概述 - 企业管理使用教程 - 高级功能 - 实践教程 - ZStack Cloud 4.0.0

概述

企业管理主要为企业用户提供组织架构管理，以及基于项目的资源访问控制、工单管理、独立区域管理等功能。

企业管理以单独的功能模块形式提供，需提前购买企业管理模块许可证（Plus License），且需在购买云平台许可证（Base License）基础上使用，不可单独使用。

企业管理相关定义

人员与权限：企业管理体系以人员和权限为基础进行构建，根据实际需求搭建部门与角色，对用户赋予多样化的权限。
组织架构：企业管理中的基本单位，由自定义创建或通过第三方认证同步，分为未分组部门和自定义部门，支持自定义新团队和子部门。其中，新团队通常指一个公司或者子公司，其下可创建多级部门。组织架构树以层级折叠方式展示，可直观查看企业组织架构全貌。
说明: 项目成员仅支持查看所在团队的组织架构树。
用户：表示自然人，是企业管理中的最基本单位。ZStack Cloud云平台用户包括本地用户和第三方用户：
- 本地用户：云平台中创建的用户，支持加入组织、加入项目、绑定角色等操作。
- 第三方用户：通过第三方认证同步到云平台的用户，支持加入组织、加入项目、绑定角色、变更为本地用户等操作。
说明:
- 企业管理用户需从项目登录入口登录云平台，其中本地用户从本地用户入口登录；第三方用户从AD/LDAP入口登录。
- admin/平台管理员支持查看所有用户列表。
- 若云平台已创建组织架构树，平台成员仅支持查看所属组织架构的用户列表；若云平台未创建任何组织架构树，平台成员支持查看所有用户。
成员组：有双重含义，既表示一组自然人的集合，也表示一组项目成员的集合，支持以成员组为单位进行权限控制。
角色：权限的集合，为用户和成员组赋予权限可获得调用相关API进行资源操作的能力。包括平台角色和项目角色两类。
- 平台角色：用户绑定平台角色后，将拥有对应区域的管理权限。平台角色的权限仅在用户自身管控的区域内生效。
- 项目角色：用户加入项目并绑定项目角色后，将拥有该项目的使用权限，管控项目内的数据。
说明:
- 同一用户支持同时绑定两种角色类型。
- 同一用户支持绑定多个平台角色或项目角色。
- 在一个项目内，若用户绑定了多个项目角色，拥有的的权限为所有项目角色的全集。
第三方认证：云平台提供的第三方登录认证服务，支持无缝接入第三方登录认证系统，相应账户系统将直接登录云平台，便捷使用云资源，目前支持添加AD/LDAP服务器。
- AD认证：
  AD (Active Directory) 是面向Windows Standard Server、Windows Enterprise Server以及Windows Datacenter Server的目录服务, 为日益多样化的企业办公应用提供了一套独立、标准的登录认证系统。
  通过AD服务器可将AD用户/组织同步到ZStack Cloud云平台用户列表/组织架构，并支持使用指定的AD登录属性直接登录ZStack Cloud云平台。
- LDAP认证：
  LDAP (Lightweight Directory Access Protocol) 是轻量目录访问协议，可提供标准的目录服务, 为日益多样化的企业办公应用提供了一套独立、标准的登录认证系统。
  通过LDAP服务器可将LDAP用户同步到ZStack Cloud云平台用户列表，并支持使用指定的LDAP登录属性直接登录ZStack Cloud云平台。
项目管理：以项目为导向进行资源规划，可为一个具体项目建立独立的资源池。通过对项目生命周期进行管理（包括确定时间、确定配额、确定权限等），以更细粒度更自动化的方式提高云资源利用率，同时加强项目成员间的协作性。
项目：在特定时间、资源、预算下指定相关人员完成特定目标的任务。企业管理以项目为导向进行资源规划，可为一个具体项目建立独立的资源池。
- 创建项目需指定资源配额、回收策略，添加项目成员等。
- 云平台内的基本资源（计算规格、镜像、网络等），建议提前共享或创建。
工单审批：为了更高效地为每个项目提供基础资源支持，项目成员（项目负责人/项目管理员/普通项目成员）可对云平台资源提出工单申请，根据每个项目自定义工单审批流程，对工单进行审批，最终由admin或项目负责人审批，支持申请云主机、删除云主机、修改云主机配置、修改项目周期和修改项目配额五种工单类型。
流程管理：为了更高效对项目提供基础资源支持，工单审批引入流程管理，包括默认流程和自定义流程两种类型。
- 默认流程：项目成员提交工单--->admin审批工单。此流程适用于以下几种场景：
  - 未设置工单流程的工单，将使用默认流程提交工单。
  - 修改项目周期类型的工单，将使用默认流程提交工单。
  - 修改项目配额类型的工单，将使用默认流程提交工单。
  - 删除自定义工单流程，将使用默认流程自动重新提交工单。
- 自定义流程：项目成员提交工单--->自定义审批工单--->admin/项目负责人审批工单。此流程适用于以下几种场景：
  - 申请云主机、删除云主机、修改云主机配置类型的工单，优先使用设置的自定义工单流程提交工单。
  - 修改有效状态的工单流程，将使用修改后的自定义工单流程自动重新提交工单。
  - 修改已失效状态的工单流程，需要使用修改后的自定义工单流程手动重新提交工单。
我的审批：仅admin/项目负责人拥有审批权限，可通过或驳回申请。若审批通过，资源会自动部署并下发至项目生效。
说明: 平台管理员/普通平台成员没有工单审批权限，暂无我的审批菜单。

账号体系相关定义

admin：超级管理员，拥有所有权限，通常由IT系统管理员拥有。
本地用户：云平台中创建的用户，支持加入组织、加入项目、绑定角色等操作。
第三方用户：通过第三方认证同步到云平台的用户，支持加入组织、加入项目、绑定角色、变更为本地用户等操作。
平台成员：绑定了平台角色的用户，包括平台管理员和普通平台成员。
平台管理员：绑定平台管理员角色的用户，带有区域属性的管理员，拥有全部的界面权限，管控所分配区域的数据中心。
部门负责人：组织架构中负责管理部门的用户，拥有查看部门账单权限。
项目成员：加入项目的用户，作为项目的基本组成人员，包括项目负责人、项目管理员和普通项目成员。
项目负责人：拥有项目负责人角色的用户，负责管理项目内的用户，在项目中拥有最高权限。
项目管理员：拥有项目管理员角色的用户，协助项目负责人管理项目，同一项目可指定一个或多个项目成员作为项目管理员。
根角色：根角色用于限制自定义角色的权限范围，自定义角色的权限继承自根角色，为根角色权限的子集。
配额：配额是对项目的资源总量进行控制的衡量标准。主要包括云主机数量、CPU数量、内存容量、最大数据云盘数目和所有云盘最大容量等。
项目回收策略：创建项目需指定项目回收策略，包括无限制、指定时间回收和指定费用回收三种。
- 无限制：创建项目后，项目内资源默认一直处于启用状态。
- 指定时间回收：
  - 项目有效期限不足14天时，项目成员登录云平台后智能操作助手将弹出项目即将过期的提醒信息。
  - 项目过期后，项目内资源按照指定的控制策略回收，回收策略有以下三种：禁止项目成员登录、禁止项目成员登录且停止项目资源、删除项目。
- 指定费用回收：项目费用达到限额时，项目内资源按照指定的控制策略回收，回收策略有以下三种：禁止项目成员登录、禁止项目成员登录且停止项目资源、删除项目。

平台/项目身份权限

平台身份：包括admin、平台管理员、普通平台成员，权限上存在略微差异，如下：

名称	区别
admin	超级管理员，拥有所有权限。
平台管理员	平台管理员主要是带有区域属性的管理员，协助admin共同管理云平台。除以下权限外，平台管理员拥有和admin同样的权限：带有区域属性，仅支持管控所属区域内的资源，且不支持创建区域、删除区域相关权限。不支持工单审批相关权限，我的审批菜单不可见。不支持许可证管理相关权限，不支持上传许可证等操作。
普通平台成员	平台管理员以外的平台成员，除以下权限外，普通平台成员拥有和admin同样的权限：不支持工单审批相关权限，我的审批菜单不可见。仅支持查看所属组织架构的用户。未赋予的权限。

项目身份：包括项目负责人、项目管理员、项目成员，权限如下：
- 项目负责人可指定一个或多个项目成员作为项目管理员，协助管理项目。
- 除项目负责人可对项目管理员进行管控外，项目管理员拥有和项目负责人相同的全部权限。

企业管理各账号登录云平台

admin从主登录界面登录云平台
使用Chrome浏览器或FireFox浏览器打开主登录界面（http://management_node_ip:5000/#/login），admin输入相应用户名和密码登录云平台。
如图 1所示：
图 1. 主登录页面
企业管理中的用户（平台管理员/平台成员/项目负责人/项目管理员/普通项目成员）从项目登录入口登录云平台
使用Chrome浏览器或FireFox浏览器打开项目登录界面（http://management_node_ip:5000/#/project），输入相应用户名和密码登录云平台。其中，包括两种入口：
- 本地用户：云平台创建的用户，通过本地入口登录。
- AD/LDAP用户：通过第三方认证同步到云平台的第三方用户，通过AD/LDAP用户入口登录。
登录成功后，选择需要管理的平台或项目，即可登录到对应的管理界面。
如图 2所示：
图 2. 项目登录页面

企业管理子功能

企业管理主要包括平台管理、项目管理、工单管理、独立区域管理、第三方认证子功能。

平台管理：
为了更高效地管理云平台，平台成员（平台管理员/普通平台成员）可配合超级管理员共同维护云平台。ZStack Cloud提供平台管理员角色、监控大屏角色等系统角色方便用户使用，也可创建自定义角色满足各种使用场景，细粒度到API级别。
项目管理：
以项目为导向进行资源规划，可为一个具体项目建立独立的资源池。通过对项目生命周期进行管理（包括确定时间、确定配额、确定权限等），以更细粒度更自动化的方式提高云资源利用率，同时加强项目成员间的协作性。
工单管理：
为了更高效地为每个项目提供基础资源支持，项目成员（项目负责人/项目管理员/普通项目成员）可对云平台资源提出工单申请，根据每个项目自定义工单审批流程，对工单进行审批，最终由admin或项目负责人审批，支持申请云主机、删除云主机、修改云主机配置、修改项目周期和修改项目配额五种工单类型。
独立区域管理：
区域通常对应某地的一个真实数据中心。在对区域进行资源隔离的基础上，可对每个区域指定相应的区域管理员，实现各地机房的独立管理，同时admin可对所有区域进行巡查和管理。
第三方认证：
第三方认证是ZStack Cloud云平台提供的第三方登录认证服务，支持无缝接入第三方登录认证系统，相应账户系统可通过云平台登录页面直接登录，便捷使用云资源，目前支持添加AD/LDAP服务器。

企业管理使用流程

可参考以下步骤使用企业管理功能：

admin创建组织架构树；
admin创建用户并将用户加入对应的组织架构；
admin指定部门负责人；
admin全局共享基本资源；
admin创建项目并指定项目负责人；
项目负责人创建自定义角色；
项目负责人为项目添加成员并绑定角色；
登录云平台。

升级提醒

若您选择升级至4.0.0及之后版本，请注意以下功能调整：

1. 云路由器全面升级为VPC路由器，云路由网络全面升级为VPC网络，不再单独设云路由器页面。升级全程无感知，相关业务不受任何影响。

2. 企业管理账号体系取代用户组与用户，不再单独设用户/用户组页面，不可再使用用户/用户组账号登录云平台。升级前，请先将“用户组与用户”纳管的账号数据妥善迁移至“企业管理”纳管，再执行升级操作。注意：对于admin创建并具备admin权限的用户账号同步取消，如有需要，可使用企业管理账号体系中的平台管理员实现相同功能。

3. 调整AD/LDAP与账户的对接管理方式，统一由企业管理纳管，不再单独设AD/LDAP页面。升级前，请先将“账户”对接纳管的AD/LDAP账号数据妥善迁移至“企业管理”纳管，再执行升级操作。

如对上述升级提醒有任何疑问或需要升级帮助，请联系ZStack官方技术支持