Avec le KVM multi-locataires, plusieurs clients partagent le m\u00eame mat\u00e9riel, et un technicien passe quotidiennement d\u2019un client \u00e0 l\u2019autre. Il suffit d\u2019un seul droit mal attribu\u00e9 pour que quelqu\u2019un puisse acc\u00e9der \u00e0 la console d\u2019un autre client. C\u2019est de cette subtilit\u00e9 que d\u00e9pend si la s\u00e9paration entre les clients est effective ou si elle n\u2019existe que sur le papier.<\/p>\n
Dans le cadre du KVM multi-locataires, Redfish g\u00e8re les autorisations via des r\u00f4les fixes tels que \u00ab Administrateur \u00bb, \u00ab Op\u00e9rateur \u00bb et \u00ab Lecture seule \u00bb, ainsi que des privil\u00e8ges tr\u00e8s granulaires. OpenBMC reproduit ce syst\u00e8me \u00e0 l'aide de groupes de privil\u00e8ges tels que \u00ab priv-admin \u00bb, \u00ab priv-operator \u00bb et \u00ab priv-user \u00bb. Les anciennes impl\u00e9mentations IPMI ne tiennent pas compte de cette subtilit\u00e9 et n\u00e9cessitent donc une couche de gestion suppl\u00e9mentaire au-dessus du BMC lorsqu'une v\u00e9ritable s\u00e9paration des locataires est requise.<\/p>\n<\/div>\n
Redfish d\u00e9finit un contr\u00f4le d'acc\u00e8s bas\u00e9 sur les r\u00f4les, avec trois r\u00f4les de base : \u00ab Administrateur \u00bb pour un acc\u00e8s complet, y compris au micrologiciel et \u00e0 la configuration ; \u00ab Op\u00e9rateur \u00bb pour l'exploitation courante sans droit de modification de la configuration de base ; et \u00ab Lecture seule \u00bb pour la surveillance uniquement (DMTF, sp\u00e9cification Redfish<\/a>). Des privil\u00e8ges individuels peuvent en outre \u00eatre attribu\u00e9s avec une grande pr\u00e9cision, comme le droit d'ex\u00e9cuter des commandes Power sans pour autant pouvoir cr\u00e9er de comptes utilisateurs. Cette combinaison d\u2019un r\u00f4le de base et d\u2019un privil\u00e8ge individuel permet des configurations sur mesure qui vont au-del\u00e0 des trois r\u00f4les standard, par exemple un compte autoris\u00e9 \u00e0 utiliser la console et les fonctions Power, mais qui ne peut pas modifier les param\u00e8tres r\u00e9seau.<\/p>\n OpenBMC, le micrologiciel open source largement utilis\u00e9 pour les BMC, met en \u0153uvre ce mod\u00e8le \u00e0 l'aide de groupes de privil\u00e8ges : priv-admin, priv-operator et priv-user (Documentation OpenBMC<\/a>). Chaque utilisateur appartient \u00e0 un seul groupe, et chaque groupe d\u00e9termine quels points de terminaison Redfish sont accessibles. IPMI ne prend pas en compte cette distinction dans sa forme de base et fonctionne avec des mots de passe qui, dans de nombreuses impl\u00e9mentations, sont stock\u00e9s en clair. Redfish, en revanche, prend en charge les m\u00e9thodes d\u2019authentification modernes, y compris les certificats, une diff\u00e9rence qui devrait \u00eatre d\u00e9terminante lors du choix du protocole pour les environnements multi-clients.<\/p>\n