Horizon 8 sur OpenShift - Autorisations du compte de service

Autorisations du compte de service Horizon OpenShift

Autorisations minimales requises pour le fournisseur de capacité de cluster OpenShift

Cette rubrique décrit les autorisations minimales requises dont un compte de service doit disposer dans un cluster OpenShift pour permettre à Horizon Connection Server d'effectuer les opérations requises sur les ressources du cluster lorsqu'OpenShift est déployé en tant que fournisseur de capacité.

Les autorisations sont regroupées par capacité et indiquent si leur portée est limitée à l'espace de noms ou au cluster.

1. Cycle de vie et opérations d'alimentation des machines virtuelles

Portée : espace de noms (projet) dans lequel résident les VM.

Ces autorisations permettent à un utilisateur de contrôler l'état et l'existence d'une machine virtuelle.

Groupe d'API : kubevirt.io

Ressources :

• virtualmachines
• virtualmachineinstances

Autorisations requises :

• get : afficher les détails de la VM
• list : répertorier les VM
• create : créer ou importer des VM
• delete : supprimer des VM
• watch : requis par l'UI et les contrôleurs

Opérations d'alimentation de VM (sous-ressources)

Groupe d'API : subresources.kubevirt.io

Ressources :

• virtualmachines/start
• virtualmachines/stop
• virtualmachines/restart
• virtualmachines/reset

Autorisations requises :

• update : requis pour effectuer des actions d'alimentation

2. Opérations de clonage de machine virtuelle

Portée : espace de noms.

Ces autorisations permettent de créer une machine virtuelle à partir d'une machine virtuelle existante.

Groupe d'API : clone.kubevirt.io

Ressources :

• virtualmachineclones

Autorisations requises :

• get
• list
• create
• delete

Remarque : le clonage de VM repose également sur des DataVolumes (voir la section 4).

3. Opérations de snapshot et de restauration

Portée : espace de noms.

Ces autorisations permettent aux utilisateurs de créer, d'afficher et de supprimer des snapshots, et de restaurer des machines virtuelles à partir de snapshots.

Groupe d'API : snapshot.kubevirt.io

Ressources :

• virtualmachinesnapshots
• virtualmachinerestores

Autorisations requises :

• get
• list
• create
• delete

4. Accès au DataVolume (requis pour le clone et le snapshot)

Portée : espace de noms.

Les DataVolumes sont utilisés en interne par la virtualisation OpenShift pour les opérations de clonage de disque et de snapshot.

Groupe d'API : cdi.kubevirt.io

Ressources :

• datavolumes

Autorisations requises :

• get
• list
• create
• delete

5. Liste des machines virtuelles et des snapshots

Portée : espace de noms.

Si toutes les autorisations ci-dessus sont accordées, aucune autorisation supplémentaire n'est requise. L'affichage de la liste des machines virtuelles, des clones et des snapshots est couvert par les autorisations get et list sur leurs objets respectifs.

6. Répertorier les espaces de noms (projets)

Portée : à l'échelle du cluster (lecture seule).

Cela est nécessaire pour que les utilisateurs puissent voir les projets existants et passer de l'un à l'autre dans la CLI ou l'UI.

Groupe d'API : principal

Ressource :

• namespaces

Autorisations requises :

• get
• list

7. Répertorier NetworkAttachmentDefinitions

Portée : à l'échelle du cluster (lecture seule).

Requis pour attacher des réseaux supplémentaires à des machines virtuelles.

Groupe d'API : k8s.cni.cncf.io

Ressource :

• network-attachment-definitions

Autorisations requises :

• get
• list

8. Répertorier StorageClasses

Portée : à l'échelle du cluster (lecture seule).

Requis pour que les utilisateurs puissent voir les options de stockage disponibles lors de la création ou du clonage de machines virtuelles.

Groupe d'API : storage.k8s.io

Ressource :

• storageclasses

Autorisations requises :

• get
• list

9. Répertorier les types d'instance de VM et les préférences

Portée : à l'échelle du cluster (lecture seule).

Il s'agit de modèles et de préférences de dimensionnement de CPU et de mémoire prédéfinis pour les machines virtuelles.

Groupe d'API : instancetype.kubevirt.io

Ressources :

• virtualmachineclusterinstancetypes
• virtualmachineclusterpreferences

Autorisations requises :

• get
• list

Résumé par portée

Limité à l'espace de noms (par projet)

• VirtualMachines et VirtualMachineInstances
• Sous-ressources d'alimentation de VM (démarrer/arrêter/redémarrer/réinitialiser)
• VirtualMachineClones
• VirtualMachineSnapshots et restaurations
• DataVolumes

Limité au cluster (lecture seule)

• Espaces de noms
• StorageClasses
• NetworkAttachmentDefinitions
• Types d'instance de cluster de VM et préférences