Dans Prism Central, un droit n’est jamais seulement « admin ou pas » : c’est un rôle, appliqué à un périmètre, pour des identités. Bien posé, il laisse un script lister les VM sans pouvoir en supprimer une.
Qui s’authentifie
Selon la Nutanix Bible, Prism Element accepte des comptes locaux, Active Directory et LDAP ; Prism Central y ajoute SAML, donc le MFA d’un fournisseur d’identité. Frontière entre les deux consoles : qui gère quoi.
Une politique : rôle, périmètre, identités
Le blog Nutanix sur le RBAC fin (août 2025) décompose une authorization policy en trois questions :
- rôle : quelles actions ? Chaque permission correspond à une opération d’API, par exemple
VM:PowerOn; - périmètre : sur quelles ressources ? Des clusters précis, des VM portant certaines catégories, des projets ;
- utilisateurs ou groupes : pour qui ?
Rôles intégrés et rôles personnalisés
Un fil de la communauté Nutanix (2020) liste les rôles prédéfinis de Prism Central : Super Admin (tous les droits), Prism Admin (tous sauf la gestion des comptes), Prism Viewer (lecture), puis Self-Service Admin, Project Admin, Developer, Consumer et Operator, tournés vers les projets et applications. Le blog de 2025 cite aussi VM Admin et Network Admin. La liste dépend de la version : relevez-la sur votre Prism Central.
Quand aucun ne convient, deux voies selon le même blog : composer un rôle opération par opération, ou cloner un rôle système et le modifier. Dans le modèle Role de l’API IAM v4, le champ operations liste ce que permet le rôle et isSystemDefined signale un rôle système.
Le périmètre par catégorie
Derek Seaman l’a montré en 2019, sur PC 5.10 : avec une catégorie comme cible de délégation, toute VM ajoutée ensuite à la catégorie entre automatiquement dans le périmètre. C’est la force du modèle et son point d’attention : qui peut poser une catégorie sur une VM peut étendre un droit délégué. Le modèle d’autorisation a été refondu depuis (authorization policies à partir de pc.2024.1, affectations de rôles avant, selon la doc d’intégration d’authentik) : retestez sur votre version. Les catégories sont détaillées dans ce billet, leur pose par playbook dans étiqueter l’OS des VM.
Les projets
Selon le blog Nutanix de janvier 2025, un projet est un espace de noms logique qui isole VM, VPC et subnets, avec un rôle par projet : gérer les VM dans l’un, seulement les voir dans l’autre. Il porte des quotas de CPU, mémoire et stockage, et un non-administrateur n’y voit que les ressources auxquelles il a accès. Pour la différence avec une catégorie, voir ce billet. Prism Central pc.7.6 (juillet 2026) introduit un nouveau cadre de projets et y migre l’existant à la mise à jour : retestez vos délégations après l’upgrade.
Comptes de service et moindre privilège
Le guide API de nutanix.dev réserve la clé d’API IAM aux utilisateurs de type compte de service, pour les scripts et intégrations ; l’authentification basique reste celle des comptes standards et d’annuaire. La séquence REST publiée en février 2025 demande Prism Central pc.2024.3 et AOS 7.0 :
GET /api/iam/v4.0/authz/roles?$filter=startswith(displayName, '<rôle en lecture>')
POST /api/iam/v4.0/authn/users # "userType": "SERVICE_ACCOUNT"
POST /api/iam/v4.0/authn/users/<extId>/keys # "keyType": "API_KEY"
POST /api/iam/v4.0/authz/authorization-policies # role, entities, identitiesLa clé, affichée une seule fois, passe dans l’en-tête X-Ntnx-Api-Key :
curl -s -H "X-Ntnx-Api-Key: $NTNX_API_KEY" \
"https://<pc_vip>:9440/api/vmm/v4.0/ahv/config/vms"En février 2025 (pc.2024.3), nutanix.dev précisait que comptes de service et clés ne se géraient que par l’API IAM v4 ; un billet de Jeroen Tielen (août 2026, version non précisée) montre depuis un écran Admin Center > IAM > Identities > Service Accounts, avec création de clé : vérifiez sur votre version.
Un compte qui ne fait que lire : rôle en lecture, périmètre minimal, comme pour un accès MCP en lecture seule.
Ce qu’il faut retenir
- Un droit Prism Central : un rôle, un périmètre, des identités.
- Rôle sur mesure : par opérations, ou clone d’un rôle système.
- Périmètre par catégorie : qui peut taguer peut étendre un droit, à vérifier sur votre version.
- Les projets isolent et portent les quotas ; pc.7.6 change leur cadre, retestez après mise à jour.
- Automatisation : compte de service, clé d’API, rôle minimal, jamais Super Admin sur
"*".
In English
A Prism Central permission is a role, a scope and identities. Built-in or custom roles, scope by cluster, category or project, and service accounts with API keys for automation. An authorization policy ties these together, a custom role can be built by cloning a system role, and v4 API keys only work with service accounts and are shown only once.
Sources & vérification
Relevé sur : Documentation publique Nutanix (Nutanix Bible, nutanix.dev, référence SDK IAM v4.0, nutanix.com, Nutanix Community) et blog tiers daté, relevé 2026-10
- Nutanix Bible, Prism Architecture nutanixbible.com
- nutanix.com, Fine-Grained RBAC with Nutanix Prism Central (2025) nutanix.com
- Nutanix Community, Prism user permissions, what are the options (2020) next.nutanix.com
- IAM v4.0 Python SDK, modèle Role developers.nutanix.com
- Derek Seaman, Nutanix Prism Central RBAC (2019, PC 5.10) derekseaman.com
- nutanix.com, Nutanix Projects, Key Capabilities and Benefits (2025) nutanix.com
- nutanix.com, Nutanix Categories and Projects (2026) nutanix.com
- Nutanix Community, Prism Central pc.7.6 (2026) next.nutanix.com
- nutanix.dev, Nutanix API User Guide nutanix.dev
- nutanix.dev, Nutanix v4 APIs, Using API Key Authentication (REST API) (2025) nutanix.dev
- Jeroen Tielen, Create Nutanix Prism Central API Key (2026) jeroentielen.nl
- authentik, intégration Nutanix Prism Central (authorization policies dès pc.2024.1) integrations.goauthentik.io