Права доступа и роли

Права доступа

Права доступа — набор действий, разрешенных для выполнения субъектам над объектами данных. Права доступа определяют правила, которые затем объединяются в роли. Создание, изменение и удаление прав доступа невозможно. Список прав доступа единый для всей системы и может меняться только при ее обновлении.

Существуют следующие виды прав доступа:

Командные — определяют право доступа пользователя к определенной команде. Например, cluster_list, aaa_user_show.
Функциональные — определяют право доступа к определенным действиям в команде. Например, login_namespace — позволяет выполнять авторизацию через атрибуты cluster_to, ns_to.

Права доступа имеют следующие параметры:

name — имя права доступа;
uuid — уникальный идентификатор в системе;

privileged — флаг привилегированности. 1 — привилегированное, 0 — обычное;
descr — описание права доступа.

Команды управления правами доступа:

Просмотр всех прав доступа во ВЦОД
```
aaa permissions list
```
Просмотр подробной информации о конкретном праве доступа.
```
aaa permissions show --name <NAME>
```
где name — имя права доступа.

Роли

Роль — набор прав доступа, которые необходимы пользователю или группе пользователей для выполнения определенных задач. Права доступа объединяются в роли. Затем роли присваиваются пользователю или группе пользователей. Каждый пользователь может быть связан от 1 до N ролей.

Разные роли создаются в системе на определенных уровнях объектов виртуализации.
Роли и пользователей по умолчанию удалить нельзя. Новые роли и пользователи могут быть созданы администраторами в пределах их ВЦОД. Права доступа выбираются из стандартного набора без права изменения и удаления.

Роли уровня ВЦОД автоматически появляются в каждом новом создаваемом ВЦОД из стандартных конфигураций:

администратор ВЦОД.
администратор безопасности ВЦОД.
администратор ВМ.
разработчик ВМ.

Ниже рассмотрены подробные права каждой роли, созданной по умолчанию.

Роли по умолчанию

Администратор ВЦОД

Функции Администратора ВЦОД ограничены рамками ВЦОД и включают следующее:

настройка структуры каталогов ВЦОД;
настройка параметров безопасности ВЦОД и интеграции ВЦОД с каталогом LDAP;
просмотр прав доступа, создание, удаление и настройка ролей ВЦОД;
управление сессиями доступа ВЦОД;
создание, удаление, настройка параметров учетных записей пользователей ВЦОД;
просмотр журналов и конфигурационных параметров журналирования событий ВЦОД;
просмотр выделенных для ВЦОД ресурсов виртуальных сетей, настройка параметров и операции с сетевым стеком, виртуальными сетями и ACL ВЦОД;
конфигурационные настройки и операции с сетевым стеком и ACL ВМ ВЦОД;
настройка параметров механизма уведомлений и рассылок ВЦОД;
настройка параметров и выполнение операций с виртуальными кластерами, ресурсными ограничениями виртуальных кластеров, пользовательскими ресурсами в виртуальных кластерах ВЦОД;
создание, удаление, настройка параметров и выполнение операций по управлению состоянием ВМ (включение, выключение, перезагрузка);
выполнение операций со снимками ВМ ВЦОД;
выполнение операций с узлами виртуальных кластеров во ВЦОД;
выполнение операций с метками виртуальных кластеров во ВЦОД;
настройка параметров и выполнение операций с ключами и сертификатами ВЦОД;
настройка параметров и выполнение операций с СХД (пулы хранения, тома для ВМ, снимки ВМ, копии дисков);
выполнение операций мониторинга ВЦОД;
доступ к VNC-консоли ВМ.

Администратор безопасности ВЦОД

Функции Администратора безопасности ВЦОД:

просмотр всех конфигурационных параметров ВЦОД;
настройка параметров и выполнение операций контроля целостности ВЦОД;
настройка параметров журналирования событий ВЦОД и просмотр событий ВЦОД;
выполнение операций мониторинга во ВЦОД.

Администратор ВМ

Функции Администратора ВМ:

отображение списка пользовательских ресурсов виртуальных кластеров ВЦОД;
выполнение операций по управлению состоянием ВМ (включение, выключение, перезагрузка);
доступ к VNC-консоли ВМ.

Разработчик ВМ

Функции Разработчика ВМ:

просмотр журналов собственных событий ВЦОД;
просмотр сведений и параметров виртуальных сетей ВЦОД;
настройка и выполнение операций с сетевым стеком ВМ ВЦОД;
просмотр сведений о пользовательских ресурсах и ресурсных ограничениях виртуальных кластеров ВЦОД;
создание, удаление, настройка параметров и выполнение операций по управлению состоянием ВМ (включение, выключение, перезагрузка);
выполнение операций по управлению снимками ВМ;
просмотр сведений о виртуальных кластеров ВЦОД, метках виртуальных кластеров ВЦОД;
просмотр сведений о пулах хранения СХД, томах для ВМ, снимках ВМ, шаблонах дисков ВМ;
выполнение операций по созданию и удалению резервной копии ВМ;
доступ к VNC-консоли ВМ.

Действия с ролями

Администратор ВЦОД может управлять ролями в рамках своего ВЦОД.

Роль имеет следующие параметры:

name — имя роли;
uuid — уникальный идентификатор роли;
builtin — флаг встроенной (true) или пользовательской (false) роли;
privileged — флаг привилегированности роли. Зависит от наличия в роли привилегированных прав доступа. Равен 1, если роль содержит привилегированные права, и равен 0, если роль не содержит привилегированные права;
permissions — список прав доступа, входящих в роль;
descr — описание роли.

Команды для управления ролями:

Чтобы добавить роли (создать пользовательскую роль), в командной строке введите
```
aaa role add --role <ROLE> 
             --permissions <PERMISSIONS>
             --descr <DESCR> 
```
где
- role — имя роли;
- permissions — имя или список имен прав доступа без разделительных знаков;
- descr — описание роли.
Параметры builtin и privileged проставляются автоматически.
Privileged зависит от наличия привилегированных прав доступа в списке.
Просмотреть список всех ролей в пределах ВЦОД
```
aaa role list
```
Просмотреть информацию о роли
```
aaa role show --role <ROLE>
```
Изменить пользовательскую роль, добавить или удалить право доступа
```
aaa role update --role <ROLE>
                --permissions <PERMISSIONS>
```
Примечание

В параметре permissions перечислите список прав доступа, исключив удаляемое право.
Или выведите список действующих прав доступа, затем добавьте к нему новые права
Удалить пользовательскую роль.

Перед удалением роли проверьте, что она не присвоена ни одному из пользователей.

После проверки для удаления роли введите команду
```
aaa role del --role <ROLE>
```
Примечание

Если значение параметра role равно *, будут удалены все пользовательские роли в пределах ВЦОД.
Если роль привязана к пользователю, то она не будет удалена.
Роли по умолчанию удалить нельзя

Термины и определения содержатся в статьях: