+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проксимокс и права доступа к пулу ресурсов., Proxmox Виртуальная Среда

OverwhelmedDev

Guest

16.02.2023 09:40:00

Привет всем! У меня вопрос по поводу прав доступа в кластере Proxmox. У нас 8 нод в кластере, и мы хотим сделать некоторые из них доступными для других пользователей через ресурсные пулы. Я создал пользователей, добавил этих пользователей в группу и разрешил этой группе доступ к пулу. Внутри пула я поделился локальными хранилищами, например, и также тестовую VM. Пока что все хорошо, но теперь я хочу убрать несколько кластерных нод из пула. Эти ноды не должны быть доступны для пула как ноды. Я зашел в права доступа группы и выбрал ноду с "NoAccess", но либо это не работает, либо есть другой способ?

Несколько деталей, чтобы вы могли разобраться:

Пользователи:
user1@pve - Group1
user2@pve - Group1

Группа: Group1

Пулы: Pool1

Права:
/nodes/terra - @Group1 - NoAccess - Propagate = True
/pool/Pool1 - @Group1 - PVEAdmin - Propagate = True

Члены пула: A Template и несколько Storages. Не должно быть важным, наверное?

Как мне добиться того, чтобы нода "Terra" не была доступна в пуле? Может, кто-то сможет ответить мне напрямую, возможно ли не предлагать отдельные VMBR в пуле?

P.S. LDAP / Active Directory или любого другого вида организации пользователей нет. Я хочу реализовать это только штатными средствами Proxmox.

Версия Proxmox: 7.3.6

fabian

Guest

16.02.2023 12:34:00

Узлы — это не совсем сущности, к которым можно давать или отбирать доступ таким образом. Хотя для `/nodes/{node}` и есть ACL-проверки, они используются только при выполнении операций, специфичных для узла:

* изменение сетевых настроек
* установка/… сертификаты
* запрос/управление сервисами, работающими
* запрос/установка обновлений
* …

Они не используются для ограничения доступа к самому факту существования узла, или для запрета перемещения/управления/… гостями на любом конкретном узле.

OverwhelmedDev

Guest

16.02.2023 12:41:00

Спасибо за быстрый ответ. Есть ли еще какой-нибудь способ сообщить пулу или группе, что на узле нельзя создавать новые ВМ? Или что миграция на этот узел запрещена? Дело в том, что я хотел бы выдавать разные пулы разным группам, чтобы я мог назначать их на разные узлы, а также, при необходимости, расширять пулы новыми узлами.

fabian

Guest

16.02.2023 13:03:00

Нет, это сейчас невозможно. Вы можете полностью ограничить распределение/миграцию для пользователей вашего пула и обрабатывать это где-то ещё (например, создав свой слой с более высокими привилегиями, который занимается миграцией/распределением и следит за соблюдением ограничений узлов, или выполнять эти действия вручную по запросам пользователей).

OverwhelmedDev

Guest

16.02.2023 13:34:00

Огромное спасибо за помощь! 48 часов отчаяния превратились в просто "не можем сделать". Для меня это нормально, в конце концов, это просто не зависело от меня. "...на данный момент..." звучит как "это в нашей дорожной карте"? Если это действительно в вашей дорожной карте, я думаю, это здорово. Это значительно упростило бы управление многопользовательскими инстансами. Спасибо за всю вашу работу!

fabian Guest	#6 0 17.02.2023 08:55:00 Пока что конкретных планов нет, но это, возможно, можно будет включить, если мы когда-нибудь сделаем масштабный редизайн архитектуры ACL.

Boogers Guest	#7 0 14.05.2025 05:02:00 Нельзя ли сделать это, создав специальную область хранения, доступную только на тех узлах, к которым вам нужен доступ? Например, отдельный ZFS dataset. Только узлы, у которых есть это хранилище, смогут управляться в этом пуле ресурсов, а виртуальные машины, созданные и распространяемые в этой области хранения, будут видны пользователям в группе, назначенной этому пулу ресурсов.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры