Роли и привилегии

Роли

Роль это именованный набор привилегий плюс набор scope-атрибутов. Фиксированные роли заводит платформа, их нельзя изменить или удалить. Кастомные роли создаёт администратор кластера, они нумеруются с 10000.

id	Роль	Уровень	Назначение
1	`Cluster Master`	кластер	Полный доступ ко всему кластеру
2	`vDC Admin`	ВЦОД	Администрирование виртуального ЦОД (ВЦОД)
3	`vDC User`	ВЦОД	Работа с ресурсами внутри ВЦОД
4	`vDC Viewer`	ВЦОД	Просмотр объектов ВЦОД
5	`Resource Viewer`	кластер	Просмотр ресурсов кластера
6	`Security Admin`	кластер	Журнал безопасности и аудит
7	`VM Developer`	ВЦОД	Создание и настройка виртуальных машин
≥ 10000	своё имя, до 64 символов	по scope-атрибутам	Кастомная роль

Роли Security Admin и VM Developer появились в 3.0.3.

У Cluster Master scope-привязки нет вовсе: её набор областей пуст, поэтому она действует на весь кластер. У фиксированных ролей поле creator пустое, у кастомной там стоит идентификатор того, кто её создал.

Привилегии

Доступ выдаётся привилегиями с областью действия, а не жёсткой привязкой к конкретной роли: одна и та же привилегия может действовать на весь кластер или на отдельный ВЦОД.

Привилегии разложены по категориям, и в карточке роли интерфейс показывает их теми же разделами. Категория задаёт только группировку, права она не расширяет.

Категория	Имя в интерфейсе	Привилегий
`1` ВЦОД	`vDC`	10
`2` Виртуальные машины	`VM`	43
`3` Сети	`Network`	17
`4` Edge-маршрутизаторы	`Edge`	34
`5` Хранилище	`Storage`	6
`6` Узлы	`Node`	19
`7` Кластер	`Cluster`	11
`8` Пользователи и роли	`User`	31
`9` Прочее	`Misc`	4
`10` Аутентификация	`Auth`	2
`11` Журнал безопасности	`Security`	10
`12` Веб-интерфейс	`User Interface`	1
`13` Хранилище ВЦОД (Unified Storage)	`Unified Storage`	27
`14` Библиотека образов ОС	`OS Image Library`	7
`15` Резервное копирование	`Backup`	3

Три привилегии управления ролями кастомной роли не достаются: Create Role (7111), Edit Role (7112) и Delete Role (7113). Иначе кастомная роль смогла бы расширить сама себя. Попытка включить их в набор отклоняется кодами -22502 при создании роли и -22513 при правке.

Область действия

Область действия (scope) определяет, на какие объекты распространяется привилегия — весь кластер, конкретный ВЦОД или отдельный объект.

Видов области всего два, и разница между ними принципиальна.

Область	Годится кастомной роли	Смысл
ВЦОД (`vdc_id`)	да	привилегия действует в тех ВЦОД, где роль назначена
создатель объекта (`creator`)	нет	привилегия действует на объекты, созданные самим пользователем

Ограничение «только своё» кастомной роли задают не областью видимости, а готовыми привилегиями вида Own: Edit Own Network (2010) и её соседи по категориям «Сети» и «Edge-маршрутизаторы». Попытка выдать кастомной роли область creator отклоняется кодами -22505 при создании и -22517 при правке.

Роль выдаётся не «вообще», а в границах ВЦОД: если у роли есть область по ВЦОД, указать ВЦОД при назначении обязательно.

Реестр привилегий

Ниже полный реестр: 225 привилегий на 15 категорий. Имена приведены в том виде, в котором их показывает карточка роли. Идентификатор привилегии неизменен и по нему её адресует API.

ВЦОД (категория `1`, `vDC`)

id	Привилегия
`1000`	`View vDC`
`1001`	`Create vDC`
`1002`	`Edit vDC`
`1003`	`Delete vDC`
`1004`	`Assign vDC Network`
`1005`	`Deassign vDC Network`
`1006`	`View vDC Networks`
`1007`	`Manage vDC Network Limit`
`1008`	`View vDC Roles`
`1009`	`View vDC Volumes`

Виртуальные машины (категория `2`, `VM`)

id	Привилегия
`1100`	`View VM List`
`1101`	`View VM Details`
`1102`	`Access VM Console`
`1103`	`View VM Statuses`
`1104`	`View VM Profiles`
`1105`	`View VM History`
`1107`	`View Boot Media`
`1108`	`View VM Performance`
`1109`	`View Import Area`
`1110`	`Process Import Area`
`1111`	`View VM Inventory`
`1112`	`View VM Infrastructure Details`
`1113`	`View VM Migration Status`
`1114`	`Check VM Configuration`
`1200`	`Create VM`
`1201`	`Remove VM`
`1202`	`Edit VM Settings`
`1203`	`Change VM VDC`
`1204`	`Unlock VM`
`1205`	`Register VM Image`
`1206`	`Set VM Service ID`
`1300`	`Start VM`
`1301`	`Stop VM`
`1302`	`Restart VM`
`1303`	`Suspend VM`
`1304`	`Resume VM`
`1305`	`Suspend VM Pool`
`1306`	`Resume VM Pool`
`1400`	`Add VM Disk`
`1401`	`Remove VM Disk`
`1402`	`Resize VM Disk`
`1403`	`Label VM Disk`
`1404`	`Add VM NIC`
`1405`	`Remove VM NIC`
`1500`	`Create VM Snapshot`
`1501`	`Remove VM Snapshot`
`1502`	`Rollback VM Snapshot`
`1600`	`Rate Limit VM NIC`
`1601`	`Rate Limit VM Disk`
`1602`	`Set VM CPU Priority`
`1603`	`Set VM vCPU Class`
`1604`	`Set VM Memory Balloon`
`1605`	`Migrate VM`
`1606`	`Set VM Reserved vCPU Class`
`1607`	`Live Migrate VM`

Сети (категория `3`, `Network`)

id	Привилегия
`2000`	`View Networks`
`2001`	`Edit Network`
`2002`	`Create Network`
`2003`	`Delete Network`
`2005`	`View Own Networks`
`2010`	`Edit Own Network`
`2011`	`Delete Own Network`
`2100`	`View IP Pool Usage`
`2101`	`View IP Pool Free Addresses`
`2102`	`View IP Pool Details`
`2103`	`Add IP Pool`
`2104`	`Delete IP Pool`
`2105`	`View Own Network IP Pool Usage`
`2106`	`View Own Network IP Pool Free`
`2107`	`Add Own Network IP Pool`
`2108`	`Delete Own Network IP Pool`
`2109`	`View Own Network IP Pool Details`

Edge-маршрутизаторы (категория `4`, `Edge`)

id	Привилегия
`3000`	`View Edge List`
`3001`	`View Edge Details`
`3002`	`Create Edge`
`3003`	`Remove Edge`
`3004`	`Add Edge NIC`
`3005`	`Remove Edge NIC`
`3006`	`Start Edge`
`3007`	`Stop Edge`
`3008`	`Restart Edge`
`3009`	`Rate Limit Edge`
`3010`	`View Edge Logs`
`3011`	`View Edge Admin Details`
`3013`	`View Own Edge List`
`3014`	`View Own Edge Details`
`3020`	`Remove Own Edge`
`3021`	`Add Own Edge NIC`
`3022`	`Remove Own Edge NIC`
`3023`	`Start Own Edge`
`3024`	`Stop Own Edge`
`3025`	`Restart Own Edge`
`3026`	`Rate Limit Own Edge`
`3027`	`View Own Edge Logs`
`3028`	`Deploy Own Edge Rules`
`3029`	`Add Own Edge NAT Rule`
`3030`	`Add Own Edge Firewall Rule`
`3031`	`Remove Own Edge NAT Rule`
`3032`	`Remove Own Edge Firewall Rule`
`3033`	`View Own Edge Rules`
`3100`	`View Edge Rules`
`3101`	`Add NAT Rule`
`3102`	`Add Firewall Rule`
`3103`	`Remove NAT Rule`
`3104`	`Remove Firewall Rule`
`3105`	`Deploy Edge Rules`

Хранилище (категория `5`, `Storage`)

id	Привилегия
`4000`	`View Storage Pools`
`4001`	`View Storage Pool Details`
`4002`	`View Pool Map`
`4003`	`View Pool Map By GUID`
`4100`	`View Filesystem`
`4101`	`Edit Filesystem`

Узлы (категория `6`, `Node`)

id	Привилегия
`5000`	`View Nodes`
`5001`	`View Node Performance`
`5002`	`View Node CPU Cores`
`5003`	`View Node Software`
`5004`	`View Software Inventory`
`5005`	`View Node Inventory`
`5006`	`View Host Inventory`
`5007`	`View Node Hardware`
`5008`	`View PD Status Map`
`5100`	`Get Node Config`
`5101`	`Set Node Config`
`5102`	`View Node Config Map`
`5200`	`View Physical Disks`
`5201`	`Control PD LED`
`5202`	`View Port Groups`
`5203`	`Spare Physical Disk`
`5204`	`Use Physical Disk`
`5205`	`Replace Physical Disk`
`5206`	`View Disk Info`

Кластер (категория `7`, `Cluster`)

id	Привилегия
`6000`	`View Cluster Status Map`
`6001`	`View Cluster Overview`
`6002`	`View Cluster Totals`
`6003`	`View Cluster Status Map (full)`
`6004`	`View Cluster Status Map (dashboard)`
`6100`	`Enable Cluster Node`
`6101`	`Disable Cluster Node`
`6102`	`Enable Cluster Service`
`6103`	`Disable Cluster Service`
`6104`	`Start Cluster Service`
`6105`	`Stop Cluster Service`

Пользователи и роли (категория `8`, `User`)

id	Привилегия
`7000`	`View Users`
`7001`	`View User Details`
`7002`	`Create User`
`7003`	`Delete User`
`7004`	`Set Own User Password`
`7005`	`Unlock User`
`7100`	`View Roles`
`7101`	`View User Role`
`7102`	`View Own User Roles`
`7103`	`View Roles Map`
`7104`	`Assign User Role`
`7105`	`Deassign User Role`
`7106`	`View Any User Roles`
`7107`	`View Privileges`
`7108`	`View Role Privileges`
`7109`	`View Privilege Categories`
`7110`	`View Privilege Scopes`
`7111`	`Create Role`
`7112`	`Edit Role`
`7113`	`Delete Role`
`7114`	`View Role Details`
`7115`	`View Role Scopes`
`7200`	`Get User Params`
`7201`	`Set User Params`
`7202`	`View User Remotes`
`7203`	`Add User Remote`
`7204`	`Delete User Remote`
`7205`	`View User VHosts`
`7206`	`Add User VHost`
`7207`	`Delete User VHost`
`7208`	`Set Any User Password`

Прочее (категория `9`, `Misc`)

id	Привилегия
`8000`	`View Own User Task`
`8001`	`View All Snapshots`
`8002`	`View Any Task`
`8003`	`View Own User Snapshots`

Аутентификация (категория `10`, `Auth`)

id	Привилегия
`9000`	`View Security Settings`
`9001`	`Edit Security Settings`

Журнал безопасности (категория `11`, `Security`)

id	Привилегия
`10000`	`View Security Log`
`10001`	`Export Security Log`
`10002`	`Verify Security Log`
`10003`	`View Security Archive`
`10004`	`Export Security Archive`
`10005`	`View Security Archive Settings`
`10006`	`Edit Security Archive Settings`
`10007`	`Acknowledge Security Event`
`10008`	`View Security Notify Settings`
`10009`	`Edit Security Notify Settings`

Веб-интерфейс (категория `12`, `User Interface`)

id	Привилегия
`12000`	`Web UI`

Хранилище ВЦОД (Unified Storage) (категория `13`, `Unified Storage`)

id	Привилегия
`13000`	`Enable vDC Storage`
`13004`	`iSCSI Create Portal Group`
`13005`	`iSCSI Delete Portal Group`
`13006`	`iSCSI View Portal Group`
`13007`	`iSCSI List Portal Groups`
`13009`	`Configure vDC Storage iSCSI`
`13010`	`View vDC Storage`
`13011`	`List vDC Storages`
`13012`	`Create vDC Volume`
`13013`	`View vDC Initiator Group List`
`13014`	`View vDC Initiator Group`
`13015`	`Create vDC Initiator Group`
`13016`	`Set vDC Initiator Group`
`13017`	`Delete vDC Initiator Group`
`13018`	`Map vDC Volume`
`13019`	`Unmap vDC Volume`
`13020`	`View vDC Volume Detail`
`13021`	`View vDC Auth Group List`
`13022`	`View vDC Auth Group`
`13023`	`Create vDC Auth Group`
`13024`	`Set vDC Auth Group`
`13025`	`Set vDC Target Auth`
`13026`	`View vDC Storage iSCSI Detail`
`13027`	`Delete vDC Auth Group`
`13028`	`Delete vDC Volume`
`13029`	`List All Volumes`
`13030`	`View Storage Overview`

Библиотека образов ОС (категория `14`, `OS Image Library`)

id	Привилегия
`4200`	`Manage Image Library`
`4201`	`View Image Library`
`4202`	`Sync Image Library`
`4203`	`View Image Catalog`
`4204`	`Import Golden Image`
`4205`	`View Image Dependencies`
`4206`	`Remove OS Image`

Резервное копирование (категория `15`, `Backup`)

id	Привилегия
`14000`	`Backup VM Send`
`14001`	`Backup VM Restore`
`14002`	`Backup Dataset Ops`

См. также

Как читать модель доступа — привилегии, области действия и назначения роли пользователю.
Как создать роль и назначить её — сборка кастомной роли по шагам.
Поля и коды ошибок доступа — состав записей реестра и отказы методов.

Методы API

Реестр отдают методы privilege-list, privilege-categories, privilege-scopes, role-privilege-list и role-scopes; роли — role-list, role-get, role-create, role-set, role-delete — см. Справочник API.

Роли​

Привилегии​

Область действия​

Реестр привилегий​

ВЦОД (категория 1, vDC)​

Виртуальные машины (категория 2, VM)​

Сети (категория 3, Network)​

Edge-маршрутизаторы (категория 4, Edge)​

Хранилище (категория 5, Storage)​

Узлы (категория 6, Node)​

Кластер (категория 7, Cluster)​

Пользователи и роли (категория 8, User)​

Прочее (категория 9, Misc)​

Аутентификация (категория 10, Auth)​

Журнал безопасности (категория 11, Security)​

Веб-интерфейс (категория 12, User Interface)​

Хранилище ВЦОД (Unified Storage) (категория 13, Unified Storage)​

Библиотека образов ОС (категория 14, OS Image Library)​

Резервное копирование (категория 15, Backup)​

См. также​

Методы API​