Benutzer mit eingeschränkten Rechten anlegen

[Solarstorm]

Hallo community,

ich habe gerade versucht einen neuen Benutzer in Proxmox VE 7.1-5 anzulegen welcher nur Rechte hat um die VMs und Container zu starten und zu stoppen. Leider funktioniert das nicht so richtig. ich habe den Benutzer angelegt. Ich kann mich auch anmelden aber sonnst kann ich nichts ändern. Wenn ich es richtig gesehen habe dann muss ich dem Benutzer Rechte für sys.PowerMgmt erteilen. Wie mache ich das?

Grüße Marcel

 

[aaron]

Hast du beim Anmelden den richtigen Realm ausgewählt? PVE wahrscheinlich wenn du den User auch in dem Realm angelegt hast.

Der User wird die Rechte VM.PowerMGMT und VM.Audit wird auch gut sein, um die VM überhaupt zu sehen.

Siehe auch https://pve.proxmox.com/pve-docs/chapter-pveum.html#_privileges um eine Idee zu bekommen, was du der Rolle noch an Rechten geben musst.

 

[Solarstorm]

Danke für deinen Link. Ich habe beim erstellen des Users die Domäne Proxmox VE Authentification server ausgewählt wenn du das meinst.

Ich habe jetzt eine Rolle erstellt die VMPower heißt und Privilegien VM.PowerMgmt zugewiesen. Das gleiche habe ich auch mit VM.Audit gemacht. Dann habe ich unter Benutzerrechte das im Bild eingestellt. Der Benutzer kann sie nach wie vor anmelden aber man sieht die vms nicht und kann sie auch nicht starten. Was habe ich falsch gemacht?

 

[Solarstorm]

Ich habs jetzt soweit hinbekommen. Mein Fehler war der Pfad der Benutzerrechte. Ausserdem habe ich statt Benutzerrechte nun Gruppenrechte angelegt und den Benutzer der neu angelegten Gruppe zugewiesen. Jetzt kann der Benutzer nur noch die VMs starten, stoppen und Netzwerk hinzufügen. Warum das Netzwerk hinzufügen noch funktioniert, weiß ich leider nicht.

 

[aaron]

Ich weiß nicht wieso genau du die Rechte im /access/realm gibst.

Hier habe ich eine neue Rolle mit den Rechten VM.Audit und VM.PowerMgmt erstellt:


Dann die Rechte für eine VM dem User zugewiesen:


Somit kann der User test@pve die VM 112 sehen aber nichts ändern und diese starten, stoppen usw.

Wenn der User das mit allen Gästen machen soll, kannst du den Pfad /vms nehmen und mit dem "Propagate" geht es auf alle darunterliegenden Elemente.

Wenn du die VMs in logische (sich nicht überschneidende) Gruppen zusammenfassen willst, kannst du auch die Resource Pools dafür verwenden und die Rechte auf diese anwenden.

Wenn du als der User angemeldet bist und mitunter Dinge in der GUI siehst, die der User nicht machen dürfte, versuch einmal einen vollen Refresh (Strg+F5 z.B.). Es kann sein, dass der Browsercache da noch reingrätscht. Allerdings sollte spätestens beim Ausführen der Aktionen, in deinem Fall Netzwerk, eine Fehlermeldung kommen, da der User diese Rechte eben nicht hat. Wenn es geht, dann sind die Rechte nicht so wie du sie erwartest