Gérer les rôles, les utilisateurs et les autorisations sous VMware vSphere 6.7 - VMware - Tutoriels

Grâce à VMware vCenter Server (VCSA), vous pouvez gérer de nombreuses choses, dont : vos hôtes (VMware ESXi), vos clusters, vos banques de données, ...
Vous pouvez également accéder aux consoles de vos différentes machines virtuelles.

Néanmoins, en entreprise, vous aurez forcément besoin de fournir un accès limité à certaines fonctionnalités de VMware vCenter Server (VCSA) à différents utilisateurs.
Pour cela, VMware vous permet d'utiliser des rôles prédéfinis ou d'en créer vous-même pour accorder des autorisations à différents utilisateurs et/ou groupes d'utilisateurs sur différents objets (hôtes, machines virtuelles, banques de données, ...).

1. Gérer les rôles

Pour pouvoir accorder des droits (appelés "privilèges" dans VMware vCenter Server) à des utilisateurs ou des groupes d'utilisateurs, vous devrez utiliser ou créer de nouveaux rôles.
Les rôles étant des ensembles de privilèges que vous pourrez accorder à des utilisateurs ou des groupes d'utilisateurs sur les objets souhaités.

Pour accéder à la liste des rôles prédéfinis et/ou en rajouter d'autres, allez dans le menu de vSphere Client et cliquez sur : Administration.

Ensuite, allez dans la section : Contrôle d'accès -> Rôles.
Comme vous pouvez le voir, une dizaine de rôles prédéfinis existent déjà dans VMware vCenter Server.
Parmi ceux-ci, vous trouverez des exemples qui vous permettront d'accorder facilement les privilèges nécessaires pour différentes actions courantes que vous souhaiteriez déléguer à différents utilisateurs.

Dans VMware vCenter Server, ces rôles prédéfinis sont :

Administrateur : permet d'accorder tous les droits à un ou plusieurs utilisateurs.
Par défaut, l'utilisateur "Administrator@vsphere.local" créé lors de l'installation de VMware vCenter Server (VCSA) possède ce rôle "Administrateur" pour la racine de votre serveur vCenter Server, ainsi que tous les objets enfants.
Ce qui lui permet d'accéder à toutes les fonctionnalités proposées par vCenter Server.
Lecture seule : permet d'accorder un droit de lecture seule sur un ou plusieurs objets. L'utilisateur ne pourra donc pas modifier les objets sur lesquels ce rôle sera appliqué.
Aucun accès : permet de supprimer les droits sur un objet enfant pour annuler les droits qui auraient été appliqués sur celui-ci via un rôle appliqué sur un objet parent.
Administrateur de balisage : permet à l'utilisateur de créer, modifier ou supprimer des balises ou des catégories de balises. Mais également d'en attribuer ou en retirer.
Administrateur de bibliothèque de contenu (exemple) : permet à l'utilisateur de gérer les bibliothèques de contenu et donc d'effectuer des opérations de création, modification, suppression, synchronisation, ... sur celles-ci.
Administrateur de pool de ressources (exemple) : permet à l'utilisateur de gérer les pools de ressources, d'attribuer une machine virtuelle à un pool de ressources, migrer des machines virtuelles, de gérer les tâches planifiées, ...
Administrateur réseau : permet à l'utilisateur d'associer des hôtes ou des machines virtuelles à des réseaux.
Aucun administrateur de chiffrement : idem que le rôle "Administrateur" (donc accès complet), mais sans les privilèges concernant les opérations de chiffrement.
AutoUpdateUser : privilèges nécessaires pour la mise à jour automatique entre domaines.
Consommateur de banque de données (exemple) : permet à l'utilisateur d'allouer de l'espace sur une banque de données pour pouvoir y créer des disques durs virtuels ou des snapshots.
Utilisateur de console de machine virtuelle : permet à l'utilisateur d'accéder à la console de la machine virtuelle souhaitée.
Notez que ce rôle est nécessaire pour les sessions VMRC utilisées via le programme VMware Remote Console (ou un autre logiciel compatible, tel que son équivalent payant : VMware Workstation).
Utilisateur de machine virtuelle (exemple) : idem que le rôle, mais en permettant également à l'utilisateur de créer, exécuter, modifier ou supprimer des tâches planifiées.
Utilisateur expérimenté de machine virtuelle (exemple) : permet à l'utilisateur d'accéder à la console de la machine virtuelle souhaitée, ainsi que de modifier sa configuration, utiliser le système de snapshots sur celle-ci, gérer des tâches planifiées, ainsi que d'autres actions liées à la gestion de machines virtuelles.
Utilisateur VMware Consolidated Backup (exemple) : permet à l'utilisateur de gérer les snapshots sur les machines virtuelles, télécharger des machines virtuelles, ...
vSphere Client Solution User : permet à l'utilisateur de gérer (enregistrer, mettre à jour ou annuler) des extensions (plug-ins).

1.1. Rôle : Utilisateur de machine virtuelle (exemple)

Lorsque vous sélectionnez un rôle, par exemple "Utilisateur de machine virtuelle (exemple)", vSphere Client vous affichera une description de ce rôle défini sur votre serveur VMware vCenter Server (VCSA).
Pour le rôle "Utilisateur de machine virtuelle (exemple)", VMware vous indique que ce rôle permettra à l'utilisateur d'interagir avec la ou les machines virtuelles souhaitées.

Dans l'onglet "Utilisation" du rôle sélectionné, vous pourrez savoir :

Défini dans : sur quels objets des autorisations ont été accordées grâce à ce rôle
Utilisateur/groupe : pour quel utilisateur ou groupe les autorisations ont été accordées
Propager : si les autorisations s'appliquent uniquement à l'objet indiqué (false) dans la colonne "Défini dans" ou aussi à ses enfants (true).

Dans l'onglet "Privilèges" du rôle sélectionné, vous pourrez connaitre la liste des privilèges qui seront accordés aux utilisateurs souhaités grâce à ce rôle.
Notez que ceux-ci sont triés par catégories de privilèges.

Dans le cas de ce rôle "Utilisateur de machine virtuelle (exemple)", vous pourrez voir que celui-ci permettra à l'utilisateur de :

gérer les tâches planifiées
interagir avec les machines virtuelles en ayant la possibilité de configurer le lecteur CD/DVD virtuel, connecter des périphériques, y installer les VMware Tools, gérer l'alimentation de celles-ci, ...

Pour plus d'informations concernant tous les privilèges existants sous VMware vCenter Server (VCSA), consultez la page "Privilèges définis" de la documentation officielle de VMware.

1.2. Rôle : Utilisateur expérimenté de machine virtuelle (exemple)

Pour le rôle "Utilisateur expérimenté de machine virtuelle (exemple)", VMware vous indiquera que vous pourrez interagir, mais aussi gérer la configuration des machines virtuelles.

Pour en savoir plus sur les privilèges qui seront accordés à cet utilisateur grâce à ce rôle, allez dans l'onglet "Privilèges".
Comme vous pouvez le voir, grâce à ce rôle, l'utilisateur pourra :

accéder aux banques de données
gérer des tâches planifiées
gérer les snapshots sur des machines virtuelles (VMs)
interagir avec des machines virtuelles (VMs)
gérer l'alimentation des machines virtuelles (VMs)
modifier la configuration des machines virtuelles (VMs) en adaptant notamment les ressources système allouées à celles-ci, créer, ajouter ou supprimer des disques durs virtuels, ...

1.3. Ajouter un rôle personnalisé

Pour ajouter un nouveau rôle personnalisé, cliquez sur l'icône "+" située en haut de la liste des rôles disponibles sur votre serveur VMware vCenter Server (VCSA).

Dans la fenêtre "Nouveau rôle" qui apparait, vous pourrez sélectionner minutieusement quels privilèges vous souhaitez accorder ou non.
Bien évidemment, tous les privilèges disponibles sous VMware vCenter Server sont catégorisés triés grâce à une série de catégories de privilèges, dont en voici une partie :

Alarmes : permet de gérer les alarmes.
AutoDeploy : permet d'associer des machines, de créer ou modifier des profils d'images, de gérer des stratégies, ...
Autorisations : permet de modifier des autorisations, des privilèges, des rôles ou de réassigner des autorisations de rôle.
Banque de données : permet d'allouer de l'espace (pour créer de nouveaux disques durs virtuels, par exemple), gérer les banques de données, mettre à jour les fichiers de machines virtuelles, ...
Bibliothèques de contenu : permet d'afficher les paramètres de configuration des bibliothèques de contenu, d'y ajouter, publier ou supprimer des éléments, ...
Centre de données : permet de créer, déplacer, reconfigurer, ... un centre de données et de gérer l'allocation IP.
Distributed Switch : permet de gérer les switchs distribués (ou "vSphere Distributed Switch" pour VDS en anglais).
Dossier : permet de créer, déplacer, renommer ou supprimer des dossiers.
Extension : permet d'enregistrer, mettre à jour ou annuler l'enregistrement d'une extension (plug-in).
Global : permet de gérer les paramètres de vCenter Server, les licences, les attributs personnalisés, ...
Hôte : permet de gérer l'hôte en gérant son alimentation, ses paramètres, sa configuration réseau, le démarrage automatique de machines virtuelles, ...
Inventory Data Service tagging : permet de gérer les balises et les catégories de balises
Machine virtuelle : permet d'interagir avec une machine virtuelle, sa console, ses snapshots, modifier sa configuration, ...
Opérations de chiffrements ...
Réseau : permet d'assigner des réseaux, d'en configurer, d'en déplacer ou d'en supprimer.
vApp : permet de créer, déplacer, exporter, ... des vApp, d'y ajouter des machines virtuelles, ...
etc

Une fois que vous aurez sélectionné les privilèges souhaités, indiquez un nom et une description (facultative) pour ce nouveau rôle et cliquez sur : Finish.

Le nouveau rôle créé apparait dans la liste et la liste des privilèges sélectionnés pour celui-ci est affichée dans l'onglet "Privilèges" de ce rôle.