2.2 Einrichten der Benutzerautorisierung und -authentifizierung

Bei einer PlateSpin Migrate-Rolle handelt es sich um eine Sammlung von PlateSpin Migrate-Rechten, die einen bestimmten Benutzer zur Durchführung bestimmter Aktionen berechtigen. Während der Installation erstellt das Installationsprogramm für PlateSpin auf dem PlateSpin Migrate-Server-Host drei lokale Windows-Gruppen: PlateSpin Migrate Administrators (PlateSpin Migrate-Administratoren), PlateSpin Migrate Power Users (PlateSpin Migrate-Hauptbenutzer) und PlateSpin Migrate Operators (PlateSpin Migrate-Operatoren). Diese Gruppen sind den drei PlateSpin Migrate-Rollen direkt zugeordnet, die die Benutzerautorisierung und -authentifizierung steuern:

Wenn ein Benutzer versucht, eine Verbindung zu einem PlateSpin-Server herzustellen, wird der im PlateSpin Migrate-Client eingegebene Berechtigungsnachweis vom IIS validiert. Wenn der Benutzer keiner der PlateSpin Migrate-Rollen angehört, wird die Verbindung verweigert. Wenn der Benutzer ein lokaler Administrator auf dem PlateSpin-Server-Host ist, wird dieses Konto als PlateSpin Migrate-Administrator angesehen.

Die Berechtigungsdetails für die PlateSpin Migrate-Rollen sind abhängig davon, ob Sie die Workloads mit dem PlateSpin Migrate-Client oder über die PlateSpin Migrate-Weboberfläche migrieren:

Damit ein bestimmter Windows-Domänen- oder lokaler Benutzer bestimmte PlateSpin Migrate-Vorgänge gemäß der festgelegten Rolle ausführen kann, fügen Sie die erforderliche Windows-Domäne oder das Benutzerkonto der entsprechenden lokalen Windows-Gruppe (PlateSpin Administrators (PlateSpin-Administratoren), PlateSpin Power Users (PlateSpin-Hauptbenutzer) oder PlateSpin Operators (PlateSpin-Operatoren)) auf dem PlateSpin-Server-Host hinzu. Weitere Informationen hierzu finden Sie in der Windows-Dokumentation.

PlateSpin Migrate enthält eindeutige Benutzerrollen (und ein Werkzeug für deren Erstellung in einem VMware-Rechenzentrum), die es VMware-Benutzern ohne Administratorrechte (oder „aktivierten Benutzern“) ermöglicht, Migrate-Lebenszyklusvorgänge in der VMware-Umgebung auszuführen. Anhand dieser Rollen können Sie als Dienstanbieter Ihren VMware-Cluster für eine Mehrfachmandantenfähigkeit segmentieren. Dies bedeutet, dass mehrere Migrate-Container in Ihrem Rechenzentrum instanziiert werden, um Migrate-Kunden oder „Mandanten“ aufzunehmen, die ihre Daten und den Nachweis über deren Vorhandensein von anderen Kunden, die ebenfalls Ihr Rechenzentrum nutzen, getrennt halten und den Zugriff durch diese Kunden verhindern möchten.

Dieser Abschnitt enthält folgende Informationen:

PlateSpin.VMwareRoleTool.exe /host=[host name/IP] /user=[user name] /role=[the role definition file name and location] /create

Zuweisen von Rollen in vCenter

Beim Einrichten einer Mehrfachmandantenumgebung müssen Sie pro Kunde oder „Mandant“ einen einzelnen Migrate-Server bereitstellen. Sie weisen diesem Migrate-Server einen aktivierten Benutzer mit bestimmten Migrate-VMware-Rollen zu. Dieser aktivierte Benutzer erstellt den Migrate-Container. Als Service-Anbieter bewahren Sie den Berechtigungsnachweis dieses Benutzers auf und geben ihn Ihrem Mandantenkunden nicht bekannt.

In der folgenden Tabelle sind die Rollen aufgeführt, die Sie benötigen, um den aktivierten Benutzer zu definieren. Sie enthält auch weitere Informationen über den Zweck der Rolle:

vCenter-Container für die Rollenzuweisung	Details zur Rollenzuweisung	Anweisungen für die Übertragung	Weitere Informationen
Stamm des vCenter-Inventarbaums	Weisen Sie dem aktivierten Benutzer die PlateSpin-Infrastruktur-Manager-Rolle (oder eine entsprechende Rolle) zu.	Aus Sicherheitsgründen müssen Sie die Berechtigung als nicht übertragbar definieren.	Diese Rolle ist erforderlich, um Aufgaben zu überwachen, die von der Migrate-Software ausgeführt werden, und um abgelaufene VMware-Sitzungen zu beenden.
Alle Rechenzentrumobjekte, auf die der aktivierte Benutzer zugreifen muss	Weisen Sie dem aktivierten Benutzer die PlateSpin-Infrastruktur-Manager-Rolle (oder eine entsprechende Rolle) zu.	Aus Sicherheitsgründen müssen Sie die Berechtigung als nicht übertragbar definieren.	Diese Rolle ist erforderlich, um den Zugriff auf die Datenspeicher des Rechenzentrums für den Datei-Upload/Download zuzulassen. Definieren Sie die Berechtigung als nicht übertragbar.
Jeder Cluster, der als Container zu Migrate hinzugefügt werden soll, und jeder Host, der im Cluster enthalten ist	Weisen Sie dem aktivierten Benutzer die PlateSpin-Infrastruktur-Manager-Rolle (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Für die Zuweisung zu einem Host müssen Sie die Berechtigung vom Cluster-Objekt übertragen oder eine zusätzliche Berechtigung an jedem Cluster-Host erstellen. Wenn die Rolle am Cluster-Objekt zugewiesen und übertragen wird, sind keine weiteren Änderungen beim Hinzufügen eines neuen Hosts zum Cluster erforderlich. Die Übertragung dieser Berechtigung bringt jedoch Auswirkungen auf die Sicherheit mit sich.
Jeder Ressourcen-Pool, auf den der aktivierte Benutzer zugreifen muss	Weisen Sie dem aktivierten Benutzer die Rolle des PlateSpin-Managers für virtuelle Maschinen (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Obwohl Sie den Zugriff auf eine beliebige Anzahl von Ressourcen-Pools an einem Standort im Baum zuweisen können, müssen Sie dem aktivierten Benutzer diese Rolle an mindestens einem Ressourcen-Pool zuweisen.
Jeder VM-Ordner, auf den der aktivierte Benutzer zugreifen muss	Weisen Sie dem aktivierten Benutzer die Rolle des PlateSpin-Managers für virtuelle Maschinen (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Obwohl Sie den Zugriff auf eine beliebige Anzahl von VM-Ordnern an einem beliebigen Standort im Baum zuweisen können, müssen Sie dem aktivierten Benutzer diese Rolle an mindestens einem Ordner zuweisen.
Jedes Netzwerk, auf das der aktivierte Benutzer zugreifen muss Verteilte virtuelle Netzwerke mit einem dvSwitch und einer dvPortgroup	Weisen Sie dem aktivierten Benutzer die Rolle des PlateSpin-Managers für virtuelle Maschinen (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Obwohl Sie den Zugriff auf eine beliebige Anzahl von Netzwerken an einem beliebigen Standort im Baum zuweisen können, müssen Sie dem aktivierten Benutzer diese Rolle an mindestens einem Ordner zuweisen. Um dem dvSwitch die richtige Rolle zuzuweisen, müssen Sie die Rolle auf das Rechenzentrum übertragen (wodurch ein weiteres Objekt erstellt wird, das die Rolle erhält) oder den dvSwitch in einen Ordner stellen und die Rolle an diesem Ordner zuweisen. Damit eine Standard-Portgruppe als verfügbares Netzwerk an der Migrate-Oberfläche aufgeführt wird, müssen Sie dafür an jedem Host im Cluster eine Definition erstellen.
Jeder Datenspeicher und Datenspeicher-Cluster, auf den der aktivierte Benutzer zugreifen muss	Weisen Sie dem aktivierten Benutzer die Rolle des PlateSpin-Managers für virtuelle Maschinen (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Dem aktivierten Benutzer muss diese Rolle an mindestens einem Datenspeicher oder Datenspeicher-Cluster zugewiesen worden sein. Bei Datenspeicher-Clustern muss die Berechtigung an die darin enthaltenen Datenspeicher übertragen werden. Wenn für ein einzelnes Mitglied des Clusters kein Zugriff bereitgestellt wurde, treten bei vorbereiteten und vollständigen Reproduktionen Fehler auf.

In der folgenden Tabelle sehen Sie die Rolle, die Sie dem Kunden oder Mandantenbenutzer zuweisen können.

vCenter-Container für die Rollenzuweisung	Details zur Rollenzuweisung	Anweisungen für die Übertragung	Weitere Informationen
Alle Ressourcen-Pools und Ordner, in denen die virtuellen Maschinen des Kunden erstellt werden	Weisen Sie dem Mandantenbenutzer die PlateSpin-Benutzer-Rolle (oder eine entsprechende Rolle) zu.	Die Übertragung liegt im Ermessen des VMware-Administrators.	Dieser Mandant ist Mitglied der PlateSpin-Administratorgruppe am PlateSpin Migrate-Server und ist auch am vCenter-Server vorhanden. Wenn der Mandant die von der virtuellen Maschine verwendeten Ressourcen (also die Netzwerke, ISO-Images etc.) ändern darf, müssen Sie diesem Benutzer dazu die nötigen Berechtigungen an diesen Ressourcen erteilen. Wenn Sie dem Kunden beispielsweise erlauben möchten, das Netzwerk zu ändern, in das seine virtuelle Maschine eingebunden ist, dann sollten Sie diesem Benutzer (mindestens) die schreibgeschützte Rolle (oder eine höhere Rolle) an allen Netzwerken zuweisen, auf die der Kunde zugreifen darf.

In der folgenden Abbildung ist eine virtuelle Infrastruktur in der vCenter-Konsole dargestellt. Den blau gekennzeichneten Objekten wird die Infrastruktur-Manager-Rolle zugewiesen. Den grün gekennzeichneten Objekten wird die Rolle des Managers für virtuelle Maschinen zugewiesen. Der Baum zeigt keine VM-Ordner, Netzwerke und Datenspeicher. Diesen Objekten wird die Rolle des PlateSpin-Managers für virtuelle Maschinen zugewiesen.

Abbildung 2-3 In vCenter zugewiesene Rollen

Auswirkungen auf die Sicherheit durch Zuweisen von VMware-Rollen

Die PlateSpin-Software verwendet einen aktivierten Benutzer nur zur Durchführung von Schutzmaßnahmen für Lebenszyklusvorgängen. Aus Ihrer Sicht als Service-Anbieter hat ein Endbenutzer niemals Zugriff auf den Berechtigungsnachweis des aktivierten Benutzers und kann nicht auf denselben Satz von VMware-Ressourcen zugreifen. In einer Umgebung, in der mehrere Migrate-Server für die Verwendung der selben vCenter-Umgebung konfiguriert sind, verhindert Migrate die Möglichkeit für den Zugriff über mehrere Clients hinweg. Die wichtigsten Auswirkungen auf die Sicherheit sind wie folgt:

• Wenn die Rolle des PlateSpin-Infrastruktur-Managers dem vCenter-Objekt zugewiesen wurde, kann jeder aktivierte Benutzer die von jedem anderen Benutzer ausgeführten Aufgaben sehen (doch diese nicht bearbeiten).

• Da es keine Möglichkeit gibt, Berechtigungen an Datenspeicherordnern/-unterordnern festzulegen, haben alle aktivierten Benutzer mit Berechtigungen an einem Datenspeicher Zugriff auf die Festplatten aller anderen aktivierten Benutzer, die im Datenspeicher gespeichert sind.

• Wenn die Rolle des PlateSpin-Infrastruktur-Managers dem Cluster-Objekt zugewiesen wurde, kann jeder aktivierte Benutzer HA oder DRS am gesamten Cluster aus- oder einschalten.

• Wenn die PlateSpin-Benutzer-Rolle am Speicher-Cluster-Objekt zugewiesen wurde, kann jeder aktivierte Benutzer SDRS für den gesamten Cluster aus- oder einschalten.

• Durch Festlegen der Rolle des PlateSpin-Infrastruktur-Managers am DRS-Cluster-Objekt und Übertragen dieser Rolle kann der aktivierte Benutzer alle virtuelle Maschinen sehen, die sich im Standard-Ressourcen-Pool und/oder Standard-VM-Ordner befinden. Für die Übertragung ist es außerdem erforderlich, dass der Administrator ausdrücklich für den aktivierten Benutzer festlegt, dass dieser eine „Nicht-Zugriff“-Rolle an jedem Ressourcen-Pool/VM-Ordner erhält, auf die dieser aktivierte Benutzer nicht zugreifen sollte.

• Durch Festlegen der Rolle des PlateSpin-Infrastruktur-Managers am vCenter-Objekt darf der aktivierte Benutzer Sitzungen von anderen Benutzern beenden, die mit dem vCenter verbunden sind.

HINWEIS:Denken Sie daran, dass in diesen Szenarien die unterschiedlichen aktivierten Benutzer tatsächlich verschiedene Instanzen der PlateSpin-Software darstellen.

Standardmäßig zeichnet PlateSpin alle Benutzeraktivitäten in der Protokolldatei PlateSpin.UserActivityLogging.log auf, die sich auf dem PlateSpin Migrate-Server-Host in folgendem Verzeichnis befindet:

..\PlateSpin Migrate Server\logs.

Das Format eines einzelnen Protokolleintrags ist wie folgt:

date|Category|description|user|details1|details2

Das Element Kategorie beschreibt den funktionellen Bereich einer bestimmten Aktion, z. B. Sicherheit, Inventar (Ermittlungsvorgänge), Lizenzverwaltung oder Migration (Workload-Portabilitäts-Vorgänge).

Die Elemente details1 und details2 hängen von der Kategorie ab und bieten zusätzliche Informationen, sofern vorhanden.

Nachfolgendes Beispiel eines Protokolleintrags stellt die Anmeldung des Benutzers mit dem Domänenkonto MyDomain\John.Smith dar.

2008-09-02 14:14:47|Security|User logged in|MyDomain\John.Smith

Wenn die Größe einer Protokolldatei einen bestimmten Wert erreicht, wird eine neue Datei angelegt, deren Name um eine inkrementierte Ziffer erweitert wird:

PlateSpin.UserActivityLogging.log.1
PlateSpin.UserActivityLogging.log.2
PlateSpin.UserActivityLogging.log.3

Wenn eine bestimmte Anzahl an Protokolldateien erreicht wurde, überschreibt das System bei einem Rollover zur nächsten Datei die jeweils älteste Datei.