Configurer l'authentification avec Active Directory

Vous pouvez configurer vCenter et NSX dans Google Cloud VMware Engine pour utiliser votre Active Directory sur site en tant que source d'identité LDAP ou LDAPS pour l'authentification des utilisateurs. Une fois la configuration terminée, vous pouvez fournir un accès à vCenter et NSX Manager, et attribuer les rôles requis pour gérer votre cloud privé.

Attention : L'association de votre cloud privé vCenter à un domaine Active Directory n'est ni disponible, ni utile. Votre serveur vCenter de cloud privé n'accepte que le type de source d'identité Active Directory sur LDAP, qui ne nécessite pas d'associer votre vCenter à un domaine Active Directory. Évitez d'utiliser le type de source d'identité Active Directory (authentification intégrée Windows).

Avant de commencer

Pour suivre la procédure décrite dans ce document, vous devez d'abord effectuer les opérations suivantes :

• Établissez la connectivité entre votre réseau sur site et votre cloud privé
• Activez la résolution de nom DNS de votre Active Directory sur site :
  • Pour les anciens réseaux VMware Engine : activez la résolution de noms DNS de votre Active Directory sur site en créant des règles de transfert DNS dans votre cloud privé.
  • Pour les réseaux VMware Engine standards : activez la résolution de noms DNS de votre Active Directory sur site en configurant des liaisons DNS vers votre réseau VMware Engine.

Le tableau suivant répertorie les informations dont vous avez besoin pour configurer votre domaine Active Directory sur site en tant que source d'identité SSO sur vCenter et NSX. Rassemblez les informations suivantes avant de configurer des sources d'identité SSO :

Informations	Description
Base DN (nom de domaine de base) pour les utilisateurs	Nom distinctif de base pour les utilisateurs.
Nom de domaine	Nom de domaine complet du domaine (par exemple, example.com). N'indiquez pas d'adresse IP dans ce champ.
Alias de domaine	Nom du domaine NetBIOS. Si vous utilisez l'authentification SSPI, ajoutez le nom NetBIOS du domaine Active Directory en tant qu'alias de la source d'identité.
Base DN (nom de domaine de base) pour les groupes	Nom distinctif de base des groupes.
URL du serveur principal	Serveur LDAP du contrôleur de domaine principal pour le domaine. Utilisez le format ldap://hostname:port ou ldaps://hostname:port. Le port utilisé est généralement le port 389 pour les connexions LDAP et 636 pour les connexions LDAPS. Pour les déploiements du contrôleur multidomaine Active Directory, le port est généralement 3268 pour LDAP et 3269 pour LDAPS. Lorsque vous utilisez ldaps:// dans l'URL LDAP principale ou secondaire, vous devez fournir un certificat X.509 encodé en base64 au format PEM ou CER qui établit la confiance pour le chemin d'accès complet du certificat, y compris le certificat de l'autorité de certification racine et tous les certificats d'autorité de certification intermédiaires.
URL du serveur secondaire	Adresse d'un serveur LDAP de contrôleur de domaine secondaire utilisé pour le basculement.
Choisissez un certificat	Pour utiliser LDAPS avec votre serveur LDAP Active Directory ou votre source d'identité de serveur OpenLDAP, cliquez sur le bouton Sélectionner un certificat qui s'affiche après avoir saisi ldaps:// dans le champ "URL". L'URL d'un serveur secondaire n'est pas obligatoire. Importez un fichier de certificat X.509 encodé au format PEM ou CER qui inclut le certificat CA racine et tous les certificats CA intermédiaires de la chaîne de confiance. Étant donné que les contrôleurs de domaine n'envoient généralement pas le certificat CA racine lors du handshake TLS, l'importation du certificat d'entité finale du contrôleur de domaine entraîne l'échec de la validation TLS et renvoie une erreur Can't contact LDAP server, même lorsque la connectivité TCP sur le port 636 ou 3269 réussit.
Nom d'utilisateur	ID d'un utilisateur du domaine disposant au moins d'un accès en lecture seule à la base DN (nom de domaine de base) pour les utilisateurs et les groupes.
Mot de passe	Mot de passe de l'utilisateur spécifié par le champ Nom d'utilisateur.

Ajouter une source d'identité sur vCenter

Les étapes suivantes expliquent comment ajouter votre annuaire Active Directory sur site en tant que serveur LDAP sur vCenter :

1. Connectez-vous au vCenter de votre cloud privé à l'aide d'un compte utilisateur de solution.
2. Sélectionnez Accueil > Administration.
3. Sélectionnez Authentification unique > Configuration.
4. Ouvrez l'onglet Sources d'identité, puis cliquez sur +Ajouter pour ajouter une source d'identité.
5. Sélectionnez Active Directory en tant que serveur LDAP, puis cliquez sur Suivant.
6. Spécifiez les paramètres de la source d'identité pour votre environnement. Si vous saisissez une URL ldaps://, cliquez sur Choisir un certificat et importez le fichier de certificat X.509 encodé en Base64 qui contient votre certificat CA racine et tous les certificats CA intermédiaires, puis cliquez sur Suivant.
7. Vérifiez les paramètres, puis cliquez sur Terminer.

Ajouter une source d'identité sur NSX

Ces étapes décrivent comment ajouter une source d'identité dans NSX Manager. Si vous souhaitez automatiser cette configuration, vous pouvez utiliser l'API NSX-T.

1. Connectez-vous à NSX Manager dans votre cloud privé.
2. Accédez à System > Settings > Users and Roles > LDAP (Système > Paramètres > Utilisateurs et rôles > LDAP).
3. Cliquez sur Add identity source (Ajouter une source d'identité).
4. Dans le champ Name (Nom), saisissez un nom à afficher pour la source d'identité.
5. Indiquez le nom de domaine et le nom de domaine de base de votre source d'identité.
6. Dans la colonne Type, sélectionnez Active Directory over LDAP (Active Directory sur LDAP).
7. Dans la colonne Serveurs LDAP, cliquez sur Définir.
8. Dans la fenêtre Définir le serveur LDAP, cliquez sur Ajouter un serveur LDAP.
9. Spécifiez les paramètres du serveur LDAP. Si vous sélectionnez LDAPS comme protocole, fournissez le certificat X.509 encodé en Base64 qui contient votre certificat CA racine et tous les certificats CA intermédiaires dans le champ Certificats, puis cliquez sur Vérifier l'état pour vérifier la connexion du gestionnaire NSX à votre serveur LDAP.
10. Cliquez sur Add (Ajouter) pour ajouter le serveur LDAP.
11. Cliquez sur Apply (Appliquer), puis sur Save (Enregistrer).

Ports requis pour l'utilisation d'Active Directory sur site comme source d'identité

Les ports répertoriés dans le tableau suivant sont requis pour configurer votre annuaire Active Directory sur site en tant que source d'identité sur le cloud privé vCenter.

Port	Source	Destination	Usage
53 (UDP)	Serveurs DNS de cloud privé	Serveurs DNS sur site	Requis pour la redirection de la résolution DNS des noms de domaine Active Directory sur site vers un serveur DNS sur site depuis un serveur vCenter du cloud privé.
389 (TCP/UDP)	Réseau de gestion du cloud privé	Contrôleurs de domaine Active Directory sur site	Requis pour la communication LDAP entre un serveur vCenter du cloud privé et les contrôleurs de domaine Active Directory pour l'authentification des utilisateurs.
636 (TCP)	Réseau de gestion du cloud privé	Contrôleurs de domaine Active Directory sur site	Requis pour la communication LDAP sécurisée (LDAPS) entre un serveur vCenter du cloud privé et les contrôleurs de domaine Active Directory pour l'authentification des utilisateurs.
3268 (TCP)	Réseau de gestion du cloud privé	Serveurs de catalogues globaux Active Directory sur site	Requis pour la communication LDAP dans les déploiements de contrôleurs multidomaine.
3269 (TCP)	Réseau de gestion du cloud privé	Serveurs de catalogues globaux Active Directory sur site	Requis pour la communication LDAPS dans les déploiements de contrôleurs multidomaine.
8000 (TCP)	Réseau de gestion du cloud privé	Réseau sur site	Requis pour la migration vMotion de machines virtuelles du réseau cloud privé vers le réseau sur site.

Étapes suivantes

Pour en savoir plus sur les sources d'identité SSO, consultez la documentation vSphere et NSX Data Center suivante :

• Ajoutez ou modifiez une source d'identité d'authentification unique vCenter.
• Source d'identité LDAP.