Handbuch zur Serverkonfiguration für ESXi - VMware

Die von vCenter Server geführte Benutzerliste ist eine andere als die Benutzerliste des Hosts. Auch wenn die
Listen scheinbar gleiche Benutzer (z. B. einen Benutzer mit der Bezeichnung devuser) enthalten, müssen Sie
diese Benutzer getrennt behandeln. Wenn Sie sich an vCenter Server als „devuser“ anmelden, können Sie z.
B. über die Berechtigung verfügen, Dateien aus einem Datenspeicher anzusehen und zu löschen, was nicht
der Fall sein muss, wenn Sie sich auf dem ESXi-Host als „devuser“ anmelden.
Überprüfen Sie vor der Erstellung von ESXi-Host-Benutzern die Benutzerliste von vCenter Server, um die
Vergabe doppelter Namen zu vermeiden. Das Verzeichnis der vCenter Server-Benutzer finden Sie im Windows-Domänenverzeichnis.
Grundlegendes zu Gruppen
Eine Gruppe ist eine Zusammenstellung von Benutzern mit gemeinsamen Regeln und Berechtigungen. Wenn
Sie einer Gruppe Berechtigungen zuweisen, werden diese von allen Benutzern in der Gruppe übernommen,
wodurch Sie die Benutzerprofile nicht einzeln bearbeiten müssen.
Als Administrator müssen Sie entscheiden, wie die Gruppen strukturiert werden sollen, um die Sicherheitsund
Verwendungsziele zu erreichen. Sie haben zum Beispiel drei Teilzeitkräfte in der Vertriebsabteilung, die
an verschiedenen Tagen arbeiten und zwar auf eine bestimmte virtuelle Maschine zugreifen sollen, nicht jedoch
auf die virtuellen Maschinen des Vertriebsleiters. In diesem Fall können Sie eine Gruppe mit der Bezeichnung
„VertriebTeilzeit“ und drei Vertriebsmitarbeitern erstellen und dieser Gruppe die Berechtigung
zuteilen, nur mit einem Objekt, der gemeinsamen virtuellen Maschine, zu interagieren. Sie können jedoch keine
Vorgänge auf den virtuellen Maschinen des Vertriebsleiters durchführen.
Die Gruppenverzeichnisse in vCenter Server und auf dem ESXi-Host stammen aus den gleichen Quellen wie
die entsprechenden Benutzerverzeichnisse. Wenn Sie mit vCenter Server arbeiten, wird das Gruppenverzeichnis
von der Windows-Domäne abgerufen. Wenn Sie direkt an einem ESXi-Host angemeldet sind, wird
die Liste der Benutzergruppen aus einer Tabelle aufgerufen, die vom Host verwaltet wird.
Grundlegendes zu Berechtigungen
Für ESXi und vCenter Server werden Berechtigungen als Zugriffsrollen definiert, die aus einem Benutzer und
der dem Benutzer zugewiesenen Rolle für ein Objekt wie z. B. einer virtuellen Maschine oder einem ESXi-Host
bestehen.
Die meisten vCenter Server- und ESXi-Benutzer können Objekte des Hosts nur in eingeschränktem Maß ändern.
Benutzer mit der Rolle „Administrator“ haben Vollzugriff auf alle virtuellen Objekte wie Datenspeicher,
Hosts, virtuelle Maschinen und Ressourcenpools. Dem Root-Benutzer ist die Rolle „Administrator“ standardmäßig
zugewiesen. Wenn vCenter Server den Host verwaltet, ist vpxuser auch ein Administrator.
Die Liste der Berechtigungen ist für ESXi und vCenter Server gleich. Zum Konfigurieren der Berechtigungen
wird die gleiche Methode verwendet.
Sie können über eine direkte Verbindung mit dem ESXi-Host Rollen erstellen und Berechtigungen festlegen.
Da diese Aufgaben jedoch häufiger in vCenter Server durchgeführt werden, lesen Sie die Abschnitte in Grundlagen
der Systemverwaltung, um Informationen zum Verwalten von Berechtigungen und Rollen zu erhalten.
Zuweisen von Root-Benutzerberechtigungen
Kapitel 13 Authentifizierung und Benutzerverwaltung
Root-Benutzer können Aktivitäten nur auf dem ESXi-Host durchführen, an dem sie angemeldet sind.
Aus Sicherheitsgründen sollten Sie dem Root-Benutzer nicht die Rolle [Administrator] gewähren. In diesem
Fall können Sie die Berechtigungen nach der Installation so ändern, dass der Root-Benutzer keine weiteren
Administratorrechte hat, oder Sie löschen alle Zugriffsrechte des Root-Benutzers über den vSphere-Client, wie
im Kapitel "Verwalten von Benutzern, Gruppen, Berechtigungen und Rollen" des Handbuchs Grundlagen der
Systemverwaltung beschrieben. Wenn Sie dies tun, müssen Sie auf der Root-Ebene zunächst eine andere Genehmigung
erteilen, die ein anderer Benutzer mit der Rolle des Administrators erhält.
VMware, Inc. 161