Seite 1 von 1
Zugriffsrechte GSX-Server
Verfasst: 22.11.2005, 14:22
von clabo
Hallo,
ich habe GSX 3.2 auf einem W2K3-Memberserver installiert. Offensichtlich kann sich aber jeder Domainbenutzer an der
GSX-MUI (
http://.../8222) anmelden.
Administratoren duerfen Einstellungen ändern. Ist ja OK.
User aller Art dürfen VM's anlegen. -> ??
Kann man das unterbinden? Wo?
Danke für jeden Tip.
Verfasst: 22.11.2005, 15:02
von continuum
Offensichtlich kann sich aber jeder Domainbenutzer an der
GSX-MUI (
http://.../8222) anmelden.
Das musst du ueber die IIS-steuerung einstellen - Auswahl des Acounts / User-authentifizierung und ueber Dateirechte.
User aller Art duerfen VMs anlegen - wie waers mit einer radikalen Variante: NEW-button entfernen ?
Ulli
Verfasst: 22.11.2005, 17:44
von Herbert
VMware empfiehlt da auch was:
Restricting Which Users Can Create Virtual Machines and Virtual Disks
By default, any user with access to the GSX Server host can create virtual machines and virtual disks on the host. If you are running GSX Server 3.1, you can restrict the ability to create virtual machines and virtual disks to a specific set of users or groups. To do so, complete the following steps.
1. On the GSX Server host, create a file and give it a name (referred to hereafter as <name>). Assign Write (w) permissions to the file only to the users and or groups that you want to allow to create virtual machines on the host.
2. In a text editor, edit the GSX Server configuration file. On a Windows host, this file is C:\Documents and Settings\All Users\Application Data\VMware\VMware GSX Server\config.ini; on a Linux host, this file is /etc/vmware/config.
3. Add the following lines to the configuration file:
serverd.doCreateCheck = "TRUE"
serverd.createCheckFile = "<name>"
where <name> is the name of the file you created in step 1.
4. Save and close the file.
5. Restart the VMware Registration Service (Windows hosts) or vmware-serverd (Linux hosts).
On a Windows host, access the Services console. Choose Start > Programs > Administrative Tools > Services. Right-click the VMware Registration Service and choose Restart.
On a Linux host, kill the vmware-serverd process.
kill -TERM `pidof vmware-serverd`
The vmware-serverd process restarts automatically. If it does not restart, reboot your GSX Server host.
With the GSX Server configuration file modified, only users with write access to the specified file (<name>) can create virtual machines and virtual disks.
If you modify which users you want to be able to create virtual machines, you need to modify the file permissions of <name>, then restart the VMware Registration Service or vmware-serverd, as described in step 5 above.
Gruss
Herbert
Verfasst: 24.11.2005, 16:14
von clabo
Hallo,
ich bin noch nicht dazu gekommen, Eure Antworten auszuprobieren. Dennoch vielen Dank
@continuum: Schön dass es Dich nocht im Forum gibt.
:-)
Verfasst: 30.11.2005, 15:22
von clabo
Folgendes herausgefunden:
Wenn man in der GUI eine VM "klickt" und dann unter VM -> Settings -> Options -> Permissions die Box "Make this virtual machine private" AUScheckt, erscheinen prinzipiell erst mal alle VM's des GSX in der GUI. Das ist wichtig für den Gesamtüberblick des Administrators bzw. der Administratoren.
Lässt man den "Haken" stehen sieht sie nur der, der sie auch angelegt hat.
Den Zugriff auf die Maschinen selbst und ob sie mit einem bestimmten Account angezeigt werden, kann man über die NTFS-Filepermissions (R, W,X) recht individuell, wie bei ESX auch, lösen.
@continnuum: Dein Ansatz wäre die WebSite selbst zu sperren. Wenig praktikabel finde ich. Wieso den Button entfernen? Geht über die Schreibrechte komfortabel.
@Herbert: Deinen Ansatz konnte ich nicht nachvollziehen, hat leider nicht gefunzt.
Nochmals Danke für die Antworten.
Verfasst: 30.11.2005, 15:59
von Herbert
@clabo
Die Einstellung "private" ist in der Praxis wenig hilfreich. Wer (bzw. welche Gruppe) welche Maschinen sieht, sollte unter GSX (und auch ESX) über die File Permissions eingestellt werden. Diese verhindern aber nicht, dass der User der jeweiligen VM damit einiges an Unfug anstellen kann: Die Anlage einer genügend grossen zusätzlichen Festplatte z. B. kann den ganzen Host abschiessen.
Der Ansatz, den ich nannte, stammt aus der Answer ID 1042 der VMware Knowledge Base und funktioniert auf allen unseren VMware Hosts.
Gruss
Herbert
Verfasst: 30.11.2005, 22:25
von continuum
@continnuum: Dein Ansatz wäre die WebSite selbst zu sperren. Wenig praktikabel finde ich. Wieso den Button entfernen? Geht über die Schreibrechte komfortabel.
Ich will nicht die website sperren - ich wollte nur an die Moeglichkeit in der Remote-console einen Button oder einen Menu-punkt zu entfernen erinnern.
Vielleicht nicht der branchenuebliche Weg
aber mit Resourcehacker in 5 Minuten erledigt.
Ulli
Verfasst: 01.12.2005, 17:50
von clabo
@Herbert: Ich schaue mir die Sache in Ruhe, wie ich dazu komme, nochmals an. Einen Sinn mit den Private Machines sehe ich nur bei FAT-Laufwerken um das Schlimmste zu verhindern.
@Continnuum: Brutale Bestie !!
