VMware vSphere vCenter 5.0用户角色访问与权限控制

角色：各种角色定义了对此角色可操作细节的权限组合；

用户权限：用户权限是对ESXI5.0中的对象实例（如ESXI5.0主机，虚拟机，存储，网络等）进行权限的分配。通过在这些对象上绑定“用户+角色”来限定每个用户或用户组可以对此对象的操作权限；

1、在没有vSphere center 的时候，用户和角色都是通过vmwareclient联机在每台ESXI5.0上分别进行设置的，每个主机上的用户和角色都是各自独立的。

2、在使用了vSphere center 的时候如ESXI5.0主机已被加入到center中，此时所有用户和权限都是统一定义和安排的。

VMware-vCenter-Server-Appliance-5.0.0.3324 配置说明：

登录vCenter操作系统后台：

创建用户

[root@localhost~]# useradd yanghw

[root@localhost~]# passwd yanghw

创建组

[root@localhost~]# groupadd test

新建用户同时增加工作组

[root@localhost~]# useradd -g test yanghw      //新建yanghw用户并增加到test工作组

注：：-g 所属组 -d 家目录 -s 所用的SHELL

给已有的用户增加工作组

[root@localhost~]# usermod -g 组名用户名

3、添加角色

在vSphere center中选择【系统管理】【角色】

vSphere center 中VMware默认定义了几个角色，分别是：

其中，【无权访问】【只读】【管理员】这三个是无法被删除的，其它可以被删除。在需要创建自定义角色时，你可以直接对上面这些角色进行克隆，克隆出新的角色后再编辑角色，修改相应的权限。也可以直接添加角色进行权限的定义。

创建一个角色：

【添加角色】【名称】：部署模板为新虚拟机(无删除/修改权限)；【特权】：勾选【虚拟机】下面的【置备】【部署模板】。

4、分配权限

将VMware vSphere Client 登录，在【清单】【主机和群集】界面左边点选相应要给其限制的集群或虚拟机，再点击右边的【添加权限】功能选项，然后在右击弹出的快捷菜单中选择【添加权限】。在弹出的【分配权限】对话框中，点击【添加】，然后找到刚才在vCenter操作系统后台中创建的用户或用户组。

（添加一个用户或用户组，角色选择【部署模板为新虚拟机(无删除/修改权限)】就可以了，这里是根据自己的需求来定义分配角色）；注意，如果你不想此用户看到此数据中心下的所有存储，请将（传播到子对象）的勾去掉。

在【测试模板环境】【创建模板环境】【管理中心】下根据需求分配给用户访问权限，按照上面办法，给这个数据存储分配用户和角色，此时角色应该选择我们开始创建的分配权限。如下图就可以看到已经分配好的权限：

5、验证

VMware vSphere Client 登录：用新建的帐号测试：

从上面操作我们可知，VMware vSphere的角色是很细的，权限分配也是很严谨的（对于某一个权限的正常设置必须让涉及此权限每个对象都要有相应的权限才行）。你要访问某个存储，必须要对这个存储所属的数据中心有【只读】权限才行，光有数据存储的访问权限，而没有对其父对象——数据中心的只读权限，用户还是不能访问到此存储的。这一点很重要！

其它权限的使用正在测试，但只要注意上面这点，并且对每个权限慢慢去了解，应该不是太大问题。谢谢！