第1章 Red Hat Virtualization 環境の管理と保守

必要なロールが Red Hat Virtualization のデフォルトロールリストにない場合は、新しいロールを作成して、目的に合わせてカスタマイズできます。

作成したロールの設定は変更できますが、デフォルトのロールは変更できません。デフォルトのロールを変更するには、そのロールのクローンを作成し、要件に合わせて変更します。

以下の例は、この章で説明する承認システムの異なる機能を使用して、さまざまなシナリオに対して承認制御を適用する方法を示しています。

例1.5 カスタムロールパーミッション

Rachel は IT 部門に所属し、Red Hat Virtualization のユーザーアカウント管理を担当しています。担当業務を行うためには、ユーザーアカウントを追加し、適切なロールおよびパーミッションを割り当てるパーミッションが必要です。Rachel 自身は仮想マシンを使用せず、ホスト、仮想マシン、クラスター、データセンターの管理権限を付与するべきではありません。Rachel にこのような特定のパーミッションを付与できるビルトインのロールはありません。Rachel の担当業務に適したパーミッションセットを定義するために、カスタムロールを作成する必要があります。

図1.1 UserManager カスタムロール

上記の UserManager のカスタムロールは、ユーザー、パーミッション、およびロールの操作を可能にします。これらのアクションは、オブジェクト階層 に示される階層の最上位オブジェクトであるシステムの下に整理されています。これは、システム内のすべてのオブジェクトに適用されることを意味します。ロールの Account Type は Admin に設定されます。つまり、このロールが割り当てられると、Rachel は管理ポータルとかそうマシンポータルの両方を使用できるようになります。

ロールおよびパーミッションはユーザーのプロパティーです。ロールとは、異なるレベルの物理および仮想リソースへのアクセスを許可する、事前定義された一連の権限のことです。マルチレベル管理では、パーミッションを細かく階層化できます。たとえば、データセンター管理者はデータセンター内の全オブジェクトを管理するパーミッションを持ち、ホスト管理者は 1 つの物理ホストのシステム管理者パーミッションを持ちます。あるユーザーは、単一の仮想マシンを使用するパーミッションを持っていても、仮想マシンの設定を変更できません。一方、別のユーザーは、仮想マシンのシステムパーミッションを割り当てることができます。

Red Hat Virtualization は、システム全体のパーミッションを持つ管理者から、1 台の仮想マシンにアクセスできるエンドユーザーまで、事前設定されたさまざまなロールを提供します。デフォルトのロールを変更または削除することはできませんが、そのロールのクローンを作成してカスタマイズしたり、要件に合わせて新しいロールを作成したりできます。以下の 2 つのタイプがあります。

以下の表は、VM ポータルで仮想マシンにアクセスして設定するためのパーミッションを付与する、基本的なユーザーロールを説明しています。

以下の表は、VM ポータルのリソースに対するパーミッションの細かな調整を可能にする高度なユーザーロールについて説明しています。

以下の表は、管理ポータルのリソースにアクセスして設定するためのパーミッションを付与する、基本的な管理者ロールについて説明しています。

以下の表は、管理者ポータルのリソースに対するパーミッションの細かな調整を可能にする高度な管理者ロールについて説明しています。

管理者またはユーザーロールをリソースに割り当て、ユーザーがそのリソースにアクセスしたり、管理したりできるようにします。

ユーザーは、そのリソースに対して有効化されたロールに継承されたパーミッションを持つようになります。

管理者またはユーザーのロールをリソースから削除すると、ユーザーはそのリソースのロールに関連付けられ、継承されたパーミッションを失います。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

データセンター管理者は、特定のデータセンターのみのシステム管理ロールです。これは、各データセンターが管理者を必要とする複数のデータセンターを持つ仮想化環境で有用です。DataCenterAdmin ロールは階層モデルです。あるデータセンターのデータセンター管理者ロールを割り当てられたユーザーは、そのデータセンターのストレージを除くすべてのオブジェクトを管理することができます。ヘッダーバーの Configure ボタンを使用して、環境内のすべてのデータセンターにデータセンター管理者を割り当てます。

データセンターの管理者ロールでは、以下のアクションが許可されます。

既存のシステム管理者を削除し、新しいシステム管理者を追加すると、データセンターのシステム管理者を変更できます。

データセンターのパーミッションロール

以下の表は、データセンターの管理に適用される管理者ロールおよび権限を示しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

クラスターの管理者は、特定のクラスターのみのシステム管理ロールです。これは、複数のクラスターを持つデータセンターで、各クラスターにシステム管理者が必要な場合に有効です。ClusterAdmin ロールは階層モデルです。あるクラスターのクラスター管理者ロールを割り当てられたユーザーは、クラスターのすべてのオブジェクトを管理できます。ヘッダーバーの Configure ボタンを使用して、環境のすべてのクラスターにクラスター管理者を割り当てます。

クラスター管理者ロールは以下のアクションを許可します。

また、既存のシステム管理者を削除し、新しいシステム管理者を追加すると、クラスターのシステム管理者を変更できます。

クラスターパーミッションロール

以下の表は、クラスターの管理に適用される管理者ロールおよび権限について説明しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

ネットワーク管理者は、特定のネットワークまたはデータセンター、クラスター、ホスト、仮想マシン、またはテンプレートにあるすべてのネットワークに適用できるシステム管理ロールです。ネットワークユーザーは、特定の仮想マシンまたはテンプレート上のネットワークの表示やアタッチなど、制限された管理ロールを実行できます。ヘッダーバーの Configure ボタンを使用して、環境内の全ネットワークのネットワーク管理者を割り当てることができます。

ネットワーク管理者ロールは以下のアクションを許可します。

ネットワークを作成するユーザーには、作成されたネットワークに NetworkAdmin パーミッションが自動的に割り当てられます。また、既存の管理者を削除し、新しい管理者を追加すると、ネットワークの管理者を変更できます。

ネットワークパーミッションロール

以下の表は、ネットワークの管理に適用される管理者ロールとユーザーロール、および権限について説明しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

ホスト管理者は、特定のホストのみのシステム管理ロールです。これは、複数のホストを持つクラスターで、各ホストにシステム管理者が必要な場合に有効です。ヘッダーバーの Configure ボタンを使用して、環境内の全ホストにホスト管理者を割り当てることができます。

ホスト管理者ロールは以下のアクションを許可します。

また、既存のシステム管理者を削除し、新しいシステム管理者を追加すると、ホストのシステム管理者を変更できます。

ホストパーミッションロール

以下の表は、ホスト管理に適用される管理者ロールおよび権限について説明しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

ストレージ管理者は、特定のストレージドメインのみのシステム管理ロールです。これは、複数のストレージドメインを持つデータセンターで、各ストレージドメインにシステム管理者が必要な場合に有効です。ヘッダーバーの Configure ボタンを使用して、環境内のすべてのストレージドメインにストレージ管理者を割り当てます。

ストレージドメイン管理者ロールは、以下のアクションを許可します。

また、既存のシステム管理者を削除し、新しいシステム管理者を追加すると、ストレージドメインのシステム管理者を変更できます。

ストレージドメインパーミッションロール

以下の表は、ストレージドメインの管理に適用される管理者ロールおよび権限について説明しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

仮想マシンプールの管理者は、データセンター内の仮想マシンプールのシステム管理ロールです。このロールは、特定の仮想マシンプール、データセンター、または仮想化環境全体に適用できます。これは、異なるユーザーが特定の仮想マシンプールリソースを管理できるようにするのに役立ちます。

仮想マシンプールの管理者ロールは、以下のアクションを許可します。

プールパーミッションロール

以下の表は、プール管理に適用される管理者ロールおよび権限について説明しています。

システム管理者は SuperUser として、管理ポータルをあらゆる面から管理します。他のユーザーに特定の管理ロールを割り当てることができます。このような制限付き管理者ロールは、特定のリソースに限定して管理者権限をユーザーに付与する際に役立ちます。たとえば、DataCenterAdmin ロールは、割り当てられたデータセンターに対する権利者権限のみ (そのデータセンターのストレージを除く) を持ち、ClusterAdmin は割り当てられたクラスターに対する管理者権限のみを持ちます。

Red Hat Virtualization Manager では、デフォルトの仮想ディスクユーザーロールが 2 つ提供されますが、デフォルトの仮想ディスク管理者ロールはありません。ユーザーロールの 1 つである DiskCreator ロールは、VM ポータルからの仮想ディスクの管理を可能にします。このロールは、特定の仮想マシン、データセンター、特定のストレージドメイン、または仮想化環境全体に適用することができます。これは、異なるユーザーが異なる仮想リソースを管理できるようにするのに役立ちます。

仮想ディスク作成者ロールは、以下のアクションを許可します。

仮想ディスクユーザーパーミッションロール

以下の表は、VM ポータルでの仮想ディスクの使用および管理に適用されるユーザーロールおよび権限について説明しています。

# ansible-playbook -l hostname \
  --extra-vars host_deploy_spice_cipher_string=”DEFAULT:-RC4:-3DES:-DES” \
  /usr/share/ovirt-engine/playbooks/ovirt-host-deploy.yml

新規のスケジューリングポリシーを作成して、仮想マシンを Red Hat Virtualization 環境の特定のクラスターに分散するロジックを制御できます。

以下の表は、New Scheduling Policy および Edit Scheduling Policy ウィンドウで使用できるオプションの詳細を示しています。

管理者は、仮想マシンの作成時または編集時にユーザーが選択する新しいインスタンスタイプを作成できます。

新規インスタンスタイプは Configure ウィンドウの Instance Types タブに表示され、仮想マシンの作成時または編集時に Instance Type ドロップダウンリストから選択できます。

管理者は、Congifure ウインドウから既存のインスタンスタイプを編集できます。

インスタンスタイプの設定が更新されます。このインスタンスタイプに基づく新しい仮想マシンが作成されるか、このインスタンスタイプに基づく既存の仮想マシンが更新されると、新しい設定が適用されます。

このインスタンスタイプに基づく既存の仮想マシンには、更新されるチェーンアイコンが付いたフィールドが表示されます。インスタンスタイプの変更時に既存の仮想マシンが稼働していた場合は、その横にオレンジ色の Pending Changes アイコンが表示され、次回の再起動時にチェーンのアイコンが付いたフィールドが更新されます。

インスタンスタイプが Instance Types リストから削除され、新規仮想マシンの作成時に使用できなくなります。削除されたインスタンスタイプにアタッチされた仮想マシンは Custom (インスタンスタイプなし) にアタッチされるようになります。

新しい MAC アドレスプールを作成できます。

MAC アドレスプールを編集して、プールで利用可能な MAC アドレスの範囲や重複が許可されるかどうかなどの詳細を変更できます。

MAC アドレスプールの作成後に、そのユーザーパーミッションを編集できます。ユーザーパーミッションにより、どのデータセンターが MAC アドレスプールを使用できるかが制御されます。新しいユーザーパーミッションを追加する方法については、ロール を参照してください。

作成した MAC アドレスプールがクラスターに関連付けられていない場合は削除できますが、デフォルトの MAC アドレスプールは削除できません。