关于为要使用 Horizon Universal Console 在 Horizon Cloud 环境中工作的人员提供的两种类型角色的最佳实践

本文档主题介绍了有关设置两种类型角色的最佳实践，当您希望用户登录到 Horizon Universal Console 并在您的 Horizon Cloud 环境中工作时，您必须为他们提供这两种类型的角色。其中一种角色用于启用或停用 Horizon Universal Console 用户界面本身的不同部分。另一种角色用于确定分配有该角色的人员可以调用哪些操作。您必须确保提供给特定个人的这两种角色的最终组合能够反映要向其提供的所需结果。

重要提示： 由于其中一类角色用于控制用户可在控制台中看到的内容，而另一类角色用于控制操作调用，因此您必须确保特定人员具有的这两种角色的总体组合能够反映要向其提供的所需结果。以下部分介绍了最佳做法组合。如果您不遵循这些最佳做法，则可能会出现矛盾。例如，如果根据此处所述的指南，分配的角色不匹配，则某个用户可能在登录到控制台后无法执行您希望其执行的操作，或者某个用户可能在登录后能够执行您不希望其执行的操作。因此，请务必确保您在 “常规设置 ”页面的帐户区域中为某个用户分配的角色与在 “角色和权限 ”页面中为该用户的 Active Directory 组分配的角色相一致。

以下部分介绍了这两类角色，以及根据典型组织中的标准场景使用的最佳组合做法。

请记住： 如 基于云的 Horizon Universal Console 导览中所述，第一代控制台是动态的，反映了适合第一代租户环境的最新配置的功能。对本文档中所述功能的访问可能取决于以下因素，包括但不限于：

• 该功能是否取决于仅在最新的第一代 Horizon Cloud 容器清单、Horizon 容器版本或 Horizon Cloud Connector 版本中提供的系统代码。
• 对该功能的访问是否处于“有限可用性”状态，如在首次亮相时发行 说明 中所述。
• 功能是否需要特定的许可或 SKU。

当您看到本文档中提及一项功能，而未在第一代控制台中看到该功能时，请首先查看 发行说明 ，了解该功能的访问权限是否受限，以及您可以在租户中请求启用该功能的方式。或者，如果您认为自己有权使用本文档中所述的某项功能，但未在控制台中看到该功能，可以咨询您的 Horizon Cloud 代表，如果您没有代表，则可以按照 如何在 Customer Connect 中提交支持请求 （KB 2006985） 中所述，向 Horizon Cloud 团队提交服务请求 （SR）。

为分配了该角色的 Active Directory 组中的人员启用或停用控制台用户界面不同部分的角色

这些角色是在系统中预定义的，并与 Active Directory 组相关联。当某个用户 对您的 Horizon Cloud 环境进行身份验证时，控制台将检测该用户帐户位于哪个 Active Directory （AD） 组中。控制台还会识别在控制台的“角色和权限”页面中为该 AD 组分配了此类角色中的哪个角色。然后，当该用户浏览控制台的各用户界面页面、选项卡和窗口时，根据该用户的 AD 组所分配到的角色，这些项目将显示为已启用或已停用。

重要提示： 这表明了，这些角色只能分配给组，不能分配给单个 AD 用户帐户，这也意味着您必须避免将其中两个角色分配给同一个 AD 域组。如果将其中两个角色分配给同一个 AD 组，则当该组中的某个用户登录时，控制台会发现该用户所在的组同时分配了两个角色，因此在浏览用户界面页面时，该用户可能会看到已停用的项目，因为两个角色中有一个角色阻止其访问这些项目。

您可以在 AD 组级别应用其中每个角色。由于此类角色是在组级别而不是单个用户级别应用的，因此同一 AD 组中的所有用户都将获得您使用 控制台的“角色和权限”页面为该 Active Directory 组分配的角色。在 AD 环境中，您可以控制哪些用户属于您的 AD 组。因此，当您在 AD 环境中将用户从一个 AD 组移到另一个 AD 组时，您必须确保将其移动到的组所具有的角色之一仍然与其分配的角色（即分配给其 Customer Connect 帐户的角色）保持一致。在将某个用户从一个 AD 组移到另一个 AD 组时，您必须验证是否需要调整另一种类型的角色（即分配给该用户的 Customer Connect 帐户的角色），以便与分配给该用户的新 AD 组的角色保持一致。

例如， Help Desk Read Only Administrator 角色就是这些角色之一。在“角色和权限”页面上为某个 AD 组分配该角色后，控制台将允许该组中的用户导航到最终用户的用户卡并查看信息，但不允许他们在桌面上执行操作。

确定为其 Customer Connect 帐户分配了该角色的人员可以调用哪些操作的角色

与其他角色类型一样，这些角色是在系统中预定义的。这些角色与在“常规设置”页面的“帐户”区域中配置的帐户相关。当某个用户 对您的 Horizon Cloud 环境进行身份验证时，控制台将检测为用于对已登录会话进行身份验证的 Customer Connect 帐户分配了哪个角色。然后，当该用户尝试在控制台中调用某个操作时，系统是允许 API 调用完成还是阻止 API 调用，具体取决于在“常规设置”页面中分配给已登录用户的帐户的角色。

因此，在对控制台进行初始身份验证后，此分配的角色通常与其他类型的已分配角色协同工作：

1. 当该用户浏览控制台的用户界面页面、选项卡和窗口时，根据该用户的 AD 组所分配到的角色，这些用户界面元素将显示为已启用或已停用。
2. 当该用户单击某个按钮以调用 API 调用以执行某项操作时，如果分配给其 Customer Connect 帐户的角色不允许执行该操作，则 API 调用将不会执行，并且该操作将无法完成。

重要提示： 考虑到在控制台中，此角色与分配给用户的 AD 组的角色协同工作（后者决定哪些控制台元素处于活动状态，而前者决定在单击某个元素时允许完成哪些操作），因此您必须确保特定人员具有的这两种角色的总体组合能够反映要向其提供的所需结果。否则，可能会出现相矛盾的结果。将某个用户从一个 AD 组移到另一个 AD 组时，请确认其 Customer Connect 帐户中的角色与其新 AD 组上的角色相一致，并根据需要进行调整。以下部分介绍了标准的最佳组合。

五种标准的最佳角色组合

由于当用户的两个角色未按照下表保持一致时，可能会出现矛盾行为，因此建议您根据下表保持一致，以便为组织用户授予的角色保持一致。系统不会阻止您为 AD 组分配比为该组中单个用户的 Customer Connect 帐户分配的角色具有更高权限宽容度的角色。如果某个用户属于多个 AD 组，请确保在“角色和权限”页面上为这些组分配的角色也彼此相一致，并与该用户的 Customer Connect 帐户中的角色相一致。

“常规设置”页面中该用户的 Customer Connect 帐户所具有的角色	“角色和权限”页面中用户的 Active Directory 组所具有的角色	描述
客户管理员	超级管理员	具有完全访问权限，能够查看控制台的所有区域并在控制台中执行所有操作。
客户分配管理员	分配管理员	能够查看控制台的所有区域，并执行与修改和管理最终用户分配和场相关的操作。
客户管理员只读	演示管理员	能够查看控制台的所有区域、查看设置并选择选项以查看更多选择，但不能调用可更改环境的操作，如删除项目。使用这种组合的一个示例是，允许组织中的人员登录并向其他人演示系统的功能，同时避免对系统进行更改。
客户技术支持	技术支持部门管理员	有权查看控制台中与技术支持相关的区域，并执行控制台提供的所有与技术支持相关的操作。此组合的目的是使用户能够使用用户卡功能查看最终用户会话的状态，并对会话执行故障排除操作。
客户技术支持只读	技术支持部门只读管理员	有权查看控制台中与技术支持相关的区域，并在用户卡中查看最终用户会话的状态，同时禁止调用与技术支持相关的操作。

如果想要将用户限制为仅具有对控制台所有区域的只读访问权限，即对控制台的查看访问权限

如果您希望某个用户能够浏览控制台的所有用户界面页面、打开对话框并查看报告，同时限制他们调用可导致租户环境发生更改的操作，则必须确保同时满足以下两个条件：

• 在“常规设置”页面的帐户区域中，将 角色分配给 Customer Administrator Read-Only 其 Customer Connect 帐户。如果此人的帐户在此处列出了不同的角色，则可以从该帐户部分中移除其行，然后再重新添加，这次指定 Customer Administrator Read-Only 角色。
• 在“角色和权限”页面中，将 Demo Administrator 角色分配给该用户的 Active Directory 组。

如果同时满足这两个条件，那么该用户将能够登录到控制台、导航到控制台的所有页面、浏览页面、打开对话框和查看报告，但无法调用可导致环境发生更改的操作。

注意： 由于“角色和权限”页面在 AD 组级别运行，而不是在单个帐户级别运行，因此您必须确保 AD 组中具有相应的个人帐户，具体取决于您的组织要求。

如果想要将用户限制为仅具有对控制台中技术支持功能的访问权限，并且还能够在用户卡中执行操作

如果您希望某个用户能够登录到控制台，但只能访问控制台中与技术支持相关的功能，而不是访问控制台的所有区域，同时还允许该用户执行与技术支持相关的操作，则必须确保同时满足以下两个条件：

• 在“常规设置”页面的帐户区域中，将 角色分配给 Customer Helpdesk 其 Customer Connect 帐户。如果此人的帐户在此处列出了不同的角色，则可以从该帐户部分中移除其行，然后再重新添加，这次指定 Customer Helpdesk 角色。
• 在“角色和权限”页面中，将 Help Desk Administrator 角色分配给该用户的 Active Directory 组。

如果同时满足这两个条件，那么该用户将能够登录到控制台、查看与技术支持相关的功能，并执行与技术支持相关的操作。

注意： 由于“角色和权限”页面在 AD 组级别运行，而不是在单个帐户级别运行，因此您必须确保 AD 组中具有相应的个人帐户，具体取决于您的组织要求。

当您想要将用户限制为仅具有对控制台技术支持功能的只读访问权限时

如果希望某个用户能够登录到控制台，但只能以只读方式访问与技术支持相关的功能，并且希望禁止其执行任何与技术支持相关的操作，则必须确保同时满足以下两个条件：

• 在“常规设置”页面的帐户区域中，将 角色分配给 Customer Helpdesk Read-Only 其 Customer Connect 帐户。如果此人的帐户在此处列出了不同的角色，则可以从“帐户”部分移除其行，然后再重新添加，这次指定 Customer Helpdesk Read-Only 角色。
• 在“角色和权限”页面中，将 Help Desk Read Only Administrator 角色分配给该用户的 Active Directory 组。

如果同时满足这两个条件，那么该用户将能够登录到控制台，并在只读基础上使用与技术支持相关的功能。

注意： 由于“角色和权限”页面在 AD 组级别运行，而不是在单个帐户级别运行，因此您必须确保 AD 组中具有相应的个人帐户，具体取决于您的组织要求。

如果想要将用户限制为仅具有对控制台的分配和场相关功能的访问权限

如果希望某个用户能够访问控制台以执行与管理最终用户分配和场相关的操作，以及对控制台的所有其他区域具有只读访问权限，请确保同时满足以下两个条件：

• 在“常规设置”页面的帐户区域中，将 角色分配给 Customer Assignment Administrator 其 Customer Connect 帐户。如果此人的帐户在此处列出了不同的角色，则可以从“帐户”部分移除其行，然后再重新添加，这次指定 Customer Assignment Administrator 角色。
• 在“角色和权限”页面中，将 Assignment Administrator 角色分配给该用户的 Active Directory 组。

如果同时满足这两个条件，那么该用户将能够登录到控制台、导航到控制台的所有页面并查看它们，以及调用创建、修改或删除最终用户分配和场的操作。单个用户还可以执行与管理分配和场相关的操作，如虚拟机配置、电源管理和远程应用程序配置。

注意： 由于“角色和权限”页面在 AD 组级别运行，而不是在单个帐户级别运行，因此您必须确保 AD 组中具有相应的个人帐户，具体取决于您的组织要求。

如果希望用户对控制台拥有完全访问权限，以执行控制台的所有区域和操作

如果希望某个用户具有对控制台的完全访问权限，以便其能够查看其所有区域并调用可导致租户环境发生更改的操作，请确保同时满足以下两个条件：

• 在“常规设置”页面的帐户区域中，将 角色分配给 Customer Administrator 其 Customer Connect 帐户。如果此人的帐户在此处列出了不同的角色，则可以从“帐户”部分移除其行，然后再重新添加，这次指定 Customer Administrator 角色。
• 在“角色和权限”页面中，将 Super Administrator 角色分配给该用户的 Active Directory 组。

如果同时满足这两个条件，那么该用户将能够登录到控制台、导航到控制台的所有页面并调用可导致环境发生更改的操作。

注意： 由于“角色和权限”页面在 AD 组级别运行，而不是在单个帐户级别运行，因此您必须确保 AD 组中具有相应的个人帐户，具体取决于您的组织要求。