Ho dato il permesso ma non si applica: la questione del percorso nei permessi Proxmox
Un permesso Proxmox non è un ruolo da solo. È chi, quale ruolo e a quale percorso, tutti e tre insieme. Il problema più comune è un ruolo dato nel punto sbagliato.
AtlasPVE ·
Questa voce risponde a
- proxmox permesso non funziona
- proxmox permessi utente
- cos’è il percorso acl proxmox
- proxmox assegnare ruolo
- proxmox utente non vede la vm
L’utente è stato creato, gli è stato dato un ruolo, è stato salvato. Poi l’utente entra e sullo schermo non vede nulla. È la confusione sui permessi più comune in Proxmox, e nasce quasi sempre dallo stesso punto.
Un permesso è fatto di tre parti
In Proxmox un permesso non significa "questo utente ha ricevuto questo ruolo". Ha tre parti: chi, quale ruolo, e a quale percorso. Il percorso è la mappa del sistema in forma di albero: la radice, una singola macchina virtuale, un’area di storage, un nodo, un pool. Il ruolo lo assegni su un ramo dell’albero, e vale soltanto lì.
Perciò dietro la frase "ho dato il permesso ma non vede niente" c’è di solito questo: ruolo giusto, utente giusto, percorso sbagliato.
La seconda trappola: scende nei rami sottostanti
Se il permesso copra o meno i rami sottostanti è una scelta a parte, fatta al momento di concederlo. Se non li copre, il permesso vale esattamente in quel punto e in nessun punto sotto. Un permesso che non scende dal punto in cui è stato messo è concesso sulla carta e in pratica non tocca nulla.
La terza trappola: che cosa c’è dentro il ruolo
I nomi dei ruoli rassicurano, il loro contenuto non è sempre quello che ci si aspetta. Vedere una macchina virtuale è un privilegio, avviarla un altro, attaccarsi alla sua console un altro ancora. Se l’utente vede la macchina ma non riesce ad avviarla, è corto il ruolo, non il percorso. Distinguere questi due casi è metà della diagnosi.
La quarta trappola: lo storage viene dimenticato
Si concede il permesso di creare una macchina virtuale, non quello sullo storage. L’utente prova e l’errore che riceve sembra riguardare la macchina, mentre la vera domanda è dove verrà scritto il disco. Se un lavoro tocca più rami, servono permessi su più rami.
La quinta trappola: stesso nome, utente diverso
Il dominio alla fine di un nome utente è la fonte di autenticazione. Lo stesso nome in due fonti diverse sono due utenti diversi. Se il permesso va a uno e l’accesso avviene con l’altro, non funziona nulla e sullo schermo nemmeno sembra esserci qualcosa di sbagliato.
Come si diagnostica
Invece di rileggere le voci che hai creato e ragionarci sopra, chiedi direttamente al sistema: quali permessi ha davvero questo utente. La risposta dice che cosa applica il sistema, non che cosa hai concesso, e proprio lì si vede lo scarto. Anche i permessi che arrivano da un gruppo si sommano; un permesso dato in un punto non lo togli aggiungendo un’altra voce.
Che cosa fa Atlas
Atlas non costruisce un proprio sistema di ruoli. Chiede a Proxmox che cosa può fare l’account che sta entrando e da quella risposta modella la schermata, così l’autorizzazione mostrata nel pannello e quella sul server non divergono. Quando concedi un permesso il percorso arriva come scelta pronta e non come campo scritto a memoria, e se raggiunge i rami sottostanti è una casella visibile e non un valore predefinito nascosto. Le voci esistenti stanno in un unico elenco, così alla domanda "a chi è stato dato che cosa" si risponde leggendo.
Fonti
La documentazione ufficiale di Proxmox. In inglese, e su questo argomento l’ultima parola è la sua.