Настройка SSO в VMware VirtualCenter Server

Настройка SSO в VMware VirtualCenter Server

Настройка SSO в VMware VirtualCenter Server

Добрый день уважаемые читатели и гости блога, я продолжаю вам освещать технологии виртуализации от компании VMware и сегодня я хочу вам рассказать как производится настройка SSO в VMware VirtualCenter Server. Так как благодаря этой технологии вы сможете произвести аутентификацию в VMware VirtualCenter Server, через Active Directory, что согласитесь с наличием домена в вашей локальной сети, очень гибко позволит разграничивать права на нужные объекты виртуальной инфраструктуры.

Что такое SSO

Давайте для начала разберемся, что такое Single Sign-On (SSO) и как эта технология работает. Если в двух словах, то это механизм единого входа в систему или в приложения, где одна есть куча корпоративных сервисов, которые благодаря базе данных SSO, идентифицируют вас и автоматически предоставляют доступ к корпоративным ресурсам, без вашего участия (повторного ввода логина и пароля)

Настройка SSO в VMware VirtualCenter Server-2

Сама VMware настоятельно рекомендует производить установку SSO вместе с сервером vCenter. Одна версия SSO может обслуживать до 1000 хостов ESXi и 10 000 виртуальных машин.

  • Поддержка односторонних и двусторонних AD-трастов
  • Поддержка нескольких лесов
  • Можно использовать локальную аутентификацию без домена, если это необходимо
  • Появилось множество средств для траблшутинга и диагностики решения

Зеленым отмечено, какие компоненты можно настраивать с помощью Single Sign-On

Настройка SSO в VMware VirtualCenter Server-9

Настройка Single Sign-On

Установку Single Sign-On мы производили в момент установки VMware VirtualCenter Server, посмотреть можно вот тут, там и задавался пароль для административной, учетной записи administrator@vsphere.local. Я же хочу показать, как настроить SSO, чтобы вы могли раздавать права пользователям Active Directory в VMware VirtualCenter Server.

Кому интересно почитать про права встроенных учетных записей VirtualCenter Server, можете пройти по ссылке слева

Открываем любой браузер, я лично пользуюсь Google Chrome 57 версии и переходим по адресу https://адрес вашего сервера:9443/vsphere-client и логинимся. При первом обращении у вас может появиться сообщение, что ваше подключение не защищено. Нажмите кнопку дополнительно.

Настройка Single Sign-On-1В итоге у вас появится возможность перейти на сайт.

 

Настройка Single Sign-On-2

У вас откроется форма ввода логина и пароля.

Настройка SSO в VMware VirtualCenter Server-4

Далее переходим в административный раздел, вкладка Administration.

Настройка SSO в VMware VirtualCenter Server-5

Далее идем в Configuration > identity Sources и нажимаем кнопку плюсик, для добавления подключения к Active Directory.

Настройка SSO в VMware VirtualCenter Server-6

в окне identity Source у вас будет вот такой выбор:

  • Active Directory (integrated Windows Autentification)
  • Active Directory as a LDAP Server
  • Open LDAP
  • Local OS

Настройка SSO в VMware VirtualCenter Server-7

Настройка Active Directory (integrated Windows Autentification)

Настройка Active Directory (integrated Windows Autentification), как метода аутентификации, наверное самая простая, от вас потребуется две вещи:

  • Чтобы сервер VMware VirtualCenter Server был присоединен к домену
  • Вы должны в настройках указать название доменного имени

Active Directory (integrated Windows Autentification)-1

Преимущество, что данный метод, настраивается за пол минуты, но он менее безопасный, по сравнению использованием SPN имени. Первым делом вам нужно проверить нет ли у вас для вашего VMware VirtualCenter Server  созданного SPN. Формат команды в командной строке Windows вот такой:

setspn -S имя компьютера/hostname.domain.local

Active Directory (integrated Windows Autentification)-3

Думаю вы в первый раз уж точно получите, что SPN не найден. Далее нам его нужно задать для SSO.

setspn -S имя сервера/имя домена (например contoso.com) SSOServiceAccount (имя учетной записи, служебная учетка)

setspn -S vcenter2/contoso.com contoso\vcenter_service

Далее заполняете нужные поля в Active Directory (integrated Windows Autentification)

Active Directory (integrated Windows Autentification)-2

Все SSO должно работать. Если, что ссылка на рекомендации VMware https://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=2058298

Кстати можно посмотреть в Active Directory параметр в учетной записи службы, где прописывается ServicePrincipalName

Настройка SSO в VMware VirtualCenter Server-8

Настройка Active Directory as a LDAP Server

И еще хочу показать, как настроить SSO через Active Directory as a LDAP Server, то же распространенный метод. Давайте просто пробежимся, по нужным полям.

Минусом данного решения, является, то что если контроллер домена не доступен, то вы не сможете пройти аутентификацию

  • Name > указываете любое понятное вам имя, оно не на что не влияет
  • Base DN for users > поиск по пользователям
  • Dmain name > FQDN имя домена
  • Domain alies > краткое имя домена
  • Base DN for groups> поиск по группам
  • Primary server URL > LDAP сервер
  • Secondary server URL > LDAP сервер
  • Username > имя пользователя, от имени которого будет подключение к AD
  • Password > пароль

После ввода данных, нажмите кнопку Test Connection, для понимания того, получилось ли подключиться по LDAP.

Настройка Active Directory as a LDAP Server

В принципе этих двух методов, достаточно для настройки SSO в VMware VirtualCenter Server,

далее я вам настоятельно рекомендую почитать, как улучшить защиту у SSO, vCenter и ESXI хостов.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *