使用 Active Directory 配置身份验证

您可以将 Google Cloud VMware Engine 中的 vCenter 和 NSX 配置为使用本地 Active Directory 作为 LDAP 或 LDAPS 身份源进行用户身份验证。设置完成后，您可以提供对 vCenter 和 NSX Manager 的访问权限，并分配管理私有云所需的角色。

注意：我们不支持将私有云 vCenter 加入 Active Directory 网域，并且不需要。您的私有云 Cloud vCenter 服务器仅支持 Active Directory over LDAP 身份源类型，该类型不需要将 vCenter 加入 Active Directory 网域。避免使用 Active Directory（Windows 集成身份验证）身份源类型。

准备工作

本文档中的步骤假定您首先执行以下操作：

• 建立从本地网络到私有云的连接
• 为本地 Active Directory 启用 DNS 域名解析：
  • 对于旧版 VMware Engine 网络：通过在私有云中创建 DNS 转发规则，为本地 Active Directory 启用 DNS 域名解析。
  • 对于标准 VMware Engine 网络：通过为 VMware Engine 网络配置 DNS 绑定，为本地 Active Directory 启用 DNS 名称解析。

下表列出了在 vCenter 和 NSX 上将本地 Active Directory 网域设置为 SSO 身份源时所需的信息。在设置 SSO 身份源之前，请先收集以下信息：

信息	说明
用户的基本 DN	用户的基本标识名。
域名	网域的 FQDN，例如 example.com。请勿在此字段中提供 IP 地址。
网域别名	网域 NetBIOS 名称。如果您使用 SSPI 身份验证，请将 Active Directory 网域的 NetBIOS 名称添加为身份源的别名。
群组的基本 DN	群组的基本标识名。
主服务器网址	网域的主域控制器 LDAP 服务器。 使用 ldap://hostname:port 或 ldaps://hostname:port 格式。对于 LDAP 连接，端口通常为 389；对于 LDAPS 连接，端口通常为 636。在 Active Directory 多网域控制器部署中：对于 LDAP，端口通常为 3268；对于 LDAPS，端口通常为 3269。 在主 LDAP 网址或辅助 LDAP 网址中使用 ldaps:// 时，您必须提供采用 PEM 或 CER 格式的 Base64 编码 X.509 证书，以便为完整证书路径（包括根证书授权机构 [CA] 证书和任何中间 CA 证书）建立信任。
辅助服务器网址	用于故障切换的辅助网域控制器 LDAP 服务器的地址。
选择证书	如需将 LDAPS 与 Active Directory LDAP 服务器或 OpenLDAP 服务器身份源搭配使用，请在“网址”字段中输入 ldaps:// 后，点击显示的选择证书按钮。备用服务器网址不是必需的。 上传 PEM 编码或 CER 编码的 X.509 证书文件，其中包含信任链中的根 CA 证书和所有中间 CA 证书。由于域控制器通常不会在 TLS 握手期间发送根 CA 证书，因此仅上传域控制器叶证书会导致 TLS 验证失败，并返回 Can't contact LDAP server 错误，即使端口 636 或 3269 上的 TCP 连接成功也是如此。
用户名	对用户和群组的基本 DN 至少拥有只读权限的网域用户的 ID。
密码	由用户名指定的用户密码。

在 vCenter 上添加身份源

以下步骤介绍了如何在 vCenter 上将本地 Active Directory 添加为 LDAP 服务器：

1. 使用解决方案用户账号登录私有云的 vCenter。
2. 选择首页 > 管理。
3. 选择单点登录 > 配置。
4. 打开身份源标签页，然后点击 +添加以添加新的身份源。
5. 选择 Active Directory 作为 LDAP 服务器，然后点击下一步。
6. 为您的环境指定身份源参数。如果您输入 ldaps:// 网址，请点击选择证书，上传包含根 CA 证书和任何中间 CA 证书的 Base64 编码 X.509 证书文件，然后点击下一步。
7. 检查设置，然后点击完成。

在 NSX 上添加身份源

以下步骤介绍了如何在 NSX Manager 中添加身份源。如果您想自动执行此配置，可以使用 NSX-T API。

1. 在您的私有云中登录 NSX Manager。
2. 转到系统 > 设置 > 用户和角色 > LDAP。
3. 点击添加身份源。
4. 在名称字段中，输入身份源的显示名称。
5. 指定身份源的域名和基本 DN。
6. 在类型列中，选择 Active Directory over LDAP。
7. 在 LDAP 服务器列中，点击设置。
8. 在设置 LDAP 服务器窗口中，点击添加 LDAP 服务器。
9. 指定 LDAP 服务器参数。如果您选择 LDAPS 作为协议，请在证书字段中提供包含根 CA 证书和任何中间 CA 证书的 Base64 编码 X.509 证书，然后点击检查状态以验证从 NSX Manager 到 LDAP 服务器的连接。
10. 点击添加以添加 LDAP 服务器。
11. 点击应用，然后点击保存。

将本地 Active Directory 用作身份源所需的端口

您需要使用下表中列出的端口将本地 Active Directory 配置为私有云 vCenter 上的身份源。

端口	来源	目的地	用途
53 (UDP)	私有云 DNS 服务器	本地 DNS 服务器	将本地 Active Directory 域名的 DNS 查找从私有云 vCenter 服务器转发到本地 DNS 服务器所需。
389 (TCP/UDP)	私有云管理网络	本地 Active Directory 网域控制器	从私有云 vCenter 服务器到 Active Directory 网域控制器的 LDAP 通信（用于用户身份验证）所需。
636 (TCP)	私有云管理网络	本地 Active Directory 网域控制器	从私有云 vCenter 服务器到 Active Directory 网域控制器的安全 LDAP (LDAPS) 通信（用于用户身份验证）所需。
3268 (TCP)	私有云管理网络	本地 Active Directory 全局目录服务器	多网域控制器部署中的 LDAP 通信所需。
3269 (TCP)	私有云管理网络	本地 Active Directory 全局目录服务器	多网域控制器部署中的 LDAPS 通信所需。
8000 (TCP)	私有云管理网络	本地网络	从私有云网络到本地网络的虚拟机 vMotion 所需。

后续步骤

如需详细了解 SSO 身份来源，请参阅以下 vSphere 和 NSX Data Center 文档：

• 添加或修改 vCenter 单点登录身份源。
• LDAP 身份源。