הגדרת אימות באמצעות Active Directory

אתם יכולים להגדיר את vCenter ו-NSX ב-Google Cloud VMware Engine כך שישתמשו ב-Active Directory המקומי כמקור זהויות של LDAP או LDAPS לאימות משתמשים. בסיום ההגדרה, תוכלו לתת גישה ל-vCenter ול-NSX Manager ולהקצות את התפקידים הנדרשים לניהול הענן הפרטי.

זהירות: אי אפשר ואין צורך לצרף את vCenter של הענן הפרטי לדומיין של Active Directory. שרת ה-vCenter של הענן הפרטי תומך רק בסוג מקור הזהויות Active Directory over LDAP, שלא מחייב צירוף של ה-vCenter לדומיין של Active Directory. הימנעו מסוג מקור הזהויות Active Directory (אימות משולב של Windows).

לפני שמתחילים

השלבים במסמך הזה מבוססים על ההנחה שקודם ביצעתם את הפעולות הבאות:

• יצירת קישוריות מהרשת המקומית לענן הפרטי
• מפעילים את תרגום שם ה-DNS של Active Directory בארגון:
  • ברשתות מדור קודם של VMware Engine: כדי להפעיל את תרגום השם (name resolution) של ה-DNS ב-Active Directory המקומי, יוצרים כללי העברת DNS בענן הפרטי.
  • ברשתות VMware Engine רגילות: מפעילים את תרגום שם ה-DNS של Active Directory המקומי על ידי הגדרת קישורי DNS לרשת VMware Engine.

בטבלה הבאה מפורט המידע שצריך כשמגדירים את הדומיין של Active Directory המקומי כמקור זהויות של SSO ב-vCenter וב-NSX. לפני שמגדירים מקורות זהות ל-SSO, צריך לאסוף את הפרטים הבאים:

מידע	תיאור
‫DN בסיסי למשתמשים	השם הייחודי הבסיסי של המשתמשים.
שם דומיין	ה-FQDN של הדומיין, לדוגמה example.com. אל תזינו כתובת IP בשדה הזה.
כינוי דומיין	שם ה-NetBIOS של הדומיין. אם משתמשים באימות SSPI, צריך להוסיף את שם ה-NetBIOS של הדומיין ב-Active Directory בתור שם חלופי של מקור הזהויות.
‫DN בסיסי לקבוצות	השם הייחודי הבסיסי של הקבוצות.
כתובת ה-URL של השרת הראשי	שרת ה-LDAP של בקר הדומיין הראשי של הדומיין. בפורמט ldap://hostname:port או ldaps://hostname:port. היציאה היא בדרך כלל 389 לחיבורי LDAP ו-636 לחיבורי LDAPS. בפריסות של בקרי Active Directory עם כמה דומיינים, היציאה היא בדרך כלל 3268 ל-LDAP ו-3269 ל-LDAPS. כשמשתמשים ב-ldaps:// בכתובת ה-URL הראשית או המשנית של LDAP, צריך לספק אישור X.509 בקידוד Base64 בפורמט PEM או CER, שיוצר אמון בנתיב האישור המלא, כולל אישור רשות אישורי הבסיס (CA) וכל אישור CA של ביניים.
כתובת ה-URL של השרת המשני	הכתובת של שרת LDAP של בקר דומיין משני שמשמש ליתירות כשל.
יש לבחור אישור	כדי להשתמש ב-LDAPS עם שרת Active Directory LDAP או עם מקור זהויות של שרת OpenLDAP, לוחצים על הכפתור בחירת אישור שמופיע אחרי שמקלידים ldaps:// בשדה של כתובת ה-URL. לא חובה להזין כתובת URL של שרת משני. מעלים קובץ אישור X.509 בקידוד PEM או CER שכולל את אישור ה-CA הבסיסי וכל אישור CA ביניים בשרשרת האמון. בדרך כלל בקרי דומיינים לא שולחים את אישור ה-CA הבסיסי במהלך לחיצת היד בפרוטוקול TLS, ולכן העלאה של אישור הקצה של בקר הדומיין בלבד גורמת לכשל באימות ה-TLS ומחזירה שגיאת Can't contact LDAP server, גם אם קישוריות ה-TCP ביציאה 636 או 3269 מצליחה.
שם משתמש	המזהה של משתמש בדומיין שיש לו לפחות הרשאת קריאה בלבד ל-DN הבסיס של המשתמשים והקבוצות.
סיסמה	הסיסמה של המשתמש שצוין בשם משתמש.

הוספת מקור זהויות ב-vCenter

כך מוסיפים את Active Directory המקומי כשרת LDAP ב-vCenter:

1. נכנסים ל-vCenter של הענן הפרטי באמצעות חשבון משתמש של הפתרון.
2. לוחצים על דף הבית > ניהול.
3. בוחרים באפשרות Single Sign On > Configuration.
4. פותחים את הכרטיסייה Identity Sources ולוחצים על ‎+Add כדי להוסיף מקור זהויות חדש.
5. בוחרים באפשרות Active Directory כשרת LDAP ולוחצים על הבא.
6. מציינים את הפרמטרים של מקור הזהויות בסביבה שלכם. אם מזינים כתובת URL מסוג ldaps://, לוחצים על בחירת אישור ומעלים את קובץ האישור מסוג X.509 בקידוד Base64 שמכיל את אישור ה-CA ברמה הבסיסית וכל אישור CA ברמת ביניים, ואז לוחצים על הבא.
7. בודקים את ההגדרות ולוחצים על סיום.

הוספת מקור זהויות ב-NSX

השלבים הבאים מתארים איך להוסיף מקור זהויות ב-NSX Manager. אם רוצים להגדיר את זה באופן אוטומטי, אפשר להשתמש ב-NSX-T API.

1. נכנסים ל-NSX Manager בענן הפרטי.
2. עוברים אל System > Settings > Users and Roles > LDAP.
3. לוחצים על הוספת מקור זהויות.
4. בשדה שם, מזינים שם לתצוגה של מקור הזהויות.
5. מציינים את שם הדומיין ואת ה-DN הבסיסי של מקור הזהויות.
6. בעמודה סוג, בוחרים באפשרות Active Directory over LDAP.
7. בעמודה שרתי LDAP, לוחצים על הגדרה.
8. בחלון הגדרת שרת LDAP, לוחצים על הוספת שרת LDAP.
9. מציינים את הפרמטרים של שרת ה-LDAP. אם בחרתם בפרוטוקול LDAPS, בשדה Certificates צריך לספק את אישור X.509 בקידוד Base64 שמכיל את אישור ה-CA הבסיסי וכל אישור CA ביניים, ואז ללחוץ על Check status כדי לאמת את החיבור מ-NSX Manager לשרת ה-LDAP.
10. לוחצים על הוספה כדי להוסיף את שרת ה-LDAP.
11. לוחצים על אישור ואז על שמירה.

יציאות שנדרשות כדי להשתמש ב-Active Directory מקומי כמקור זהויות

היציאות שמפורטות בטבלה הבאה נדרשות כדי להגדיר את Active Directory המקומי כמקור זהויות ב-vCenter של הענן הפרטי.

יציאה	מקור	יעד	מטרה
‫53 (UDP)	שרתי DNS פרטיים בענן	שרתי DNS מקומיים	נדרש להעברת חיפוש DNS של שמות דומיינים של Active Directory מקומי משרת vCenter של ענן פרטי לשרת DNS מקומי.
‫389 (TCP/UDP)	רשת לניהול ענן פרטי	בקרי דומיין של Active Directory בארגון	נדרש לתקשורת LDAP משרת vCenter בענן פרטי לבקרי דומיין של Active Directory לצורך אימות משתמשים.
‫636 (TCP)	רשת לניהול ענן פרטי	בקרי דומיין של Active Directory בארגון	נדרש לתקשורת LDAP מאובטחת (LDAPS) משרת vCenter בענן פרטי לבקרי דומיין של Active Directory לצורך אימות משתמשים.
3268 (TCP)	רשת לניהול ענן פרטי	שרתי קטלוג גלובלי של Active Directory בארגון	נדרשת לתקשורת LDAP בפריסות של בקרים מרובי-דומיינים.
‫3269 (TCP)	רשת לניהול ענן פרטי	שרתי קטלוג גלובלי של Active Directory בארגון	נדרש לתקשורת LDAPS בפריסות של בקרים מרובי דומיינים.
8000 (TCP)	רשת לניהול ענן פרטי	רשת מקומית	נדרש ל-vMotion של מכונות וירטואליות מרשת הענן הפרטי לרשת המקומית.

המאמרים הבאים

למידע נוסף על מקורות זהויות של SSO, קראו את המאמרים הבאים של vSphere ו-NSX Data Center:

• הוספה או עריכה של מקור זהות לכניסה יחידה (SSO) ב-vCenter.
• מקור זהויות LDAP.