Eleva los privilegios de VMware Engine

Los privilegios de Google Cloud VMware Engine brindan a los usuarios de vCenter los privilegios que necesitan para realizar operaciones normales. Algunas funciones administrativas requieren privilegios adicionales en el vCenter de nube privada.

Google Cloud VMware Engine ahora está integrado con la Google Cloud consola, pero la integración no proporciona la función Elevar privilegio. Para realizar estas tareas, puedes usar una cuenta de usuario de solución para lo siguiente:

• Configurar fuentes de identidad
• Realizar la administración de usuarios
• Borrar un grupo de puertos distribuidos
• Crear cuentas de servicio

Cuentas de usuario de solución

Algunas herramientas y productos que se usan con tu nube privada pueden requerir que un usuario tenga privilegios administrativos en vSphere. Cuando creas una nube privada, VMware Engine también crea cuentas de usuario con privilegios administrativos que puedes usar con las herramientas y los productos de terceros. Se crean varias cuentas de usuario de solución para administrar diferentes aplicaciones. Con una cuenta de usuario de solución específica, puedes auditar las acciones que realiza cada aplicación. En este documento, se proporciona orientación para administrar estas cuentas de usuario de solución en vSphere.

Estos son algunos ejemplos de herramientas y productos que requieren privilegios administrativos durante la configuración:

• VMware Site Recovery Manager (SRM)
• VMware Cloud Director
• Zerto

Antes de comenzar

Antes de acceder a una herramienta o un producto de terceros con una cuenta de usuario de solución, confirma que la herramienta o el producto requieren privilegios administrativos. Si la herramienta o el producto requieren privilegios que ya proporciona Cloud-Owner-Role, crea un usuario nuevo y agrégalo a Cloud-Owner-Group.

Puedes usar cualquiera de los siguientes IDs de usuario de solución integrados:

• solution-user-01@gve.local
• solution-user-02@gve.local
• solution-user-03@gve.local
• solution-user-04@gve.local
• solution-user-05@gve.local

Obtén una contraseña de usuario de solución

Para obtener una contraseña de usuario de solución, sigue estos pasos.

gcloud vmware private-clouds vcenter credentials describe \
  --private-cloud=PRIVATE_CLOUD_NAME \
  --project=PROJECT_ID \
  --username=USERNAME_ID \
  --location=ZONE

https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/privateClouds/PRIVATE_CLOUD_NAME:showVcenterCredentials?username=USERNAME_ID

Restablece la contraseña de usuario de solución

Para restablecer una contraseña de usuario de solución, sigue estos pasos.

gcloud vmware private-clouds vcenter credentials reset \
  --private-cloud=PRIVATE_CLOUD_NAME \
  --project=PROJECT_ID \
  --username=USERNAME_ID \
  --location=ZONE

https://vmwareengine.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/privateClouds/PRIVATE_CLOUD_NAME:resetVcenterCredentials

{
  "username": :"USERNAME_ID"
}

Acciones prohibidas

Cuando VMware Engine detecta cualquiera de las siguientes acciones prohibidas, revierte los cambios para garantizar que el servicio permanezca sin interrupciones siempre que sea posible. Realizar una acción prohibida puede provocar que la nube privada se vuelva inaccesible. Algunas acciones, como borrar VMs de administración, son irreversibles. En esos casos, la asistencia de VMware Engine puede recomendar la recuperación ante desastres o la creación de una nube privada nueva para recuperar tus VMs de carga de trabajo de la copia de seguridad.

Acciones del clúster

Las siguientes acciones de clúster están prohibidas:

• Quita un clúster de vCenter.
• Cambia la alta disponibilidad (HA) de vSphere en un clúster.
• Agrega un host al clúster desde vCenter.
• Quita un host del clúster desde vCenter.
• Cambia el programador de recursos distribuidos de vSphere (DRS) en un clúster.
• Crea centros de datos nuevos en VMware Engine.

Acciones del host

Las siguientes acciones de host están prohibidas:

• Agrega o quita almacenes de datos en un host de ESXi. Puedes activar un almacén de datos temporal de recuperación ante desastres, pero no se aplicarán los ANS.
• Desinstala el agente de vCenter desde el host.
• Modifica la configuración del host.
• Realiza cambios en los perfiles del host.
• Coloca un host en modo de mantenimiento.

Acciones de la red

Las siguientes acciones de red están prohibidas en el servidor de vCenter:

• Borra el interruptor virtual distribuido (DVS) predeterminado en una nube privada.
• Quita un host del DVS predeterminado.
• Importa cualquier parámetro de configuración del DVS.
• Reconfigura cualquier parámetro de configuración del DVS.
• Actualiza cualquier DVS.
• Borra el grupo de puertos de administración.
• Edita el grupo de puertos de administración.

Las siguientes acciones de red están prohibidas en NSX Manager:

• Agrega un nodo NSX Edge nuevo.
• Cambia un nodo NSX Edge existente.

Acciones de funciones y permisos

Las siguientes acciones de funciones y permisos están prohibidas:

• Modifica o borra permisos de cualquier objeto de administración.
• Modifica o quita cualquier función predeterminada.
• Aumenta los privilegios de una función para que sean superiores a Cloud-propietario-Role.
• Agrega usuarios y grupos al grupo de administradores en vCenter.
• Agrega usuarios y grupos de Active Directory al grupo de administradores en vCenter.

Otras acciones

Tampoco se permiten las siguientes acciones:

• Quita cualquier licencia predeterminada:
  • vCenter Server
  • Nodos de ESXi
  • NSX
  • HCX
• Modifica o borra el grupo de recursos de administración.
• Clona VM de administración.
• Borra cualquier VM de administración.
• Borra cualquier VM de NSX-T Edge.
• Asigna una red de administración a una VM de carga de trabajo.
• Usa una dirección IP en el rango de direcciones IP internas de administración para una VM de carga de trabajo.
• Cambia el nombre del centro de datos.
• Cambia el nombre del clúster.
• No se admite la configuración del reenvío de Syslog con el protocolo TLS, y es una acción prohibida.
• Configura el reenvío de syslog con la interfaz de administración de dispositivos de servidor (VAMI) de vCenter.
• Configura el reenvío de syslog en hosts de ESXi directamente con la interfaz de usuario de vCenter. En su lugar, usa el portal de VMware Engine o el Google Cloud CLI para configurar el reenvío de syslog para vCenter Server o hosts de ESXi.
• Une tu vCenter de nube privada a un dominio de Active Directory.
• Restablece las credenciales de acceso de vCenter o NSX con las herramientas de VMware, las llamadas a la API o los dispositivos de administración (administrador de vCenter/NSX). Como recordatorio, puedes recuperar o restablecer las credenciales generadas, incluidas las actualizaciones de contraseñas, desde la página de detalles de la nube privada en el portal de VMware Engine.
• Cambiar los intervalos de recopilación de estadísticas o los niveles de estadísticas en el cliente de vSphere.

¿Qué sigue?

• Aprende a configurar las fuentes de identidad de vCenter.