Autorisations

Comment configurer et gérer les autorisations des utilisateurs et des groupes dans VergeOS, y compris les niveaux d’autorisation, les étendues, les autorisations effectives et l’attribution d’autorisations à des objets spécifiques.

Les permissions utilisateur et groupe offrent un haut degré de granularité, permettant de configurer l’accès jusqu’à une instance d’objet particulière. Les utilisateurs sont créés et administrés pour chaque cloud distinct ; chaque tenant créé est un cloud VergeOS distinct et possède donc ses propres utilisateurs, groupes et paramètres d’autorisations pour contrôler l’accès au sein du tenant.

Niveaux d’autorisation

Les niveaux d’autorisation suivants sont utilisés dans l’ensemble du système :

• lister
• lire
• créer
• modifier
• supprimer

Portées des autorisations

• Niveau cloud - l’autorisation s’applique à l’ensemble du cloud - toutes les zones
• Types d’objets - l’autorisation s’applique à tous les objets de ce type (par exemple, machines virtuelles, tenants, utilisateurs, réseaux, etc.)
• Objets individuels - l’autorisation s’applique à une instance d’objet spécifique, par exemple une machine virtuelle individuelle, un tenant particulier, un utilisateur spécifique, etc.

Compte « admin » au niveau racine

Lorsqu’un cloud VergeOS est créé (pendant l’installation initiale sur le matériel ou lorsqu’un nouveau tenant est créé), un compte utilisateur au niveau racine est automatiquement créé et bénéficie d’un accès complet (lister/lire/créer/modifier/supprimer) à l’ensemble du cloud. Par défaut, cet utilisateur s’appelle « admin » ; toutefois, le compte peut recevoir le nom souhaité lors de l’installation matérielle ou peut être modifié après l’installation / après la création du tenant. Cet utilisateur système spécial ne peut pas être supprimé.

Autorisations par défaut du nouvel utilisateur

• Type = Normal/API : lister/lire pour tout ; lister/lire/modifier pour son propre utilisateur
• Type = VDI : lister pour tout ; lister/lire/modifier pour son propre utilisateur.

Après la création d’un utilisateur, ses autorisations peuvent être personnalisées selon les besoins.

Autorisations effectives

Les autorisations effectives d’un utilisateur sont cumulatives de toutes les autorisations attribuées à l’utilisateur, y compris celles attribuées directement et celles accordées via l’appartenance à des groupes. Les autorisations peuvent être accordées au niveau du type d’objet, donnant à l’utilisateur des autorisations sur tous les objets d’un certain type, ou peuvent être accordées à des instances spécifiques d’objets. Les autorisations sont vérifiées au moment où une action est initiée ; si une quelconque autorisation attribuée à l’utilisateur (ou à un groupe dont l’utilisateur est membre) s’applique, l’opération est autorisée.

Exemple 1

• JSmith dispose des autorisations de lister/lire sur le cloud.
• JSmith est membre du groupe « machine-operators » ; le groupe « machine-operators » dispose des autorisations complètes (lister/lire/créer/modifier/supprimer) sur les machines virtuelles.
• JSmith est membre du groupe « assistants » ; le groupe « assistants » dispose uniquement des autorisations lister/lire/modifier sur plusieurs machines virtuelles particulières.
• Autorisations effectives de JSmith pour toutes les machines virtuelles : lister/lire/créer/modifier/supprimer. Comme les autorisations sont cumulatives, JSmith aurait les autorisations lister/lire/créer/modifier/supprimer sur toutes les machines virtuelles, même si des autorisations plus restrictives étaient définies sur une instance particulière de machine virtuelle.

Exemple 2

• RJohnson dispose des autorisations de lister/lire sur le cloud.
• RJohnson est membre du groupe « tenant-admins » ; le groupe « tenant-admins » dispose des autorisations lister/lire/modifier sur les tenants.
• RJohnson dispose des autorisations lister/lire/modifier/supprimer sur le tenant particulier « Zcorp ».
• Autorisations effectives de RJohnson pour tous les tenants : lister/lire/modifier
• Autorisations effectives de RJohnson pour le tenant « Zcorp » : lister/lire/modifier/supprimer.

Les vues de liste des ressources nécessitent l’autorisation Lister sur Votre système

De nombreuses vues de liste des ressources (par exemple, Machines virtuelles > Liste et Réseaux > Liste) ne se remplissent que lorsque l’utilisateur ou le groupe dispose au moins de l’autorisation Lister sur l’ Votre système objet. Cela s’applique même lorsque les autorisations sur les objets individuels ou les types d’objets sont correctement attribuées.

Symptôme : L’utilisateur voit des comptes corrects sur le tableau de bord principal, mais les pages de liste des ressources sont vides ou incomplètes.

Correction : Ajoutez une autorisation pour l’utilisateur ou le groupe avec la Type liste déroulante réglée sur Votre système et la lister case cochée.

Donner à un utilisateur toutes les autorisations sur l’ensemble du cloud VergeOS

1. Depuis le tableau de bord Cloud, sélectionnez système.
2. Cliquez sur Autorisations.
3. Cliquez sur Ajouter un utilisateur.
4. Sélectionnez l’utilisateur souhaité dans la Nom d’utilisateur liste déroulante.
5. Cochez les cases pour lister, lire, créer, modifieret, supprimer.
6. Dans le Type champ de liste déroulante, sélectionnez « Votre système » (par défaut).
7. --Toutes les sections-- sera sélectionné par défaut
8. Cliquez sur le bouton Envoyer .

Afficher les autorisations d’un utilisateur

1. Depuis le tableau de bord Cloud, cliquez sur système.
2. Cliquez sur Utilisateurs. Cela affichera une liste de tous les utilisateurs.
3. Double-cliquez sur l’utilisateur souhaité dans la liste. Le tableau de bord utilisateur apparaît ; toutes les autorisations attribuées à l’utilisateur sont affichées.

Rappel : les utilisateurs peuvent également disposer d’autorisations via l’appartenance à des groupes ; les appartenances aux groupes sont également affichées sur le tableau de bord utilisateur.

Donner à un utilisateur/groupe des autorisations sur tous les objets d’un certain type (par exemple, machines, utilisateurs, tenants, etc.)

1. Depuis le tableau de bord Cloud, cliquez sur système.
2. Cliquez sur Autorisations.
3. Cliquez sur Ajouter un utilisateur ou Ajouter un groupe
4. Sélectionnez le Utilisateur/Groupe souhaité dans la première liste déroulante.
5. Cochez les cases pour les niveaux d’accès souhaités (lister/lire/créer/modifier/supprimer).
6. Dans le Type champ de liste déroulante, sélectionnez le type d’objet auquel appliquer cette autorisation.
7. Dans le Nom champ de liste déroulante, sélectionnez --Tous--
8. Cliquez sur le bouton Envoyer .

Donner à un utilisateur/groupe des autorisations sur une instance d’objet spécifique (par exemple, une VM particulière)

1. Depuis le tableau de bord Cloud, sélectionnez système.
2. Sélectionnez Autorisations.
3. Cliquez sur Ajouter un utilisateur ou Ajouter un groupe.

   • Sélectionnez le Utilisateur/Groupe souhaité dans la première liste déroulante.
   • Cochez les cases pour les niveaux d’accès souhaités (lister/lire/créer/modifier/supprimer).
   • Dans le Type champ de liste déroulante, sélectionnez le type d’objet auquel appliquer cette autorisation.
   • Dans le Nom champ de liste déroulante, sélectionnez l’objet particulier (par exemple, le nom de la machine virtuelle concernée)
4. Cliquez sur le bouton Envoyer .

Afficher toutes les autorisations

Cela affichera toutes les autorisations définies pour le système VergeOS.

1. Accédez à Système > Autorisations.
2. Toutes les autorisations pour l’ensemble du cloud sont affichées. Astuce : la liste peut être triée ou filtrée pour se concentrer sur certaines autorisations.
3. Les autorisations peuvent être sélectionnées dans la liste pour être modifiées/supprimées.

Afficher les autorisations pour une section particulière

Les autorisations peuvent être affichées pour une section particulière du système ; par exemple, depuis le tableau de bord des machines virtuelles, afficher toutes les autorisations pour les VM ; ou depuis le tableau de bord d’une machine virtuelle spécifique, afficher toutes les autorisations pour cette VM particulière.

1. Depuis la section souhaitée, cliquez sur Autorisations dans le menu de gauche. La liste des autorisations de cette section s’affiche. Le Type champ affichera la section générale à laquelle l’autorisation s’applique, tandis que le Nom champ indiquera qu’elle s’applique à tous les objets de ce type particulier ou affichera le nom de l’objet particulier auquel elle s’applique.
2. Les autorisations peuvent être sélectionnées dans la liste pour être modifiées ou supprimées.