Cómo configurar roles y privilegios

Los siete roles fijos cubren los casos de uso habituales, pero no todos. Cuando necesite un acceso del tipo «ver todo el VDC y reiniciar máquinas, pero no crear nada», cree un rol personalizado: seleccione privilegios del registro, establezca el ámbito de VDC y asigne el rol a un usuario en un VDC (centro de datos virtual) concreto.

El flujo de trabajo es siempre el mismo: primero identifique los privilegios necesarios, luego cree el rol y después asígnelo. Invertir el orden, creando primero un rol y buscando después los privilegios, da lugar a un rol con permisos excesivos. Limitarlo más adelante cuesta más esfuerzo que crearlo con precisión desde el principio.

Requisitos previos

• El rol Cluster master: solo el administrador del clúster puede crear, modificar y eliminar roles y asignarlos a usuarios.
• Una lista de las operaciones a las que el rol debe conceder acceso; esto determina los privilegios necesarios.
• El VDC al que se restringe el rol, si tiene ámbito.
• La cuenta que recibirá el rol. Para la creación de cuentas, consulte Cómo administrar usuarios.

Paso 1. Revisar el registro de privilegios

1. Abra Provider Data Center → Users & Roles y vaya a la pestaña Roles. La tabla tiene las columnas Name, scope, Creator, Created y Modified. La columna scope muestra el ámbito del rol, y Creator muestra quién lo creó; los roles fijos no tienen creador indicado.

2. Abra el rol más parecido a lo que necesita. En su ficha, los privilegios se agrupan en secciones: vDC, VM, Network, Edge, Storage, Node, Cluster, User, Misc, Auth, Security y User Interface. Estas secciones agrupan el registro para facilitar la lectura; no influyen en las comprobaciones de permisos.

3. Revise las secciones y anote los privilegios que necesita. El conjunto existente de un rol fijo es un buen punto de partida: tómelo y quite lo que no necesite.

Existen dos tipos de ámbitos, con una diferencia fundamental entre ellos.

Ámbito	Válido para un rol personalizado	Significado
VDC (vdc_id)	sí	el rol se aplica en los VDC donde está asignado
creador del objeto (creator)	no	el permiso se aplica a los objetos creados por el usuario

En un rol personalizado, la restricción «solo objetos propios» se establece mediante los privilegios Own existentes, como Edit Own Network, y no mediante el ámbito del rol.

Paso 2. Crear un rol personalizado

1. En la pestaña Roles, haga clic en Actions y seleccione Create role.

   

2. Introduzca un nombre de rol: debe ser único dentro del clúster y no superar los 64 caracteres.

3. Seleccione los privilegios en las secciones. No se acepta un conjunto vacío; se necesita al menos un privilegio. Los privilegios de gestión de roles no se pueden conceder a un rol personalizado, porque entonces este podría ampliar sus propios permisos.

4. Establezca un ámbito de VDC si el rol no debe aplicarse a todo el clúster.

5. Confirme la creación y compruebe que el rol aparece en la tabla Roles.

Los identificadores de los roles personalizados empiezan en 10000, y la plataforma usa este rango para distinguirlos de los roles fijos.

Paso 3. Comprobar la configuración del rol

1. Abra el rol en la pestaña Roles. El encabezado de la ficha es el nombre del rol, con su identificador al lado.

2. Revise las secciones de privilegios y compare lo seleccionado con lo que configuró.

   

3. Vuelva a la pestaña Roles y compruebe las columnas scope y Creator: el ámbito debe coincidir con lo que configuró y el creador debe ser su cuenta.

En un rol formado únicamente por privilegios Own, la columna scope está vacía. Estos permisos están restringidos por el creador del objeto, por lo que no tienen ámbito de VDC.

Paso 4. Asignar el rol a un usuario

Un rol se asigna dentro de un VDC y no sin ámbito: si el rol tiene un ámbito de VDC, debe indicar el VDC.

1. Abra la cuenta en la sección Users & Roles.

2. Añada el rol e indique el VDC en el que se aplica.

3. Compruebe que la nueva asignación aparece en la lista de roles de la cuenta junto con su VDC.

Retire un rol en el mismo lugar, identificándolo por la combinación completa de usuario, VDC y rol: al retirar el rol, indique el mismo VDC en el que se asignó. Solo Cluster master puede asignar y retirar roles, y estas operaciones no están permitidas para las cuentas integradas con identificadores inferiores a 10.

Cómo modificar un rol personalizado

1. Abra el rol en la pestaña Roles.

2. Seleccione los nuevos privilegios y desmarque los que ya no necesite. Aquí también puede cambiar el nombre del rol.

3. Haga clic en Save changes. El botón contiguo Reset descarta los cambios no guardados.

El ámbito se sustituye por completo: el conjunto indicado pasa a ser el nuevo ámbito en lugar de ampliar el anterior.

Un rol fijo no se puede modificar: los botones Actions, Reset y Save changes de su ficha están deshabilitados, y un intento de guardar cambios fuera de la interfaz se rechaza con "Cannot modify a fixed role".

Cómo eliminar un rol personalizado

1. Compruebe qué usuarios tienen asignado el rol: perderán los permisos que este les concedía.

2. Abra el rol en la pestaña Roles, haga clic en Actions y seleccione la eliminación.

3. Confirme la eliminación y compruebe que el rol desaparece de la tabla Roles.

La eliminación es en cascada: junto con el rol se eliminan sus privilegios, su ámbito y todas las asignaciones de ese rol a usuarios. Los propios usuarios se mantienen. Un rol fijo no se puede eliminar.

Cómo ver los roles de un usuario

Cualquier usuario puede ver sus propios roles; solo Cluster master puede ver los roles de otro usuario. Las asignaciones se pueden consultar desde dos perspectivas: la cuenta muestra sus roles junto con sus VDC, mientras que la pestaña Roles muestra los privilegios y las restricciones de cada rol.

Interprete cada asignación como un par de rol y VDC. El mismo rol en distintos VDC constituye asignaciones independientes, y cada una debe retirarse por separado. Un rol sin ámbito no tiene restricciones de objetos y se aplica a todo el clúster; así funciona Cluster master.

Si se rechaza una operación

Código	Motivo	Qué hacer
-22500 "Access denied: only Cluster Master can create roles", -22510, -22520	el rol carece de permisos de gestión de roles	realice la operación como Cluster master
-22501 "Privileges list must not be empty"	se intenta crear el rol con un conjunto de privilegios vacío	seleccione al menos un privilegio
-22502, -22513 "Role management privileges cannot be assigned to custom roles"	el conjunto contiene un privilegio de gestión de roles	desmárquelo; la gestión de roles sigue reservada a Cluster master
-22503, -22514 "Privilege ID not found"	el privilegio no existe en el registro del clúster	seleccione privilegios de las secciones de la ficha del rol
-22504, -22515 "Scope ID not found"	el ámbito no existe en el clúster	establezca un ámbito de VDC
-22505, -22517 "Self-referencing scope cannot be assigned to custom role"	el ámbito incluye el atributo de creador del objeto	deje solo el VDC; use privilegios Own para la restricción «solo objetos propios»
-22506, -22516 "Role with name already exists"	el nombre del rol ya está en uso	elija otro nombre, de hasta 64 caracteres
-22511 "Cannot modify a fixed role", -22521 "Cannot delete a fixed role"	un rol fijo no se puede modificar ni eliminar	cree un rol personalizado con el conjunto de privilegios necesario
-22512, -22522, -22530, -22540 "Role not found"	el rol ya no existe; puede haberse eliminado desde otra sesión	actualice la pestaña Roles
-403 "Access denied"	un usuario distinto del administrador del clúster intenta asignar o retirar un rol	realice la operación como Cluster master
-22320	una asignación de rol para una cuenta integrada con un identificador inferior a 10, o el rol ya está asignado	use una cuenta normal; consulte sus asignaciones actuales en la propia cuenta
-22421	retirada de un rol de una cuenta integrada	las asignaciones de roles de las cuentas integradas no se pueden cambiar
-22420 "Specified user has no specified role assignment"	el par de rol y VDC no coincide con ninguna asignación existente	revise la lista de roles de la cuenta e indique el mismo VDC
-22204, -22205	no se identificó la cuenta: la solicitud se envió sin identificador	vuelva a la pestaña Users y abra de nuevo la cuenta

Véase también

• Privilegios y ámbitos — Modelo de acceso de vStack Center.
• Creación de cuentas y contraseñas — Cómo administrar usuarios.
• Conjuntos completos de campos y resumen de códigos de error — Campos y códigos de error de los métodos de acceso.

Métodos de la API

Operaciones de la API tratadas en esta página: privilege-categories, privilege-list, privilege-scopes, role-privilege-list, role-create, role-get, role-scopes, role-list, role-set, role-delete, user-role-assign, user-role-deassign, user-role, user-roles, user-roles-v2, user-roles-map — consulte la referencia de la API.