Isolation des locataires

(Agrandir)

Portée du fournisseur et du locataire

Chaque groupe, service et stratégie appartient à une portée : le fournisseur, ou un locataire. Un utilisateur d'un locataire travaille dans la portée de ce locataire et n'a aucun choix à faire : la page Pare-feu n'affiche que les objets de ce locataire et les objets du fournisseur que le locataire a le droit de voir. Un utilisateur du fournisseur voit d'abord la portée du fournisseur et peut consulter les objets d'un locataire en le choisissant sous Périmètre, à côté de Fournisseur.

La portée limite aussi l'endroit où une règle s'applique. Une stratégie de locataire ne s'applique qu'aux cartes réseau de ce locataire, quels que soient les groupes qu'elle nomme, et une liste vide de groupes cibles signifie toutes les cartes du locataire. Une règle de locataire ne peut pas désigner un groupe, un service ou une machine virtuelle d'un autre locataire : un tel objet n'existe pas pour le locataire, et la console le signale comme inconnu.

Ce qu'un locataire peut faire

Avec les privilèges de pare-feu d'un rôle de locataire, un locataire peut :

• créer, modifier et supprimer des stratégies dans les catégories Environnement et Application, et ordonner leurs règles ;
• créer des groupes et des services, avec ses propres machines virtuelles, cartes et réseaux comme membres, toute adresse ou tout préfixe, et des critères d'étiquettes qui ne comptent que ses propres machines virtuelles ;
• utiliser les groupes partagés du fournisseur comme source ou destination, et les imbriquer dans ses propres groupes ;
• ouvrir un port ou appliquer un modèle sur ses propres machines virtuelles, et choisir un profil que le fournisseur a marqué comme sélectionnable ;
• lire les règles effectives, les compteurs, les enregistrements de journal et les rapports de surveillance de ses propres machines, et simuler un paquet.

Ce qu'un locataire ne peut pas faire

Le fournisseur garde ce qui suit, et la console le masque aux locataires ou signale un refus :

• Les catégories Urgence et Infrastructure. Un locataire voit ces bandes en lecture seule avec Politiques du fournisseur : lecture seule. Une stratégie de locataire dans ces catégories échoue avec error.firewall.category_scope. Le blocage du courrier sortant est l'une de ces règles du fournisseur : un locataire ne peut donc pas ouvrir le port 25 ; voir Courrier sortant sur le port 25.
• Les membres d'un groupe partagé du fournisseur. Un locataire en voit le nom et la description avec Membres masqués.
• Partager un groupe avec d'autres locataires, et attacher des étiquettes d'une catégorie que le fournisseur gère. Cela empêche un locataire de déplacer ses machines virtuelles dans un groupe du fournisseur, ou hors de celui-ci, en les étiquetant.
• Nommer des groupes d'autres portées dans Appliquée à.
• Le mode d'une carte et sa confirmation. Le message Changer de mode nécessite le privilège fournisseur. remplace le bouton.
• Les onglets Déploiement, Application sur les hôtes, Contournement et Paramètres, qui n'existent que dans la portée du fournisseur.
• Dépasser les quotas du locataire pour les groupes, les stratégies, les règles et les membres de groupe. La modification échoue avec error.firewall.quota.

Les rôles du fournisseur ne peuvent accorder à un rôle de locataire que les privilèges de pare-feu qui conviennent à un locataire. Un rôle qui détient Kyvernon.Firewall.ManageProvider ou Kyvernon.Firewall.Bypass ne peut pas être attribué dans un locataire.

Isolation sur les réseaux privés

Sur un réseau privé sur pont d'hôte que partagent les cartes de plusieurs locataires, la plateforme sépare elle-même les locataires. Les cartes d'un même locataire peuvent se joindre, et le trafic des cartes des autres locataires sur le même réseau est ignoré. La plateforme le fait avec la stratégie intégrée sys:tenant-isolation de la catégorie Infrastructure, que personne ne peut modifier. Les machines virtuelles sans locataire comptent comme un seul locataire du fournisseur.

Trois limites s'appliquent. Les cartes avec une adresse publique n'ont pas de telle règle, car un voisin est traité comme n'importe quelle autre source sur Internet, et le profil par défaut et les stratégies décident. Le trafic venant de la passerelle du réseau et de l'extérieur du réseau n'est pas visé par l'isolation, et revient aux stratégies et au profil comme d'habitude. Sur les réseaux OVN, l'isolation n'est pas appliquée automatiquement ; voir Pare-feu sur les réseaux OVN.

Tâches liées

• Règles et stratégies crée les stratégies d'une portée.
• Groupes et services crée des groupes, des groupes partagés et des critères d'étiquettes.
• Profils par défaut marque des profils comme sélectionnables par les locataires.
• Concepts du pare-feu explique les catégories, les profils et les modes.