Einrichten von vCenter-Identitätsquellen für die Verwendung von Active Directory

Artikel
08/15/2019

Informationen zu VMware vCenter-Identitätsquellen

VMware vCenter unterstützt verschiedene Identitätsquellen für die Authentifizierung von Benutzern, die auf vCenter zugreifen. Ihr vCenter für die private CloudSimple-Cloud kann für die Authentifizierung mit Azure Active Directory (Azure AD) eingerichtet werden, damit Ihre VMware-Administratoren auf vCenter zugreifen können. Wenn das Setup abgeschlossen ist, kann der cloudowner-Benutzer vCenter Benutzer aus der Identitätsquelle hinzufügen.

Sie können Ihre Active Directory-Domäne und Domänencontroller auf eine der folgenden Arten einrichten:

Lokal ausgeführte Active Directory-Domäne und -Domänencontroller
In Azure als virtuelle Computer im Azure-Abonnement ausgeführte Active Directory-Domänen und -Domänencontroller
Neue Active Directory-Domäne und -Domänencontroller, die in Ihrer privaten Cloud ausgeführt werden
Azure Active Directory-Dienst

In diesem Leitfaden werden die Aufgaben zum Einrichten von Active Directory-Domänen- und -Domänencontrollern erläutert, die entweder lokal oder als virtuelle Computer in Ihren Abonnements ausgeführt werden. Wenn Sie Azure AD als Identitätsquelle verwenden möchten, lesen Sie Verwenden von Azure AD als Identitätsanbieter für vCenter in der privaten CloudSimple-Cloud, um detaillierte Anweisungen zum Einrichten der Identitätsquelle zu erhalten.

Eskalieren Sie vor dem Hinzufügen einer Identitätsquelle vorübergehend Ihre vCenter-Berechtigungen.

Achtung

Neue Benutzer müssen lediglich Cloud-Owner-Group, Cloud-Global-Cluster-Admin-Group, Cloud-Global-Storage-Admin-Group, Cloud-Global-Network-Admin-Group oder Cloud-Global-VM-Admin-Group hinzugefügt werden. Benutzer, die der Gruppe Administratoren hinzugefügt wurden, werden automatisch entfernt. Nur Dienstkonten dürfen der Gruppe Administratoren hinzugefügt werden, und Dienstkonten dürfen nicht für die Anmeldung bei der vSphere-Webbenutzeroberfläche verwendet werden.

Optionen für Identitätsquellen

Hinzufügen eines lokalen Active Directory als SSO-Identitätsquelle
Einrichten eines neuen Active Directory für eine private Cloud
Einrichten von Active Directory in Azure

Wichtig

Active Directory (Integrierte Windows-Authentifizierung) wird nicht unterstützt. Active Directory wird nur über die LDAP-Option als Identitätsquelle unterstützt.

Hinzufügen eines lokalen Active Directory als SSO-Identitätsquelle

Um Ihr lokales Active Directory als SSO-Identitätsquelle einzurichten, benötigen Sie Folgendes:

Site-to-Site-VPN-Verbindung zwischen Ihrem lokalen Rechenzentrum und Ihrer privaten Cloud.
Die IP-Adresse des lokalen DNS-Servers wurde vCenter und PSC (Platform Services Controller) hinzugefügt.

Verwenden Sie die Informationen in der folgenden Tabelle, wenn Sie Ihre Active Directory-Domäne einrichten.

Option	Beschreibung
Name	Der Name der Identitätsquelle.
Basis-DN für Benutzer	Der Distinguished Basis-Name für Benutzer.
Domänenname	Der FQDN der Domäne, z. B. „example.com“. Geben Sie in diesem Textfeld keine IP-Adresse an.
Domänenalias	Der NetBIOS-Name der Domäne. Fügen Sie den NetBIOS-Namen der Active Directory-Domäne als Alias der Identitätsquelle hinzu, wenn Sie SSPI-Authentifizierung verwenden.
Basis-DN für Gruppen	Der Distinguished Basis-Name für Gruppen.
URL des primären Servers	LDAP-Server des primären Domänencontrollers für die Domäne. Verwenden Sie das Format `ldap://hostname:port` oder `ldaps://hostname:port`. Der Port ist in der Regel 389 für LDAP-Verbindungen und 636 für LDAPS-Verbindungen. Für Active Directory-Bereitstellungen mit mehreren Domänencontrollern ist der Port in der Regel 3268 für LDAP und 3269 für LDAPS. Ein Zertifikat, das eine Vertrauensstellung für den LDAPS-Endpunkt des Active Directory-Servers einrichtet, ist erforderlich, wenn Sie `ldaps://` in der primären oder sekundären LDAP-URL verwenden
URL des sekundären Servers	Die Adresse eines LDAP-Servers für einen sekundären Domänencontroller, der für Failover verwendet wird.
Zertifikat auswählen	Wenn Sie LDAPS mit dem Active Directory LDAP-Server oder der OpenLDAP-Server-Identitätsquelle verwenden möchten, wird eine Schaltfläche „Zertifikat auswählen“ nach dem Eingeben von `ldaps://` in das URL-Textfeld angezeigt. Eine sekundäre URL ist nicht erforderlich.
Benutzername	Die ID eines Benutzers in der Domäne, der mindestens über Lesezugriff auf den Basis-DN für Benutzer und Gruppen verfügt.
Kennwort	Das Kennwort des Benutzers, der durch „Benutzername“ angegeben wird.

Wenn Sie über die Informationen aus der Tabelle oben verfügen, können Sie Ihr lokales Active Directory als SSO-Identitätsquelle (einmaliges Anmelden) in vCenter hinzufügen.

Tipp

Weitere Informationen zu SSO-Identitätsquellen finden Sie auf der VMware-Dokumentationsseite.

Einrichten eines neuen Active Directory für eine private Cloud

Sie können eine neue Active Directory-Domäne für Ihre private Cloud einrichten und als SSO-Identitätsquelle (einmaliges Anmelden) verwenden. Die Active Directory-Domäne kann Teil einer vorhandenen Active Directory-Gesamtstruktur sein oder als unabhängige Gesamtstruktur eingerichtet werden.

Neue Active Directory-Gesamtstruktur und -Domäne

Zum Einrichten einer neuen Active Directory-Gesamtstruktur und -Domäne benötigen Sie Folgendes:

Mindestens einen virtueller Computer, auf dem Microsoft Windows Server ausgeführt wird und der als Domänencontroller für die neue Active Directory-Gesamtstruktur und -Domäne verwendet werden soll.
Mindestens ein virtueller Computer, auf dem der DNS-Dienst für Namensauflösung ausgeführt wird.

Ausführliche Schritte finden Sie unter Installieren einer neuen Windows Server 2012 Active Directory-Gesamtstruktur.

Tipp

Für Hochverfügbarkeit von Diensten empfiehlt es sich, mehrere Domänencontroller und DNS-Server einzurichten.

Nachdem Sie die Active Directory-Gesamtstruktur und die Domäne eingerichtet haben, können Sie eine Identitätsquelle für vCenter für Ihr neues Active Directory hinzufügen.

Neue Active Directory-Domäne in einer vorhandenen Active Directory-Gesamtstruktur

Um eine neue Active Directory-Domäne in einer vorhandenen Active Directory-Gesamtstruktur einzurichten, benötigen Sie Folgendes:

Site-to-Site-VPN-Verbindung mit dem Standort Ihrer Active Directory-Gesamtstruktur.
DNS-Server, um den Namen der vorhandenen Active Directory-Gesamtstruktur aufzulösen.

Ausführliche Schritte finden Sie unter Installieren einer neuen untergeordneten Windows Server 2012-Active Directory-Domäne oder -Strukturdomäne.

Nachdem Sie die Active Directory-Domäne eingerichtet haben, können Sie eine Identitätsquelle für vCenter für Ihr neues Active Directory hinzufügen.

Einrichten von Active Directory in Azure

Active Directory in Azure ähnelt der lokalen Ausführung von Active Directory. Um Active Directory in Azure als SSO-Identitätsquelle (einmaliges Anmelden) für vCenter einzurichten, müssen der vCenter-Server und der PSC über eine Netzwerkverbindung mit dem Azure Virtual Network verfügen, in dem Active Directory-Dienste ausgeführt werden. Sie können diese Verbindung mit Azure Virtual Network Connection mit ExpressRoute aus dem virtuellen Azure-Netzwerk herstellen, in dem Active Directory-Dienst in der privaten CloudSimple-Cloud ausgeführt werden.

Nachdem die Netzwerkverbindung hergestellt wurde, führen Sie die Schritte unter Hinzufügen eines lokalen Active Directory als SSO-Identitätsquelle aus, um es als Identitätsquelle hinzuzufügen.

Hinzufügen einer Identitätsquelle für vCenter

Eskalieren Sie die Berechtigungen für Ihre private Cloud.
Melden Sie sich beim vCenter für Ihre private Cloud an.
Wählen Sie Home > Verwaltung aus.
Wählen Sie Einmaliges Anmelden > Konfiguration aus.
Öffnen Sie die Registerkarte Identitätsquellen, und klicken Sie auf +, um eine neue Identitätsquelle hinzuzufügen.
Wählen Sie Active Directory als LDAP-Server aus, und klicken Sie auf Weiter.
Geben Sie die Identitätsquellenparameter für Ihre Umgebung aus, und klicken Sie auf Weiter.
Überprüfen Sie die Einstellungen, und klicken Sie auf Fertig stellen.