Configura l'autenticazione utilizzando Active Directory

Puoi configurare vCenter e NSX in Google Cloud VMware Engine in modo che utilizzino Active Directory on-premise come origine identità LDAP o LDAPS per l'autenticazione utente. Una volta completata la configurazione, puoi fornire l'accesso a vCenter e NSX Manager e assegnare i ruoli richiesti per la gestione del tuo cloud privato.

Attenzione: l'unione di vCenter del cloud privato a un dominio Active Directory non è supportata e non è necessaria. Il server vCenter del cloud privato supporta solo il tipo di origine identità Active Directory over LDAP, che non richiede l'unione di vCenter a un dominio Active Directory. Evita il tipo di origine identità Active Directory (autenticazione integrata di Windows).

Prima di iniziare

I passaggi descritti in questo documento presuppongono che tu abbia già eseguito quanto segue:

• Stabilisci la connettività dalla tua rete on-premise al tuo cloud privato
• Attiva la risoluzione dei nomi DNS di Active Directory on-premise:
  • Per le reti VMware Engine legacy: abilita la risoluzione dei nomi DNS di Active Directory on-premise creando regole di forwarding DNS nel tuo cloud privato.
  • Per le reti VMware Engine standard: abilita la risoluzione dei nomi DNS di Active Directory on-premise configurando le associazioni DNS alla rete VMware Engine.

La tabella seguente elenca le informazioni necessarie per configurare il dominio Active Directory on-premise come origine identità SSO su vCenter e NSX. Prima di configurare le origini identità SSO, raccogli le seguenti informazioni:

Informazioni	Descrizione
DN di base per gli utenti	Il nome distinto di base per gli utenti.
Nome di dominio	Il nome di dominio completo del dominio, ad esempio example.com. Non specificare un indirizzo IP in questo campo.
Alias di dominio	Il nome del dominio NetBIOS. Se utilizzi l'autenticazione SSPI, aggiungi il nome NetBIOS del dominio Active Directory come alias dell'origine identità.
DN di base per i gruppi	Il nome distinto di base per i gruppi.
URL server principale	Il server LDAP del domain controller principale per il dominio. Utilizza il formato ldap://hostname:port o ldaps://hostname:port. La porta è in genere 389 per le connessioni LDAP e 636 per le connessioni LDAPS. Per i deployment di domain controller multipli di Active Directory, la porta è in genere 3268 per LDAP e 3269 per LDAPS. Quando utilizzi ldaps:// nell'URL LDAP principale o secondario, devi fornire un certificato X.509 con codifica Base64 in formato PEM o CER che stabilisca l'attendibilità per il percorso completo del certificato, incluso il certificato dell'autorità di certificazione radice (CA) ed eventuali certificati CA intermedi.
URL server secondario	L'indirizzo di un server LDAP del domain controller secondario utilizzato per il failover.
Scegli certificato	Per utilizzare LDAPS con l'origine identità del server LDAP Active Directory o del server OpenLDAP, fai clic sul pulsante Scegli certificato che viene visualizzato dopo aver digitato ldaps:// nel campo URL. Non è richiesto un URL del server secondario. Carica un file di certificato X.509 con codifica PEM o CER che includa il certificato CA radice ed eventuali certificati CA intermedi nella catena di attendibilità. Poiché i domain controller in genere non inviano il certificato della CA principale durante l'handshake TLS, il caricamento del solo certificato foglia del domain controller causa l'errore della convalida TLS e restituisce un errore Can't contact LDAP server anche se la connettività TCP sulla porta 636 o 3269 va a buon fine.
Nome utente	L'ID di un utente nel dominio che dispone di un accesso minimo di sola lettura al DN di base per utenti e gruppi.
Password	La password dell'utente specificato dal Nome utente.

Aggiungi un'origine identità su vCenter

I passaggi seguenti descrivono come aggiungere Active Directory on-premise come server LDAP su vCenter:

1. Accedi a vCenter per il tuo cloud privato utilizzando un account utente della soluzione.
2. Seleziona Home > Amministrazione.
3. Seleziona Single Sign On > Configuration (Single Sign-On > Configurazione).
4. Apri la scheda Origini identità e fai clic su +Aggiungi per aggiungere una nuova origine identità.
5. Seleziona Active Directory as an LDAP Server (Active Directory come server LDAP) e fai clic su Next (Avanti).
6. Specifica i parametri dell'origine identità per il tuo ambiente. Se inserisci un URL ldaps://, fai clic su Scegli certificato e carica il file del certificato X.509 con codifica Base64 che contiene il certificato della CA principale e gli eventuali certificati della CA intermedia, quindi fai clic su Avanti.
7. Controlla le impostazioni e fai clic su Fine.

Aggiungi un'origine identità su NSX

Questi passaggi descrivono come aggiungere un'origine identità in NSX Manager. Se vuoi automatizzare questa configurazione, puoi utilizzare l'API NSX-T.

1. Accedi a NSX Manager nel tuo cloud privato.
2. Vai a System (Sistema) > Settings (Impostazioni) > Users and Roles (Utenti e ruoli) > LDAP.
3. Fai clic su Add identity source (Aggiungi origine identità).
4. Nel campo Nome, inserisci un nome visualizzato per l'origine identità.
5. Specifica il Nome di dominio e il DN di base dell'origine identità.
6. Nella colonna Tipo, seleziona Active Directory su LDAP.
7. Nella colonna Server LDAP, fai clic su Imposta.
8. Nella finestra Set LDAP Server (Imposta server LDAP), fai clic su Add LDAP Server (Aggiungi server LDAP).
9. Specifica i parametri del server LDAP. Se selezioni LDAPS come protocollo, fornisci il certificato X.509 con codifica Base64 che contiene il certificato CA radice e gli eventuali certificati CA intermedi nel campo Certificati, quindi fai clic su Verifica stato per verificare la connessione da NSX Manager al server LDAP.
10. Fai clic su Add (Aggiungi) per aggiungere il server LDAP.
11. Fai clic su Applica e poi su Salva.

Porte necessarie per utilizzare Active Directory on-premise come origine identità

Le porte elencate nella tabella seguente sono necessarie per configurare Active Directory on-premise come origine identità su vCenter del cloud privato.

Porta	Origine	Destinazione	Finalità
53 (UDP)	Server DNS cloud privato	Server DNS on-premise	Obbligatorio per l'inoltro della ricerca DNS dei nomi di dominio Active Directory on-premise da un server vCenter del cloud privato a un server DNS on-premise.
389 (TCP/UDP)	Rete di gestione del cloud privato	Domain controller Active Directory on-premise	Obbligatorio per la comunicazione LDAP da un server vCenter cloud privato ai domain controller Active Directory per l'autenticazione utente.
636 (TCP)	Rete di gestione del cloud privato	Domain controller Active Directory on-premise	Obbligatorio per la comunicazione LDAP sicura (LDAPS) da un server vCenter cloud privato ai domain controller Active Directory per l'autenticazione utente.
3268 (TCP)	Rete di gestione del cloud privato	Server di catalogo globale di Active Directory on-premise	Obbligatoria per la comunicazione LDAP nei deployment con più domain controller.
3269 (TCP)	Rete di gestione del cloud privato	Server di catalogo globale di Active Directory on-premise	Obbligatorio per la comunicazione LDAPS in implementazioni di domain controller multidominio.
8000 (TCP)	Rete di gestione del cloud privato	Rete on-premise	Obbligatorio per vMotion delle macchine virtuali dalla rete cloud privato alla rete on-premise.

Passaggi successivi

Per ulteriori informazioni sulle origini di identità SSO, consulta la seguente documentazione di vSphere e NSX Data Center:

• Aggiungi o modifica un'origine identità Single Sign-On vCenter.
• Origine identità LDAP.