Horizon 8 en OpenShift - Permisos de la cuenta de servicio

Permisos de la cuenta de servicio de Horizon en OpenShift

Permisos mínimos necesarios para el proveedor de capacidad del clúster de OpenShift

En este tema se describen los permisos mínimos que debe tener una cuenta de servicio en un clúster de OpenShift para que Horizon Connection Server pueda realizar las operaciones necesarias en los recursos del clúster cuando OpenShift se implementa como proveedor de capacidad.

Los permisos se agrupan por capacidad e indican si su ámbito se limita a un espacio de nombres o abarca todo el clúster.

1. Operaciones del ciclo de vida y de alimentación de las máquinas virtuales

Ámbito: espacio de nombres (proyecto) en el que residen las máquinas virtuales.

Estos permisos permiten a un usuario controlar el estado y la existencia de las máquinas virtuales.

Grupo de API: kubevirt.io

Recursos:

• virtualmachines
• virtualmachineinstances

Permisos requeridos:

• get: ver los detalles de las máquinas
• list: enumerar las máquinas virtuales
• create: crear o importar máquinas virtuales
• delete: eliminar máquinas virtuales
• watch: necesario para la interfaz de usuario y los controladores

Operaciones de alimentación de las máquinas virtuales (subrecursos)

Grupo de API: subresources.kubevirt.io

Recursos:

• virtualmachines/start
• virtualmachines/stop
• virtualmachines/restart
• virtualmachines/reset

Permisos requeridos:

• update: necesario para realizar acciones de alimentación

2. Operaciones de clonación de máquinas virtuales

Ámbito: espacio de nombres.

Estos permisos permiten crear una nueva máquina virtual a partir de una máquina virtual existente.

Grupo de API: clone.kubevirt.io

Recursos:

• virtualmachineclones

Permisos requeridos:

• get
• list
• create
• delete

Nota: La clonación de máquinas virtuales también se basa en DataVolumes (consulte la sección 4).

3. Operaciones de instantáneas y restauración

Ámbito: espacio de nombres.

Estos permisos permiten a los usuarios crear, ver y eliminar instantáneas, así como restaurar máquinas virtuales a partir de instantáneas.

Grupo de API: snapshot.kubevirt.io

Recursos:

• virtualmachinesnapshots
• virtualmachinerestores

Permisos requeridos:

• get
• list
• create
• delete

4. Acceso a DataVolume (necesario para clonación e instantánea)

Ámbito: espacio de nombres.

Los DataVolumes se utilizan internamente en OpenShift Virtualization para las operaciones de clonación de discos y de instantáneas.

Grupo de API: cdi.kubevirt.io

Recursos:

• datavolumes

Permisos requeridos:

• get
• list
• create
• delete

5. Enumeración de máquinas virtuales e instantáneas

Ámbito: espacio de nombres.

Si se conceden todos los permisos anteriores, no se necesitan permisos adicionales. La enumeración de máquinas virtuales, clones e instantáneas está cubierta por los permisos get y list de los objetos correspondientes.

6. Enumeración de espacios de nombres (proyectos)

Ámbito: todo el clúster (solo lectura).

Esto es necesario para que los usuarios puedan ver qué proyectos existen y cambiar de uno a otro mediante la CLI o la interfaz de usuario.

Grupo de API: core

Recurso:

• namespaces

Permisos requeridos:

• get
• list

7. Enumeración de NetworkAttachmentDefinitions

Ámbito: todo el clúster (solo lectura).

Necesario para adjuntar redes adicionales a las máquinas virtuales.

Grupo de API: k8s.cni.cncf.io

Recurso:

• network-attachment-definitions

Permisos requeridos:

• get
• list

8. Enumeración de StorageClasses

Ámbito: todo el clúster (solo lectura).

Necesario para que los usuarios puedan ver las opciones de almacenamiento disponibles al crear o clonar máquinas virtuales.

Grupo de API: storage.k8s.io

Recurso:

• storageclasses

Permisos requeridos:

• get
• list

9. Enumeración de tipos y preferencias de instancias de máquinas virtuales

Ámbito: todo el clúster (solo lectura).

Son plantillas predefinidas de dimensionamiento de CPU y memoria, así como preferencias para las máquinas virtuales.

Grupo de API: instancetype.kubevirt.io

Recursos:

• virtualmachineclusterinstancetypes
• virtualmachineclusterpreferences

Permisos requeridos:

• get
• list

Resumen por ámbito

Ámbito del espacio de nombres (por proyecto)

• VirtualMachines y VirtualMachineInstances
• Subrecursos de alimentación de las máquinas virtuales (inicio/parada/reinicio/restablecimiento)
• VirtualMachineClones
• VirtualMachineSnapshots y restauraciones
• DataVolumes

Ámbito de todo el clúster (solo lectura)

• Espacios de nombres
• StorageClasses
• NetworkAttachmentDefinitions
• Tipos y preferencias de instancias de máquinas virtuales del clúster