docs/source/usage/permissions.rst

   1 Permissions
   2 ===========
   3
   4 Permissions may be granted to both clusters and virtual machines. The
   5 permissions system is intended to allow users to manage themselves. Any
   6 object that can have its permissions edited will have a *Users* tab.
   7
   8 For a high level description of how permissions can be used in various
   9 scenarios, read this `blog
  10 post <http://blogs.osuosl.org/kreneskyp/2010/12/28/ganeti-web-manager-permissions/>`_.
  11
  12 Adding users to objects.
  13 ~~~~~~~~~~~~~~~~~~~~~~~~
  14
  15 #. navigate to Group, Cluster, or VirtualMachine detail page
  16 #. click *Add New User*
  17 #. select user or group
  18 #. select permissions
  19 #. *save*
  20
  21 Updating permissions
  22 ~~~~~~~~~~~~~~~~~~~~
  23
  24 #. navigate to Group, Cluster, or VirtualMachine detail page
  25 #. click *Users* tab
  26 #. click permissions column
  27 #. select permissions and *save*
  28
  29 Deleting permissions
  30 ~~~~~~~~~~~~~~~~~~~~
  31
  32 #. navigate to Group, Cluster, or VirtualMachine detail page
  33 #. click *Users* tab
  34 #. click the *delete* icon
  35
  36 Deleting a user will remove all permissions, and other properties
  37 associated with the user such as cluster quotas.
  38
  39 Groups
  40 ------
  41
  42 Groups may be created so that permissions. This allows permissions
  43 structures where you are granting permissions to different
  44 organizations. Users may belong to unlimited number of groups. They will
  45 inherit the permissions of any group they belong to.
  46
  47 Groups are a persona that user's may act on behalf of. When creating
  48 virtual machines, the user must choose whether they are acting on behalf
  49 of themselves or a group they are a member of. When acting on behalf of
  50 a group, the group's permissions and quota used.
  51
  52 Group Permissions
  53 ~~~~~~~~~~~~~~~~~
  54
  55 -  **admin** - Grants the ability to see the member list, and edit
  56    permissions
  57
  58 Cluster
  59 -------
  60
  61 These permissions can be granted to either a user or a group. A user who
  62 is part of a group with a permission does not automatically have that
  63 permission individually. For instance, a user who is part of a group
  64 that has VM create permission can create a VM, but can only assign
  65 ownership to the group, not to themself. To grant permissions on a
  66 cluster, click *add user* on the Users tab of the cluster detail page.
  67 Cluster permissions can also be added by clicking *Add Cluster* in the
  68 Permissions tab of the user detail page.
  69
  70 -  **admin** - Grants full access to the cluster. Includes ability to
  71    set permissions and quotas, and full access to all virtual machines.
  72 -  **create\_vm** - Grants ability to create virtual machines on the
  73    cluster.
  74 -  **tags** - Grants ability to set tags on the cluster.
  75 -  **replace disks** - Ability to replace disks of VMs on the cluster.
  76 -  **migrate** - Can migrate a VM to another node
  77 -  **export** - Can export a virtual machine
  78
  79 Quotas
  80 ------
  81
  82 Quotas restrict the usage of cluster resources by users and groups.
  83 Default quotas can be set by editing clusters, if no quota is set
  84 unlimited access is allowed. This will affect all users and groups.
  85
  86 The default quota can be overridden on the cluster users page:
  87
  88 #. *Clusters -> Cluster -> Users*
  89 #. click quota value.
  90 #. edit values, and click *save*
  91
  92 Leaving a value empty specifies unlimited access for that resource.
  93
  94 Virtual Machines
  95 ----------------
  96
  97 To grant a user permissions on a VM, click *Add VirtualMachine* in the
  98 Permissions tab of the User detail page. To grant permissions to a user
  99 or group, use the *Add User* button on the Users tab of the VM detail
 100 page.
 101
 102 -  **admin** - Grants full access to the virtual machine, including
 103    granting permissions.
 104 -  **Modify** - Allows user to modify VM's settings, including
 105    reinstallation of OS
 106 -  **Remove** - Permission to delete this VM
 107 -  **Power** - Permission to start, stop, reboot, and access console
 108 -  **Tags** - Can set tags for this VM
 109
 110 .. _permission-tags:
 111
 112 Permission Tags
 113 ~~~~~~~~~~~~~~~
 114
 115 Permissions for virtual machines are also registered as tags on the
 116 virtual machine object. This allows the permissions to be viewed and set
 117 via the command line tool. Tags will be parsed when creating virtual
 118 machines, and will be updated when the object is refreshed
 119 (`#387 <http://code.osuosl.org/issues/387>`_). When permissions are granted tags will be set
 120 on the virtual machine (`#393 <http://code.osuosl.org/issues/393>`_).
 121
 122 Tags use the pattern:
 123 *GANETI\_WEB\_MANAGER:<permission>:[G\|U]:<user\_id>*
 124
 125 -  **GANETI\_WEB\_MANAGER:admin:U:2** - admin permission for User with
 126    id 2
 127 -  **GANETI\_WEB\_MANAGER:admin:G:4** - admin permission for Group with
 128    id 4
 129 -  **GANETI\_WEB\_MANAGER:start:U:2** - start permission for User with
 130    id 2