Horizon 8 on OpenShift - 服务帐户权限

Horizon OpenShift 服务帐户权限

OpenShift 集群容量提供程序所需的最低权限

本主题介绍在将 OpenShift 部署为容量提供程序时，服务帐户在 OpenShift 集群中必须具有的最低所需权限，以便 Horizon Connection Server 能够对集群资源执行所需的操作。

权限按功能分组，并指明其限定范围是命名空间还是集群。

1. 虚拟机生命周期和电源操作

范围：虚拟机所在的命名空间（项目）。

这些权限允许用户控制虚拟机的状态和存在性。

API 组：kubevirt.io

资源：

• virtualmachines
• virtualmachineinstances

必需的权限：

• get - 查看虚拟机详细信息
• list - 列出虚拟机
• create - 创建或导入虚拟机
• delete - 删除虚拟机
• watch - UI 和控制器需要

虚拟机电源操作（子资源）

API 组：subresources.kubevirt.io

资源：

• virtualmachines/start
• virtualmachines/stop
• virtualmachines/restart
• virtualmachines/reset

必需的权限：

• update - 执行电源操作时需要

2. 虚拟机克隆操作

范围：命名空间。

这些权限允许从现有虚拟机创建新虚拟机。

API 组：clone.kubevirt.io

资源：

• virtualmachineclones

必需的权限：

• get
• list
• create
• delete

注意：虚拟机克隆还依赖于 DataVolumes（请参阅第 4 节）。

3. 快照和还原操作

范围：命名空间。

这些权限允许用户创建、查看和删除快照，以及从快照还原虚拟机。

API 组：snapshot.kubevirt.io

资源：

• virtualmachinesnapshots
• virtualmachinerestores

必需的权限：

• get
• list
• create
• delete

4. DataVolume 访问权限（克隆和快照需要）

范围：命名空间。

DataVolumes 由 OpenShift Virtualization 在内部用来执行磁盘克隆和快照操作。

API 组：cdi.kubevirt.io

资源：

• datavolumes

必需的权限：

• get
• list
• create
• delete

5. 列出虚拟机和快照

范围：命名空间。

如果授予了上述所有权限，则无需其他权限。列出虚拟机、克隆和快照涵盖在其各自对象的 get 和 list 权限中。

6. 列出命名空间（项目）

范围：集群范围（只读）。

这是必需的，以便用户能够查看存在哪些项目，并在 CLI 或 UI 中切换项目。

API 组：核心

资源:

• namespaces

必需的权限：

• get
• list

7. 列出 NetworkAttachmentDefinitions

范围：集群范围（只读）。

将其他网络连接到虚拟机时需要。

API 组：k8s.cni.cncf.io

资源:

• network-attachment-definitions

必需的权限：

• get
• list

8. 列出 StorageClasses

范围：集群范围（只读）。

这是必需的，以便用户在创建或克隆虚拟机时能够查看可用的存储选项。

API 组：storage.k8s.io

资源:

• storageclasses

必需的权限：

• get
• list

9. 列出虚拟机实例类型和首选项

范围：集群范围（只读）。

这些是为虚拟机预定义的 CPU 和内存大小调整模板及首选项。

API 组：instancetype.kubevirt.io

资源：

• virtualmachineclusterinstancetypes
• virtualmachineclusterpreferences

必需的权限：

• get
• list

按范围划分的摘要

命名空间范围（每个项目）

• VirtualMachines 和 VirtualMachineInstances
• 虚拟机电源子资源（启动/停止/重新启动/重置）
• VirtualMachineClones
• VirtualMachineSnapshots 和还原
• DataVolumes

集群范围（只读）

• 命名空间
• StorageClasses
• NetworkAttachmentDefinitions
• 虚拟机集群实例类型和首选项