Настройка внешнего источника удостоверений для vCenter Server

В решении Azure VMware Solution сервер VMware vCenter Server имеет встроенную учетную запись локального пользователя с именем CloudAdmin, которому назначена роль CloudAdmin. Вы можете настроить пользователей и группы в Windows Server Active Directory с ролью CloudAdmin для частного облака. Как правило, роль CloudAdmin создает рабочие нагрузки в частном облаке и управляет ими. Но в Решение Azure VMware роль CloudAdmin имеет привилегии vCenter Server, отличные от других облачных решений VMware и локальных развертываний.

• В локальном развертывании vCenter Server и ESXi администратор имеет доступ к учетной записи vCenter Server [email protected] и корневой учетной записи ESXi. Администратору также может быть назначено больше пользователей и групп Windows Server Active Directory.

• В развертывании Azure VMware Solution администратор не имеет доступа к учетной записи администратора или к корневой учетной записи ESXi. Но администратор может назначить пользователям и группам Windows Server Active Directory роль CloudAdmin в vCenter Server. Роль CloudAdmin не имеет разрешений на добавление источника идентификации, такого как локальный сервер протокола легковесного доступа к каталогам (LDAP) или защищенный протокол LDAP (LDAPS), в сервер vCenter Server. Однако можно использовать команды выполнения для добавления источника идентификации и назначения роли CloudAdmin пользователям и группам.

Учетная запись пользователя в частном облаке не может получить доступ к определенным компонентам управления, которые корпорация Майкрософт поддерживает и управляет ими. Примерами являются кластеры, узлы, хранилища данных и распределенные виртуальные коммутаторы.

Вы можете настроить vCenter Server для использования внешней службы каталогов протокола LDAP для проверки подлинности пользователей. Пользователь может войти с помощью учетных данных учетной записи Windows Server Active Directory или учетных данных на стороннем сервере LDAP. Затем учетной записи может быть назначена роль в vCenter Server, как в локальной среде, чтобы предоставить ролевой доступ пользователям vCenter Server.

В этой статье вы узнаете, как:

Предварительные условия

• Убедитесь, что ваша сеть Windows Server Active Directory подключена к частному облаку Решения Azure VMware.

• Проверка подлинности Windows Server Active Directory с помощью LDAPS см. в статье "Настройка LDAPS" в решении Azure VMware.

• Настройте разрешение DNS для решения Azure VMware Solution на вашу локальную Windows Server Active Directory. Настройте сервер пересылки DNS на портале Azure. Подробнее см. в статье Настройка сервера пересылки DNS для Решения Azure VMware.

Экспорт сертификата для проверки подлинности LDAPS (необязательно)

Сначала убедитесь, что сертификат, используемый для LDAPS, является допустимым. Если у вас нет сертификата, выполните действия, чтобы создать сертификат для LDAPS , прежде чем продолжить.

Чтобы убедиться, что сертификат действителен, выполните следующие действия.

1. Войдите в контроллер домена, на котором активен LDAPS с помощью разрешений администратора.

2. Откройте средство запуска, введите mmc и нажмите кнопку "ОК".

3. Выберите Файл>Добавить/Удалить оснастку.

4. В списке оснасток выберите Сертификаты и выберите Добавить.

5. В оснастке "Сертификаты" выберите Учетная запись компьютера, и затем выберите "Далее".

6. Сохраните выбранный локальный компьютер , нажмите кнопку "Готово" и нажмите кнопку "ОК".

7. В консоль управления сертификатов (локальный компьютер) разверните личную папку и выберите папку "Сертификаты", чтобы просмотреть установленные сертификаты.

   

8. Дважды щелкните сертификат для LDAPS. Убедитесь, что дата начала действия и окончания действия сертификата актуальна, и сертификат содержит закрытый ключ, соответствующий сертификату.

   

9. В том же диалоговом окне выберите вкладку "Путь сертификации" и убедитесь, что значение пути сертификации допустимо. Он должен включать цепочку сертификатов корневого ЦС, а также, при необходимости, промежуточные сертификаты. Убедитесь, что состояние сертификата в порядке.

   

10. Нажмите ОК.

Чтобы экспортировать сертификат, выполните следующие действия.

1. В консоли сертификатов щелкните правой кнопкой мыши сертификат LDAPS и выберите "Все задачи">Экспорт. Откроется мастер экспорта сертификатов. Выберите Далее.
2. В разделе "Экспорт закрытого ключа" выберите "Нет", не экспортируйте закрытый ключ и нажмите кнопку "Далее".
3. В разделе "Формат файла экспорта" выберите base-64 закодированный X.509(. CER), а затем нажмите кнопку "Далее".
4. В разделе "Файл для экспорта" нажмите кнопку "Обзор". Выберите расположение папки для экспорта сертификата и введите имя. Затем выберите Сохранить.

Загрузите сертификат LDAPS в хранилище блобов и создайте URL SAS (необязательно)

Затем отправьте файл сертификата (в формате .cer), который вы экспортировали, в учетную запись службы хранения Azure в качестве BLOB-хранилища. Затем предоставьте доступ к ресурсам хранилища Azure с помощью SAS.

Если требуется несколько сертификатов, отправьте каждый из них по отдельности и создайте URL-адрес SAS для каждого сертификата.

Настройте DNS NSX-T для разрешения домена Windows Server Active Directory

Создайте зону DNS и добавьте ее в службу DNS. Выполните действия, описанные в разделе "Настройка DNS-пересылки" в портал Azure.

После выполнения этих действий убедитесь, что служба DNS включает зону DNS.

Теперь ваше облако Azure VMware Solution должно правильно разрешать локальное доменное имя Windows Server Active Directory.

Добавление Windows Server Active Directory с использованием LDAP через SSL

Чтобы добавить Windows Server Active Directory через LDAP с использованием SSL в качестве внешнего источника удостоверений для использования с функцией единого входа на сервер vCenter, выполните командлет New-LDAPSIdentitySource.

1. Перейдите в частное облако Azure VMware Solution и выберите Выполнить команду>Пакеты>New-LDAPSIdentitySource.

2. Укажите необходимые значения или измените значения по умолчанию, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   ИмяГруппы	Группа во внешнем источнике удостоверений, предоставляющая доступ к CloudAdmin. Например, avs-admins.
   SSLCertificatesSasUrl	Путь к строкам SAS, содержащим сертификаты для проверки подлинности в источнике Windows Server Active Directory. Разделите несколько сертификатов запятой. Например, pathtocert1,pathtocert2.
   Учетные данные	Имя пользователя домена и пароль для проверки подлинности с помощью источника Windows Server Active Directory (а не CloudAdmin). Используйте формат <[email protected]>.
   BaseDNGroups	Расположение для поиска групп. Например, CN=group1, DC=avsldap,DC=local. Базовый DN необходим для аутентификации LDAP.
   BaseDNUsers	Расположение для поиска допустимых пользователей. Например, CN=users,DC=avsldap,DC=local. Базовый DN необходим для аутентификации LDAP.
   PrimaryUrl	Основной URL-адрес источника внешнего удостоверения. Например, ldaps://yourserver.avslab.local:636.
   SecondaryURL	Вторичный резервный URL-адрес, если основной не работает. Например, ldaps://yourbackupldapserver.avslab.local:636.
   DomainAlias	Для источников идентификации Windows Server Active Directory используется NetBIOS имя домена. Добавьте имя NetBIOS домена Windows Server Active Directory в качестве псевдонима источника удостоверений, обычно в формате avsldap\.
   Имя домена	Полное доменное имя домена (FQDN). Например, avslab.local.
   Имя	Имя внешнего источника идентификации. Например, avslab.local.
   Хранить до	Период хранения выходных данных командлета. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, addExternalIdentity.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

3. Чтобы отслеживать ход выполнения и подтвердить успешное завершение, проверьте уведомления или панель статуса выполнения.

Добавление Windows Server Active Directory с использованием LDAP

Чтобы добавить Windows Server Active Directory через LDAP в качестве внешнего источника удостоверений для использования с единым входом на сервер vCenter, выполните командлет New-LDAPIdentitySource.

1. Выберите Запустить команду>Пакеты>New-LDAPIdentitySource.

2. Укажите необходимые значения или измените значения по умолчанию, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   Имя	Имя внешнего источника идентификации. Например, avslab.local. Это имя отображается на сервере vCenter Server.
   Имя домена	Полное доменное имя (FQDN). Например, avslab.local.
   DomainAlias	Для источников идентификации Windows Server Active Directory используется NetBIOS имя домена. Добавьте имя NetBIOS домена Windows Server Active Directory в качестве псевдонима источника удостоверений, как правило, в формате *avsldap*.
   PrimaryUrl	Основной URL-адрес источника внешнего удостоверения. Например, ldap://yourserver.avslab.local:389.
   SecondaryURL	Вторичный резервный URL-адрес, если произошел первичный сбой.
   BaseDNUsers	Расположение для поиска допустимых пользователей. Например, CN=users,DC=avslab,DC=local. Базовый DN необходим для аутентификации LDAP.
   BaseDNGroups	Расположение для поиска групп. Например, CN=group1, DC=avslab,DC=local. Базовый DN необходим для аутентификации LDAP.
   Учетные данные	Имя пользователя домена и пароль для проверки подлинности с помощью источника Windows Server Active Directory (а не CloudAdmin). Формат пользователя должен быть в <[email protected]>.
   ИмяГруппы	Группа в вашем внешнем источнике удостоверений, предоставляющая доступ к CloudAdmin. Например, avs-admins.
   Хранить до	Период хранения выходных данных командлета. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, addExternalIdentity.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

3. Чтобы отслеживать ход выполнения, проверьте уведомления или панель статуса выполнения.

Добавление существующей группы Windows Server Active Directory в группу CloudAdmin

Пользователи в группе CloudAdmin имеют пользовательские права, равные роли CloudAdmin (<[email protected]>), как это определено в системе единого входа vCenter Server. Чтобы добавить существующую группу Windows Server Active Directory в группу CloudAdmin, выполните командлет Add-GroupToCloudAdmins.

1. Выберите Выполнить команду>Пакеты>Add-GroupToCloudAdmins.

2. Введите или выберите необходимые значения, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   ИмяГруппы	Имя добавляемой группы. Например, VcAdminGroup.
   Хранить до	Срок хранения выходных данных командлета. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, addADgroup.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

3. Проверьте уведомления или панель состояния выполнения, чтобы увидеть ход выполнения.

Перечислить внешние источники удостоверений

Чтобы получить список всех источников внешних удостоверений, которые уже интегрированы с vCenter Server в SSO, выполните командлет Get-ExternalIdentitySources.

1. Войдите на портал Azure.

   Примечание.

   Если вам нужен доступ к порталу Azure для государственных организаций США, перейдите к разделу <https://portal.azure.us/>.

2. Выберите Выполнить команду>Пакеты>Get-ExternalIdentitySources.

   

3. Введите или выберите необходимые значения, а затем нажмите кнопку "Выполнить".

   

   Имя	Описание
   Хранить до	Период хранения вывода команды cmdlet. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, getExternalIdentity.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

4. Чтобы просмотреть ход работы, проверьте уведомления или панель состояния выполнения программы.

   

Назначьте больше ролей vCenter Server для удостоверений Windows Server Active Directory

После добавления внешней учетной записи через LDAP или LDAPS вы можете назначить роли vCenter Server группам безопасности Windows Server Active Directory в соответствии с мерами безопасности вашей организации.

1. Войдите в vCenter Server как CloudAdmin, выберите элемент из инвентаризации, выберите меню "Действия " и выберите пункт "Добавить разрешение".

   

2. В диалоговом окне добавления разрешений:

   1. Домен. Выберите ранее добавленный экземпляр Windows Server Active Directory.
   2. Пользователь или группа: введите имя пользователя или группы, найдите его, а затем выберите его.
   3. Роль. Выберите роль для назначения.
   4. Распространить на дочерние ресурсы: при необходимости установите флажок для распространения разрешений на дочерние ресурсы.

   

3. Перейдите на вкладку "Разрешения" и убедитесь, что назначение разрешений было добавлено.

   

Теперь пользователи могут войти в vCenter Server с помощью учетных данных Windows Server Active Directory.

Удаление группы Windows Server Active Directory из роли CloudAdmin

Чтобы удалить определенную группу Windows Server Active Directory из роли CloudAdmin, выполните командлет Remove-GroupFromCloudAdmins.

1. Выберите Выполнить команду>Пакеты>Remove-GroupFromCloudAdmins.

2. Введите или выберите необходимые значения, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   ИмяГруппы	Имя группы, удаляемой. Например, VcAdminGroup.
   Хранить до	Период хранения выходных данных командлета. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, removeADgroup.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

3. Чтобы просмотреть ход работы, проверьте уведомления или панель состояния выполнения программы.

Удалите все существующие внешние источники идентификации

Чтобы удалить все существующие источники внешних удостоверений одновременно, выполните командлет Remove-ExternalIdentitySources.

1. Выберите Выполнить команду>Пакеты>Remove-ExternalIdentitySources.

2. Введите или выберите необходимые значения, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   Хранить до	Период хранения выходных данных командлета. Значение по умолчанию — 60 суток.
   Укажите имя для выполнения	Буквенно-цифровое имя. Например, remove_ExternalIdentity.
   Время ожидания	Период, после которого командлет завершает выполнение, если выполнение не завершено.

3. Чтобы просмотреть ход работы, проверьте уведомления или панель состояния выполнения программы.

Обновление имени пользователя или пароля учетной записи в существующей внешней системе удостоверений

1. Смените пароль учетной записи, используемой для проверки подлинности с помощью источника Windows Server Active Directory в контроллере домена.

2. Выберите "Выполнить команду">"Пакеты">"Update-IdentitySourceCredential".

3. Введите или выберите необходимые значения, а затем нажмите кнопку "Выполнить".

   Имя	Описание
   Учетные данные	Имя пользователя домена и пароль, используемые для проверки подлинности с источником Windows Server Active Directory (а не CloudAdmin). Пользователь должен быть представлен в формате <[email protected]>.
   Имя домена	Полное доменное имя домена. Например, avslab.local.

4. Чтобы просмотреть ход работы, проверьте уведомления или панель состояния выполнения программы.

Продление существующих сертификатов для источника идентификации LDAPS

1. Обновите существующие сертификаты в контроллерах домена.

2. Необязательно. Если сертификаты хранятся в контроллерах домена по умолчанию, этот шаг является необязательным. Оставьте параметр SSLCertificatesSasUrl пустым, а новые сертификаты будут загружаться с контроллеров домена по умолчанию и обновляться в vCenter автоматически. Если вы решили не использовать стандартный способ, экспортируйте сертификат для проверки подлинности LDAPS и отправьте сертификат LDAPS в хранилище BLOB-объектов и создайте URL-адрес SAS. Сохраните URL-адрес SAS для следующего шага.

3. Выберите Выполнить команду>Пакеты>Update-IdentitySourceCertificates.

4. Укажите необходимые значения и новый URL-адрес SAS (необязательно), а затем нажмите кнопку "Выполнить".

   Поле	Ценность
   Имя домена*	Полное доменное имя домена, например avslab.local.
   SSLCertificatesSasUrl (необязательно)	Список URI пути SAS к сертификатам для проверки подлинности с разделителями-запятыми. Убедитесь, что доступ для чтения включен. Чтобы создать SAS, поместите сертификаты в объект BLOB любой учетной записи хранения, затем щелкните правой кнопкой мыши по сертификату и выберите создание SAS. Если значение этого поля не предоставляется пользователем, сертификаты будут скачаны с контроллеров домена по умолчанию.

5. Проверьте уведомления или панель состояния выполнения, чтобы увидеть ход выполнения.

Связанный контент

• Создание политики хранения
• Архитектура идентификации решения Azure VMware
• Настройка внешнего источника удостоверений для NSX