Nadałem uprawnienie, a nie działa: kwestia ścieżki w uprawnieniach Proxmoksa

Użytkownik został utworzony, rola nadana, wszystko zapisane. Potem użytkownik loguje się i nie widzi na ekranie nic. To najczęstsze zamieszanie z uprawnieniami w Proxmoksie i prawie zawsze bierze się z tego samego miejsca.

Uprawnienie ma trzy części

W Proxmoksie uprawnienie nie oznacza, że ten użytkownik dostał tę rolę. Ma trzy części: kto, jaka rola i na jakiej ścieżce. Ścieżka to mapa systemu w postaci drzewa: korzeń, pojedyncza maszyna wirtualna, obszar magazynu, węzeł, pula. Nadajesz rolę na gałęzi drzewa, a rola obowiązuje tylko tam.

Za zdaniem, że nadałem uprawnienie, a on tego nie widzi, stoi więc zwykle to: rola jest właściwa, użytkownik właściwy, ścieżka zła.

Druga pułapka: czy sięga do gałęzi poniżej

To, czy uprawnienie obejmuje gałęzie poniżej, jest osobnym wyborem dokonywanym przy nadawaniu. Jeśli nie obejmuje, uprawnienie obowiązuje dokładnie w tym punkcie i nigdzie pod nim. Uprawnienie, które nie spływa w dół od miejsca, w którym je ustawiono, jest nadane na papierze i w praktyce niczego nie dotyka.

Trzecia pułapka: co jest wewnątrz roli

Nazwy ról brzmią uspokajająco, a ich zawartość nie zawsze jest tym, czego oczekujesz. Zobaczenie maszyny wirtualnej to jedno uprawnienie, uruchomienie jej drugie, podłączenie się do jej konsoli jeszcze inne. Jeśli użytkownik widzi maszynę, ale nie może jej uruchomić, za krótka jest rola, a nie ścieżka. Oddzielenie tych dwóch rzeczy to połowa rozpoznania.

Czwarta pułapka: zapomina się o magazynie

Uprawnienie do tworzenia maszyny wirtualnej jest nadane, uprawnienie na magazynie nie. Użytkownik próbuje zbudować maszynę, a błąd, który dostaje, wygląda, jakby dotyczył maszyny, podczas gdy prawdziwym pytaniem jest, gdzie zostaje zapisany dysk. Jeśli praca dotyka więcej niż jednej gałęzi, uprawnienie potrzebne jest też na więcej niż jednej gałęzi.

Piąta pułapka: ta sama nazwa, inny użytkownik

Domena na końcu nazwy użytkownika to źródło uwierzytelniania. Ta sama nazwa w dwóch różnych źródłach to dwaj różni użytkownicy. Jeśli uprawnienie trafia do jednego, a logowanie odbywa się drugim, nic nie działa i nic na ekranie nie wygląda źle.

Jak to rozpoznać

Zamiast czytać utworzone przez siebie wpisy i wnioskować z nich, zapytaj system wprost: jakie uprawnienia ten użytkownik faktycznie ma. Odpowiedź mówi ci, co system stosuje, a nie co nadałeś, i dokładnie tam ujawnia się rozbieżność. Uprawnienia przychodzące przez grupę też się sumują; uprawnienia nadanego w jednym miejscu nie odbierzesz, dodając kolejny wpis.

Co robi Atlas

Atlas nie buduje własnego systemu ról. Pyta Proxmoksa, co wolno logującemu się kontu, i kształtuje ekran z tej odpowiedzi, więc uprawnienia pokazywane w panelu i uprawnienia na serwerze się nie rozjeżdżają. Przy nadawaniu uprawnienia ścieżka przychodzi jako gotowy wybór, a nie jako pole wpisywane z pamięci, a to, czy sięga do gałęzi poniżej, jest widocznym polem wyboru, a nie ukrytym ustawieniem domyślnym. Istniejące wpisy siedzą na jednej liście, więc na pytanie, komu co nadano, odpowiada się przez odczytanie.