Настройка пользователей самообслуживания в Virtual Machine Manager

Корпорация Майкрософт уже давно предоставляет администраторам System Center Virtual Machine Manager возможность создавать частные облака, обеспечивающие самостоятельное администрирование. Когда-то доступ к этим средам самообслуживания требовал использования внешнего портала, такого как Azure Pack. Однако сегодня администраторы Virtual Machine Manager могут просто предоставить пользователям самообслуживания копию консоли Virtual Machine Manager. Поскольку Virtual Machine Manager поддерживает управление доступом на основе ролей, администраторы самообслуживания могут просматривать и управлять только теми ресурсами, для которых им предоставлено разрешение.

Создание роли пользователя с помощью диспетчера виртуальных машин

Конечно, ключом к тому, чтобы все это работало, является определение роли пользователя самообслуживания. Для этого откройте консоль диспетчера виртуальных машин и щелкните рабочую область «Настройки». Затем щелкните значок «Создать роль пользователя» на панели задач. Это заставит консоль запустить мастер создания роли пользователя.

Первое, что вам нужно будет сделать в мастере, это ввести имя и описание роли, которую вы создаете. Важно помнить, что вы определяете роль, а не конкретную учетную запись пользователя. Предположительно, роль, которую вы создаете, будет назначена нескольким или даже всем вашим пользователям самообслуживания. Таким образом, вы можете создать общую роль пользователя самообслуживания или вместо этого создать роль пользователя самообслуживания, которая применяется к определенному типу пользователя самообслуживания. Например, такая роль может применяться ко всем пользователям самообслуживания в определенном отделе.

После того, как вы ввели имя и описание роли, которую вы создаете, нажмите «Далее». Теперь вы попадете на страницу профиля мастера, которую вы можете увидеть на изображении ниже.

Идея экрана «Профиль» заключается в том, что консоль диспетчера виртуальных машин — это не то, что вы собираетесь предоставлять случайным пользователям. Любой, кто использует консоль, будет выполнять какую-то административную задачу. Экран «Профиль» дает вам возможность указать, какой тип членов роли администратора будет. Поскольку мы создаем роль самообслуживания, вам нужно будет выбрать роль Администратора приложения (пользователя самообслуживания). Несмотря на то, что из названия профиля создается впечатление, что он подходит только для развертывания приложений, в описании четко указано, что «пользователи самообслуживания создают, развертывают и управляют своими собственными виртуальными машинами и службами с помощью консоли VMM».

Нажмите «Далее», и вы попадете на экран «Члены» мастера. Здесь вы указываете, какие пользователи будут назначены роли самообслуживания, которую вы создаете.

Несмотря на то, что вы можете добавлять учетные записи пользователей Active Directory непосредственно на экран «Участники», это считается плохой практикой, поскольку в долгосрочной перспективе это затрудняет управление пользователями. Вместо этого лучше создать выделенную группу Active Directory и добавить группу в список участников, как показано на рисунке ниже. Затем вы можете добавить отдельных пользователей в группу.

Нажмите Далее, и вы попадете на экран Scope. Экран Scope позволяет определить объем административных возможностей члена роли.

Как вы помните, на экране «Профиль» мастера спросили, какой тип административного доступа потребуется членам роли. Поскольку был выбран вариант самообслуживания, Virtual Machine Manager знает, что участники не должны иметь глобальных прав администратора для всех ресурсов, предоставляемых через Virtual Machine Manager. Вместо этого предполагается, что пользователи самообслуживания будут администраторами в пределах частного облака (в этом смысле слова частное облако — это логическая группа ресурсов, которая определяется как именованное облако в диспетчере виртуальных машин). ). Таким образом, на экране «Область» отображаются только ресурсы частного облака, как показано на рисунке ниже. В этом случае я заранее создал частное облако, но если у вас еще нет частного облака, экран «Область» будет пустым.

Выберите частное облако и нажмите «Далее». В этот момент вы попадете на экран квот мастера. Как вы можете видеть на изображении ниже, экран Quotas позволяет устанавливать ограничения на аппаратные ресурсы, которые могут потреблять члены роли. По умолчанию квоты не действуют, но вы можете легко наложить квоты на виртуальные процессоры, память, хранилище и виртуальные машины.

Вы также заметите, что экран Quotas позволяет использовать очки квоты. Идея заключается в том, что вы можете назначать квоты для виртуальных машин или шаблонов виртуальных машин и ограничивать общее количество квот, которые могут накапливать пользователи самообслуживания.

Нажмите «Далее», и вы попадете на экран сети. Пользователям самообслуживания разрешен доступ только к тем виртуальным сетям, которые вы явно разрешаете. Экран «Сеть» позволяет указать эти сети, как показано на рисунке ниже.

Нажмите «Далее», и вы попадете на экран «Ресурсы» мастера. Пользователям самообслуживания разрешен доступ только к тем ресурсам, которые вы явно разрешаете. На этом экране вы указываете ресурсы, такие как профили оборудования, профили приложений и шаблоны виртуальных машин. Экран «Ресурсы» также позволяет вам указать путь к библиотеке загрузки, который будет использоваться членами роли.

Нажмите «Далее», и вы попадете на экран «Разрешения». Как вы можете видеть на изображении ниже, вы можете установить очень детальные разрешения для членов роли. Рекомендуется потратить некоторое время на ознакомление с вариантами, представленными на этом экране.

Нажмите «Далее», и вы попадете на экран, где вас попросят указать учетную запись запуска от имени. Когда вы закончите, нажмите «Далее» еще раз, и мастер отобразит сводку выбранных вами параметров. Предполагая, что все правильно, нажмите «Готово», чтобы создать новую роль.

Разрешение получено

По мере того как организации все чаще переходят на частные или гибридные облака, установка разрешений становится все более важной. В диспетчере виртуальных машин предпочтительным способом достижения этого является использование ролей пользователей.