vCenter 权限模型
vCenter 的权限由三部分构成：清单层级（全局、数据中心、集群与主机、虚机与模板、存储与网络）、角色（一组权限的集合）以及授权（把用户或组、角色、对象、是否传播四要素绑定到某个层级）。授权沿层级向下继承，因此在高层级放开权限，实际影响范围会远大于预期。查看权限时要注意同一对象上的多个授权会累加。
基本信息
| 三个组成 | 清单层级 + 角色 + 授权 |
|---|---|
| 授权四要素 | 主体、角色、对象、是否传播到子对象 |
| 继承方向 | 从上级对象向下传播，子对象上的授权可覆盖 |
| 权限累加 | 同一主体在多个授权中获得的权限取并集 |
| 盘点工具 | vSphere Client 权限面板或 PowerCLI |
典型使用场景
- 给运维组开只读权限，用于日常巡检与查看
- 给应用团队开通虚机电源操作，但不允许改集群设置
- 安全审计时盘点所有授权，找出超出最小权限的项
- 收敛在数据中心或全局层级放开的宽泛授权
- 排查用户看不到某台虚机的问题，通常是该层级没有权限
清单层级（简）
| 层级 | 示例对象 | 典型授权范围 |
|---|---|---|
| 全局 | 全局根 | 影响整个 vCenter，最容易放大风险 |
| 数据中心 | Datacenter | 该数据中心下所有对象，继承范围很广 |
| 集群与主机 | Cluster / ESXi Host | 运维团队常用层级，可细分到单台主机 |
| 虚拟机与模板 | VM / Template / Folder | 按文件夹或资源池细分到业务团队 |
| 存储与网络 | Datastore / Network | 控制谁能创建与挂载存储和端口组 |
用 PowerCLI 盘点授权
用 PowerCLI 盘点授权
Get-VIPermission | Select Principal,Role,Entity,Propagate | Format-Table -AutoSize
Get-VIPermission -Entity (Get-Datacenter 'DC1') # 只看某层级的授权
Get-VIRole | Select Name,PrivilegeList # 查看角色包含哪些权限
New-VIPermission -Entity (Get-Cluster 'ProdCluster') -Principal 'CORP\\ops-team' -Role 'ReadOnly' -Propagate $true权限按需收敛：常规账号只授予完成工作所需的操作权限集，并定期复核，尤其是临时授权要及时回收。
用户是多个组的成员时，实际权限是多条授权累加的结果；排查权限问题要先列出该用户所属的所有组及其授权，再判断真正生效的权限集合。