetažení     Správa hostovaného operačního systému pomocí rozhraní API VIX     Vložení kódů skenování USB HID     Instalace nástrojů VMware     Pozastavení nebo zrušení pozastavení     Operace vymazání nebo zmenšení     Vypnutí     Zapnutí     Záznam relace na virtuálním počítači     Přehrání relace na virtuálním počítači     Reset     Obnovení odolnosti proti chybám     Suspend     Pozastavení odolnosti proti chybám     Test převzetí služeb při selhání     Testování restartování sekundárního virtuálního počítače     Vypnutí odolnosti proti chybám     Zapnutí odolnosti proti chybám Zřizování     Povolit přístup k disku     Povolit přístup k souborům     Povolit přístup k disku jen pro čtení     Povolit stahování virtuálních počítačů     Klonování šablony     Klonování virtuálního počítače     Vytvoření šablony z virtuálního počítače     Přizpůsobení hosta     Nasazení šablony     Označit jako šablonu     Úprava specifikace přizpůsobení     Zvýšení úrovně disků     Specifikace přizpůsobení pro čtení Konfigurace služby     Povolit oznámení     Povolit dotazování globálních oznámení událostí     Správa konfigurace služby     Úprava konfigurace služby     Dotazování konfigurací služby     Konfigurace služby čtení Správa snímků     Vytvořit snímek     Odebrat snímek     Přejmenování snímku     Vrácení snímku Replikace vSphere     Konfigurace replikace     Správa replikace     Monitorování replikace
vService	Vytvoření závislosti Zničit závislost Změna konfigurace závislostí Aktualizace závislosti
Označování vSphere	Přiřazení a zrušení přiřazení značky vSphere Vytvoření značky vSphere Vytvoření kategorie značek vSphere Odstranění značky vSphere Odstranit kategorii značek vSphere Úprava značky vSphere Upravit kategorii značek vSphere Změnit pole UsedBy pro kategorii Úprava pole UsedBy pro značku

Vytvoření vlastních rolí na vCenter Serveru

Azure VMware Solution podporuje použití vlastních rolí se stejnými nebo menšími oprávněními než role Cloud Správa. Pomocí role Cloud Správa můžete vytvářet, upravovat nebo odstraňovat vlastní role s oprávněními, která jsou menší nebo rovna jejich aktuální roli.

Poznámka:

Můžete vytvářet role s oprávněními většími než Cloud Správa. Roli ale nemůžete přiřadit žádným uživatelům ani skupinám ani roli odstranit. Role s oprávněními většími než cloud Správa nejsou podporovány.

Pokud chcete zabránit vytváření rolí, které nelze přiřadit nebo odstranit, naklonujte roli Cloud Správa jako základ pro vytváření nových vlastních rolí.

Vytvoření vlastní role

1. Přihlaste se k vCenter Serveru pomocí cloudadmin@vsphere.local role Cloud nebo uživatel s rolí Cloud Správa.

2. Přejděte do části Konfigurace rolí a vyberte Nabídku> Správa zádání>rolí řízení>přístupu.

3. Vyberte roli Cloud Správa a vyberte ikonu akce Klonovat roli.

   Poznámka:

   Nenaklonujte roli Správa istratoru, protože ji nemůžete použít. Vlastní vytvořená role se také nedá odstranit cloudadmin@vsphere.local.

4. Zadejte požadovaný název klonované role.

5. Odeberte oprávnění pro roli a vyberte OK. Klonovaná role je viditelná v seznamu rolí .

Použití vlastní role

1. Přejděte k objektu, který vyžaduje přidané oprávnění. Pokud chcete například použít oprávnění ke složce, přejděte do nabídky>virtuální počítače a název složky šablon.>

2. Klikněte pravým tlačítkem myši na objekt a vyberte Přidat oprávnění.

3. V rozevíracím seznamu Uživatel vyberte zdroj identity, kde lze skupinu nebo uživatele najít.

4. Po výběru zdroje identity v části Uživatel vyhledejte uživatele nebo skupinu.

5. Vyberte roli, kterou chcete použít pro uživatele nebo skupinu.

   Poznámka:

   Při pokusu o použití uživatele nebo skupiny na roli, která má oprávnění větší než cloud Správa způsobí chyby.

6. V případě potřeby zaškrtněte políčko Rozšířit na podřízené položky a vyberte OK. Přidané oprávnění se zobrazí v části Oprávnění .

Přístup a identita VMware NSX Manageru

Když je privátní cloud zřízený pomocí webu Azure Portal, zřizují se pro zákazníky komponenty pro správu softwarově definovaných datových center (SDDC), jako je vCenter Server a VMware NSX Manager.

Microsoft zodpovídá za správu životního cyklu zařízení NSX, jako jsou VMware NSX Manager a zařízení VMware NSX Edge. Zodpovídají za spouštění konfigurace sítě, jako je vytvoření brány vrstvy 0.

Zodpovídáte za konfiguraci softwarově definovaných sítí (SDN) VMware NSX, například:

• Segmenty sítě
• Další brány vrstvy 1
• Pravidla distribuované brány firewall
• Stavové služby, jako je brána firewall brány
• Nástroj pro vyrovnávání zatížení na branách vrstvy 1

Ke Správci VMware NSX můžete přistupovat pomocí integrovaného místního uživatele "cloudadmin" přiřazeného k vlastní roli, která uživateli poskytuje omezená oprávnění ke správě VMware NSX. Zatímco Microsoft spravuje životní cyklus VMware NSX, některé operace uživatel nepovoluje. Mezi operace, které nejsou povolené, patří úprava konfigurace hostitelského a hraničního přenosového uzlu nebo spuštění upgradu. Pro nové uživatele je Azure VMware Solution nasadí s konkrétní sadou oprávnění potřebných tímto uživatelem. Účelem je poskytnout jasné oddělení řízení mezi konfigurací řídicí roviny řešení Azure VMware a uživatelem privátního cloudu Azure VMware Solution.

Pro nová nasazení privátního cloudu se přístup K VMware NSX poskytuje integrovaný místní správce cloudu přiřazený k roli správce cloudu s konkrétní sadou oprávnění pro použití funkcí VMware NSX pro úlohy.

Uživatelská oprávnění správce cloudu VMware NSX

Následující oprávnění jsou přiřazena uživateli cloudadmin v Azure VMware Solution NSX.

Poznámka:

Uživatel cloudadmin VMware NSX ve službě Azure VMware Solution není stejný jako uživatel cloudadmin uvedený v dokumentaci k produktu VMware. Následující oprávnění platí pro rozhraní API zásad VMware NSX. Funkce rozhraní API správce můžou být omezené.

Kategorie	Typ	Operace	Oprávnění
Sítě	Připojení	Brány vrstvy 0 Brány vrstvy 1 Segments	Jen pro čtení Plný přístup Plný přístup
Sítě	Network Services	Síť VPN NAT Vyrovnávání zatížení Zásady předávání Statistika	Plný přístup Plný přístup Plný přístup Jen pro čtení Plný přístup
Sítě	Správa IP adres	DNS DHCP Fondy IP adres	Plný přístup Plný přístup Plný přístup
Sítě	Profily		Plný přístup
Zabezpečení	Zabezpečení – východ – západ	Distribuovaná brána firewall Distribuovaná IDS a IPS Brána firewall identit	Plný přístup Plný přístup Plný přístup
Zabezpečení	Zabezpečení severního jihu	Brána firewall brány Analýza adres URL	Plný přístup Plný přístup
Zabezpečení	Introspekce sítě		Jen pro čtení
Zabezpečení	Funkce Endpoint Protection		Jen pro čtení
Zabezpečení	Nastavení		Plný přístup
Zásoby			Plný přístup
Řešení problému	IPFIX		Plný přístup
Řešení problému	Zrcadlení portů		Plný přístup
Řešení problému	Traceflow		Plný přístup
Systémový	Konfigurace Nastavení Nastavení Nastavení	Brána firewall identit Uživatelé a role Správa certifikátů (pouze certifikát služby) Nastavení uživatelského rozhraní	Plný přístup Plný přístup Plný přístup Plný přístup
Systémový	Všechny ostatní		Jen pro čtení

Oprávnění udělená roli správce cloudu Azure VMware Solution můžete zobrazit ve vašem privátním cloudu VMware VMware NSX ve službě Azure VMware Solution.

1. Přihlaste se ke Správci NSX.
2. Přejděte do systémů a vyhledejte uživatele a role.
3. Vyberte a rozbalte roli správce cloudu, která se nachází v části Role.
4. Pokud chcete zobrazit konkrétní oprávnění, vyberte kategorii, například Sítě nebo Zabezpečení.

Poznámka:

Privátní cloudy vytvořené před červnem 2022 se převedou z role správce na roli správce . Prostřednictvím služby Azure Service Health obdržíte oznámení, které zahrnuje časovou osu této změny, abyste mohli změnit přihlašovací údaje NSX, které jste použili pro jinou integraci.

Integrace protokolu LDAP NSX pro řízení přístupu na základě role (RBAC)

V nasazení azure VMware Solution je možné integrovat VMware NSX s externí adresářovou službou LDAP a přidat vzdálené uživatele adresáře nebo skupinu a přiřadit jim roli RBAC VMware NSX, jako je místní nasazení. Další informace o povolení integrace protokolu LDAP VMware NSX najdete v dokumentaci k produktu VMware.

Na rozdíl od místního nasazení se u řešení Azure VMware nepodporují všechny předdefinované role NSX RBAC, aby se správa konfigurace řídicí roviny IaaS řešení Azure VMware zachovala odděleně od konfigurace sítě a zabezpečení tenanta. Další informace najdete v další části s podporovanými rolemi NSX RBAC.

Poznámka:

Integrace protokolu LDAP VMware NSX se podporuje jenom u uživatele SDDC s uživatelem cloudadmin VMware NSX.

Podporované a nepodporované role NSX RBAC

V nasazení azure VMware Solution se s integrací PROTOKOLU LDAP podporují následující předdefinované role RBAC VMware NSX:

• Auditor
• Cloudadmin
• Správa nástroje pro vyrovnávání zatížení
• Operátor nástroje pro vyrovnávání zatížení
• Správa VPN
• Síťový operátor

V nasazení azure VMware Solution nejsou s integrací PROTOKOLU LDAP podporovány následující předdefinované role RBAC VMware NSX:

• Podnikový správce
• Síťové Správa
• Správce zabezpečení
• NetX Partner Správa
• Gi Partner Správa

V NSX můžete vytvářet vlastní role s oprávněními menšími nebo rovnou cloudovým Správa rolím vytvořeným Microsoftem. Následuje příklad vytvoření podporované role Network Správa a Security Správa.

Poznámka:

Vytvoření vlastní role selže, pokud přiřadíte oprávnění, které cloud nepovoluje Správa roli.

Vytvoření role Správce sítě AVS

Pomocí následujícího postupu vytvořte tuto vlastní roli.

1. Přejděte do rolí> a uživatelů systému.>

2. Naklonujte síť Správa a zadejte název síťového Správa AVS.

3. Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.

   Kategorie	Podkategorie	Funkce	Oprávnění
   Sítě	Připojení Network Services	Brány vrstvy 0 Brány vrstvy > 0 OSPF Zásady předávání	Jen pro čtení Nic Nic

4. Použijte změny a uložte roli.

Vytvoření role Správce zabezpečení AVS

Pomocí následujícího postupu vytvořte tuto vlastní roli.

1. Přejděte do rolí> a uživatelů systému.>

2. Naklonujte Správa zabezpečení a zadejte název AVS Security Správa.

3. Upravte následující oprávnění na "Jen pro čtení" nebo "Žádné", jak je vidět ve sloupci Oprávnění v následující tabulce.

Kategorie	Podkategorie	Funkce	Oprávnění
Sítě	Network Services	Zásady předávání	Nic
Zabezpečení	Introspekce sítě Funkce Endpoint Protection Nastavení	Profily služeb	Nic Žádné Nic

4. Použijte změny a uložte roli.

Poznámka:

Vlastní role NSX nepodporuje konfiguraci ad brány firewall systémové>identity VMware NSX. Doporučuje se uživateli přiřadit roli Operátor zabezpečení s vlastní rolí, aby bylo možné pro daného uživatele spravovat funkci firewallu identit (IDFW).

Poznámka:

Funkce Trasování VMware NSX není podporována vlastní rolí VMware NSX. Doporučuje se uživateli přiřadit roli Auditor spolu s vlastní rolí, aby pro daného uživatele povolila funkci Traceflow.

Poznámka:

Integrace služby VMware Aria Operations Automation s komponentou NSX řešení Azure VMware vyžaduje přidání role auditora do uživatele s rolí správce cloudu NSX Manageru.

Další kroky

Teď, když jste se zabývali koncepty přístupu a identit řešení Azure VMware, můžete se o tom dozvědět víc:

• Konfigurace externího zdroje identit pro vCenter

• Povolení prostředku Azure VMware Solution

• Podrobnosti o jednotlivých oprávněních

• Jak Azure VMware Solution monitoruje a opravuje privátní cloudy