2.2 Configuration de l'authentification et de l'autorisation utilisateur

Un rôle PlateSpin Migrate est un ensemble de privilèges PlateSpin Migrate qui permettent à un utilisateur particulier d'exécuter certaines opérations. Au cours de l'installation, le programme d'installation de PlateSpin crée trois groupes Windows locaux sur l'hôte du serveur PlateSpin Migrate : Administrateurs PlateSpin Migrate, Utilisateurs avec pouvoir PlateSpin Migrate et Opérateurs PlateSpin Migrate. Ces groupes sont directement liés aux trois rôles PlateSpin Migrate qui contrôlent l'authentification et l'autorisation utilisateur :

Lorsqu'un utilisateur tente de se connecter à un serveur PlateSpin, les références fournies par le client PlateSpin Migrate sont validées par les services IIS. Si l'utilisateur n'est pas membre de l'un des rôles PlateSpin Migrate, la connexion est refusée. Si l'utilisateur est un administrateur local sur l'hôte du serveur PlateSpin, ce compte est implicitement considéré comme celui d'un administrateur PlateSpin Migrate.

Les détails des autorisations pour les rôles PlateSpin Migrate dépendent de l'outil utilisé pour migrer les workloads, à savoir le client PlateSpin Migrate ou l'interface Web PlateSpin Migrate :

Pour permettre à un domaine Windows donné ou à certains utilisateurs locaux d'exécuter des opérations PlateSpin spécifiques en fonction du rôle désigné, ajoutez le compte utilisateur ou le domaine Windows requis au groupe local Windows concerné (Administrateurs PlateSpin, Utilisateurs avec pouvoir PlateSpin ou Opérateurs PlateSpin) sur l'hôte du serveur PlateSpin Migrate. Pour plus d'informations, reportez-vous à la documentation Windows.

PlateSpin Migrate s'accompagne de rôles utilisateur uniques (et d'un outil pour les créer dans un datacenter VMware) qui permettent à des utilisateurs de VMware ne disposant pas de privilèges d'administration (ou « utilisateurs habilités ») d'effectuer des opérations de cycle de vie Migrate dans l'environnement VMware. En votre qualité de fournisseur de service, ces rôles vous offrent la possibilité de segmenter votre cluster VMware pour permettre la mutualisation : cela signifie que plusieurs conteneurs Migrate sont instanciés dans votre datacenter afin de prendre en charge les clients ou « locataires » Migrate qui souhaitent que leurs données, et la preuve même de leur existence, soient séparées des autres clients qui utilisent également le datacenter.

Cette section présente les informations suivantes :

PlateSpin.VMwareRoleTool.exe /host=[host name/IP] /user=[user name] /role=[the role definition file name and location] /create

Assignation de rôles dans vCenter

Lorsque vous configurez un environnement de mutualisation, vous devez provisionner un seul serveur Migrate par client ou « locataire ». Vous assignez à ce serveur Migrate un utilisateur habilité avec des rôles VMware Migrate particuliers. Cet utilisateur est celui qui crée le conteneur Migrate. En tant que fournisseur de service, vous conservez les références de cet utilisateur et vous ne les divulguez pas à votre client locataire.

Le tableau ci-dessous répertorie les rôles que vous devez définir pour l'utilisateur habilité. Il contient également des informations supplémentaires sur la finalité du rôle :

Conteneur vCenter pour l'assignation de rôles	Particularités de l'assignation de rôles	Instructions de propagation	Pour plus d'informations
Racine de l'arborescence d'inventaire de vCenter.	Assignez à l'utilisateur habilité le rôle Gestionnaire d'infrastructure PlateSpin (ou équivalent).	Pour des raisons de sécurité, définissez l'autorisation sans l'attribut de propagation.	Ce rôle est nécessaire pour surveiller les tâches en cours d'exécution par le logiciel Migrate et mettre fin à toute session VMware caduque.
Tous les objets du datacenter auxquels l'utilisateur habilité doit accéder.	Assignez à l'utilisateur habilité le rôle Gestionnaire d'infrastructure PlateSpin (ou équivalent).	Pour des raisons de sécurité, définissez l'autorisation sans l'attribut de propagation.	Ce rôle est nécessaire pour autoriser l'accès aux banques de données du datacenter en vue du téléchargement de fichiers. Définissez l'autorisation sans l'attribut de propagation.
Chaque grappe à ajouter à Migrate en tant que conteneur et chaque hôte contenu dans la grappe.	Assignez à l'utilisateur habilité le rôle Gestionnaire d'infrastructure PlateSpin (ou équivalent).	La propagation est laissée à l'appréciation de l'administrateur VMware.	Pour assigner un élément à un hôte, propagez l'autorisation à partir de l'objet de grappe ou créez une autorisation supplémentaire sur chaque hôte de la grappe. Si le rôle est assigné sur l'objet de grappe et propagé, aucune autre modification n'est nécessaire lors de l'ajout d'un nouvel hôte à la grappe. La propagation de cette autorisation a toutefois des implications sur le plan de la sécurité.
Chaque réserve de ressources à laquelle l'utilisateur habilité doit accéder.	Assignez le rôle Gestionnaire de machines virtuelles PlateSpin (ou équivalent) à l'utilisateur habilité.	La propagation est laissée à l'appréciation de l'administrateur VMware.	Vous pouvez assigner l'accès à un nombre indéfini de réserves de ressources, à n'importe quel emplacement de l'arborescence. Cependant, vous devez assigner ce rôle à l'utilisateur habilité pour au moins une réserve de ressources.
Chaque dossier de machines virtuelles auquel l'utilisateur habilité doit accéder.	Assignez le rôle Gestionnaire de machines virtuelles PlateSpin (ou équivalent) à l'utilisateur habilité.	La propagation est laissée à l'appréciation de l'administrateur VMware.	Vous pouvez assigner l'accès à un nombre indéfini de dossiers de machines virtuelles, à n'importe quel emplacement de l'arborescence. Cependant, vous devez assigner ce rôle à l'utilisateur habilité pour au moins un dossier.
Chaque réseau auquel l'utilisateur habilité doit accéder. Réseaux virtuels distribués avec dvSwitch et dvPortgroup.	Assignez le rôle Gestionnaire de machines virtuelles PlateSpin (ou équivalent) à l'utilisateur habilité.	La propagation est laissée à l'appréciation de l'administrateur VMware.	Vous pouvez assigner l'accès à un nombre indéfini de réseaux, à n'importe quel emplacement de l'arborescence. Cependant, vous devez assigner ce rôle à l'utilisateur habilité pour au moins un dossier. Pour assigner le rôle correct au paramètre dvSwitch, propagez le rôle sur le datacenter (un objet supplémentaire reçoit alors le rôle) ou placez le paramètre dvSwitch dans un dossier et assignez le rôle à ce dossier. Pour qu'un groupe de ports standard soit répertorié comme réseau disponible dans l'interface utilisateur de Migrate, créez une définition correspondante sur chaque hôte de la grappe.
Chaque banque de données et chaque grappe de banques de données auxquelles l'utilisateur habilité doit accéder.	Assignez le rôle Gestionnaire de machines virtuelles PlateSpin (ou équivalent) à l'utilisateur habilité.	La propagation est laissée à l'appréciation de l'administrateur VMware.	Il faut que ce rôle ait été assigné à l'utilisateur habilité pour au moins une banque de données ou grappe de banques de données. Dans le cas des grappes de banques de données, l'autorisation doit être propagée aux banques de données qu'elles contiennent. Si l'accès n'est pas accordé à un membre de la grappe, la préparation et les réplications complètes échouent

Le tableau ci-dessous indique le rôle que vous pouvez assigner au client ou à l'utilisateur locataire.

Conteneur vCenter pour l'assignation de rôles	Particularités de l'assignation de rôles	Instructions de propagation	Pour plus d'informations
Chaque réserve de ressources et chaque dossier dans lesquels les machines virtuelles du client seront créées.	Assignez le rôle Utilisateur PlateSpin (ou équivalent) à l'utilisateur locataire.	La propagation est laissée à l'appréciation de l'administrateur VMware.	Ce locataire est membre du groupe Administrateurs PlateSpin sur le serveur PlateSpin Migrate. Il figure également sur le serveur vCenter. Si le locataire se voit accorder la possibilité de modifier les ressources utilisées par la machine virtuelle (en d'autres termes les réseaux, les images ISO, etc.), octroyez-lui les autorisations nécessaires sur ces ressources. Par exemple, si vous souhaitez autoriser le client à modifier le réseau auquel sa machine virtuelle est connectée, il doit se voir accorder, au minimum, le rôle Lecture seule sur tous les réseaux auxquels il a accès.

La figure ci-dessous illustre une infrastructure virtuelle dans la console vCenter. Le rôle Gestionnaire d'infrastructure est assigné aux objets avec un libellé bleu. Le libellé vert indique les objets auxquels le rôle Gestionnaire de machines virtuelles a été assigné. Les dossiers de machines virtuelles, les réseaux et les banques de données ne sont pas affichés dans l'arborescence. Ces objets se voient assigner le rôle Gestionnaire de machines virtuelles PlateSpin.

Figure 2-3 Rôles assignés dans vCenter

Implications de l'assignation de rôles VMware sur le plan de la sécurité

Dans le logiciel PlateSpin, seul un utilisateur habilité peut effectuer des opérations relatives au cycle de vie de protection. Du point de vue d'un fournisseur de service, un utilisateur final n'a jamais accès aux références de l'utilisateur habilité et n'est pas en mesure d'accéder au même ensemble de ressources VMware. Dans un environnement où plusieurs serveurs Migrate sont configurés de manière à utiliser le même environnement vCenter, Migrate empêche tout accès inter-clients. Les principales implications sur le plan de la sécurité sont les suivantes :

• Lorsque le rôle Gestionnaire d'infrastructure PlateSpin est assigné à l'objet vCenter, chaque utilisateur habilité peut voir les tâches effectuées par tous les autres, mais pas les influencer.

• Compte tenu de l'impossibilité de définir des autorisations sur les dossiers/sous-dossiers d'une banque de données, tous les utilisateurs habilités disposant d'autorisations sur la banque de données ont accès aux disques de tous leurs homologues stockés dans cette banque de données.

• Lorsque le rôle Gestionnaire d'infrastructure PlateSpin est assigné à l'objet Grappe, chaque utilisateur habilité est en mesure d'activer ou de désactiver HA ou DRS sur l'ensemble de la grappe.

• Lorsque le rôle Utilisateur PlateSpin est assigné au niveau de l'objet Grappe de stockage, chaque utilisateur habilité est en mesure d'activer ou de désactiver SDRS sur l'ensemble de la grappe.

• La définition du rôle Gestionnaire d'infrastructure PlateSpin sur l'objet Grappe DRS et la propagation de ce rôle permettent à l'utilisateur habilité de voir toutes les machines virtuelles placées dans la réserve de ressources et/ou le dossier de machines virtuelles par défaut. La propagation exige, en outre, que l'administrateur configure explicitement l'utilisateur habilité de telle sorte qu'il dispose d'un rôle de type « sans accès » sur les réserves de ressources/dossiers de machines virtuelles auxquels il ne doit pas accéder.

• La définition du rôle Gestionnaire d'infrastructure PlateSpin sur l'objet vCenter permet à l'utilisateur habilité de mettre fin aux sessions de tout autre utilisateur connecté à vCenter.

REMARQUE :pour rappel, dans ces scénarios, les différents utilisateurs habilités représentent, en réalité, des instances différentes du logiciel PlateSpin.

Par défaut, PlateSpin Migrate enregistre toutes les activités de l'utilisateur dans un fichier journal, PlateSpin.UserActivityLogging.log, situé sur l'hôte du serveur PlateSpin, dans le répertoire suivant :

..\PlateSpin Migrate Server\logs.

Le format d'une entrée de journal individuelle est le suivant :

date|Category|description|user|details1|details2

L'élément Category décrit la zone fonctionnelle applicable à une opération particulière ; par exemple, Security, Inventory (opérations de découverte), LicenseManagement ou Migration (opérations de portabilité de workload).

Les éléments details1 et details2 dépendent de Category et fournissent des informations supplémentaires, le cas échéant.

Voici un exemple d'entrée de journal qui consigne l'opération de connexion d'un utilisateur dont le compte de domaine est MonDomaine\John.Smith.

2008-09-02 14:14:47|Security|User logged in|MyDomain\John.Smith

Lorsque la taille d'un fichier journal atteint une valeur spécifiée, son contenu est reporté dans un nouveau fichier avec un numéro séquentiel ajouté au nom :

PlateSpin.UserActivityLogging.log.1
PlateSpin.UserActivityLogging.log.2
PlateSpin.UserActivityLogging.log.3

Lorsque le nombre de fichiers journaux atteint une valeur spécifiée, le système commence à écraser le plus ancien fichier à chaque rollover.