管理操作员

关于此任务

执行此任务以配置和控制各种管理员账户及其权限,确保系统操作安全、有序、可审计。操作员因虚拟化程序安装期间是否启用基于角色的访问控制(RBAC)而异。安装后无法更改配置。您可以根据默认操作员和操作员组的数量和类型识别是否启用了 RBAC。

• 禁用 RBAC 时,操作员可以充当具有所有资源权限的超级管理员。

○ 系统有默认系统管理员 admin。

○ 系统有默认操作员组系统管理员组和安全审计员组。

• 启用 RBAC 时,操作员只能拥有系统管理员、安全管理员和安全审计员中的一个角色,用于基于角色的访问控制。

○ 系统有三个默认操作员:

▪ 系统管理员 sysadmin,默认密码为 Sys@1234。

▪ 安全管理员 secadmin,默认密码为 Sec@1234。

▪ 安全审计员 secauditor,默认密码为 Aud@1234。

○ 系统有默认操作员组系统管理员组、安全管理员组和安全审计员组。

安装后,系统预配置默认操作员和相应的操作员组。系统可以将所有系统操作权限分配给单个操作员。

• 系统有默认系统管理员 admin。

• 系统有默认操作员组系统管理员组和安全审计员组。

您可以为操作员分配适当的组和角色,以实现对系统管理和配置更改权限的精确控制和隔离,满足各种安全管理要求。

功能

• 管理操作员

• 管理角色

• 管理在线操作员

• 管理操作员组

• 管理全局数据权限

管理操作员

关于此任务

操作员是管理平台的管理员。为确保系统安全,只有通过身份认证的操作员才能登录管理平台。操作员可以执行的操作由分配给操作员的权限决定。操作员管理使您能够在管理平台中查看、添加、编辑、删除和过滤操作员。您可以将操作员提取为角色,并导航到操作员的认证参数设置页面。此外,您可以查看已授权给操作员的资源。

限制和指导原则

• 启用 RBAC 时:

○ 只有系统管理员可以添加操作员。

○ 只有安全管理员可以编辑操作员。

○ 只有系统管理员和安全管理员可以删除操作员。操作员 sysadmin、secadmin 和 secauditor 在系统安装期间自动创建,不能被删除。

• 三次登录失败的操作员将被禁止登录一分钟。您可以在"编辑操作员"中编辑最大登录失败尝试次数和锁定期。

• 安全微分段权限已集成到高级网络权限中。具有高级网络权限的用户自动拥有安全微分段权限。

• 操作员拥有分配的权限以及分配给操作员的角色权限。启用 RBAC 后,由系统管理员添加的操作员可以管理主机或虚拟机资源。安全管理员可以编辑操作员角色并为其分配权限。

• 编辑在线操作员后,新设置将在操作员再次登录管理平台时生效。删除在线操作员后,该操作员将无法再使用管理平台。

• 操作员 admin 是系统的超级管理员,拥有所有权限。它在系统安装时自动创建,不能被删除。

添加操作员

操作员是系统中的操作员用户名,可能属于系统管理员或用户。您可以通过设置其角色为操作员分配权限。

在顶部导航栏上,单击系统。
从左侧导航面板中,操作员和组 > 操作员。
单击添加。
按照"参数"中的描述配置参数。
单击确定。

编辑操作员

编辑操作员以更改或调整现有操作员账户。例如,您可以调整角色以编辑访问权限、更新个人信息或执行其他相关操作。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
选择目标操作员并单击编辑。
按照"参数"中的描述配置参数。
单击确定。

删除操作员

超级管理员账户不能被删除。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
执行以下任务之一:

○ 要批量删除操作员,选择目标操作员,然后单击删除。

○ 要删除操作员,在该操作员的操作列中单击更多,然后选择删除。
在打开的对话框中,单击确定。

更改操作员密码

执行此任务以修改操作员的登录密码。当超级管理员更改另一个操作员的密码时,超级管理员不需要输入该操作员的旧密码。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
使用以下方法之一更改密码:方法 1: a. 在要更改密码的操作员的操作列中单击编辑图标,以访问编辑操作员页面。b. 将编辑密码参数设置为是,输入当前密码和新密码,并确认新密码。c. 单击确定。方法 2: d. 在要更改密码的操作员的操作列中单击更多下拉菜单。单击更改密码打开更改密码对话框。e. 输入新密码并再次确认。f. 单击确定。

提取为角色

提取当前操作员的权限以创建新角色。此角色出现在角色列表中,供其他操作员绑定和使用。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
在要提取为角色的操作员的操作列中单击更多下拉菜单。单击提取为角色。将打开提取为角色对话框。
设置角色名称和描述,然后单击确定。

配置认证服务器

执行此任务以访问认证参数设置页面。您可以在此页面上配置认证服务器和单点登录(SSO)。配置认证服务器以设置 LDAP 认证服务器参数。当操作员使用 LDAP 认证登录管理平台时,操作员必须在此服务器上执行身份认证。SSO 配置功能将管理平台与中央认证服务(CAS)集成,并实现 SSO 解决方案。要配置认证服务器:

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
单击认证服务器按钮以访问认证参数设置页面。
设置相关参数。有关参数的更多信息,请参见"配置认证参数"。
设置参数后,单击保存。

过滤操作员

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
按照"参数"中的描述设置过滤条件,然后单击过滤。
要显示更多过滤器,单击更多。要折叠过滤器区域,单击折叠。

重置操作员过滤器

执行此任务以将匹配过滤器的操作员信息重置为系统默认设置。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
单击重置。

显示操作员详细信息

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
选择目标操作员,然后单击查看。

查看操作员的授权资源

您可以执行此任务以查看已授权给操作员的资源。要查看操作员的授权资源:

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员。
选择目标操作员。授权资源区域在数据中心、集群、主机、虚拟机和虚拟机组选项卡上分别显示授权给操作员的主机池、集群、主机、虚拟机和虚拟机组。

参数

• 登录名:操作员的用户名。

• 双因素认证:选择是否启用双因素认证。它有以下类型:证书认证、OTP、验证码和短信验证码。此字段仅在您在系统 > AuthN 管理 > 双因素认证页面上启用双因素认证后显示。

• 认证:操作员用于登录管理平台的认证模式。

○ 密码认证—基于操作员用户名和密码的本地认证。

○ LDAP 认证—基于操作员用户名和密码的LDAP 认证。有关配置 LDAP 认证的更多信息,请参见"配置认证参数"。

○ SSO 认证—基于操作员用户名和密码的SSO 认证。有关配置 SSO 认证的更多信息,请参见"配置认证参数"。

• 操作员名称:操作员的名称。

• 角色:操作员的角色。您可以通过为操作员分配角色来管理操作员的数据资源权限。

• 操作员组:操作员所属的操作员组的名称。

• 电子邮件:操作员的电子邮件地址。确保电子邮件地址格式正确,例如account@example.com。如果电子邮件地址不正确,用户将无法接收系统发送到用户所属用户组的通知。

• 电话:输入正确的电话号码。如果电话号码不正确,用户将无法接收系统发送到用户所属用户组的通知。

• 权限完整性:操作员权限的签名验证结果,可以是未签名、验证成功或已篡改。此参数仅在配置 CASE 后显示。

• 信息完整性:操作员的信息是否已被篡改。取值包括未签名、验证成功或已篡改。此参数仅在配置 CASE 后显示。

• 密码策略:选择操作员在设置登录密码时必须遵循的密码策略。有关密码策略的更多信息,请参见"配置密码策略"。

• 访问策略:应用于操作员的访问策略。

• 最大在线操作员数:设置可以同时使用操作员用户名访问管理平台的最大用户数。值为 0 表示不设置限制。

• 操作员过期日期:设置操作员用户名过期的日期。例如,如果您将过期日期设置为 2023/4/30,操作员用户名将在 2023/5/1 00:00过期。如果将此字段留空,操作员用户名将永不过期。

• 更改密码:更改操作员使用此用户名登录系统的密码。此参数仅在编辑操作员时显示。

○ 旧密码:输入操作员的当前密码。

○ 新密码:输入新密码。确保新密码符合密码策略。

○ 确认:确认密码必须与新密码相同。

• 禁用操作员:操作员是否被禁止登录管理平台。

管理角色

关于此任务

角色管理功能是系统权限框架的核心。使用此功能可通过角色的中间层统一提取和集中管理操作员、操作员组和权限。此功能提供灵活、可控且易于维护的访问控制模型。在此模型中:

• 操作员:用于登录系统并执行各种操作的个人账户,通常与特定员工或系统账户关联。

• 操作员组:对具有类似职责或组织隶属关系的操作员进行分类,例如运维团队或测试团队。

• 权限:系统中操作授权的最细粒度。它决定操作员可以在特定功能页面上执行的操作,例如查看集群、创建虚拟机、删除主机和查看日志。

• 角色:权限的集合和封装,作为操作员/操作员组与权限之间的链接。一个角色可以包含多个权限,而一个操作员可以绑定到多个角色。

总之,角色管理使用角色将底层资源权限与操作员链接起来。它简化了权限管理,增强了权限一致性和安全性,并作为系统访问控制和安全框架的核心功能。

应用场景

• 当您创建新的业务团队或项目团队时,您需要为其成员分配适当的操作权限。

• 为不同管理员分配集群、主机或虚拟机的分层管理权限。

• 当您调整运营策略时,您需要统一更新一组操作员的权限设置。

• 当默认角色不满足精确权限分配要求时,创建具有组合权限的自定义角色。

限制和指导原则

• 系统提供以下五个默认角色,不能编辑或删除:

○ SystemAdministrator:拥有系统管理的全部权限。

○ ReadOnly:拥有系统管理的全部查看权限。

○ ClusterResourceManager:拥有管理指定集群的全部权限,包括其主机和虚拟机。

○ HostResourceManager:拥有管理指定主机及其下虚拟机的全部权限。

○ VMResourceManager:拥有管理指定虚拟机的全部权限。

• 编辑角色权限后,适用以下规则:

○ 所有绑定到此角色的操作员必须重新登录,新权限设置才能生效。

○ 作为最佳实践,重新登录前清除浏览器缓存,以避免由于缓存数据而访问没有权限的云资源页面。

添加角色

执行此任务以向系统添加新角色并分配相应的功能权限。添加角色以管理不同职位或组的权限,便于以后为操作员分配适当的权限范围。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。
单击添加打开添加角色对话框。
设置角色名称和描述,并从右侧权限树中选择要分配给角色的权限。
单击确定完成操作。

编辑角色

执行此任务以编辑现有角色的信息,包括角色描述及其权限。当业务功能或权限要求发生变化时,编辑角色以灵活调整系统权限,而无需重新创建角色。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。
在要编辑的角色的操作列中单击编辑。将打开编辑角色对话框。
您可以编辑角色描述及其权限。
单击确定。

克隆角色

执行此任务以快速克隆现有角色。新角色继承原始角色的权限设置。克隆角色可减少重复配置,并轻松微调和扩展现有权限模型。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。
在要克隆的角色的操作列中单击克隆图标。将打开克隆角色对话框。
编辑角色名称和描述。
单击确定完成操作。

删除角色

执行此任务以从系统中删除不再使用的角色。您可以单独或批量删除角色。删除角色可以清理冗余配置并维护简单且标准化的角色系统。要删除已绑定到操作员的角色,首先将其从这些操作员解绑,然后再删除该角色。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。

○ 删除单个角色:在要删除的角色的操作列中单击删除按钮。将打开确认对话框。

○ 批量删除角色:选择一个或多个要删除的角色。在列表上方单击删除按钮。将打开确认对话框。
单击确定完成操作。

添加绑定的操作员

执行此任务以将一个或多个操作员绑定到特定角色,以自动为它们分配该角色的所有权限。通过将操作员绑定到角色,您可以基于角色分配权限,以提高权限分配的效率和一致性。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。
在角色列表中,选择目标角色。单击列表下方的绑定操作员区域中的添加按钮以打开选择操作员对话框。
选择一个或多个要绑定到当前角色的操作员。
单击确定完成操作。

删除绑定的操作员

执行此任务以从指定角色解绑操作员,并回收这些操作员与该角色关联的权限。在人员职位调整、辞职或权限削减期间,您可以删除绑定的操作员以及时控制和回收系统权限。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 角色。
在角色列表中,选择目标角色,然后在列表下方的绑定操作员区域中选择要解绑的操作员。
单击删除按钮。将打开确认对话框。
单击确定完成操作。

管理在线操作员

在线操作员管理使您能够查看和过滤在线操作员并强制注销

指定的在线操作员。

限制和指导原则

启用 RBAC 时:

• 只有安全管理员和安全审计员可以查看在线操作员。

• 只有安全管理员可以强制注销操作员。

在普通模式下,只有授权的操作员可以强制注销其他操作员。

过滤在线操作员

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 在线操作员。
按照"参数"中的描述配置参数,然后单击过滤。所有匹配条件的在线操作员将显示在列表中。

强制注销在线操作员

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 在线操作员。
选择目标在线操作员,然后单击注销。
在打开的对话框中,单击确定。

管理操作员组

关于此任务

使用操作员组功能,根据实际业务需求灵活地对操作员进行分组和管理。注意:系统权限通过角色控制。组本身不直接决定权限。

适用场景:

• 管理员根据不同职位或功能创建角色,并在角色中配置相应的功能权限。

• 当您创建新操作员时,可以为操作员分配角色或将现有角色绑定到操作员。角色控制操作员在系统中的访问范围和权限。

• 基于此,按部门、项目团队、区域等将操作员分配到不同的操作员组中,以进行分类、统计和运营协作,而不更改其现有权限。

例如,在大型企业中,IT 部门需要系统管理的全部管理权限,而财务部门只需要财务相关功能的权限。创建 IT 管理员角色,并为该角色分配所有系统管理权限。然后,创建财务角色,并仅将财务相关功能模块的权限分配给该角色。然后,将来自每个部门的操作员绑定到各自的角色,并将他们添加到 IT 组和财务组等组中,以进行清晰的分类和日常维护。

限制和指导原则

启用 RBAC 时:

• 您不能添加或删除任何操作员组。

• 只有安全管理员可以编辑操作员组。他们只能编辑操作员组的名称和描述。

在普通模式下:

• 您不能为安全审计员组添加子组。

• 默认的系统管理员组和安全审计员组不能删除。

• 具有子组的操作员组不能删除。要删除此类组,首先删除它们的子组。

添加操作员组

执行此任务以根据需要自定义操作员组,并通过将新的或现有的操作员与操作员组关联来管理操作员类别。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员组。
单击添加。
按照"参数"中的描述配置参数。
单击确定。

为操作员组添加子组

您最多可以为一个操作员组添加 99 个子组,以实现更精细的类别管理。但是,您不能为系统定义的安全审计员组添加子组。父组是较高级别的操作员组。它管理属于它的子组。子组是属于父组的较低级别的操作员组,用于进一步细化和自定义操作员类别。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员组。
要为父组添加子组,在该组的操作列中单击添加子组。
根据需要执行以下任务:

○ 要为父组添加子组,在该组的操作列中单击添加子组。

○ 要为子组添加子组,单击其父组左侧,然后在该子组的操作列中单击添加子组。
在打开的对话框中,配置基本设置,然后单击下一步:授权。
按照"参数"中的描述配置参数。
单击确定。

编辑操作员组或子组

执行此任务以编辑现有操作员组或子组的参数。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员组。
根据需要执行以下任务:

○ 要编辑父组,在该组的操作列中单击编辑。

○ 要编辑子组,单击其父组左侧,然后在该子组的操作列中单击编辑。
在打开的对话框中,配置基本设置,然后单击下一步:授权。
按照"参数"中的描述配置参数。
单击确定。

删除操作员组或子组

执行此任务以删除现有操作员组或子组。您不能删除系统定义的系统管理员组和安全审计员组,但可以删除它们的子组。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 操作员组。
根据需要执行以下任务:

○ 要删除父组,在该组的操作列中单击删除。

○ 要删除子组,单击其父组左侧,然后在该子组的操作列中单击删除。
在打开的对话框中,单击确定。

管理全局数据权限

使用此功能可控制和管理管理平台上的数据访问和操作

权限。它允许管理员为不同的操作员或操作员组配置特定的访问权限,从而确保数据安全性和完整性。这可以防止未经授权的用户访问或编辑敏感数据,并提高系统管理效率。例如,在医疗机构中,只有医生和护士可以访问患者的医疗记录,而财务部门的员工可以编辑财务报告数据。这既确保了数据安全,又确保了服务效率。

限制和指导原则

RBAC 场景中不支持此功能。

添加权限

执行此任务以向操作员或操作员组添加数据访问和操作权限,这可以确保适当的用户可以获得必要的数据访问权限。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 全局数据权限。
单击添加权限。
在操作员或操作员组选项卡上分别根据需要选择操作员或操作员组。
单击确定。

删除权限

执行此任务以删除操作员或操作员组的数据访问和操作权限。管理员可以立即调整用户权限以确保数据安全。您不能删除超级管理员(admin)或安全审计员组的权限。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择操作员和组 > 全局数据权限。
要批量删除操作员或操作员组的权限,选择操作员或操作员组,然后单击移除。

管理操作员​

管理角色​

管理在线操作员​

管理操作员组​

管理全局数据权限​

管理操作员

管理角色

管理在线操作员

管理操作员组

管理全局数据权限