Bei einer vCenter-Migration ist es oft sinnvoll, die vorhandenen Rollen und Rechte nicht manuell neu zu erstellen. Stattdessen lässt sich das mit PowerCLI automatisieren – vorausgesetzt, man kennt die richtigen Befehle.
Der folgende Ansatz basiert auf einem Skript, das mehrere vCenters gleichzeitig verbindet und dann alle Rollen aus dem Quell-vCenter exportiert, im Ziel-vCenter neu anlegt und die zugehörigen Rechte zugewiesen werden.
Vorgehensweise mit PowerCLI
Zuerst verbindet man sich mit beiden vCentern. Dabei ist es wichtig, dass die PowerCLI-Konfiguration den Modus „multiple“ zulässt, damit mehrere Server gleichzeitig aktiv sein können:
Set-PowerCLIConfiguration -DefaultVIServerMode multiple -Confirm:$false
Anschließend wird mit Connect-VIServer der Zugriff auf beide Systeme hergestellt. Danach wird die Liste aller Rollen aus dem Quell-vCenter abgerufen. Für jede Rolle werden die zugehörigen Rechte exportiert, eine neue Rolle im Ziel-vCenter erstellt und die Rechte dort zugewiesen.
Ein typisches Schleifen-Skript sieht so aus:
$VC1 = "ALTER_VC"
$VC2 = "NEUER_VC"
Set-PowerCLIConfiguration -DefaultVIServerMode multiple -Confirm:$false
connect-viserver -Server $VC1, $VC2
$roles = Get-VIRole -Server $VC1
foreach ($role in $roles) {
$privs = Get-VIPrivilege -Role (Get-VIRole -Name $role -Server $VC1) | % { $_.Id }
New-VIRole -Name $role -Server $VC2 -ErrorAction SilentlyContinue
Set-VIRole -Role (Get-VIRole -Name $role -Server $VC2) -AddPrivilege (Get-VIPrivilege -Id $privs -Server $VC2)
}
disconnect-viserver -Server $VC1, $VC2
Wichtige Hinweise
Es können Fehlermeldungen auftreten, wenn eine Rolle bereits im Ziel-vCenter existiert. Diese lassen sich mit -ErrorAction SilentlyContinue unterdrücken. Dennoch sollte man vorher prüfen, ob Konflikte bestehen. Die Standardrollen werden ebenso migriert, weshalb es immer zu entsprechenden Meldungen kommt.
Zudem ist zu beachten, dass nicht nur Rollen, sondern auch Berechtigungen (Permissions) an Benutzern oder Gruppen zugewiesen sind. Ein reiner Rollentransfer reicht also nicht immer aus. Wenn auch die Zuweisungen migriert werden sollen, muss man zusätzlich die Permissions exportieren und wieder importieren. Ein Beitrag dazu folgt.