2.2 Configuración de la autorización y la autenticación de usuarios

Una función de PlateSpin Migrate es una colección de privilegios de PlateSpin Migrate que dan derecho a un usuario concreto a realizar acciones específicas. Durante la instalación, el programa de instalación de PlateSpin Migrate crea tres grupos locales de Windows en el host del servidor de PlateSpin: administradores de PlateSpin Migrate, usuarios avanzados de PlateSpin Migrate y operadores de PlateSpin Migrate. Estos grupos se asignan directamente a las tres funciones de PlateSpin Migrate que controlan la autorización y la autenticación de usuarios:

Si un usuario intenta conectarse a un servidor de PlateSpin, las credenciales proporcionadas a través del cliente de PlateSpin Migrate se validan mediante IIS. Si el usuario no es miembro de una de las funciones de PlateSpin Migrate, la conexión se rechaza. Si el usuario es un administrador local en el host del servidor de PlateSpin, esa cuenta se considerará implícitamente como una cuenta de administrador de PlateSpin Migrate.

Los detalles de permiso para las funciones de PlateSpin Migrate dependen de si usa el cliente de PlateSpin Migrate o la interfaz Web de PlateSpin Migrate para migrar las cargas de trabajo:

Para permitir que usuarios de dominio o locales concretos de Windows puedan llevar a cabo operaciones específicas de PlateSpin Migrate según su función designada, añada la cuenta del usuario o el dominio de Windows necesarios al grupo local de Windows aplicable (administradores de PlateSpin, usuarios avanzados de PlateSpin u operadores de PlateSpin) en el host del servidor de PlateSpin. Para obtener más información, consulte la documentación de Windows.

PlateSpin Migrate incluye funciones de usuario únicas (y una herramienta para crearlas en un centro de datos VMware) que hacen posible que usuarios de VMware no administrativos (o “usuarios habilitados”) lleven a cabo operaciones del ciclo de vida de Migrate en el entorno VMware. Estas funciones hacen posible que usted, como proveedor de servicios, segmente su clúster VMware para permitir múltiples inquilinos. Esto implica la existencia de varias instancias de contenedores de Migrate en el centro de datos para acomodar a clientes de Migrate o “inquilinos” que deseen mantener sus datos y el hecho de que existen por separado e son inaccesibles para los demás clientes del centro de datos.

En esta sección se incluye la información siguiente:

PlateSpin.VMwareRoleTool.exe /host=[host name/IP] /user=[user name] /role=[the role definition file name and location] /create

Asignación de funciones en vCenter

Al configurar un entorno de múltiples inquilinos, deberá aprovisionar un solo servidor de Migrate por cliente o “inquilino”. Le asignará a este servidor de Migrate un usuario habilitado con funciones especiales de VMware para Migrate. Este usuario habilitado creará el contenedor de Migrate. Como proveedor de servicios, mantendrá las credenciales del usuario y no las revelará al cliente inquilino.

La siguiente tabla indica las funciones que debe definir para el usuario habilitado. También incluye más información sobre la finalidad de la función:

Contenedor de vCenter para asignación de funciones	Aspectos específicos de asignación de funciones	Instrucciones de propagación	Más información
Raíz del árbol de inventario de vCenter	Asigne al usuario habilitado la función Administrador de infraestructuras de PlateSpin (o equivalente).	Por razones de seguridad, defina el permiso como no propagable.	Esta función es necesaria para supervisar las tareas que lleva a cabo el software de Migrate y finalizar cualquier sesión de VMware inactiva.
Todos los objetos del centro de datos a los que el usuario habilitado necesite acceder	Asigne al usuario habilitado la función Administrador de infraestructuras de PlateSpin (o equivalente).	Por razones de seguridad, defina el permiso como no propagable.	Esta función es necesaria para permitir el acceso a los almacenes de datos del centro de datos para cargar o descargar archivos. Defina el permiso como no propagable.
Todos los clústeres que se vayan a añadir a Migrate como contenedores y todos los hosts incluidos en los clústeres	Asigne al usuario habilitado la función Administrador de infraestructuras de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	Para asignarlo a un host, propague el permiso desde el objeto de clúster o cree un permiso adicional en cada host del clúster. Si la función se asigna en el objeto de clúster y se propaga, no será necesario realizar cambios adicionales al añadir un nuevo host al clúster. Sin embargo, propagar el permiso tiene implicaciones respecto a la seguridad.
Todos los repositorios de recursos a los que necesite acceder el usuario habilitado	Asigne al usuario habilitado la función Administrador de máquinas virtuales de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	Aunque puede asignar el acceso a cualquier cantidad de repositorios de recursos en cualquier ubicación del árbol, debe asignar esta función al usuario habilitado en al menos un repositorio de recursos.
Todas las carpetas de máquinas virtuales a las que necesite acceder el usuario habilitado	Asigne al usuario habilitado la función Administrador de máquinas virtuales de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	Aunque puede asignar el acceso a cualquier cantidad de carpetas de máquinas virtuales en cualquier ubicación del árbol, debe asignar esta función al usuario habilitado en al menos una carpeta.
Todas las redes a las que necesite acceder el usuario habilitado Redes virtuales distribuidas con dvSwitch y dvPortgroup	Asigne al usuario habilitado la función Administrador de máquinas virtuales de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	Aunque puede asignar el acceso a cualquier cantidad de redes en cualquier ubicación del árbol, debe asignar esta función al usuario habilitado en al menos una carpeta. Para asignar la función correcta a dvSwitch, propague la función en el centro de datos (lo que implicará que un objeto adicional reciba la función) o sitúe dvSwitch en una carpeta y asigne la función a dicha carpeta. Para que un grupo de puertos estándar se muestre como una red disponible en la interfaz de Migrate, cree una definición para el grupo en cada host del clúster.
Todos los almacenes de datos y clústeres de almacenes de datos a los que necesite acceder el usuario habilitado	Asigne al usuario habilitado la función Administrador de máquinas virtuales de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	El usuario habilitado debe tener esta función asignada en al menos un almacén de datos o clúster de almacenes de datos. Para los clústeres de almacenes de datos, el permiso debe propagarse a los almacenes de datos que contenga. En caso de no proporcionar acceso a un miembro individual del clúster, fallarán tanto la preparación como las réplicas completas.

La siguiente tabla muestra la función que puede asignar al cliente o usuario inquilino.

Contenedor de vCenter para asignación de funciones	Aspectos específicos de asignación de funciones	Instrucciones de propagación	Más información
Todos los repositorios de recursos y las carpetas en las que se vayan a crear las máquinas virtuales del cliente	Asigne al usuario inquilino la función Usuario de PlateSpin (o equivalente).	La propagación queda sujeta al criterio del administrador de VMware.	Este inquilino pertenece al grupo de administradores de PlateSpin en el servidor de PlateSpin Migrate y también está en el servidor vCenter. Si el inquilino va tener la posibilidad de modificar los recursos empleados por la máquina virtual (es decir, redes, imágenes ISO, etc.), proporcione a este usuario los permisos necesarios sobre dichos recursos. Por ejemplo, si desea permitir que el cliente modifique la red a la que está conectada su máquina virtual, el usuario debe tener asignada la función de solo lectura (o superior) en todas las redes a las que pueda acceder el cliente.

A continuación se muestra una infraestructura virtual en la consola de vCenter. Los objetos etiquetados en azul tienen asignada la función Administrador de infraestructuras. Los objetos etiquetados en verde tienen asignada la función Administrador de máquinas virtuales. El árbol no muestra carpetas de máquinas virtuales, redes ni almacenes de datos. A estos objetos se les asigna la función Administrador de máquinas virtuales de PlateSpin.

Figura 2-3 Funciones asignadas en vCenter

Implicaciones de seguridad de la asignación de funciones de VMware

El software de PlateSpin emplea un usuario habilitado únicamente para realizar operaciones del ciclo de vida de protección. Desde su perspectiva como proveedor de servicios, los usuarios finales nunca tienen acceso a las credenciales del usuario habilitado y no pueden acceder al mismo conjunto de recursos de VMware. En un entorno en el que haya varios servidores de Migrate configurados para usar el mismo entorno vCenter, Migrate impide cualquier posibilidad de acceso entre distintos clientes. Algunas de las principales implicaciones de seguridad son las siguientes:

• Con la función Administrador de infraestructuras de PlateSpin asignada al objeto de vCenter, todos los usuarios habilitados podrán ver las tareas realizadas por cualquier otro usuario (pero no actuar sobre ellas).

• Puesto que no existe ninguna forma de establecer permisos en carpetas o subcarpetas de almacenes de datos, todos los usuarios habilitados con permisos en un almacén de datos tendrán acceso a todos los discos de los demás usuarios habilitados almacenados en él.

• Con la función Administrador de infraestructuras de PlateSpin asignada al objeto de clúster, todos los usuarios habilitados podrán activar o desactivar HA o DRS en todo el clúster.

• Con la función Usuario de PlateSpin asignada al objeto de clúster de almacenamiento, todos los usuarios habilitados podrán activar o desactivar SDRS en todo el clúster.

• Establecer la función Administrador de infraestructuras de PlateSpin en el objeto de clúster DRS y propagarla permite que el usuario habilitado vea todas las máquinas virtuales situadas en el repositorio de recursos por defecto o la carpeta de máquinas virtuales por defecto. Además, la propagación requiere que el administrador establezca explícitamente que el usuario habilitado tenga una función de “no acceso” en cada repositorio de recursos o carpeta de máquinas virtuales donde no deba tener acceso.

• Establecer la función Administrador de infraestructuras de PlateSpin en el objeto vCenter permite que el usuario habilitado finalice las sesiones de cualquier otro usuario conectado a vCenter.

NOTA:recuerde que en estas situaciones, cada usuario habilitado es en realidad una instancia diferente del software de PlateSpin.

Por defecto, PlateSpin Migrate registra toda la actividad de los usuarios en un archivo de registro, PlateSpin.UserActivityLogging.log, situado en el host del servidor de PlateSpin, en el directorio siguiente:

..\Servidor de PlateSpin Migrate\logs.

El formato de cada entrada de registro individual es el siguiente:

date|Category|description|user|details1|details2

El elemento Category (categoría) describe el área funcional aplicable a una acción concreta, como Seguridad, Inventario (operaciones de descubrimiento), Gestión de licencias o Migración (operaciones de portabilidad de cargas de trabajo).

Los elementos details1 (detalles1) y details2 (detalles2) dependen de Category (Categoría) y proporcionan información adicional, si fuera aplicable.

A continuación, se muestra un ejemplo de una entrada de registro en la que se guardan las acciones de entrada de un usuario con la cuenta de dominio MyDomain\John.Smith.

2008-09-02 14:14:47|Security|User logged in|MyDomain\John.Smith

Cuando el tamaño de un archivo de registro alcanza un valor especificado, se continúa con un archivo nuevo con el número de secuencia adjunto al nombre:

PlateSpin.UserActivityLogging.log.1
PlateSpin.UserActivityLogging.log.2
PlateSpin.UserActivityLogging.log.3

Cuando el número de archivos de registro alcanza un valor especificado, el sistema empieza a sobrescribir los archivos más antiguos cada vez que se crea un archivo nuevo de continuación.