Hyper-V Berechtigungen für Herunterfahren von außen

[ssd_rider 2]

Hallo,

 

ich habe folgende Anforderungen:

Es gibt einen Hyper-V-Server auf dem sich einmal Server von einer Domäne befinden und Server, welche nicht in dieser Domäne sind . Der Hyper-V-Server befindet sich

ebenfalls in dieser Domäne. Der Administrator kann die Server, welcher in dieser Domäne sind über den Hyper-V-Manager mit einem Domänen-Admin normal Herunterfahren (also normaler Shutdown, kein abruptest Power Off). Die Server, welche nicht in der Domäne sind können nicht von diesem Admin über den Hyper-V-Manager heruntergefahren werden. 

Ich vermute, dass dieses Herunterfahren über WMI-Mittel gesteuert wird. 

Nun soll es aber so sein, dass er diese Server auch über den Hyper-V-Manager durchstarten können soll. 

Wie kann es realisiert werden, dass dieser eine Benutzer die Server von außen doch durchstarten kann, ohne vollen Adminzugriff?

 

Können besondere Rechte eingestellt werden?

 

Vielen Dank

 

[NilsK 2.789]

Moin,

 

du suchst den Authorization Manager (AzMan). Der ist zwar seit Windows 2012 "deprecated", also "veraltet", aber in Wirklichkeit gibt es noch keinen Ersatz dafür. Sollte dein Host mit Windows 2012 R2 laufen, dann funktioniert dies allerdings nicht mehr - dann gibt es keinen einfachen Weg zu deinem Ziel. Der "Ersatz" wäre SCVMM, was aber in kleinen und mittleren Umgebungen nicht praktikabel ist.

 

Sofern dein Admin innerhalb von Hyper-V alles können soll, ohne gleich Administrator auf dem Host zu sein, kannst du ihn in die lokale Gruppe "Hyper-V Administrators" aufnehmen.

 

Auf keinen Fall sollte man solche Tasks mit Domänen-Admin-Rechten ausführen! Domänen-Admin ist unabhängig vom Thema in 99 Prozent der Fälle die falsche Gruppe.

 

Gruß, Nils

bearbeitet 25. April 2016 von NilsK

[ssd_rider 2]

 

Sofern dein Admin innerhalb von Hyper-V alles können soll, ohne gleich Administrator auf dem Host zu sein, kannst du ihn in die lokale Gruppe "Hyper-V Administrators" aufnehmen.

 

Das bedeutet wenn ich den User in die Gruppe "Hyper-V Administratoren" auf dem Gast Server packe, dann kann er diesen Gast herunterfahren und neustarten? (Also nicht hart herunterfahren?)

[NilsK 2.789]

Moin,

 

ich gehe davon aus. Innerhalb von Hyper-V hat er dann alle Rechte.

 

Wobei ich das Szenario mit den Nicht-Domänen-VMs gerade nicht nachvollziehen kann. Dass man VMs, die nicht Teil der Domäne sind, nicht über die Integrationsdienste herunterfahren könne, wäre mir jetzt nicht bekannt (wobei ich aber auch nicht ausschließen kann, dass ich das bislang übersehen habe).

Andere Ursachen für das Phänomen sind ausgeschlossen, z.B. abgeschaltete Integrationsdienste?

 

Gruß, Nils

[ssd_rider 2]

Danke Nils für den Hinweis "Integrationsdienste".

 

Ist es erforderlich diese Intergrationsdienste zu installieren um den Gast herunterzufahren?

 

Ich habe zum Spaß mal in den Diensten meines Laptops geschaut und habe unter anderem den Dienst "Hyper-V-Dienst zum Herunterfahren des Gasts" gefunden. Dieser ist auf "Manuell" eingestellt und läuft nicht.

 

Muss dieser unter anderem also gestartet werden um dieses Herunterfahren zu ermöglichen?

 

(Fragen über Fragen in dem Leben eines kleinen SysAdmins ;) )

bearbeitet 25. April 2016 von ssd_rider

[Doso 77]

Wenn du die VMs sauber herunterfahren willst, brauchst du ggf. die Integrationsdienste. Diese kommen bei Windows fast immer in einer ggf. alten Version mit, ausser du hast alte Gurken wie Windows XP. HArt ausscahlten müsste aber immer gehen, aber ob man das will?

 

Die Integrationsdienste haben neben dem Herunterfahren noch viele weiter Vorteile und sollten eigtl. immer aktuell gehalten werden.

[ssd_rider 2]

Hart ausschalten ist auf jeden Fall keine Option! Ich teste das dann mal mit den Integrationsdiensten.

 

Was mir noch aufgefallen ist, sind ausgeschaltete Hyper-V Dienste auf jedem Windows Computer.

Ich schau auch mal ob das Herunterfahren funktioniert, wenn ich diesen oben genannten Dienst "Hyper-V-Dienst zum Herunterfahren des Gasts" starte.

Oder hat da jemand schon Erfahrungen?

[Dunkelmann 96]

Moin,

 

bitte beschreibe doch mal etwas genauer, wo Du diesen Dienst starten möchtest und was 'auf jedem Windows Computer' genau bedeutet.

 

Die Hyper-V Integrationsdienste sind grundsätzlich auf allen aktuellen Windows Systemen vorhanden und werden nur bei Bedarf gestartet. Manuelles Eingreifen ist i.d.R. nicht erforderlich.

 

Ach ja, es wäre hilfreich, wenn Du uns verrätst welches OS als Hypervisor und welches in den Gästen läuft.

[ssd_rider 2]

Mit Windows Computer meine ich egal ob Windows 10 oder Windows Server 2012 R2. Dort gibt es diese Dienste (Siehe Screenshot).

 

bearbeitet 26. April 2016 von ssd_rider