OpenShift 上的 Horizon 8 - 服務帳戶權限

Horizon OpenShift 服務帳戶權限

OpenShift 叢集容量提供者所需的最低權限

本主題說明當 OpenShift 部署為容量提供者時，服務帳戶在 OpenShift 叢集中必須具備的最低權限，以便 Horizon Connection Server 對叢集資源執行所需的作業。

這些權限會依功能分組，並指出其範圍是命名空間層級或叢集層級。

1. 虛擬機器生命週期和電源作業

範圍：虛擬機器所在的命名空間 (專案)。

這些權限可讓使用者控制虛擬機器的狀態及其是否存在。

API 群組：kubevirt.io

資源：

• virtualmachines
• virtualmachineinstances

需要權限：

• get - 檢視虛擬機器詳細資料
• list - 列出虛擬機器
• create - 建立或匯入虛擬機器
• delete - 刪除虛擬機器
• watch - UI 和控制器需要

虛擬機器電源作業 (子資源)

API 群組：subresources.kubevirt.io

資源：

• virtualmachines/start
• virtualmachines/stop
• virtualmachines/restart
• virtualmachines/reset

需要權限：

• update - 執行電源動作所需

2. 虛擬機器複製作業

範圍：命名空間。

這些權限可讓使用者從現有虛擬機器建立新的虛擬機器。

API 群組：clone.kubevirt.io

資源：

• virtualmachineclones

需要權限：

• get
• list
• create
• delete

附註：虛擬機器複製也依賴 DataVolume (請參閱第 4 節)。

3. 快照和還原作業

範圍：命名空間。

這些權限可讓使用者建立、檢視及刪除快照，並從快照還原虛擬機器。

API 群組：snapshot.kubevirt.io

資源：

• virtualmachinesnapshots
• virtualmachinerestores

需要權限：

• get
• list
• create
• delete

4. DataVolume 存取權限 (複製和快照所需)

範圍：命名空間。

OpenShift Virtualization 會在內部使用 DataVolume 來執行磁碟複製和快照作業。

API 群組：cdi.kubevirt.io

資源：

• datavolumes

需要權限：

• get
• list
• create
• delete

5. 列出虛擬機器和快照

範圍：命名空間。

如果已授與上述所有權限，則不需要其他權限。列出虛擬機器、複製和快照所需的權限，已包含在各自物件的 get 和 list 權限中。

6. 列出命名空間 (專案)

範圍：整個叢集 (唯讀)。

這是必要權限，可讓使用者查看現有專案，並在 CLI 或 UI 中切換專案。

API 群組：核心

資源：

• namespaces

需要權限：

• get
• list

7. 列出 NetworkAttachmentDefinitions

範圍：整個叢集 (唯讀)。

將其他網路附加至虛擬機器時也需要此權限。

API 群組：k8s.cni.cncf.io

資源：

• network-attachment-definitions

需要權限：

• get
• list

8. 列出 StorageClasses

範圍：整個叢集 (唯讀)。

建立或複製虛擬機器時，這是必要權限，可讓使用者查看可用的儲存選項。

API 群組：storage.k8s.io

資源：

• storageclasses

需要權限：

• get
• list

9. 列出虛擬機器執行個體類型和喜好設定

範圍：整個叢集 (唯讀)。

這些是針對虛擬機器預先定義的 CPU 和記憶體大小調整範本和喜好設定。

API 群組：instancetype.kubevirt.io

資源：

• virtualmachineclusterinstancetypes
• virtualmachineclusterpreferences

需要權限：

• get
• list

依範圍摘要

命名空間範圍 (每個專案)

• VirtualMachines 和 VirtualMachineInstances
• 虛擬機器電源子資源 (啟動/停止/重新啟動/重設)
• VirtualMachineClones
• VirtualMachineSnapshots 和還原
• DataVolumes

叢集範圍 (唯讀)

• 命名空間
• StorageClasses
• NetworkAttachmentDefinitions
• 虛擬機器叢集執行個體類型和喜好設定