Rechte für VCB-User auf dem Proxy

[GTMK]

Hi,

welche Rechte muß ich dem VCB-User auf dem Proxy erteilen, wenn ich ihn nicht zum Admin schlagen will, aber per SAN sichern möchte? Ich bekomme folgenden Fehler:

Code: Alles auswählen

[2008-09-24 11:55:38.155 'vcbMounter' 408 error] Error: Failed to open the disk: Cannot access a SAN/iSCSI LUN backing this virtual disk.

Er kann also scheinbar nicht auf die LUN zugreifen...

Georg.

[Tschoergez]

ich bin der meinung, der user auf dem proxy braucht admin-rechte...

musst mal im backup-guide nachschauen, aber ich glaub, es geht nicht anders.

viele grüße,
jörg

[irix]

Es gibt extra eine Rolle "VMware Consolidated Backup User" im VC dafuer. Solltest du keinen VC haben kann ich nachher mal gucken wie die Rechte in der Rolle vergeben sind damit du das auf deinem ESX dann auch einstellen kannst.

Gruss
Joerg

[GTMK]

Die VCB-Rolle hat aber leider nur innerhalb der VI eine Bedeutung, nicht lokal auf dem Proxy.

In der Doku habe ich nichts zu den Rechten auf dem Proxy gefunden, sonst hätte ich hier nicht gefragt... aber vielleicht habe ich es auch überlesen. Ich fürchte, Du hast recht, Jörg.

Georg.

[irix]

Die VCB-Rolle hat aber leider nur innerhalb der VI eine Bedeutung, nicht lokal auf dem Proxy.

Ah, du meintest auf dem Windows HOST(Proxy) selber... das hatte ich so nicht heraus gelesen. Hmm.. wir nutzen hier auch den lokalen Administrator Account wenn VCB zum Einsatz kommt... :|.

Gruss
Joerg

[Tschoergez]

Allgemein ist der Zugriff auf den VCB-Proxy durchaus als kritisch zu sehen...
Ein Windows-System, dass Zugriff auf die VMFS-PArtitionen hat, mit den Rechten, die VMs wegzukopieren.
Das ist fast wie ein Schlüssel zum (virtuellen) Serverschrank!

Darum würde ich den VCB-Proxy als Teil der Virtuellen Infrastruktur sehen, und nur den ESX-Admins die Passwörter geben. Und ihn nicht organisatorisch in die hundert anderen Windows-Server eingliedern, die automatisch upgedatet werden, auf die 50 Domänenadmins Zugriff haben, auf denen 10 Antivirenprogrammen, inventarisierungsprogramme, überwachungsagenten laufen, usw. usw...

Wird halt nur schwierig, das den lieben Windows-Admins mitzuteilen (aber die müssen ja nicht alles wissen ). Wenns dann noch Unternehmenspolicies gibt wg. Compliance usw., wirds noch schlimmer (sorry, aber das Buzzwort musste rein ).


Viele Grüße,
Jörg

[GTMK]

Doch, doch, manche müssen schon alles wissen (ich bin Windows- und VI-Admin in Personalunion). Aber Du hast natürlich grundsätzlich recht. Daher wäre es schön, wenn das VCB ohne Admin-Rechte funtkionieren würde - dann könnte ich nämlich erreichen, daß unsere Linux/Solaris-Admins nur den Schlüssel für ihren virtuellen Serverschrank hätten und die anderen Windows-Admins den für ihren.

Georg.