VMware vSphere权限配置

vSphere 权限配置做不好，轻则普通用户看不到虚拟机，重则误删虚拟机、修改网络或影响生产集群。很多团队习惯共用管理员账号，短期看省事，长期会带来审计困难和误操作风险。vSphere 的权限体系并不只是“给账号授权”，而是角色、用户、组、对象层级和继承关系共同作用。

一、先理解 vSphere 权限由什么组成

vSphere 权限通常由三部分组成：

对象 + 用户/组 + 角色

对象可以是数据中心、集群、主机、资源池、文件夹、数据存储、网络或虚拟机。用户或组是被授权对象。角色则决定可以执行哪些操作。

例如：

对象：生产虚拟机文件夹
用户组：Web 运维组
角色：虚拟机高级用户

这表示 Web 运维组在生产虚拟机文件夹下拥有对应角色允许的操作。

二、不要所有人都用 Administrator

Administrator 角色权限很高，适合少数平台管理员使用，不适合日常运维、开发测试或业务用户共用。

共用管理员账号的问题包括：

• 无法判断是谁操作。
• 误操作影响范围大。
• 离职后权限回收困难。
• 审计记录不清楚。
• 普通任务也具备高危权限。

更好的方式是按岗位建立用户组，再给组授权。例如：

通过组授权比给个人账号授权更容易维护。

三、角色不等于岗位，需要按权限拆分

vSphere 内置了一些角色，但企业环境中通常需要自定义角色。自定义角色应围绕具体操作设计，而不是直接复制管理员权限。

常见角色设计：

角色越细，授权越安全。不要为了方便把多个高危权限都放进一个通用角色。

四、授权位置影响范围

vCenter 对象是分层的。授权给上层对象，可能会影响下层所有对象。比如在数据中心层级授权，可能覆盖多个集群、主机和虚拟机。

授权前要确认：

• 是否只需要访问某个虚拟机。
• 是否只需要访问某个文件夹。
• 是否需要访问整个集群。
• 是否允许权限向下继承。
• 是否会影响其他业务系统。

如果某个团队只管理一组虚拟机，建议把这些虚拟机放入专门文件夹，再在文件夹层级授权，而不是在整个数据中心层级授权。

五、谨慎使用权限继承

权限继承能减少重复授权，但也容易扩大权限范围。如果在上层对象设置权限并允许传播到子对象，下级对象会继承该权限。

使用继承时要注意：

• 上层授权是否过大。
• 下层是否存在敏感虚拟机。
• 是否有特殊对象需要单独限制。
• 继承权限和直接权限是否冲突。
• 权限变更是否影响已有用户。

当权限排查困难时，可以从对象向上检查继承来源，确认权限是直接授予还是从上层继承。

六、最小权限配置流程

一个比较稳妥的授权流程如下：

1. 明确用户需要完成什么操作。
2. 找到操作对应的最小对象范围。
3. 创建或选择合适角色。
4. 优先给用户组授权，不直接给个人授权。
5. 控制是否向下继承。
6. 使用测试账号验证权限。
7. 记录授权原因和有效期。
8. 定期复核不用的权限。

示例：

需求：开发组需要重启测试环境虚拟机
对象：测试虚拟机文件夹
用户组：Dev-Test-Operators
角色：允许虚拟机开关机和控制台访问
继承：仅测试文件夹下虚拟机
不允许：删除虚拟机、修改网络、修改数据存储

这种授权比直接给开发人员管理员权限安全得多。

七、常见权限配置错误

权限配置不是一次性工作。随着人员和业务变化，需要定期复核。

八、权限复核清单

建议每季度或每半年检查：

• 是否存在离职人员账号。
• 是否有长期不用的账号。
• 是否有人直接拥有 Administrator。
• 是否存在个人授权。
• 是否有过期项目仍保留权限。
• 是否有权限范围过大的用户组。
• 是否有外部协作账号未回收。
• 是否能通过审计记录追踪操作人。

权限越早规范，后期安全管理成本越低。

FAQ

问：vSphere 权限应该给个人还是用户组？
建议优先给用户组授权，个人账号通过加入或移出用户组获得权限，更容易维护。

问：普通运维需要 Administrator 角色吗？
通常不需要。应根据操作需求创建更小范围的角色。

问：为什么用户看不到某台虚拟机？
可能没有在正确对象层级授权，或权限没有继承到该虚拟机所在位置。

问：如何避免误删虚拟机？
不要把删除虚拟机权限给日常操作用户，开关机、控制台、查看性能等权限可以单独授权。

广告合作

QQ群号：4114653