Mengonfigurasi autentikasi menggunakan Active Directory

Anda dapat mengonfigurasi vCenter dan NSX di Google Cloud VMware Engine untuk menggunakan Active Directory lokal Anda sebagai sumber identitas LDAP atau LDAPS untuk autentikasi pengguna. Setelah penyiapan selesai, Anda dapat memberikan akses ke vCenter dan NSX Manager serta menetapkan peran yang diperlukan untuk mengelola cloud pribadi Anda.

Sebelum memulai

Langkah-langkah dalam dokumen ini mengasumsikan bahwa Anda telah melakukan hal berikut:

Tabel berikut mencantumkan informasi yang Anda perlukan saat menyiapkan domain Active Directory lokal sebagai sumber identitas SSO di vCenter dan NSX. Kumpulkan informasi berikut sebelum menyiapkan sumber identitas SSO:

Informasi Deskripsi
DN dasar untuk pengguna Nama khusus dasar untuk pengguna.
Nama domain FQDN domain, misalnya, example.com. Jangan berikan alamat IP di kolom ini.
Alias domain Nama NetBIOS domain. Jika Anda menggunakan autentikasi SSPI, tambahkan nama NetBIOS domain Active Directory sebagai alias sumber identitas.
Base DN untuk grup Nama khusus dasar untuk grup.
URL server utama

Server LDAP pengontrol domain utama untuk domain.

Gunakan format ldap://hostname:port atau ldaps://hostname:port. Port biasanya adalah 389 untuk koneksi LDAP dan 636 untuk koneksi LDAPS. Untuk deployment pengontrol multi-domain Active Directory, port biasanya adalah 3268 untuk LDAP dan 3269 untuk LDAPS.

Saat menggunakan ldaps:// di URL LDAP utama atau sekunder, Anda harus memberikan sertifikat X.509 berenkode Base64 dalam format PEM atau CER yang menetapkan kepercayaan untuk jalur sertifikat lengkap, termasuk sertifikat root certificate authority (CA) dan sertifikat CA perantara.
URL server sekunder Alamat server LDAP pengontrol domain sekunder yang digunakan untuk failover.
Pilih sertifikat

Untuk menggunakan LDAPS dengan sumber identitas server LDAP Active Directory atau server OpenLDAP, klik tombol Pilih sertifikat yang muncul setelah Anda mengetik ldaps:// di kolom URL. URL server sekunder tidak diperlukan.

Upload file sertifikat X.509 berenkode PEM atau CER yang menyertakan sertifikat CA root dan sertifikat CA perantara dalam rantai kepercayaan. Karena pengontrol domain biasanya tidak mengirimkan sertifikat root CA selama TLS handshake, mengupload hanya sertifikat entitas akhir pengontrol domain akan menyebabkan validasi TLS gagal dan menampilkan error Can't contact LDAP server meskipun konektivitas TCP pada port 636 atau 3269 berhasil.
Nama pengguna ID pengguna di domain yang memiliki akses hanya baca minimum ke base DN untuk pengguna dan grup.
Sandi Sandi pengguna yang ditentukan oleh Username.

Menambahkan sumber identitas di vCenter

Langkah-langkah berikut menjelaskan cara menambahkan Active Directory lokal Anda sebagai server LDAP di vCenter:

  1. Login ke vCenter untuk cloud pribadi Anda menggunakan akun pengguna solusi.
  2. Pilih Beranda > Administrasi.
  3. Pilih Single Sign On > Configuration.
  4. Buka tab Identity Sources, lalu klik +Add untuk menambahkan sumber identitas baru.
  5. Pilih Active Directory as an LDAP Server, lalu klik Next.
  6. Tentukan parameter sumber identitas untuk lingkungan Anda. Jika Anda memasukkan URL ldaps://, klik Pilih sertifikat dan upload file sertifikat X.509 berenkode Base64 yang berisi sertifikat CA root dan sertifikat CA perantara, lalu klik Berikutnya.
  7. Tinjau setelan, lalu klik Finish.

Menambahkan sumber identitas di NSX

Langkah-langkah ini menjelaskan cara menambahkan sumber identitas di NSX Manager. Jika ingin mengotomatiskan konfigurasi ini, Anda dapat menggunakan NSX-T API.

  1. Login ke NSX Manager di cloud pribadi Anda.
  2. Buka System > Settings > Users and Roles > LDAP.
  3. Klik Add identity source.
  4. Di kolom Name, masukkan nama tampilan untuk sumber identitas.
  5. Tentukan Nama Domain dan DN Dasar sumber identitas Anda.
  6. Di kolom Type, pilih Active Directory over LDAP.
  7. Di kolom LDAP Servers, klik Set .
  8. Di jendela Set LDAP Server, klik Add LDAP Server.
  9. Tentukan parameter server LDAP. Jika Anda memilih LDAPS sebagai protokol, berikan sertifikat X.509 berenkode Base64 yang berisi sertifikat root CA dan sertifikat CA perantara di kolom Certificates, lalu klik Check status untuk memverifikasi koneksi dari NSX Manager ke server LDAP Anda.
  10. Klik Add untuk menambahkan server LDAP.
  11. Klik Terapkan, lalu klik Simpan.

Port yang diperlukan untuk menggunakan Active Directory lokal sebagai sumber identitas

Port yang tercantum dalam tabel berikut diperlukan untuk mengonfigurasi Active Directory lokal Anda sebagai sumber identitas di vCenter cloud pribadi.

Port Sumber Tujuan Tujuan
53 (UDP) Server DNS cloud pribadi Server DNS lokal Diperlukan untuk meneruskan pencarian DNS nama domain Active Directory lokal dari server vCenter cloud pribadi ke server DNS lokal.
389 (TCP/UDP) Jaringan pengelolaan cloud pribadi Pengontrol domain Active Directory lokal Diperlukan untuk komunikasi LDAP dari server vCenter cloud pribadi ke pengontrol domain Active Directory untuk autentikasi pengguna.
636 (TCP) Jaringan pengelolaan cloud pribadi Pengontrol domain Active Directory lokal Diperlukan untuk komunikasi LDAP aman (LDAPS) dari server vCenter cloud pribadi ke pengontrol domain Active Directory untuk autentikasi pengguna.
3268 (TCP) Jaringan pengelolaan cloud pribadi Server katalog global Active Directory lokal Diperlukan untuk komunikasi LDAP dalam deployment pengontrol multi-domain.
3269 (TCP) Jaringan pengelolaan cloud pribadi Server katalog global Active Directory lokal Diperlukan untuk komunikasi LDAPS dalam deployment pengontrol multi-domain.
8000 (TCP) Jaringan pengelolaan cloud pribadi Jaringan lokal Diperlukan untuk vMotion virtual machine dari jaringan cloud pribadi ke jaringan lokal.

Langkah berikutnya

Untuk mengetahui informasi selengkapnya tentang sumber identitas SSO, lihat dokumentasi vSphere dan NSX Data Center berikut: