Openstack любой участник проекта может удалить что-либо с панели управления?

Только что установил Openstack Victoria. Использовал предыдущую версию. По какой-то причине у меня возникли некоторые проблемы с поиском в Интернете этого вопроса.

По существу: пользователи, имеющие роль «участников» проекта, могут удалять все в этом проекте, включая элементы, добавленные ролью администратора (например, маршрутизаторы, сети, изображения просмотра).

Подробнее: я создаю проект «myproject» и пользователя «myuser». Я добавляю «myuser» к роли «участники» и вхожу в панель управления Horizon. Этот пользователь может запускать экземпляры, все в порядке. Однако позже я случайно понял, что этот пользователь может удалять маршрутизаторы, сети, изображения просмотра и вообще все, что есть в проекте. Это не то поведение, которого я желаю.

Я не уверен, что это было поведение по умолчанию для предыдущей установки openstack, но как мне предотвратить такое поведение сейчас (например, я хочу добавлять пользователей в проект и дать им возможность запускать экземпляры, но НЕ иметь возможности удалить изображения взгляда, сети, маршрутизаторы и т. д.). По какой-то причине мне трудно найти это в Интернете.

Примечание. Я только что нашел эту старую запись , в которой описывается, как запретить пользователю 1 удалять экземпляр пользователя 2. Но это только примеры.

1 ответ

Этот ответ на самом деле является благодарностью Берндбаушу, который указал мне правильное направление:

В комментариях Берндбауш сослался на руководство по настройке Nova . Как и большинство документов Openstack, он на самом деле устарел, о чем свидетельствует предупреждение вверху. На этой странице есть короткий раздел политики, который также приведет вас на страницу концепций политики (я изменил оба URL-адреса, чтобы они указывали на Victoria, поскольку по умолчанию в URL-адресе openstack указано «последний», который НЕ указывает на последний релиз).

Страница с концепциями политики находится по ссылке .

По сути, решение состоит в том, что вы все равно можете писать файлы политики, как указывает Берндбауш, и у nova есть файл политики по умолчанию, создаваемый при установке, который находится здесь . Обратите внимание, что в верхней части этой страницы политика также доступна в формате JSON.

Политику можно изменить в этом файле или, прочитав страницу концепций, на которую я ссылался выше, можно фактически использовать некоторые встроенные роли чтения системы и чтения участников, но я не уверен на 100%, как переключаться между ролями на лету, однако , изменение политики приведет меня туда, куда я хочу.

Другие вопросы по тегам