Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 13 Authentifizierung und Benutzerverwaltung
Zuweisen von Root-Benutzerberechtigungen
Root-Benutzer können Aktivitäten nur auf dem ESX-Host durchführen, an dem sie angemeldet sind.
Aus Sicherheitsgründen sollten Sie dem Root-Benutzer nicht die Rolle [Administrator] gewähren. In diesem
Fall können Sie die Berechtigungen nach der Installation so ändern, dass der Root-Benutzer keine weiteren
Administratorrechte hat, oder Sie löschen alle Zugriffsrechte des Root-Benutzers über den vSphere-Client, wie
im Administratorhandbuch zum VMware vSphere-Datencenter beschrieben. Wenn Sie dies tun, müssen Sie auf der
Root-Ebene zunächst eine andere Genehmigung erteilen, die ein anderer Benutzer mit der Rolle des Administrators
erhält.
Die Zuweisung der Administratorenrolle auf verschiedene Benutzer gewährleistet die Nachvollziehbarkeit
und somit die Sicherheit. Der vSphere-Client protokolliert alle Aktionen des Administrators als Ereignisse und
gibt ein Überwachungsprotokoll aus. Wenn alle Administratoren sich als Root-Benutzer anmelden, können
Sie nicht wissen, welcher Administrator eine Aktion ausgeführt hat. Wenn Sie mehrere Berechtigungen auf
Root-Ebene anlegen, die jeweils einem anderen Benutzer oder einer anderen Benutzergruppe zugewiesen sind,
können Sie die Aktionen jedes Administrators oder jeder Administratorengruppe gut nachvollziehen.
Nachdem Sie einen alternativen Administrator-Benutzer angelegt haben, können Sie dem Root-Benutzer eine
andere Rolle zuweisen. Zum Verwalten des Hosts mithilfe von vCenter Server benötigt der neue Benutzer,
den Sie erstellt haben, auf dem Host vollständige Administratorrechte.
HINWEIS vicfg-Befehle führen keine Zugriffsprüfung durch. Selbst wenn Sie die Berechtigungen des Root-
Benutzers einschränken, wirkt sich dies nicht auf die Befehle aus, die er über die Befehlszeilenschnittstelle
ausführen kann.
Grundlegendes zu vpxuser-Berechtigungen
Die Berechtigung „vpxuser“ wird für vCenter Server beim Verwalten von Aktivitäten für den Host verwendet.
Sie wird erstellt, wenn ein ESX-Host mit vCenter Server verbunden wird.
vCenter Server hat Administratorberechtigungen auf dem Host, der die Anwendung verwaltet. So kann
vCenter Server zum Beispiel virtuelle Maschinen auf Hosts verschieben und Konfigurationsänderungen vornehmen,
die für die Unterstützung virtueller Maschinen notwendig sind.
Der Administrator von vCenter Server kann viele der Aufgaben des Root-Benutzers auf dem Host durchführen
und Aufgaben planen, Vorlagen erstellen und nutzen usw. Der vCenter Server-Administrator kann jedoch
nicht Benutzer oder Gruppen für ESX-Hosts direkt erstellen, löschen oder bearbeiten. Diese Aufgaben können
nur von einem Benutzer mit Administratorberechtigungen auf dem jeweiligen ESX-Host durchgeführt werden.
HINWEIS Sie können den vpxuser nicht mithilfe von Active Directory verwalten.
VORSICHT Ändern Sie [vpxuser] und die dazugehörigen Berechtigungen nicht. Ansonsten kann es zu Problemen
bei der Verwaltung des ESX-Hosts über vCenter Server kommen.
Grundlegendes zu Rollen
vCenter Server und ESX gewähren nur Benutzern Zugriff auf Objekte, denen Berechtigungen für das jeweilige
Objekt zugewiesen wurden. Wenn Sie einem Benutzer oder einer Gruppe Berechtigungen für das Objekt zuweisen,
kombinieren Sie hierzu den Benutzer oder Gruppe mit einer Rolle. Bei einer Rolle handelt es sich um
einen vordefinierten Satz an Rechten.
Für ESX-Hosts gibt es drei Standardrollen. Es ist nicht möglich, die Berechtigungen für diese drei Rollen zu
ändern. Jede nachfolgende Standardrolle enthält die Berechtigungen der vorhergehenden Rolle. So übernimmt
beispielsweise die Rolle [Administrator] die Rechte der Rolle [Nur lesen] . Rollen, die Sie selbst anlegen,
übernehmen keine Berechtigungen von den Standardrollen.
VMware, Inc. 197