Привилегии и роли

Доступ в Inscale настраивается гранулярно через роли и привилегии. Система контролирует зависимости между правами и не позволяет собрать небезопасную или нерабочую комбинацию.

Где это. Роли настраиваются в разделе «Роли» бокового меню, учётные записи — в разделах «Пользователи» и «Группы», а общесистемные права — в разделе «Глобальный доступ».

Раздел «Роли» в приложении Inscale
Раздел «Роли»: системные и пользовательские роли — например, VM User, Super User, root.

Модель доступа

Права назначаются ролями, роли — пользователям и группам. Источником пользователей может быть внешний каталог (LDAP / Active Directory): такие пользователи доступны только для просмотра, а роли и привилегии навешиваются уже в Inscale — единый источник истины сохраняется.

В системе есть две предсозданные роли — супер-администратор и пользователи ВМ; на их основе создаются любые собственные. Привилегии очень гранулярны (вплоть до управления электропитанием конкретной ВМ) и назначаются на конкретный ресурс — виртуальную машину, пул, кластер, хранилище или сеть — либо глобально, без наследования.

Карточка роли с деревом привилегий в режимах «Базовый» и «Продвинутый»
Карточка роли: переключатель «Базовый / Продвинутый» и гранулярные привилегии по разделам — административные права (пользователи, группы, роли, глобальный доступ) и права на ресурсы (кластеры, хранилища, ВМ, сети, образы, резервные копии и другие).

Как создать и назначить. В разделе «Роли» создайте новую роль (можно на основе существующей) и отметьте нужные привилегии. Затем назначьте роль пользователю или группе — на конкретный ресурс или глобально.

Мастер создания роли: общие настройки и клонирование из существующей роли
Создание роли: выбор режима («Базовый» — готовые пресеты, «Продвинутый» — полный контроль над привилегиями), имя, примечание и клонирование настроек из существующей роли (здесь — из «VM User»).

Проверка зависимостей привилегий

Привилегии связаны в зависимое дерево. При изменении любой привилегии система проверяет связи и предупреждает, какие ещё права придётся включить или отключить. Например, чтобы назначать пользователей в пул рабочих станций, нужно право управления их электропитанием, а управление ролями требует полного доступа. Изменения применяются только после того, как администратор подтверждает «разрешить все изменения».

Базовый набор ролей и привилегий фиксируется при сборке клиентского образа, поэтому каждый клиент получает свою преднастроенную модель доступа.