Tenantisolatie

(Groter weergeven)

Bereik van provider en tenant

Elke groep, service en elk beleid hoort bij een bereik: de provider, of één tenant. Een gebruiker van een tenant werkt in het bereik van die tenant en hoeft niets te kiezen: de pagina Firewall toont alleen de objecten van die tenant en de objecten van de provider die de tenant mag zien. Een gebruiker van de provider ziet eerst het bereik van de provider en kan de objecten van een tenant bekijken door die te kiezen bij Bereik, naast Provider.

Het bereik beperkt ook waar een regel van toepassing is. Beleid van een tenant geldt alleen voor de netwerkadapters van die tenant, welke groepen het ook noemt, en een lege lijst doelgroepen betekent elke adapter van de tenant. Een regel van een tenant kan niet verwijzen naar een groep, service of virtuele machine van een andere tenant: zo'n object bestaat niet voor de tenant, en de console meldt het als onbekend.

Wat een tenant kan doen

Met de firewallbevoegdheden van een tenantrol kan een tenant:

• beleid maken, wijzigen en verwijderen in de categorieën Omgeving en Applicatie, en de regels ervan ordenen;
• groepen en services maken, met zijn eigen virtuele machines, adapters en netwerken als leden, elk adres of elke prefix, en tagcriteria die alleen zijn eigen virtuele machines meetellen;
• de gedeelde groepen van de provider als bron of bestemming gebruiken en in zijn eigen groepen nesten;
• een poort openen of een sjabloon toepassen op zijn eigen virtuele machines, en een profiel kiezen dat de provider als selecteerbaar heeft aangemerkt;
• de effectieve regels, tellers, logrecords en monitorrapporten van zijn eigen machines lezen, en een pakket simuleren.

Wat een tenant niet kan doen

De provider houdt het volgende, en de console verbergt het voor tenants of meldt een weigering:

• De categorieën Nood en Infrastructuur. Een tenant ziet deze banden als alleen-lezen met Beleid van de provider: alleen lezen. Beleid van een tenant in deze categorieën mislukt met error.firewall.category_scope. De blokkade van uitgaande mail is een van deze regels van de provider, dus een tenant kan poort 25 niet openen; zie Uitgaande mail op poort 25.
• De leden van een gedeelde groep van de provider. Een tenant ziet de naam en omschrijving met Leden verborgen.
• Een groep met andere tenants delen, en tags toevoegen van een categorie die de provider beheert. Zo kan een tenant zijn virtuele machines niet door te taggen in of uit een groep van de provider verplaatsen.
• Groepen van andere bereiken noemen in Toegepast op.
• De modus van een adapter en de bevestiging ervan. De melding Het wijzigen van de modus vereist het providerrecht. staat in plaats van de knop.
• De tabbladen Uitrol, Realisatie, Omzeiling en Instellingen, die alleen in het bereik van de provider bestaan.
• De quota van de tenant voor groepen, beleid, regels en groepsleden overschrijden. De wijziging mislukt met error.firewall.quota.

Rollen van de provider kunnen een tenantrol alleen de firewallbevoegdheden geven die bij een tenant passen. Een rol die Kyvernon.Firewall.ManageProvider of Kyvernon.Firewall.Bypass bezit, kan niet binnen een tenant worden toegewezen.

Isolatie op privénetwerken

Op een privé-hostbridge-netwerk dat de adapters van meerdere tenants delen, houdt het platform de tenants zelf gescheiden. Adapters van dezelfde tenant kunnen elkaar bereiken, en verkeer van de adapters van andere tenants op hetzelfde netwerk wordt genegeerd. Het platform doet dit met het ingebouwde beleid sys:tenant-isolation in de categorie Infrastructuur, dat niemand kan wijzigen. Virtuele machines zonder tenant tellen als één tenant van de provider.

Drie grenzen gelden. Adapters met een publiek adres krijgen zo'n regel niet, omdat een buur net als elke andere bron op internet wordt behandeld en het standaardprofiel en het beleid beslissen. Verkeer van de gateway van het netwerk en van buiten het netwerk valt niet onder de isolatie en komt zoals gewoonlijk bij het beleid en het profiel terecht. Op OVN-netwerken wordt de isolatie niet automatisch toegepast; zie Firewall op OVN-netwerken.

Verwante taken

• Regels en beleid maakt het beleid van een bereik.
• Groepen en services maakt groepen, gedeelde groepen en tagcriteria.
• Standaardprofielen markeert profielen als selecteerbaar voor tenants.
• Firewallconcepten legt categorieën, profielen en modi uit.