5.1.1 概要

本製品では、ユーザーごとに利用できる操作や、操作できるリソースを制限できます。

利用できる操作の集合
ロールと呼びます。
操作できるリソース
アクセス範囲と呼びます。
テナント管理者とテナント利用者のロールを設定するユーザーでは、管理、利用するテナントがアクセス範囲になります。

ユーザーごとにロールとアクセス範囲を設定することで、権限を制限できます。

ロールには以下の名前が付けられています。各ロールの詳細な操作権限については、「5.1.2 ロールと可能な操作」の「ロール別操作可能範囲」を参照してください。

表5.1 ロール種別
ロール種別	ロール名	説明
インフラ管理ロール	インフラ管理者(infra_admin)	インフラ管理者は、プライベートクラウド内のICTリソース(サーバ、ストレージ、ネットワーク)、およびL-Platform上で稼動するOSの管理を行います。インフラ管理者は、本製品を使用したICTリソースをプール化したリソースの一元管理、負荷状態の把握と必要に応じたICTリソースの追加、入替えおよびメンテナンスを行います。インフラ管理者ロールは、L-PlatformとL-Serverに対する運用時の操作を禁止したロールです。インフラを管理するユーザーが、誤操作でL-PlatformとL-Serverの運用を阻害しないように、L-PlatformとL-Serverに対する権限を制限する場合に利用してください。 L-Platformに対しては監視とバックアップ、L-Serverに対しては、監視と「操作ガイドインフラ管理者編 (リソース管理) CE」の「17.7 VMホスト間の移動(マイグレーション)」の操作しかできませんがその他のリソースに対してはすべての操作ができます。
	インフラオペレーター(infra_operator)	インフラオペレーターは、L-Platformに対して監視だけできます。その他、リソースプール内のリソースに対して、電源操作とバックアップができます。
	インフラ監視者(monitor)	すべてのリソースの監視だけできます。
テナント管理ロール	テナント管理者(tenant_admin)	テナント管理者は、L-Platformテンプレートの管理、テナント利用者のユーザー管理、およびテナント利用者からのL-Platformの作成申請の承認などの操作を行います。テナント管理者は、L-Platformを貸し出すクラウド型の運用など、L-Platformの管理を別の管理者が行う場合に利用してください。
	テナントオペレーター(tenant_operator)	テナントオペレーターは、テナント管理者ができる操作のうち、以下の操作だけできます。リソースのバックアップ L-Platformの電源操作テナント全体のリソース監視テナントのローカルプールの監視
	テナント監視者(tenant_monitor)	テナント監視者は、L-PlatformとL-Serverの監視だけできます。
兼任ロール	管理者(administrator)	管理者は、インフラ管理者とテナント管理者を兼任する場合に利用してください。
	オペレーター(operator)	オペレーターは、インフラオペレーターとテナントオペレーターを兼任する場合に利用してください。
	監視者(monitor)	すべてのリソースの監視だけできます。
テナント利用ロール	テナント利用者(tenant_user)	テナント利用者は、テナント内にL-Platformを作成できます。テナント利用者は、テナント管理者に対してL-Platformの利用申請を行います。申請が承認されL-Platformが作成されると、申請を行ったユーザーに対して、自動的にL-Platform利用者(lplatform_user)のロールが割り当てられます。
テナント利用ロール	L-Platform利用者(lplatform_user)	L-Platform利用者は、テナント利用者(tenant_user)がL-Platformを利用するためのロールです。 L-Platform利用者は、L-Platformの操作、変更、削除ができます。このロールはL-Platform作成時に自動的に割り当てられ、L-Platform削除時には自動的に削除されます。追加/削除は必要ありません。

ユーザーグループは、複数のユーザーを一括して管理する機能です。ユーザーと同様にロールとアクセス範囲を設定することで、そのユーザーグループに属するすべてのユーザーの権限をまとめて設定できます。

ユーザーグループは、初期状態では"supervisor"ユーザーグループと"monitor"ユーザーグループだけが定義されています。

"supervisor"ユーザーグループには、"all=administrator"のアクセス範囲とロールが設定されています。
"all=administrator"は、アクセス範囲を制限しない管理者(インフラ管理者とテナント管理者を兼任する管理者)ロールです。

"monitor"ユーザーグループには、"all=monitor"のアクセス範囲とロールが設定されています。
"all=monitor"は、アクセス範囲を制限しない監視者(インフラ監視者とテナント監視者を兼任する監視者)ロールです。

テナントを新たに作成すると、テナントに対応するユーザーグループが作成されます。テナント管理者とテナント利用者のユーザーを作成すると、テナントに対応するユーザーグループに属します。

ユーザー作成時にユーザーグループを指定しない場合、作成したユーザーと同じユーザーグループになります。そのため、同一部門内で利用する場合、ユーザーグループの存在を考慮する必要はありません。

ユーザーとユーザーグループのアクセス範囲に指定されたリソースフォルダーとリソースを削除すると、アクセス範囲とロールの設定からも削除されます。

ユーザーとユーザーグループのアクセス範囲とロール設定の関係は、「表5.2 ユーザーとユーザーグループのアクセス範囲とロール設定の関係」のとおりです。

表5.2 ユーザーとユーザーグループのアクセス範囲とロール設定の関係
ユーザー	ユーザーグループ	アクセス範囲とロール
設定あり	設定あり	ユーザーの設定が有効
設定あり	設定なし	ユーザーの設定が有効
設定なし	設定あり	ユーザーグループの設定が有効
設定なし	設定なし	すべてのリソースにアクセス不可