{"id":2063,"date":"2015-11-20T15:45:55","date_gmt":"2015-11-20T14:45:55","guid":{"rendered":"http:\/\/vgeht.de\/?p=2063"},"modified":"2015-11-20T16:16:08","modified_gmt":"2015-11-20T15:16:08","slug":"wer-hat-recht-und-vor-allem-wie-viel","status":"publish","type":"post","link":"https:\/\/vrealize.it\/de\/2015\/11\/20\/wer-hat-recht-und-vor-allem-wie-viel\/","title":{"rendered":"Wer hat Recht und vor allem wie viel?"},"content":{"rendered":"

In gro\u00dfen vSphere-Umgebung mit einer Vielzahl von Benutzern ist es unvermeidbar, die Berechtigungen der einzelnen vCenter-Benutzer einzuschr\u00e4nken. Das gilt sowohl f\u00fcr interaktive Benutzer, f\u00fcr die die sichtbaren Objekte und deren Berechtigungen limitiert werden m\u00fcssen, als auch f\u00fcr Service-Benutzer, die von Software-Komponenten benutzt werden, um auf vCenter zuzugreifen. Sowohl vRealize Operations\u00a0als auch LogInsight nutzen Service-Benutzer f\u00fcr den Zugriff auf vCenter. Dieser Artikel beschreibt, welche minimalen Berechtigungen erforderlich sind, um eine Integration mit vCenter zu erm\u00f6glichen.<\/p>\n

For English version click here<\/a>.<\/p>\n

<\/p>\n

vRealize Operations 6.1<\/strong><\/p>\n

vRealize Operations komuniziert mit vCenter auf\u00a03 unterschiedlichen Ebenen im Rahmen des vCenter Management-Packs. In kleineren Umgebungen ist es durchaus \u00fcblich, den selben administrativen Account f\u00fcr alle 3 Zugriffsarten zu verwenden. vRealize Operations unterst\u00fctzt aber auch die Separierung der einzelnen Zugriffsberechtigungen auf unterschiedliche vCenter Benutzer und Rollen.<\/p>\n

 <\/p>\n

\"vrops-vcenter-collection-user\"<\/a>\u00a0\"vrops-vcenter-register-user\"<\/a>\u00a0\"vrops-vcenter-python-user\"<\/a><\/p>\n

vCenter Collector user (1. Darstellung oben)<\/span><\/p>\n

Dieser Benutzer ist am wichtigsten f\u00fcr den Zugriff von vRealize Operations auf vCenter, da damit die Metric-Daten aus einer vSphere-Umgebung ausgelesen werden. Es handelt sich hierbei ausschlie\u00dflich um Lese-Prozesse, wodurch Read-Only-Berechtigungen ausreichen. Daf\u00fcr gibt es eine bestehende Rolle in vCenter, die auf Datacenter oder vCenter level angewendet werden sollte. F\u00fcr den Fall, dass die Sicht von vRealize Operations auf bestimmte Cluster, Hosts oder andere Komponenten eingeschr\u00e4nkt werden soll, kann der Scope entsprechend angepasst werden.<\/p>\n

Mehr Informationen \u00fcber diesen Benutzertyp sind hier zu finden:\u00a0Add a vCenter Adapter Instance<\/a><\/p>\n

 <\/p>\n

vCenter Registration user (2. Darstellung oben)<\/span><\/p>\n

vRealize Operations kann von vCenter heraus gestartet werden, wozu eine eine Registrierung in vCenter erforderlich ist. Dieser Prozess findet normalerweise einmalig statt und ben\u00f6tigt gewisse schreibende Berechtigungen.<\/p>\n

Mehr Informationen dazu: VMware vCenter Operations Manager 5.8<\/a> (das Dokument wurde f\u00fcr eine \u00e4ltere Version von vRealize Operations erstellt, ist aber im Bezug auf die Berechtigungs-Struktur auch f\u00fcr 6.1 g\u00fcltig)<\/p>\n

\"vrops-vcenter-registration\"<\/a><\/p>\n

vCenter Python Actions Adapter (3. Darstellung oben)<\/span><\/p>\n

vRealize Operations bietet auch die M\u00f6glichkeit, Aktionen und Befehle auf ein verwaltetes Objekt anzuwenden. Im Rahmen von vSphere-Monitoring werden \u00fcblicherweise VM Lifecycle-Operationen als Aktionen genutzt, siehe Beispiele im Screenshot unten:<\/p>\n

 <\/p>\n

\"vrops-actions\"<\/a><\/p>\n

vRealize Operations nutzt dabei Python-Skripte f\u00fcr den Zugriff auf die vCenter-Funktionen, die entsprechende Berechtigungen ben\u00f6tigen. Im wesentlichen ist es dabei nur erforderlich, die jeweilge Berechtigung der Einzel-Aktion zuzuweisen, d.h. z.B. power-off oder power-on bei einer VM. Einige Funktionen setzen aber zus\u00e4tzliche Rechte voraus, insbesondere dann, wenn sie Abh\u00e4ngigkeiten zum Host haben, auf dem die VM l\u00e4uft – \u00a0z.B. snapshots.<\/p>\n

Um die Steuerbarkeit von vCenter \u00fcber externe Komponenten weitestgehend einzuschr\u00e4nken, empfiehlt es sich, f\u00fcr die vRealize-Operations-Aktionen\u00a0eine eigene restriktive Rolle nur mit den daf\u00fcr notwendigen Berechtigungen anzulegen.<\/p>\n

Mehr Details dazu hier: Add a vCenter Python Actions Adapter Instance<\/a><\/p>\n

Im unteren Screenshot ist ein Berechtigungsbeispiel zu sehen, das\u00a0nur power-off und power-on Aktionen erlaubt:<\/p>\n

\"vrops-vcenter-python\"<\/a><\/p>\n

Andere Beispiele f\u00fcr angepasste Berechtigung (Python-Zugriff):<\/p>\n