前回の記事↓

ではMSL SetupでProxmoxを分割する方法の概要を記載しました。

※今回から分割された領域をテナントという言葉で説明します。
　今回は、分割した領域（テナント）の運用がどのように変わるのかをお伝えしようと思います。また、この説明では8つの仮想的なテナント空間を作っています。

テナントはProxmoxのPoolという機能です。

0. セルフケアポータルについて

本投稿で説明しているセルフケアポータルですが、自動構築スクリプトはCorporate版だけの機能となっております。MSL Setup Personal(無償版)には付属してません。
が、手動で作る方法を以下で公開しております。是非試したいという方は以下の方法に従って、テナント数分作成してみて下さい。

1. rootユーザから見た各テナントの状況です。

以下の画像では、8つのテナント(pj01-pj08)を作りそのうちのpj02テナントを見てみます。

左ツリーには仮想的に分割された8つのテナントが表示されています
その一つのpj02を選択してみました。右側にpj02のメンバVM(VM-ID:20XX)が一覧表示されます
このテナントへVMを追加/削除するには上のAdd/Removeボタンを押します。
追加するときのダイアログが表示されるので、追加したいVMにチェック(✓)を入れてAddすれば追加できます。
削除は対象VMを選択しRemoveすれば良いだけ。
以下で説明してますが、メンバVMのNICのブリッジをpj02テナント用のブリッジ(vnetpj02)を設定してあげて下さい。

2. rootユーザでテナント用にVMを作成する方法。今回はこのpj02にVMを作る方法です。やることは２つ。

VM作成の最初の画面でResource Poolにpj02を指定します。
NICの設定画面でブリッジをvnetpj02に指定します。

はい。以上です。

3. テナント毎に自動生成されたテナントAdminから見たProxmoxダッシュボードの状況

次は、テナントpj02用のpj02Admin(MSL Setupだとテナント作成時に自動作成されます)で、先ほどのpj02を見てみましょう。

だいぶシンプルになりました。テナントpj02用のVMしか表示されてません。
つまりpj02Adminが触れる範囲のみ表示されるようになりました。
pj02AdminはこれらのVMの起動、停止、スナップショット作成、VM作成などが可能です。
また次で説明しますが、VMの作成、削除も可能です。しかもこのテナント内にのみ作成可能です。
これら、何が可能かの設定はユーザロールの設定で調整可能です。MSL Setupのデフォルトでは上記が可能なようにしています。
こんなアカウント渡したくないよ。という方は、クレデンシャルを渡さないでください。
UIにすらアクセスさせたくないよという方、それ用のFWルールがテナント毎にありますので、on/offできます。

4. テナントAdminによるVMの作成方法

これは項番2でrootで指定した方法と同じです。

まずResource poolで各テナントのテナント(pool)名を指定します。
- 選択肢は一つなので、誤って他のテナントに作ってしまう心配はありません
- 指定しないと、最後のVM作成で怒られます。
そしてブリッジの選択です。rootの時と同じくvnetpj02を選択するだけです。
- テナントAdminがVMを作成する場合はデフォルトでvnetpj02が選択されてます。
- 他は選べません。なので、間違えて隣のテナントのブリッジに接続しちゃった！などという事も起きません。

最後にTILネタ一個。

これは良い子の皆さんはマネしないでねというネタです。みなさんProxmoxのNotesを活用してますでしょうか？
私は色々なVMのGUIのクレデンシャルとか、貼ってしまってます。以下のようなイメージです。

結局、付箋紙でパスワードをディスプレイの周りにベタベタ貼って管理しているようなものですが・・・

そしてこれだけでは終わりません。

Notesの初めに""を付けると！はい。この通り

つまりhtmlのコメントタグを挿入する事で、表示を隠せる笑
こういうのはけしからん。という人もいるかもしれませんが、まぁクレデンシャルじゃなくとも、あまり表示しているのは好ましくないような内容なども隠しておけます。特に難しいパスワードはコピペしないと地獄ですからね。

まとめ

　今回の説明は終わりです。これで快適なサーバ運用が期待できます。もうユーザからVM起動してくれ、バックアップ取ってくれなどと言われることも無くなります。

　しかも非常にセキュアです。ProxmoxのユーザにはMFA認証の設定が可能ですし、MSL Setupが作るPritunl VPNサーバもMFAが可能です。更に各テナントは完全に個別のブリッジで分けられており、他テナントのパケットが見えてしまうというような事もありません。

　このような仕組みを導入する事により、AIスタートアップで高価なGPU/NPUを会社で一台購入して高いお金払ってMIGなどを行うよりはパススルーしたVMを一台作成して各テナント（チーム、部門など）で共有するなど、色々な使い道が考えられると思います。

自動化スクリプトの紹介

なお、MSL Setupで設定しなくとも、全て手動でProxmoxに設定が可能です。手動での構築方法は、github↓にまとめてありますので、そちらを参照してください。

MSL Setupはこの手動設定なんて面倒でやってられない！間違って設定したら？テストは？という方用の自動化スクリプトになっています。MSL Setupスクリプトは以下からインストール可能です。

もしよかったら以下のgithubリポジトリにスター⭐を落としていって下さい。私が喜びます。