הגדרת הרשאות
ותפקידים ב-vCenter

בלי כתוביותעם כתוביות

מילון מושגים:

vCenter - כלי ניהול מרכזי של VMware לניהול מספר שרתי ESXi והמכונות הווירטואליות שעליהם ממקום אחד.

מסד נתונים - אוסף מאורגן של נתונים המאוחסן כך שאפשר לשמור, לחפש, לעדכן ולשלוף אותו ביעילות, לרוב באמצעות שפת שאילתות.

מכונה וירטואלית - מחשב מדומה שרץ כתוכנה על גבי מחשב פיזי, עם מערכת הפעלה ומשאבים משלו, בבידוד מהמערכת המארחת.

SQL Server - מערכת ניהול מסדי נתונים יחסיים של מיקרוסופט, הנשלטת בשפת T-SQL.

MongoDB - מסד נתונים מסוג NoSQL שמאחסן נתונים כמסמכים בפורמט דמוי JSON, בלי מבנה טבלאי קשיח.

מעבד - יחידת העיבוד המרכזית של המחשב, שמבצעת את הפקודות של התוכניות ומנהלת את החישובים.

זיכרון - רכיב מהיר ונדיף שבו המחשב שומר נתונים ותוכניות בזמן ריצתם. תוכנו נמחק עם כיבוי המחשב.

vMotion - יכולת של VMware להעביר מכונה וירטואלית פעילה בין שרתים פיזיים בלי להפסיק את פעולתה.

הגדרת הרשאות ותפקידים ב-vCenter

עקרון ההרשאות המינימליות (least privilege) אומר לתת לכל תפקיד רק מה שהוא צריך. ההרצאה בונה Role משלנו עבור קבוצת Database Admins, כך שיוכלו לדלוק, לאתחל ולצלם Snapshot של שרתי הדאטאבייס שלהם, ולא יותר מזה.

השלבים העיקריים

1. יצירת התפקיד: ב-Roles לוחצים New ונותנים שם (בהרצאה Practicu Database Admins Role). טריק: קו תחתון בתחילת השם מעלה אותו לראש הרשימה.

2. בחירת ההרשאות: תחת Virtual machine, ב-Interaction, מסמנים רק Console interaction, Power on ו-Reset, ובנוסף את ההרשאות של Snapshot management. Power off לא ניתן בכוונה, כי הוא ניתוק חשמל בכוח ויכול לאבד נתונים. במקומו המשתמשים מבצעים Shutdown מתוך מערכת ההפעלה, ו-Reset נשאר למקרה שהכל נתקע. לא ניתנת הוספת דיסקים ושינוי הגדרות.

3. Resource Pool: משנים שמות למכונות (SQL Server ו-MongoDB Server) ויוצרים Resource Pool בשם Database Servers, אליו גוררים אותן. הוא מאפשר גם הגבלת CPU וזיכרון, אבל כאן משמש גם לסדר, ובעיקר כנקודה לחלוקת הרשאות.

4. קבוצה ויוזר ב-AD: ב-DC (dsa.msc) יוצרים קבוצה db-admins ויוזר yoni שהוא חבר בה.

5. מתן ההרשאה: ב-Permissions של ה-Resource Pool לוחצים Add, בוחרים את db-admins ואת התפקיד החדש, ומסמנים Propagate to children כדי שיחול גם על המכונות שבפנים.

6. בדיקה כ-yoni: המשתמש רואה רק את השרתים המותרים, יכול לעשות Power on, לנהל Snapshots ולצלם Snapshot. ב-vMotion וב-Edit Settings הוא מקבל הודעה שאין הרשאה.

7. חסימת שרת אחד: כדי למנוע ל-db-admins גישה ל-MongoDB, מוסיפים בהרשאות של המכונה הספציפית את הקבוצה עם התפקיד No access. המשתמש כבר לא רואה את המכונה כלל.

שימו לב

- אפשר לערוך או למחוק הרשאה בכל רגע, ב-Edit או ב-Delete.

- משתמש לא רואה אובייקטים שאין לו עליהם הרשאה.

כך אפשר לבנות תפקיד מותאם ולהחיל אותו על קבוצה מה-AD, כולל הוצאת מכונה מסוימת מתחומה.

פרקי ההרצאה: הגדרת הרשאות ותפקידים ב-vCenter

תמלול ההרצאה: הגדרת הרשאות ותפקידים ב-vCenter

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת הרשאות ותפקידים ב-vCenter» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו אנחנו נכין custom roles, תפקידים משלנו, שלא יהיה רק אדמיניסטרטור או read-only. נניח שאנחנו רוצים לקבוצת DataBase Admins לתת אישור רק לעשות ריסטארט למכונות שלהם, ובנוסף לזה גם לעשות סנאפשוטים של המכונה הווירטואלית כדי שיוכלו לחזור אחורה בזמן במקרה של תקלה.
00:25
אז אנחנו רוצים לקבוצה מסוימת לתת על שירתים מסוימים אפשרות לעשות ריסטארט, אפשרות לעשות פאוור און, להדליק אותם אבל לא לכבות אותם, לראות את הקונסול, את המסך שלהם ולעשות סנפשוטים.
00:40
רק ארבע פעולות האלו החלטנו לאשר לדאטה בייס אדמינס ולא שום דבר אחר. אתם מכירים את עקרון האבטחה least privilege שאומר לתת לאנשים את המינימום ההרשאות הנדרשות לתפקיד שלהם.
00:54
ככה אם איזשהו וירוס ישתלט להם על התחנה הוא לא יוכל לעשות הרבה נזק, אני נותן רק את ההרשאות המינימליות הנדרשות לתפקיד. אז איך אנחנו יוצרים את התפקיד הזה שאני אקרא לו Practic U Database Admins role?
01:09
אז אני בא פה למעלה ל-Roles ולוחץ New, נותן שם לתפקיד החדש Practic U Database Admins. אני אלמד אתכם טריק, אם אתם רוצים שזה יהיה ראשון ברשימה אז תעשו מקף למטה, ואנחנו מחפשים פה איזה הרשאות אנחנו רוצים לחלק לאנשים ברול הזה, בתפקיד הזה.
01:28
אני מחפש פה virtual machines, מכונות וירטואליות. אני לא רוצה לתת להם לנהל שום דבר, אני רוצה לתת להם רק אפשרות פה באינטראקשן של המכונות הווירטואליות לגשת לקונסול, למסך הפיזי כביכול של המחשב, power on, להדליק אותו, אבל לא לכבות אותו.
01:48
אם הם רוצים לכבות אותו, שיעשו shutdown מתוך מערכת ההפעלה, ולא power off של תלישת כבל. יכול להיות שיש יוזרים שלא מבינים שpower off זה מנתק חשמל בכוח למכונה הווירטואלית הזאת, ויש נתונים שלא יישמרו, אז אני מעדיף שיעשו shutdown מתוך מערכת ההפעלה.
02:07
אז אני לא נותן להם אופציה של power off, מה שכן, לפעמים הכל נתקע להם ואני צריך לעשות להם reset, אז אני אתן להם לעשות reset, שזה גם כמו לנתק את החשמל.
02:18
אז יש להם reset למקרה שהכל נתקע, אם בטעות מכונה כבויה הם יעשו power on, וגם ניתן להם אפשרות לעשות סנאפשוט לפני שהם עושים פעולה מסוכנת, שיוכלו לעשות צילום של המצב הקיים ולהחזיר אחורה.
02:33
כל הנושא של סנאפשוט מנאג'ר, אני נותן להם הכל פה. מה אני לא נותן להם? אני לא נותן להם להוסיף דיסקים ולא נותן להם לשנות שום הגדרות.
02:44
רק ארבע פעולות שנדרשות לעבודה שלהם. נעשה פה קריאייט. הנה, יש לנו פה Practical Database Admin Role, ועכשיו אפשר ללכת ל-Inventory למחסן שלנו ולחלק הרשאות.
02:58
שיהיה לנו מעניין, נשנה שם למכונה הווירטואלית הזאת מטסט VM1 ב-right-click rename ל-SQL Server כאילו זה שרת SQL של מיקרוסופט ונעשה עוד שרת MongoDB שזה גם סוג של דאטאבייס נעשה פה right-click rename וניתן לזה שם MongoDB Server.
03:20
אלו הם שני השרתים שלנו ואנחנו רוצים לשים אותם ב-resource pool, resource pool זאת קבוצה עם הגבלת משאבים, שימו לב כשאני לוחץ כאן אני יכול לתת להם איזשהו לימיט על CPU, איזשהו לימיט על הזיכרון המקסימלי שהם תופסים, אבל כל זה פחות חשוב לנו כי המטרה שלנו זה ליצור resource pool, רק ניתן לו שם פה,
03:44
data base servers, הרבה משתמשים גם ב-resource pool הזה כדי לעשות סדר, ונגרור את המונגו db שלנו ואת הsql שלנו לתוך ה-resource pool.
03:55
ה-resource pool הזה חוץ מלהגביל במשאבים גם עושה לי סדר בעין, אני רואה כל הדאטה בייסים כאן, אז הרבה פעמים סתם עושים את ה-resource pools האלו רק ליופי ולסדר, אבל המטרה האמיתית שלהם זה הגבלת משאבים, וב-permissions שלהם, בהרשאות שלהם, אני יכול לחלק הרשאות על ה-resource pool ועל כל מי שייכנס לשם.
04:17
אז אנחנו עומדים על ה-Ressource Pool הזה ועושים Add פה למעלה ומוסיפים הרשאה לקבוצה שנמצאת ב-Active Directory שלנו בשם Database Admins ואני רואה שאין לנו את הקבוצה הזאת פה.
04:31
אתם רואים ב-DN אין כאן את הקבוצה, שכחנו לעשות אותה. בואו נקפוץ שנייה ל-DC, נפתח את הקונסול, כמובן שעדיף לעשות Remote Desktop ל-DC ולא לעבוד בצורה כזאת.
04:42
פה בתוך ה-DC נלחץ Tools למעלה ונבחר Active Directory users and computers מה שנקרא dsa.msc יפתח לנו הכלי שלנו מייקרוסופט קונסול ופה בפנים