Seguridad en Hyper-V : Administrador de autorización para su correcta delegación “Parte 3” Y FINAL !!!!!!!!
Hola a todos
En esta parte 3 y final veremos como delegar el control granular de ciertas maquinas a nuestro usuario tipo “CAPACITA\pablocampos”
1.. LA PROBLEMATICA
El problema es que si le delegamos el control a “CAPACITA\pablocampos” de nuestro host de Hyper-v, el podrá ver todas las VMS de ese host, cosa que yo como admin no quiero, entonces que podemos hacer.
Para delegar el control de forma mas granular crearemos un nuevo ámbito llamado “Ambito de Prueba” en el cual asignaremos a “CAPACITA\pablocampos” como administrador en este ámbito
Después de esto debemos asignar las maquinas virtuales a este ámbito, para esto usaremos unos scripts que están disponibles en este sitio al final abajo BackupVMsAndScopeScripts.zip
En una consola con permisos de administrador ejecutamos el script SetScope.vbs, en el cual como primer parámetro debemos pasar el nombre de la maquina virtual y como segundo parámetro debemos pasar el nombre del ámbito
cscript SetScope.vbs “Core” “Ambito de Prueba”
cscript SetScope.vbs “2008 AD” “Ambito de Prueba”
El resultado de este comando debería ser un XML donde al final abajo debería salir un “cero” 0 , el cual indica que el proceso fue exitoso
De igual manera pueden utilizar el Script GetScope.vbs para ver a que ambito pertenece cada maquina
En mi caso asigne al “Ambito de Prueba” mis maquinas llamadas “Core” y “2008 AD”
Tratamos de conectarnos al servicio de hyper-v yyyyyy no vemos nada :(
El problema es que el usuario debe tener los permisos de lectura del Servicio de Hyper-v a nivel de Raíz, para lo cual crearemos en la raíz una nueva definición de rol llamada “Servicios” a la cual le asignaremos las siguientes operaciones
100 - Read Service Configuration
105 - Reconfigure Service
Y asignaremos a nuestro usuario “CAPACITA\pablocampos” a este rol
OJO RECUEREN QUE ESTO LO DEBEN HACER FUERA DEL AMBITO EN LA RAIZ
Despues de eso asignamos como administrador del ambito “Ambito de Prueba” al usuario “CAPACITA\pablocampos” y tratamos nuevamente de conectarnos a la consola del hyper-v yyyyy????
Ahora “CAPACITA\pablocampos” solo puede ver las maquinas “Core” y “2008 AD”
Nos conectamos como administradores y vemos la consola FULL
Les dejo un pantallazo de la consola del administrador y la de “CAPACITA\pablocampos” juntas
Saludos