Citrix Systems 5.6 Benutzerhandbuch

8

The local super user (LSU), or root, is a special user account used for system administration and has all

rights or permissions. In XenServer, the local super user is the default account at installation. The LSU

is authenticated via XenServer and not external authentication service, so if the external authentication

service fails, the LSU can still log in and manage the system. The LSU can always access the XenServer

physical host via SSH.

This is the standard process for implementing RBAC and assigning a user or group a role:

1. Join the domain. See 

2. Add an Active Directory user or group to the pool. This becomes a subject. See 

.

3. Assign (or modify) the subject's RBAC role. See 

XenServer is shipped with the following six, pre-established roles:

• Pool Administrator (Pool Admin) – the same as being the local root. Can perform all operations.

Note:

The  local  super  user  (root)  will  always  have  the  "Pool  Admin"  role.  The  Pool  Admin  role  has  the  same
permissions as the local root.

• Pool Operator (Pool Operator) – can do everything apart from adding/removing users and modifying their

roles. This role is focused mainly on host and pool management (i.e.. creating storage, making pools,

managing the hosts etc.)

• Virtual Machine Power Administrator (VM Power Admin) – creates and manages Virtual Machines. This

role is focused on provisioning VMs for use by a VM operator.

• Virtual Machine Administrator (VM Admin) – similar to a VM Power Admin, but cannot migrate VMs or

perform snapshots.

• Virtual Machine Operator (VM Operator) – similar to VM Admin, but cannot create/destroy VMs – but can

perform start/stop lifecycle operations.

• Read-only (Read Only) – can view resource pool and performance data.

Note:

You cannot add, remove or modify roles in this version of XenServer.

You can not assign the role of pool-admin to an AD group which has more than 500 members, if you want
users of the AD group to have SSH access.

For a summary of the permissions available for each role and more detailed information on the operations

available for each permission, see 

.

All XenServer users need to be allocated to an appropriate role. By default, all new users will be allocated

to the Pool Administrator role. It is possible for a user to be assigned to multiple roles; in that scenario, the

user will have the union of all the permissions of all their assigned roles.