Authentifizierung mit Active Directory konfigurieren

Sie können vCenter und NSX in Google Cloud VMware Engine so konfigurieren, dass Ihr lokales Active Directory als LDAP- oder LDAPS-Identitätsquelle für die Nutzerauthentifizierung verwendet wird. Sobald die Einrichtung abgeschlossen ist, können Sie den Zugriff auf vCenter und NSX Manager bereitstellen und die erforderlichen Rollen zum Verwalten Ihrer privaten Cloud zuweisen.

Hinweis

Bei den Schritten in diesem Dokument wird davon ausgegangen, dass Sie zuerst Folgendes tun:

Die folgende Tabelle enthält die Informationen, die Sie benötigen, wenn Sie Ihre lokale Active Directory-Domain als SSO-Identitätsquelle in vCenter und NSX einrichten. Legen Sie die folgenden Informationen fest, bevor Sie SSO-Identitätsquellen einrichten:

Daten Beschreibung
Basis-DN für Nutzer Der Base Distinguished Name für Nutzer.
Domainname Die FQDN der Domain, z. B. example.com. Geben Sie in diesem Feld keine IP-Adresse an.
Domain-Alias Der NetBIOS-Domainname. Wenn Sie die SSPI-Authentifizierung verwenden, fügen Sie den NetBIOS-Namen der Active Directory-Domain als Alias der Identitätsquelle hinzu.
Basis-DN für Gruppen Der Base Distinguished Name für Gruppen.
URL des primären Servers

Der LDAP-Server des primären Domain-Controllers für die Domain.

Verwenden Sie das Format ldap://hostname:port oder ldaps://hostname:port. Normalerweise lautet der Port für LDAP-Verbindungen 389 und für LDAPS-Verbindungen 636. Bei Active Directory-Bereitstellungen mit Controllern mit mehreren Domains ist der Port in der Regel 3268 für LDAP und 3269 für LDAPS.

Wenn Sie ldaps:// in der primären oder sekundären LDAP-URL verwenden, müssen Sie ein Base64-codiertes X.509-Zertifikat im PEM- oder CER-Format angeben, das Vertrauen für den vollständigen Zertifikatspfad herstellt, einschließlich des Zertifikats der Root-Zertifizierungsstelle und aller Zertifikate von Zwischenzertifizierungsstellen.
URL des sekundären Servers Die Adresse eines LDAP-Servers des sekundären Domain-Controllers, der für das Failover verwendet wird.
Zertifikat auswählen

Wenn Sie LDAPS mit Ihrem Active Directory-LDAP-Server oder der OpenLDAP-Server-Identitätsquelle verwenden möchten, klicken Sie auf den Button Zertifikat auswählen, der nach der Eingabe von ldaps:// in das URL-Feld angezeigt wird. Eine sekundäre Server-URL ist nicht erforderlich.

Laden Sie eine PEM- oder CER-codierte X.509-Zertifikatsdatei hoch, die das Stamm-CA-Zertifikat und alle Zwischen-CA-Zertifikate in der Vertrauenskette enthält. Da Domaincontroller das Root-CA-Zertifikat während des TLS-Handshakes in der Regel nicht senden, führt das Hochladen nur des untergeordneten Zertifikats des Domaincontrollers dazu, dass die TLS-Validierung fehlschlägt und ein Can't contact LDAP server-Fehler zurückgegeben wird, selbst wenn die TCP-Verbindung über Port 636 oder 3269 erfolgreich ist.
Nutzername Die ID eines Nutzers in der Domain, der mindestens Lesezugriff auf den Basis-DN für Nutzer und Gruppen hat.
Passwort Das Passwort des durch den Nutzernamen bestimmten Nutzers.

Identitätsquelle in vCenter hinzufügen

In den folgenden Schritten wird beschrieben, wie Sie Ihr lokales Active Directory als LDAP-Server in vCenter hinzufügen:

  1. Melden Sie sich mit einem Lösungsnutzerkonto im vCenter für Ihre private Cloud an.
  2. Wählen Sie Startseite > Verwaltung.
  3. Wählen Sie Einmalanmeldung (SSO) > Konfiguration.
  4. Öffnen Sie den Tab Identitätsquellen und klicken Sie auf +Hinzufügen, um eine neue Identitätsquelle hinzuzufügen.
  5. Wählen Sie Active Directory als LDAP-Server aus und klicken Sie auf Weiter.
  6. Geben Sie die Parameter der Identitätsquelle für Ihre Umgebung an. Wenn Sie eine ldaps://-URL eingeben, klicken Sie auf Zertifikat auswählen und laden Sie die Base64-codierte X.509-Zertifikatsdatei hoch, die Ihr Stamm-CA-Zertifikat und alle Zwischen-CA-Zertifikate enthält. Klicken Sie dann auf Weiter.
  7. Prüfen Sie die Einstellungen und klicken Sie auf Fertigstellen.

Identitätsquelle auf NSX hinzufügen

In den folgenden Schritten wird beschrieben, wie Sie eine Identitätsquelle in NSX Manager hinzufügen. Wenn Sie diese Konfiguration automatisieren möchten, können Sie die NSX-T API verwenden.

  1. Melden Sie sich in Ihrer privaten Cloud bei NSX Manager an.
  2. Gehen Sie zu System > Einstellungen > Nutzer und Rollen > LDAP.
  3. Klicken Sie auf Identitätsquelle hinzufügen.
  4. Geben Sie im Feld Name einen Anzeigenamen für die Identitätsquelle ein.
  5. Geben Sie den Domainnamen und die Base DN Ihrer Identitätsquelle an.
  6. Wählen Sie in der Spalte Typ die Option Active Directory über LDAP aus.
  7. Klicken Sie in der Spalte LDAP-Server auf Festlegen.
  8. Klicken Sie im Fenster LDAP-Server festlegen auf LDAP-Server hinzufügen.
  9. Geben Sie die LDAP-Serverparameter an. Wenn Sie LDAPS als Protokoll auswählen, geben Sie im Feld Zertifikate das Base64-codierte X.509-Zertifikat an, das Ihr Stamm-CA-Zertifikat und alle Zwischen-CA-Zertifikate enthält. Klicken Sie dann auf Status prüfen, um die Verbindung vom NSX Manager zu Ihrem LDAP-Server zu prüfen.
  10. Klicken Sie auf Hinzufügen, um den LDAP-Server hinzuzufügen.
  11. Klicken Sie auf Anwenden und anschließend auf Speichern.

Ports, die für die Verwendung des lokalen Active Directory als Identitätsquelle erforderlich sind

Die in der folgenden Tabelle aufgeführten Ports sind erforderlich, um Ihr lokales Active Directory als Identitätsquelle im vCenter ihrer privaten Cloud zu konfigurieren.

Port Quelle Ziel Zweck
53 (UDP) Private Cloud-DNS-Server Lokale DNS-Server Erforderlich für die Weiterleitung des DNS-Lookup von lokalen Active Directory-Domainnamen von einem privaten Cloud vCenter-Server an einen lokalen DNS-Server.
389 (TCP/UDP) Privates Cloud-Verwaltungsnetzwerk Lokale Active Directory-Domaincontroller Für die LDAP-Kommunikation von einem privaten Cloud vCenter-Server mit Active Directory-Domaincontrollern zur Nutzerauthentifizierung erforderlich.
636 (TCP) Privates Cloud-Verwaltungsnetzwerk Lokale Active Directory-Domaincontroller Für die sichere LDAP-Kommunikation (LDAPS) zwischen einem privaten Cloud vCenter-Server und den Active Directory-Domaincontrollern zur Nutzerauthentifizierung erforderlich.
3268 (TCP) Privates Cloud-Verwaltungsnetzwerk Lokale globale Active Directory-Katalogserver Erforderlich für die LDAP-Kommunikation in Controllern mit mehreren Domains.
3269 (TCP) Privates Cloud-Verwaltungsnetzwerk Lokale globale Active Directory-Katalogserver Erforderlich für die LDAPS-Kommunikation in Controllern mit mehreren Domains.
8000 (TCP) Privates Cloud-Verwaltungsnetzwerk Lokales Netzwerk Erforderlich für vMotion von virtuellen Maschinen vom privaten Cloud-Netzwerk zu einem lokalen Netzwerk.

Nächste Schritte

Weitere Informationen zu SSO-Identitätsquellen finden Sie in der folgenden Dokumentation zu vSphere und NSX-Rechenzentrum: