OpenShift での Horizon 8 - サービス アカウントの権限

Horizon OpenShift サービス アカウントの権限

OpenShift クラスタ キャパシティ プロバイダに最低限必要な権限

このトピックでは、OpenShift がキャパシティ プロバイダとしてデプロイされている場合に、Horizon Connection Server がクラスタ リソースで必要な操作を実行できるようにするために、サービス アカウントが OpenShift クラスタで持つ必要のある最小限の権限について説明します。

権限は機能別にグループ化され、名前空間スコープかクラスタ スコープかが示されます。

1. 仮想マシンのライフサイクルと電源操作

スコープ：仮想マシンが配置されている名前空間（プロジェクト）。

これらの権限により、ユーザーは仮想マシンの状態と存在を制御できます。

API グループ：kubevirt.io

リソース：

• virtualmachines
• virtualmachineinstances

必要な権限：

• get - 仮想マシンの詳細の表示
• list - 仮想マシンの一覧表示
• create - 仮想マシンの作成またはインポート
• delete - 仮想マシンの削除
• watch - ユーザー インターフェイスとコントローラで必要

仮想マシンの電源操作（サブリソース）

API グループ：subresources.kubevirt.io

リソース：

• virtualmachines/start
• virtualmachines/stop
• virtualmachines/restart
• virtualmachines/reset

必要な権限：

• update - 電源操作の実行に必要

2. 仮想マシンのクローン作成操作

スコープ：名前空間。

これらの権限により、既存の仮想マシンから新しい仮想マシンを作成できます。

API グループ：clone.kubevirt.io

リソース：

• virtualmachineclones

必要な権限：

• get
• list
• create
• delete

注：仮想マシンのクローン作成も DataVolumes に依存します（セクション 4 を参照）。

3. スナップショットおよびリストア操作

スコープ：名前空間。

これらの権限により、ユーザーはスナップショットの作成、表示、削除、スナップショットからの仮想マシンのリストアを行うことができます。

API グループ：snapshot.kubevirt.io

リソース：

• virtualmachinesnapshots
• virtualmachinerestores

必要な権限：

• get
• list
• create
• delete

4. DataVolume アクセス（クローン作成とスナップショット操作に必要）

スコープ：名前空間。

DataVolumes は、OpenShift Virtualization がディスクのクローン作成およびスナップショット操作に内部的に使用します。

API グループ：cdi.kubevirt.io

リソース：

• datavolumes

必要な権限：

• get
• list
• create
• delete

5. 仮想マシンとスナップショットの一覧表示

スコープ：名前空間。

上記のすべての権限が付与されている場合、追加の権限は必要ありません。仮想マシン、クローン、スナップショットの一覧表示は、それぞれのオブジェクトに対する get 権限と list 権限によって許可されます。

6. 名前空間（プロジェクト）の一覧表示

スコープ：クラスタ全体（読み取り専用）。

これは、ユーザーが CLI またはユーザー インターフェイスに存在するプロジェクトを確認し、プロジェクトを切り替えられるようにするために必要です。

API グループ：コア

リソース:

• namespaces

必要な権限：

• get
• list

7. NetworkAttachmentDefinitions の一覧表示

スコープ：クラスタ全体（読み取り専用）。

追加のネットワークを仮想マシンに接続する場合に必要です。

API グループ：k8s.cni.cncf.io

リソース:

• network-attachment-definitions

必要な権限：

• get
• list

8. StorageClass の一覧表示

スコープ：クラスタ全体（読み取り専用）。

仮想マシンの作成またはクローン作成時に使用可能なストレージ オプションをユーザーが確認できるようにするために必要です。

API グループ：storage.k8s.io

リソース:

• storageclasses

必要な権限：

• get
• list

9. 仮想マシン インスタンスのタイプと環境設定の一覧表示

スコープ：クラスタ全体（読み取り専用）。

これらは、仮想マシンに事前定義された CPU およびメモリのサイズ設定テンプレートと環境設定です。

API グループ：instancetype.kubevirt.io

リソース：

• virtualmachineclusterinstancetypes
• virtualmachineclusterpreferences

必要な権限：

• get
• list

スコープ別のサマリ

名前空間スコープ（プロジェクトごと）

• VirtualMachines と VirtualMachineInstances
• 仮想マシンの電源サブリソース（開始/停止/再起動/リセット）
• VirtualMachineClones
• VirtualMachineSnapshots と Restores
• DataVolumes

クラスタ スコープ（読み取り専用）

• ネームスペース
• StorageClasses
• NetworkAttachmentDefinitions
• 仮想マシン クラスタ インスタンスのタイプと環境設定