الصلاحيات في بروكسموكس: من يصل إلى ماذا — ولا شيء غيره

أغلب من يشغّل بروكسموكس يستعمل حساب root وحده — هو ومن معه. ويعمل هذا تماماً حتى يوم يحتاج أن يعطي فنّياً وصولاً إلى جهاز واحد، أو أن يعرف من أطفأ جهاز الزبون ليلة أمس، أو أن يسحب صلاحية شخص غادر.

نظام الصلاحيات في بروكسموكس أقوى مما يظنّ أغلب مستعمليه — ومبنيّ على فكرة واحدة بسيطة نشرحها هنا، ثم نبني بها ما تحتاجه فعلاً.

الفكرة كلّها في سطر

الصلاحية = من (مستخدم) + ماذا يستطيع (دور) + أين (مسار)

tech@pve   +   TechSupport   +   /pool/clients
 المستخدم        الدور              النطاق

وكل شيء في هذا النظام تفصيل على هذه المعادلة. من يفهمها يفهم الباقي في دقائق.

‏1 · نطاقات المصادقة — من أين يأتي المستخدم

‏2 · المستخدمون

‏3 · الأدوار — ماذا يستطيع

ولبناء دور بقياسك

# دور الفنّي: يرى ويشغّل ويفتح الكونسول — ولا يحذف شيئاً
pveum role add TechSupport \
  -privs "VM.Audit,VM.Console,VM.PowerMgmt,Datastore.Audit,Sys.Audit"

‏4 · المسار — أين تسري الصلاحية

وهنا قوة النظام الحقيقية: الصلاحية لا تُعطى «على بروكسموكس» بل على مسار محدّد.

‏5 · التجمّعات — الأداة التي تختصر كل شيء

لماذا التجمّع أفضل من إعطاء صلاحية لكل جهاز؟ لأن الجهاز الجديد الذي تضيفه إلى التجمّع يرث الصلاحية تلقائياً — بلا أن تتذكّر تحديث شيء. ومع عشرين جهازاً وثلاثة فنّيين، هذا الفرق بين نظام يُصان ونظام يتفكّك.

# أنشئ تجمّعاً وضع فيه أجهزة
pvesh create /pools --poolid clients --comment "أجهزة الزبائن"
pvesh set /pools/clients --vms 200,201

# واربط الصلاحية بالتجمّع لا بالأجهزة
pveum acl modify /pool/clients -user tech@pve -role TechSupport

‏6 · التحقّق بخطوتين

‏7 · رموز الواجهة البرمجية — للأتمتة لا للبشر

حين تحتاج نظام فوترة أو سكربتاً أن يتحدّث إلى بروكسموكس، لا تعطه كلمة مرور مستخدم. أنشئ رمزاً بصلاحية محدودة:

ثلاثة إعدادات جاهزة — انسخها كما هي

‏(أ) فنّي دعم

pveum role add TechSupport -privs "VM.Audit,VM.Console,VM.PowerMgmt,Sys.Audit"
pveum user add ali@pve --comment "فنّي الدعم"
pveum acl modify /pool/clients -user ali@pve -role TechSupport

‏(ب) زبون يملك جهازه

pveum user add customer1@pve
pveum acl modify /vms/1001 -user customer1@pve -role PVEVMUser

‏(ج) مراقب يرى ولا يلمس

pveum user add monitor@pve
pveum acl modify / -user monitor@pve -role PVEAuditor

اختبر الصلاحية — لا تفترضها

1. افتح نافذة تصفّح خاصة.
2. ادخل بحساب الفنّي نفسه.
3. تحقّق: هل يرى ما يجب فقط؟ وهل تختفي الأزرار الخطرة؟

وهذه الخطوة تكشف في دقيقتين أخطاءً تبقى سنوات لو اكتفيت بالافتراض.

أخطاء شائعة وحلولها

أسئلة شائعة

هل أعطي الزبون حساباً على لوحتي؟

ممكن — بدور PVEVMUser على جهازه وحده. لكن أغلب المزوّدين يفضّلون لوحة وسيطة (نظام الفوترة) بدل فتح لوحة البنية التحتية للزبون. والسبب ليس الصلاحيات بل ما تكشفه اللوحة عن بنيتك.

ماذا لو غادر موظّف؟

عطّل حسابه (لا تحذفه فوراً) — فتحتفظ بسجلّه في شريط المهامّ. واحذفه بعد شهر.

هل أستطيع ربطه بدليل الشركة؟

نعم — LDAP أو Active Directory كنطاق مصادقة. مفيد في الشركات التي عندها دليل أصلاً، ومبالغة فيما دون ذلك.

كم دوراً أنشئ؟

ثلاثة تكفي أغلب الحالات: مدير، وفنّي، ومراقب. وزد عند الحاجة الحقيقية لا استباقاً.

هل تسري الصلاحيات على الكونسول والصدفة؟

نعم. والصدفة تحتاج صلاحية على النود لا على الجهاز — وهي صلاحية قوية جداً. لا تعطها لأحد إلّا إن كنت تقصد إعطاءه السيرفر كلّه.

خلاصة المسار الأول

في خمسة أجزاء: عرفت الواجهة وأين كل شيء، وأنشأت جهازاً افتراضياً بفهم كل خانة، وعرفت متى تختار الحاوية بدله، وجلبت الصور والقوالب من مصادرها الصحيحة، وبنيت نظام صلاحيات يعطي كل شخص ما يخصّه.

وهذا هو الأساس. والمسار الثاني يبدأ من التخزين — وهو أكثر ما يُسأل عنه وأقلّ ما يُشرح: أي نوع تختار، وكيف توسّع، وماذا تفعل حين يمتلئ.

وإن أردت سيرفراً تجرّب عليه كل هذا: باقات VPS تكفي للتعلّم، والسيرفرات المخصّصة لتشغيل بروكسموكس فعلاً.