Управление ролями пользователей

Ролевая модель платформы управляет доступом пользователей к функциям. 

По умолчанию в платформе доступны преднастроенные роли: администратор, продвинутый пользователь и пользователь. Изменение настроек этих ролей недоступно. Подробнее о возможностях каждой роли см. в статье Уровни доступа. 

Вы можете создать собственную (пользовательскую) роль с гибким разграничением доступа к возможностям платформы. Данная статья содержит описание ролевой модели платформы и инструкции по управлению ролями.

Ограничения функции

В текущей реализации:

• рекомендуется использовать собственные роли для ознакомления с их возможностями и тестирования ролевого доступа к платформе;
• не поддерживается назначение собственных ролей для пользователей из LDAP.

Для работы ролевой модели необходим хотя бы один пользователь с преднастроенной ролью администратора. Это позволит восстановить доступ к платформе в случае недостаточного объёма прав для пользовательской роли. Если доступ к учётной записи администратора утрачен, обратитесь в техническую поддержку.

Терминология ролевой модели

Пользователь — любой субъект (в том числе и администратор), работающий с системой.

Администратор — привилегированный пользователь, имеющий права для настройки ролей.

Роль — совокупность объектов и прав.

Права (привилегии) — разрешения выполнять определённые действия с объектами.

Объект — управляемая сущность, на которую распространяются права. В VMmanager к объектам относятся виртуальные машины (ВМ), кластеры и системы.

Система — часть платформы, которая не подразумевает определение прав для отдельных объектов. В большинстве случаев, системы в VMmanager — это разделы платформы. Например, в настройках роли можно полностью запретить доступ к разделу Скрипты, но нельзя запретить доступ только к отдельным скриптам.

Преднастроенные роли — неизменяемые роли, существующие в платформе по умолчанию — администратор, продвинутый пользователь, пользователь.

Пользовательская роль — роль, созданная администратором.

Логика работы

Администратор может создавать, изменять и удалять только пользовательские роли. Изменение преднастроенных ролей не поддерживается.

Роли можно назначать конкретным пользователям или группам. Пользователю может быть назначена либо одна из преднастроенных ролей, либо одна и более пользовательских ролей. Если пользователю назначено несколько пользовательских ролей, то их права объединяются.

Для каждого объекта могут быть установлены следующие права:

• разрешено — действие с объектом разрешено для участников этой роли;
• не разрешено — состояние по умолчанию. Действие с объектом не разрешено для этой роли, но может быть выдано через другую роль. Например, если одна из ролей пользователя разрешает создание ВМ, а другая не разрешает, то пользователь сможет создавать ВМ;
• запрещено — действие с объектом строго запрещено. Запрет имеет наивысший приоритет при объединении прав нескольких ролей. Например, если одна из ролей пользователя разрешает создание ВМ, а другая запрещает, то пользователь не сможет создавать ВМ.

Объекты и права, для которых настраивается роль:

Управление ролями

Чтобы управлять ролями, перейдите в раздел Пользователи → вкладка Роли.

Интерфейс вкладки

Создание роли

Чтобы создать роль:

1. Нажмите кнопку Создать роль.
2. Введите Название роли.
3. Введите произвольное Описание роли.
4. Выберите объекты и права, которые будут доступны участникам этой роли:
   1. В разделе Кластеры:
      1. Нажмите кнопку Выбрать кластеры.
      2. Выберите кластеры, которые должны быть доступны в роли:
         • Все кластеры платформы;
         • Выбранные кластеры → отметьте нужные кластеры в списке.
      3. Нажмите кнопку Применить (Выбрать).
         
   2. В разделе Виртуальные машины:
      1. Нажмите кнопку Выберите VM.
      2. Выберите ВМ, которые должны быть доступны в роли:
         • Все VM платформы;
         • Выбранные VM:
           • Свои VM участника роли;
           • Все VM из кластеров → выберите кластеры;
           • Выбрать VM вручную → отметьте нужные ВМ в списке.
      3. Нажмите кнопку Выбрать.
         
   3. Настройте права для каждого объекта:
      • по умолчанию для всех прав установлено значение "не разрешено" — значок  ;
      • чтобы установить значение "разрешено", нажмите значок ;
      • чтобы установить значение "запрещено", нажмите значок ;
      • чтобы установить значение "разрешено" для всех прав, нажмите кнопку Разрешить все.
        
5. Нажмите кнопку Создать роль.

Изменение роли

Чтобы изменить настройки роли:

1. Выберите роль в левой части окна.
2. Откройте вкладку Настройки.
3. Внесите необходимые изменения.
4. Нажмите кнопку Сохранить.

Управление участниками роли

Чтобы управлять участниками роли, выберите роль в левой части окна и перейдите на вкладку Участники роли.

Чтобы назначить роль пользователям:

1. Откройте вкладку Пользователи.
2. Нажмите кнопку Добавить пользователя.
3. Выберите пользователей из списка.
4. Нажмите кнопку Добавить. 
   Вы не можете назначить роль для учётной записи, через которую авторизовались в платформе.

Чтобы исключить пользователя из роли, в строке с пользователем нажмите значок → Удалить из роли.

Чтобы назначить роль группам пользователей:

1. Откройте вкладку Группы пользователей.
2. Нажмите кнопку Добавить группу.
3. Выберите группы из списка.
4. Нажмите кнопку Добавить.

Чтобы исключить группу из роли, в строке с группой нажмите значок → Удалить из роли.

Удаление роли

Чтобы удалить роль:

1. Выберите роль в левой части окна.
2. Перейдите на вкладку Настройки.
3. Нажмите кнопку Удалить. 

Лог-файлы

Для выявления проблем в работе ролевой модели могут быть полезны логи сервисов:

• автооризации auth — сохраняется в stdout контейнера auth;
• управления ролями vmr — сохраняется в stdout контейнера vmr.