虛擬雲網路

網路虛擬化NSX 技術文章系列一百三十一 : NSX-T Data Center:基於角色的權限控制以及與vIDM的整合(二)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與SD-WAN方案的介紹與推廣。

針對NSX-T如何結合VMware Identity Manager (vIDM) 來達成不同管理者的權限控制以及集中的帳號管理,我們需要討論下面三個問題:

 

  • NSX-T內角色權限管控 (Role-Based-Access-Control, RBAC) 的做法是如何

 

  • NSX-T 如何接取到前端的VMware Identity Manager

 

  • VMware Identity Manager如何配置,如何與其他目錄服務或是安全認證方案進行結合

 

上面的三點內,本篇網誌我們要集中火力討論第一點,NSX-T內有哪些角色,不同的角色有哪些權限。而後篇網誌內我們則要說明NSX-T方案要怎麼接取到前端的vIDM。第三點對於vIDM怎麼安裝,不是我們的重點,但下篇網誌內會簡單地說明步驟。

 

好那NSX-T Data Center內,管理者有哪些不同的角色 (Role) 呢?目前在NSX-T 2.3版內,總共有下列十種內建的角色:

 

  • Enterprise Administrator (EA): 最高權限管理者,可以做所有的事。當大家安裝完NSX-T,預設的本地admin帳號就是隸屬於Enterprise Administrator這個角色

 

  • Network Engineer (NE): 對於網路服務如Switching and Routing擁有全部權限

 

  • Network Operator (NO): 對於網路服務僅能夠讀取配置但無法修改,但可以執行網路相關的Monitor / Troubleshooting工具

 

  • Security Engineer (SE): 對於安全服務如防火牆配置 / 加解密服務擁有全部權限

 

  • Security Operator (SO): 對於安全服務僅能夠讀取配置但無法修改,但可以執行安全相關的Monitor / Troubleshooting工具

 

  • Load Balancer Administrator (LB Adm): 對於負載平衡服務擁有全部權限

 

  • Load Balancer Auditor (LB Aud): 對於負載平衡服務擁有讀取權限

 

  • Auditor (A): 對於NSX-T內的所有配置均擁有讀取權限,但無法修改

 

如果你安裝完基礎的NSX-T,就會看到上面這八種內建角色。但如果這個NSX-T環境還有結合NSX Cloud方案,有安裝Cloud Service Manager,那就還有另外兩種相關的角色:

 

  • Cloud Service Administrator (CS Adm): 可以對Cloud Service相關服務進行管理與配置

 

  • Cloud Service Auditor (CS Aud): 對Cloud Service相關服務具備讀取權限

 

上面的說明,想必大家還是看得模模糊糊。NSX-T的文件內對於哪個角色可以做什麼事有很完整的對應表,但因為太大,又是標準文件各位都能夠查得到,我就只貼部分,如下圖:

上面這張圖的完整版本(列出所有權限與角色的對應),大家可以透過下列方式查詢:

 

  • 下載NSX-T Data Center的Administration Guide,在Operations and Management章節內的Managing User Accounts and Role-Based Access Control這個段落內就可以找到上面這張表,

 

  • 或是線上版本,以NSX-T 2.3版來說是在https://docs.vmware.com/en/VMware-NSX-T-Data-Center/2.3/com.vmware.nsxt.admin.doc/GUID-26C44DE8-1854-4B06-B6DA-A2FD426CDF44.html 這邊

 

而在上表內的FA / E / R / None代表的分別是

 

  • FA (Full Access): 可以讀取以及進行配置異動

 

  • E (Execute): 可以執行對應工具

 

  • R (Read Only): 只能讀取相關配置,不能進行配置更動

 

  • None: 不相關 / 不具備任何權限

 

這樣的對照很清晰了吧。

 

當我們已經做好vIDM與NSX-T的整合(下一篇網誌),此時我們用admin帳號登入NSX-T管理介面,從System – Users – Role Assignment內,就可以看到有哪些帳戶,以及對應的權限有哪些。下圖內可以看到基礎的admin帳戶就是Enterprise Administrator,另外我從vIDM拉入了幾個帳號並且配置了對應的Roles

 

比如說colin-security@zodemo.com這個帳號被授與了Auditor / Security Engineer / Security Operations的權限。當然,我們可以對各個帳號的角色進行修改:

一個要注意的是到目前的版本,NSX-T仍僅能支援內建帳戶(也就是上面講的那十個),而還沒有客製化角色細部權限的功能。希望在後續的新版本內會把這個需求做出來。

 

下一篇網誌內,我們與各位介紹NSX-T與vIDM的整合方式。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注