Ustawianie zewnętrznego źródła tożsamości dla programu vCenter Server

W usłudze Azure VMware Solution program VMware vCenter Server ma wbudowane konto użytkownika lokalnego o nazwie CloudAdmin , które ma przypisaną rolę CloudAdmin. Możesz skonfigurować użytkowników i grupy w usłudze Active Directory systemu Windows Server przy użyciu roli CloudAdmin dla chmury prywatnej. Ogólnie rzecz biorąc, rola CloudAdmin tworzy obciążenia w chmurze prywatnej i zarządza nimi. Jednak w usłudze Azure VMware Solution rola CloudAdmin ma uprawnienia serwera vCenter, które różnią się od innych rozwiązań w chmurze VMware i wdrożeń lokalnych.

• We wdrożeniu lokalnym programu vCenter Server i ESXi administrator ma dostęp do konta programu vCenter Server administrator@vsphere.local i konta głównego ESXi. Administrator może być również przypisany do większej liczby użytkowników i grup usługi Active Directory systemu Windows Server.

• We wdrożeniu usługi Azure VMware Solution administrator nie ma dostępu do konta użytkownika Administrator ani konta głównego ESXi. Jednak administrator może przypisać użytkowników usługi Active Directory systemu Windows Server i grupować rolę CloudAdmin w programie vCenter Server. Rola CloudAdmin nie ma uprawnień do dodawania źródła tożsamości, takiego jak lokalny protokół LDAP (Lightweight Directory Access Protocol) lub serwer Secure LDAP (LDAPS) do serwera vCenter Server. Można jednak użyć poleceń w oknie Uruchom, aby dodać źródło tożsamości i przypisać rolę CloudAdmin użytkownikom i grupom.

Konto użytkownika w chmurze prywatnej nie może uzyskać dostępu do określonych składników zarządzania, które firma Microsoft obsługuje i zarządza nimi. Przykłady obejmują klastry, hosty, magazyny danych i rozproszone przełączniki wirtualne.

Serwer vCenter można skonfigurować tak, aby używał zewnętrznej usługi katalogowej LDAP (Lightweight Directory Access Protocol) do uwierzytelniania użytkowników. Użytkownik może się zalogować przy użyciu poświadczeń konta usługi Active Directory systemu Windows Server lub poświadczeń z serwera LDAP innej firmy. Następnie konto można przypisać rolę programu vCenter Server, na przykład w środowisku lokalnym, aby zapewnić dostęp oparty na rolach dla użytkowników programu vCenter Server.

W tym artykule omówiono sposób wykonywania następujących zadań:

Wymagania wstępne

• Upewnij się, że sieć usługi Active Directory systemu Windows Server jest połączona z chmurą prywatną rozwiązania Azure VMware.

• Uwierzytelnianie usługi Active Directory w systemie Windows Server przy użyciu protokołu LDAPS można znaleźć w temacie Configure LDAPS within Azure VMware Solution (Konfigurowanie protokołu LDAPS w rozwiązaniu Azure VMware Solution).

• Skonfiguruj rozpoznawanie DNS dla usługi Azure VMware Solution do lokalnego Active Directory systemu Windows Server. Skonfiguruj serwer przekazujący DNS w portalu Azure. Aby uzyskać więcej informacji, zobacz Konfigurowanie usługi przesyłania dalej DNS dla rozwiązania Azure VMware Solution.

Eksportowanie certyfikatu na potrzeby uwierzytelniania LDAPS (opcjonalnie)

Najpierw sprawdź, czy certyfikat używany do obsługi protokołu LDAPS jest prawidłowy. Jeśli nie masz certyfikatu, przed kontynuowaniem wykonaj kroki tworzenia certyfikatu dla protokołu LDAPS .

Aby sprawdzić, czy certyfikat jest prawidłowy:

1. Zaloguj się do kontrolera domeny, na którym usługa LDAPS jest aktywna przy użyciu uprawnień administratora.

2. Otwórz narzędzie Uruchom, wprowadź mmc, a następnie wybierz przycisk OK.

3. Wybierz Plik>Dodaj/Usuń przystawkę.

4. Na liście przystawek wybierz pozycję Certyfikaty, a następnie wybierz pozycję Dodaj.

5. W panelu przystawki Certyfikaty wybierz Konto komputera, a następnie kliknij Dalej.

6. Pozostaw zaznaczoną opcję Komputer lokalny, wybierz Zakończ, a następnie wybierz OK.

7. W konsoli zarządzania Certyfikaty (komputer lokalny) rozwiń folder Osobisty i wybierz folder Certyfikaty, aby wyświetlić zainstalowane certyfikaty.

   

8. Kliknij dwukrotnie certyfikat LDAPS. Upewnij się, że data certyfikatu Ważna od i Ważna do jest aktualna oraz że certyfikat ma klucz prywatny odpowiadający mu.

   

9. W tym samym oknie dialogowym wybierz kartę Ścieżka certyfikacji i sprawdź, czy wartość ścieżki certyfikacji jest prawidłowa. Powinno zawierać łańcuch certyfikatów nadrzędnego urzędu certyfikacji (CA) oraz opcjonalne certyfikaty pośrednie. Sprawdź, czy stan certyfikatu ma wartość OK.

   

10. Wybierz przycisk OK.

Aby wyeksportować certyfikat:

1. W konsoli Certyfikaty kliknij prawym przyciskiem myszy certyfikat LDAPS i wybierz pozycję Wszystkie zadania>Eksportuj. Kreator eksportu certyfikatów jest otwarty. Wybierz Dalej.
2. W sekcji Eksportuj klucz prywatny wybierz pozycję Nie, nie eksportuj klucza prywatnego, a następnie wybierz przycisk Dalej.
3. W sekcji Format pliku do eksportu wybierz opcję X.509 zakodowany w Base-64 (.CER), a następnie wybierz przycisk Dalej.
4. W sekcji Plik do eksportu wybierz pozycję Przeglądaj. Wybierz lokalizację folderu, aby wyeksportować certyfikat, a następnie wprowadź nazwę. Następnie wybierz opcję Zapisz.

Prześlij certyfikat LDAPS do magazynu obiektów blob i wygeneruj adres URL SAS (Opcjonalnie)

Następnie prześlij wyeksportowany plik certyfikatu (w formacie .cer) do konta Azure Storage jako magazyn obiektów blob. Następnie, przyznaj dostęp do zasobów Azure Storage za pomocą SAS.

Jeśli potrzebujesz wielu certyfikatów, prześlij każdy z osobna i wygeneruj URL SAS dla każdego certyfikatu.

Konfigurowanie serwera NSX-T DNS dla rozpoznawania domeny usługi Active Directory systemu Windows Server

Utwórz strefę DNS i dodaj ją do usługi DNS. Wykonaj kroki opisane w temacie Konfigurowanie usługi przesyłania dalej DNS w witrynie Azure Portal.

Po wykonaniu tych kroków sprawdź, czy usługa DNS zawiera strefę DNS.

Chmura prywatna rozwiązania Azure VMware Solution powinna teraz prawidłowo rozpoznać lokalną nazwę domeny usługi Active Directory systemu Windows Server.

Dodawanie usługi Active Directory systemu Windows Server przy użyciu protokołu LDAP za pośrednictwem protokołu SSL

Aby dodać usługę Active Directory systemu Windows Server za pośrednictwem protokołu LDAP z protokołem SSL jako zewnętrznym źródłem tożsamości do użycia z logowaniem jednokrotnym do programu vCenter Server, uruchom polecenie cmdlet New-LDAPSIdentitySource.

1. Przejdź do chmury prywatnej usługi Azure VMware Solution i wybierz Uruchom polecenie>Pakiety>Microsoft.AVS.Identity>New-LDAPSIdentitySource.

2. Podaj wymagane wartości lub zmodyfikuj wartości domyślne, a następnie wybierz pozycję Uruchom.

   Nazwa/nazwisko	Opis
   Nazwa grupy	Grupa w źródle tożsamości zewnętrznej, która udziela dostępu CloudAdmin. Na przykład avs-admins.
   SSLCertificatesSasUrl	Ścieżka do ciągów SAS zawierających certyfikaty do uwierzytelniania w źródle Active Directory systemu Windows Server. Oddzielaj wiele certyfikatów przecinkami. Na przykład pathtocert1,pathtocert2.
   Poświadczenie	Nazwa użytkownika domeny i hasło do uwierzytelniania za pomocą źródła usługi Active Directory systemu Windows Server (a nie CloudAdmin). Użyj formatu <username@avslab.local>.
   BaseDNGroups	Lokalizacja do wyszukiwania grup. Na przykład CN=group1, DC=avsldap,DC=local. DN podstawowy jest wymagany do uwierzytelniania LDAP.
   BaseDNUsers	Lokalizacja do wyszukiwania prawidłowych użytkowników. Na przykład CN=users,DC=avsldap,DC=local. DN podstawowy jest wymagany do uwierzytelniania LDAP.
   PrimaryUrl	Podstawowy adres URL zewnętrznego źródła tożsamości. Na przykład ldaps://yourserver.avslab.local:636.
   SecondaryURL	Pomocniczy adres URL rezerwowy, jeśli podstawowy zakończy się niepowodzeniem. Na przykład ldaps://yourbackupldapserver.avslab.local:636.
   DomainAlias	Dla źródeł tożsamości Windows Server Active Directory, nazwa NetBIOS domeny. Dodaj nazwę NetBIOS domeny usługi Active Directory systemu Windows Server jako alias dla źródła tożsamości, zazwyczaj w formacie avsldap\.
   Nazwa domeny	W pełni kwalifikowana nazwa domeny (FQDN). Na przykład avslab.local.
   Nazwa/nazwisko	Nazwa zewnętrznego źródła tożsamości. Na przykład avslab.local.
   Zachowaj do	Okres przechowywania danych wyjściowych polecenia cmdlet. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład addExternalIdentity.
   Przekroczenie limitu czasu	Okres, po którym polecenie cmdlet kończy działanie, jeśli nie zostało zakończone.

3. Aby monitorować postęp i potwierdzić pomyślne zakończenie, sprawdź Powiadomienia lub okienko Stan Wykonania Przebiegu.

Dodawanie usługi Active Directory systemu Windows Server przy użyciu protokołu LDAP

Aby dodać usługę Active Directory systemu Windows Server za pośrednictwem protokołu LDAP jako zewnętrzne źródło tożsamości do użycia z logowaniem jednokrotnym do programu vCenter Server, uruchom polecenie cmdlet New-LDAPIdentitySource.

1. Wybierz polecenie UruchompakietówMicrosoft.AVS.IdentityNew-LDAPIdentitySource.

2. Podaj wymagane wartości lub zmodyfikuj wartości domyślne, a następnie wybierz pozycję Uruchom.

   Nazwa/nazwisko	Opis
   Nazwa/nazwisko	Nazwa zewnętrznego źródła tożsamości. Na przykład avslab.local. Ta nazwa jest wyświetlana w programie vCenter Server.
   Nazwa domeny	Pełna nazwa domeny (FQDN). Na przykład avslab.local.
   DomainAlias	Dla źródeł tożsamości Windows Server Active Directory, nazwa NetBIOS domeny. Dodaj nazwę NetBIOS domeny Active Directory systemu Windows Server jako alias źródła identyfikacji, zazwyczaj w formacie *avsldap*.
   PrimaryUrl	Podstawowy adres URL zewnętrznego źródła tożsamości. Na przykład ldap://yourserver.avslab.local:389.
   SecondaryURL	Sekundarny adres URL zapasowy na wypadek awarii głównego adresu.
   BaseDNUsers	Lokalizacja do wyszukiwania prawidłowych użytkowników. Na przykład CN=users,DC=avslab,DC=local. DN podstawowy jest wymagany do uwierzytelniania LDAP.
   BaseDNGroups	Lokalizacja do wyszukiwania grup. Na przykład CN=group1, DC=avslab, DC=local. DN podstawowy jest wymagany do uwierzytelniania LDAP.
   Poświadczenie	Nazwa użytkownika domeny i hasło do uwierzytelniania za pomocą źródła usługi Active Directory systemu Windows Server (a nie CloudAdmin). Użytkownik musi być w formacie <username@avslab.local>.
   Nazwa grupy	Grupa w zewnętrznym źródle tożsamości, która przyznaje dostęp do CloudAdmin. Na przykład avs-admins.
   Zachowaj do	Okres przechowywania danych wyjściowych polecenia cmdlet. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład addExternalIdentity.
   Przekroczenie limitu czasu	Okres, po którym polecenie cmdlet kończy działanie, jeśli nie zakończyło się jego wykonanie.

3. Aby monitorować postęp, sprawdź Powiadomienia lub okienko stanu wykonywania.

Dodawanie istniejącej grupy usługi Active Directory systemu Windows Server do grupy CloudAdmin

Użytkownicy w grupie CloudAdmin mają prawa użytkownika równe roli CloudAdmin (<cloudadmin@vsphere.local>), która jest zdefiniowana w programie vCenter Server SSO. Aby dodać istniejącą grupę usługi Active Directory systemu Windows Server do grupy CloudAdmin, uruchom polecenie cmdlet Add-GroupToCloudAdmins.

1. Wybierz Uruchom polecenie>pakiety>Microsoft.AVS.Identity>Add-GroupToCloudAdmins.

2. Wprowadź lub wybierz wymagane wartości, a następnie wybierz pozycję Uruchom.

   Nazwa/nazwisko	Opis
   Nazwa grupy	Nazwa grupy do dodania. Na przykład VcAdminGroup.
   Zachowaj do	Okres przechowywania danych wyjściowych cmdletu. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład addADgroup.
   Przekroczenie limitu czasu	Okres czasu, po którym polecenie cmdlet przestaje działać, jeśli jego działanie nie zostało zakończone.

3. Sprawdź Powiadomienia lub panel Status Wykonania, aby zobaczyć postęp.

Wyświetlanie listy zewnętrznych źródeł tożsamości

Aby wyświetlić listę wszystkich zewnętrznych źródeł tożsamości, które są już zintegrowane z logowaniem jednokrotnym programu vCenter Server, uruchom polecenie cmdlet Get-ExternalIdentitySources.

1. Zaloguj się w witrynie Azure Portal.

   Uwaga

   Jeśli potrzebujesz dostępu do portalu Platformy Azure dla instytucji rządowych USA, przejdź do witryny <https://portal.azure.us/>.

2. Wybierz Uruchom polecenie>Pakiety>Microsoft.AVS.Identity>Get-ExternalIdentitySources.

   

3. Wprowadź lub wybierz wymagane wartości, a następnie wybierz pozycję Uruchom.

   

   Nazwa/nazwisko	Opis
   Zachowaj do	Okres przechowywania danych wyjściowych polecenia cmdlet. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład getExternalIdentity.
   Przekroczenie limitu czasu	Okres, po którym polecenie cmdlet kończy działanie, jeśli nie zostało zakończone.

4. Aby wyświetlić postęp, sprawdź powiadomienia lub okienko Stan Wykonywania.

   

Przypisywanie większej liczby ról programu vCenter Server do tożsamości usługi Active Directory systemu Windows Server

Po dodaniu tożsamości zewnętrznej za pośrednictwem protokołu LDAP lub LDAPS można przypisać role programu vCenter Server do grup zabezpieczeń usługi Active Directory systemu Windows Server na podstawie mechanizmów kontroli zabezpieczeń organizacji.

1. Zaloguj się do programu vCenter Server jako CloudAdmin, wybierz element ze spisu, wybierz menu Akcje , a następnie wybierz pozycję Dodaj uprawnienie.

   

2. W oknie dialogowym Dodawanie uprawnień:

   1. Domena: Wybierz wcześniej dodaną instancję usługi Windows Server Active Directory.
   2. Użytkownik/grupa: wprowadź nazwę użytkownika lub grupy, wyszukaj ją, a następnie wybierz ją.
   3. Rola: wybierz rolę do przypisania.
   4. Przeniesienie do elementów podrzędnych: Opcjonalnie zaznacz pole wyboru, aby przenieść uprawnienia do zasobów podrzędnych.

   

3. Wybierz kartę Uprawnienia i sprawdź, czy przypisanie uprawnień zostało dodane.

   

Użytkownicy mogą teraz logować się do programu vCenter Server przy użyciu poświadczeń usługi Active Directory systemu Windows Server.

Usuwanie grupy usługi Active Directory systemu Windows Server z roli CloudAdmin

Aby usunąć określoną grupę usługi Active Directory systemu Windows Server z roli CloudAdmin, uruchom polecenie cmdlet Remove-GroupFromCloudAdmins.

1. Wybierz Polecenie uruchom>pakiety>Microsoft.AVS.Identity>Remove-GroupFromCloudAdmins.

2. Wprowadź lub wybierz wymagane wartości, a następnie wybierz pozycję Uruchom.

   Nazwa/nazwisko	Opis
   Nazwa grupy	Nazwa grupy do usunięcia. Na przykład VcAdminGroup.
   Zachowaj do	Okres przechowywania danych wyjściowych polecenia cmdlet. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład removeADgroup.
   Przekroczenie limitu czasu	Okres, po którym polecenie cmdlet kończy działanie, jeśli nie zostało ukończone.

3. Aby wyświetlić postęp, sprawdź powiadomienia lub okienko Stan wykonania procesu.

Usuwanie wszystkich istniejących źródeł tożsamości zewnętrznych

Aby usunąć wszystkie istniejące zewnętrzne źródła tożsamości jednocześnie, uruchom polecenie cmdlet Remove-ExternalIdentitySources.

1. Wybierz polecenie Uruchom>pakiety>Microsoft.AVS.Identity>Remove-ExternalIdentitySources.

2. Wprowadź lub wybierz wymagane wartości, a następnie wybierz pozycję Uruchom:

   Nazwa/nazwisko	Opis
   Zachowaj do	Okres przechowywania danych wyjściowych polecenia cmdlet. Wartość domyślna to 60 dni.
   Określ nazwę wykonania	Nazwa alfanumeryczna. Na przykład remove_ExternalIdentity.
   Przekroczenie limitu czasu	Czas, po jakim polecenie cmdlet kończy działanie, jeśli nie zostało jeszcze zakończone.

3. Aby wyświetlić postęp, sprawdź powiadomienia lub okienko Stan wykonywania przebiegu .

Zmień nazwę użytkownika lub hasło w istniejącym koncie źródła zewnętrznej tożsamości.

1. Obróć hasło konta, które jest używane do uwierzytelniania z źródłem Windows Server Active Directory w kontrolerze domeny.

2. Wybierz polecenie Uruchom>Pakiety>Microsoft.AVS.Identity>Update-IdentitySourceCredential.

3. Wprowadź lub wybierz wymagane wartości, a następnie wybierz pozycję Uruchom.

   Nazwa/nazwisko	Opis
   Poświadczenie	Nazwa użytkownika i hasło domeny używane do uwierzytelniania ze źródłem usługi Active Directory systemu Windows Server (a nie CloudAdmin). Użytkownik musi być w formacie <username@avslab.local>.
   Nazwa domeny	Nazwa FQDN domeny. Na przykład avslab.local.

4. Aby wyświetlić postęp, sprawdź Powiadomienia lub okienko Stan wykonania.

Odnowienie istniejących certyfikatów dla źródła tożsamości LDAPS

1. Odnów istniejące certyfikaty na kontrolerach domeny.

2. Opcjonalnie: jeśli certyfikaty są przechowywane na domyślnych kontrolerach domeny, ten krok jest opcjonalny. Pozostaw pusty parametr SSLCertificatesSasUrl, a nowe certyfikaty zostaną pobrane z domyślnych kontrolerów domeny i automatycznie zaktualizowane w programie vCenter. Jeśli zdecydujesz się nie używać domyślnego sposobu, wyeksportuj certyfikat do uwierzytelniania LDAPS i prześlij certyfikat LDAPS do magazynu blobów i wygeneruj adres URL SAS. Zapisz adres URL SAS do użycia w następnym kroku.

3. Wybierz polecenie uruchom>pakiety>Microsoft.AVS.Identity>Update-IdentitySourceCertificates.

4. Podaj wymagane wartości i nowy URL SAS (opcjonalnie), a następnie wybierz opcję Uruchom.

   Field	Wartość
   Nazwa domeny*	Nazwa FQDN domeny, na przykład avslab.local.
   SSLCertificatesSasUrl (opcjonalnie)	Rozdzielana przecinkami lista identyfikatorów URI ścieżek SAS do certyfikatów na potrzeby uwierzytelniania. Upewnij się, że uwzględniono uprawnienia do odczytu. Aby wygenerować sygnaturę dostępu współdzielonego, umieść certyfikaty w dowolnym kontenerze blob w koncie magazynowym, a następnie kliknij prawym przyciskiem myszy na certyfikacie i wygeneruj SAS. Jeśli wartość tego pola nie jest dostarczana przez użytkownika, certyfikaty zostaną pobrane z domyślnych kontrolerów domeny.

5. Sprawdź Powiadomienia lub panel Status Wykonania, aby zobaczyć postęp.

Powiązana zawartość

• Utwórz politykę przechowywania
• Architektura tożsamości usługi Azure VMware Solution
• Ustaw zewnętrzne źródło tożsamości dla NSX