1. 课程导入

在开始学习 vSphere 的集中管理与权限治理之前，先要建立一个清晰的架构认知：vCenter Server 并不是 ESXi 主机的替代品，而是叠加在 ESXi 之上的集中管理平面。ESXi 主机负责提供计算、内存、存储与网络资源，并直接运行虚拟机；vCenter 则把这些分散的主机组织成数据中心、集群、资源池和文件夹，并在其上提供统一的对象模型、任务调度、模板与内容库、告警、性能监控以及权限体系。理解“谁在管资源、谁在管对象、谁在管权限”，是后续所有实验与治理工作的前提。

从对象模型看，vCenter 的层级结构是权限治理的骨架。典型路径为：vCenter → 数据中心 → 集群 → ESXi 主机 → 虚拟机，同时还有网络、存储、资源池、模板、内容库等对象。权限并不是“给某个人一个账号”这么简单，而是把“用户或组”“角色”“对象”“传播方式”四者绑定在一起。角色定义能做什么，对象决定在哪儿生效，传播决定是否向下继承。这个模型决定了后续章节中所有权限设计、排障与审计的基本逻辑。

集中管理的价值，首先体现在“统一入口”和“统一对象视图”。没有 vCenter 时，管理员需要逐台登录 ESXi 主机执行操作，虚拟机清单、模板、网络标准、告警和日志彼此割裂；有了 vCenter，可以在一个界面中完成主机纳管、集群配置、虚拟机部署、模板克隆、权限分配和任务审计。其次，vCenter 提供了跨主机的调度能力，例如 vSphere DRS 根据资源利用率自动迁移虚拟机，vSphere HA 在主机故障时自动重启虚拟机，这些能力都依赖 vCenter 作为控制平面。第三，vCenter 是权限治理的落点：只有把用户、组、角色和对象统一纳入 vCenter 的权限模型，才能实现可审计、可继承、可隔离的访问控制。

权限治理的价值可以用一个典型场景说明。假设某企业有三个团队：基础设施团队负责 ESXi 主机和集群维护，应用团队负责虚拟机日常运维，审计团队只读查看配置与事件。若直接共享管理员账号，任何误操作都可能影响全局，且无法追溯责任人。合理做法是：在 vCenter 中创建三个自定义角色，分别赋予“主机与集群管理”“虚拟机运维”“只读审计”权限，再按对象层级授权。例如，基础设施团队在数据中心对象上授予“管理员”角色并勾选传播；应用团队在某个 VM 文件夹上授予“虚拟机运维”角色，不传播到其他文件夹；审计团队在 vCenter 根对象上授予“只读”角色并传播。这样，权限边界与组织职责一一对应，后续新增虚拟机只需放入对应文件夹即可自动继承权限。

学习路径上，建议按“认知 → 操作 → 治理 → 排障”四层推进。第一层理解 vSphere 架构与 vCenter 定位，能说清 ESXi、vCenter、SSO、数据库、清单对象之间的关系。第二层掌握 vCenter 部署与基本管理，包括安装、登录、添加主机、创建集群、配置标准交换机与分布式交换机、使用模板和内容库。第三层进入权限治理，重点掌握角色创建、权限分配、传播规则、SSO 身份源集成、全局权限与对象权限的区别，以及如何用“有效权限”工具排查权限问题。第四层是排障与审计，包括任务与事件查看、权限冲突分析、锁定模式与主机本地权限的边界、日志收集与合规检查。

实验环境规划建议采用“最小可用 + 可扩展”的思路。硬件上，若使用物理机，至少准备两台支持虚拟化的服务器作为 ESXi 主机，一台独立管理机运行 vCenter Server Appliance（VCSA），并配置共享存储（如 iSCSI 或 NFS）以验证 DRS 和 HA。若使用嵌套虚拟化，可在单台高性能主机上创建三台虚拟机：两台作为 ESXi 主机（每台建议 8 vCPU、16 GB 内存、100 GB 磁盘），一台作为 VCSA（建议 4 vCPU、12 GB 内存、200 GB 磁盘）。网络方面，规划三个网段：管理网用于 ESXi 与 VCSA 通信，存储网用于 iSCSI/NFS，业务网用于虚拟机流量。示例参数如下表所示，实际部署时应根据硬件资源调整。

在实验开始前，还需要明确几个关键约定。第一，所有实验账号应使用独立用户，不要长期使用 administrator@vsphere.local 执行日常操作；该账号仅用于初始配置和紧急恢复。第二，权限实验应先在测试对象上验证，再应用到生产对象；每次变更后通过“监控 → 任务与事件”确认操作结果。第三，涉及主机本地权限时要注意：ESXi 主机在加入 vCenter 后，本地用户和权限仍然存在，但 vCenter 权限不会自动同步到主机本地；锁定模式可以限制直接登录主机，但配置不当可能导致无法管理。第四，实验环境中的 IP 地址、主机名、存储路径和角色名称均为示例，实际部署时应替换为符合自身网络规划的值。