Active Directory を使用した認証の構成

Google Cloud VMware Engine では、vCenter と NSX がオンプレミスの Active Directory をユーザー認証の LDAP または LDAP ID ソースとして使用するように構成できます。設定が完了すると、vCenter と NSX Manager にアクセス権を付与して、プライベート クラウドの管理に必要なロールを割り当てることができます。

始める前に

このドキュメントの手順では、最初に次の作業を実施することを想定しています。

次の表は、オンプレミスの Active Directory ドメインを vCenter と NSX の SSO ID ソースとして設定する際に必要な情報を列挙したものです。SSO ID ソースは、次の情報を収集してから設定します。

情報 説明
ユーザーのベース DN ユーザーのベース識別名。
ドメイン名 ドメインの FQDN（例: example.com）。このフィールドには IP アドレスを入力しないでください。
ドメイン エイリアス ドメイン NetBIOS 名。SSPI 認証を使用している場合は、Active Directory ドメインの NetBIOS 名を ID ソースのエイリアスとして追加します。
グループのベース DN グループのベース識別名。
プライマリ サーバーの URL

ドメインのプライマリ ドメイン コントローラの LDAP サーバー。

ldap://hostname:port 形式または ldaps://hostname:port 形式を使用します。通常、ポートは LDAP 接続の場合は 389、LDAPS 接続の場合は 636 です。Active Directory マルチドメイン コントローラのデプロイにおいて、ポートは通常、LDAP の場合は 3268、LDAPS の場合は 3269 です。

プライマリまたはセカンダリの LDAP URL で ldaps:// を使用する場合は、ルート認証局（CA）証明書や中間 CA 証明書を含む、完全な証明書パスの信頼を確立する、PEM 形式または CER 形式の Base64 でエンコードされた X.509 証明書を指定する必要があります。
セカンダリ サーバーの URL フェイルオーバーに使用されるセカンダリ ドメイン コントローラの LDAP サーバーのアドレス。
証明書の選択

Active Directory LDAP サーバーまたは OpenLDAP サーバーの ID ソースで LDAPS を使用するには、URL フィールドに「ldaps://」を入力した後に表示される [証明書の選択] ボタンをクリックします。セカンダリ サーバーの URL は必要ありません。

信頼チェーン内のルート CA 証明書と中間 CA 証明書を含む、PEM エンコードまたは CER エンコードの X.509 証明書ファイルをアップロードします。通常、ドメイン コントローラは TLS handshake 中にルート CA 証明書を送信しないため、ドメイン コントローラのリーフ証明書のみをアップロードすると、TLS 検証が失敗し、ポート 636 または 3269 での TCP 接続が成功した場合でも Can't contact LDAP server エラーが返されます。
ユーザー名 ユーザーとグループのベース DN に対する読み取り専用権限以上を持つドメインのユーザーの ID。
パスワード ユーザー名で指定されたユーザーのパスワード。

vCenter に ID ソースを追加する

次の手順では、オンプレミスの Active Directory を vCenter の LDAP サーバーとして追加する方法について説明します。

  1. ソリューション ユーザー アカウントを使用して、プライベート クラウドの vCenter にログインします。
  2. [Home] > [Administration] を選択します。
  3. [Single Sign On] > [Configuration] を選択します。
  4. [Identity Sources] タブを開き、[+Add] をクリックして、新しい ID ソースを追加します。
  5. [Active Directory as LDAP Server] を選択し、[Next] をクリックします。
  6. 環境の ID ソース パラメータを指定します。ldaps:// URL を入力する場合は、[証明書を選択] をクリックし、ルート CA 証明書と中間 CA 証明書を含む Base64 でエンコードされた X.509 証明書ファイルをアップロードして、[次へ] をクリックします。
  7. 設定を確認し、[Finish] をクリックします。

NSX に ID ソースを追加する

次の手順では、NSX Manager で ID ソースを追加する方法について説明します。この構成を自動化する場合は、NSX-T API を使用します。

  1. プライベート クラウドで NSX Manager にログインします。
  2. [System] > [Settings] > [Users and Roles] > [LDAP] の順に移動します。
  3. [Add identity source] をクリックします。
  4. [Name] フィールドに、ID ソースの表示名を入力します。
  5. ID ソースの [Domain Name] と [Base DN] を指定します。
  6. [Type] 列で、[Active Directory over LDAP] を選択します。
  7. [LDAP Servers] 列で、[Set] をクリックします。
  8. [Set LDAP Server] ウィンドウで、[Add LDAP Server] をクリックします。
  9. LDAP サーバーのパラメータを指定します。プロトコルとして [LDAPS] を選択した場合は、[証明書] フィールドに、ルート CA 証明書と中間 CA 証明書を含む Base64 でエンコードされた X.509 証明書を指定し、[ステータスを確認] をクリックして、NSX Manager から LDAP サーバーへの接続を確認します。
  10. [Add] をクリックして、LDAP サーバーを追加します。
  11. [Apply] をクリックし、続いて [Save] をクリックします。

オンプレミスの Active Directory を ID ソースとして使用するために必要なポート

オンプレミスの Active Directory をプライベート クラウド vCenter の ID ソースとして構成するには、次の表に示すポートが必要です。

ポート ソース 宛先 目的
53（UDP） プライベート クラウドの DNS サーバー オンプレミス DNS サーバー オンプレミスの Active Directory ドメイン名の DNS ルックアップをプライベート クラウド vCenter サーバーからオンプレミス DNS サーバーに転送するために必須。
389（TCP/UDP） プライベート クラウド管理ネットワーク オンプレミスの Active Directory ドメイン コントローラ ユーザー認証のためにプライベート クラウド vCenter サーバーから Active Directory ドメイン コントローラへの LDAP 通信に必須。
636（TCP） プライベート クラウド管理ネットワーク オンプレミスの Active Directory ドメイン コントローラ ユーザー認証のためにプライベート クラウド vCenter サーバーから Active Directory ドメイン コントローラへのセキュアな LDAP（LDAPS）通信に必須。
3268（TCP） プライベート クラウド管理ネットワーク オンプレミスの Active Directory グローバル カタログ サーバー マルチドメイン コントローラのデプロイでの LDAP 通信に必須。
3269（TCP） プライベート クラウド管理ネットワーク オンプレミスの Active Directory グローバル カタログ サーバー マルチドメイン コントローラのデプロイでの LDAPS 通信に必須。
8000（TCP） プライベート クラウド管理ネットワーク オンプレミス ネットワーク プライベート クラウド ネットワークからオンプレミス ネットワークへの仮想マシンの vMotion に必須。

次のステップ

SSO ID ソースの詳細について、次の vSphere と NSX のデータセンターのドキュメントを確認します。