Come aggiungere vCenter a un dominio Active Directory
L’integrazione di vCenter Server Appliance (VCSA) con Microsoft Active Directory come fonte di identità semplifica e migliora la sicurezza della gestione degli accessi. Collegando vCenter a un dominio AD, gli amministratori VMware vSphere possono utilizzare la stessa fonte di identità utilizzata per concedere l’accesso ai file server e ad altre risorse sulla rete per concedere l’accesso agli oggetti vSphere. Continua a leggere per scoprire i passaggi necessari per unire vCenter al dominio.
Come aggiungere vCenter a un dominio Active Directory
Active Directory è uno standard comune per l’autenticazione centralizzata degli utenti in molte organizzazioni. Active Directory può essere utilizzato anche per autenticare gli utenti VMware ESXi e VMware vCenter. È quindi possibile assegnare le autorizzazioni VMware vSphere necessarie agli utenti autenticati del dominio Active Directory.
Requisiti
Esistono alcuni requisiti per la configurazione dell’integrazione AD di vCenter:
- È necessario configurare un controller di dominio Active Directory. Il controller di dominio deve essere scrivibile (e non solo in modalità di sola lettura).
- Il suffisso DNS utilizzato per un nome di dominio completo (FQDN) di vCenter Server deve essere corretto.
- Le impostazioni DNS di VCSA per comunicare con il controller di dominio devono essere corrette.
- vCenter Server Appliance (VCSA) deve risolvere il nome DNS del controller di dominio Active Directory in un indirizzo IP.
Nota: È anche possibile aggiungere un host ESXi autonomo al dominio AD.
Come aggiungere vCenter al dominio
Dobbiamo aggiungere il nostro dispositivo VCSA ad Active Directory come oggetto per abilitare Active Directory (autenticazione Windows integrata). Questa opzione ci consente di trasmettere le credenziali Windows dell’utente che ha effettuato l’accesso come autenticazione al vCenter Web Client. Si noti che in questa esercitazione si utilizza vCenter Server Appliance 7.0 con un controller di servizi della piattaforma incorporato.
Completare i seguenti passaggi per configurare la connessione AD:
- Accedere come amministratore SSO a vCenter utilizzando un browser Web e andando alla pagina VMware vSphere Client. Il nome amministratore predefinito è administrator@vsphere.local (trattato in un post precedente su dominio SSO vSphere), che è l’utente amministratore configurato durante l’installazione di VCSA. Inoltre, tenere presente che non si tratta di un utente del dominio Active Directory di Windows. Tuttavia, è possibile utilizzare le opzioni Utilizza autenticazione sessione Windows quando si integra vCenter con Active Directory.
- Una volta effettuato l’accesso al Web Client come amministratore SSO, fare clic sull’icona del menu nell’angolo in alto a sinistra. Fare clic su amministrazione nel menu che si apre.
- Fare clic su Configurazione nella pagina Amministrazione nella sezione Single Sign On . Selezionare la scheda Identity Provider , fare clic su Active Directory Domaine fare clic su JOIN AD per aggiungere vCenter al dominio.
- Verrà visualizzata una finestra di dialogo in cui inserire il Dominio, Unità organizzativa, Nome utente, e Password.
- Immettere il nome del dominio Active Directory, ad esempio domain1.net. Si noti che il nome del dominio SSO locale esistente (vsphere.local nel nostro caso) e il dominio Active Directory (domain1.net nel nostro caso) devono essere diversi. Se si utilizza lo stesso nome di dominio AD, si ottiene un errore e non sarà possibile unirsi al dominio e integrare vCenter con Active Directory.
- L’impostazione di un’unità organizzativa può essere utile per chi ha familiarità con LDAP. Se il campo Unità organizzativa viene lasciato vuoto, l’account del computer in AD viene creato nella sua ubicazione predefinita, ovvero un Computers contenitore. È sempre possibile spostare un oggetto computer nell’unità organizzativa necessaria sul controller di dominio Active Directory. Un esempio di come compilare il campo Unità organizzativa:
OU=Unit1,DC=domain1,DC=net
-
Immettere il nome utente dell’amministratore di dominio Active Directory e la password. Il nostro amministratore di dominio è administrator@domain.net. Tuttavia, è possibile creare un utente dedicato (ad esempio, vmwareadmin) sul controller di dominio e aggiungere questo utente al gruppo di amministratori di dominio appropriato.
Dopo aver completato la finestra di dialogo, fare clic su Join e verrà richiesto di riavviare l’appliance vCenter.
Nota: Se viene visualizzato un errore simile al seguente:
Eccezione client Idm: errore durante il tentativo di connessione ad AD, codice errore [11], utente [domain1/administrator], dominio [domain1.net], orgUnit[]
provare a eseguire il seguente comando nella shell della console VCSA (riga di comando) come root con il nome del dominio e il nome dell’amministratore del dominio:
/opt/likewise/bin/domainjoin-cli join domain1.net administrator
-
Per riavviare il server vCenter da VMware vSphere Client, andare su Amministrazione > Configurazione di sistema, selezionare il nodo vCenter e fare clic su Riavvia il nodo.
In alternativa, puoi accedere a VMware Host Client dell’host VMware ESXi su cui è in esecuzione la VM vCenter Server Appliance e riavviare la VM VCSA. Un’altra soluzione consiste nell’utilizzare l’interfaccia utente Direct Console (DCUI) su VCSA e utilizzare l’opzione Riavvia.
- Dopo il riavvio di vCenter, è possibile accedere a Amministrazione > Single Sign On > Configurazione > Identity Provider > Dominio Active Directory (come fatto in precedenza) e assicurarsi che la connessione al controller di dominio sia riuscita e che vCenter sia ora membro del dominio.
- È inoltre possibile verificare che il computer vCenter abbia aderito al dominio in Windows Server che funge da controller di dominio. A tal fine, aprire Utenti e computer di Active Directory, selezionare il dominio e fare clic su Computer. Come puoi vedere nella schermata qui sotto, la nostra macchina vcenter7 è membro del nostro dominio Active Directory.
Aggiunta dell’origine di identità
Dopo che vCenter Server Appliance (VCSA) è stato aggiunto al dominio e riavviato, siamo ora pronti per aggiungere la nostra origine di identità Active Directory:
- Torna a Amministrazione e fare clic su Configurazione nel menu Single Sign-On . Fare clic su Fonti di identità nella scheda Fornitore di identità e quindi fare clic sul pulsante AGGIUNGI per aggiungere una fonte di identità.
- Selezioniamo l’opzione Active Directory (autenticazione Windows integrata) . Ora che abbiamo aggiunto il nostro vCenter al dominio, il campo Nome dominio viene compilato automaticamente con il nostro nome di dominio. Possiamo lasciare l’opzione predefinita Utilizza account macchina . Infine, completare la configurazione dell’origine dell’identità e fare clic su Aggiungere.
- Ora, sotto l’origine di identità, possiamo vedere il nostro dominio. È possibile fare clic su Impostare come predefinito per utilizzare questo dominio Active Directory come predefinito.
Quindi è possibile creare ruoli in vCenter e assegnare privilegi a tali ruoli, quindi associare un ruolo a un utente Active Directory.
Conclusione
Disporre di un sistema centralizzato per l’autenticazione degli utenti nel proprio ambiente e utilizzare Active Directory per l’autenticazione degli utenti vSphere è utile in molte situazioni. Assicurarsi di eseguire regolarmente il backup del controller di dominio Active Directory e dell’appliance vCenter Server per evitare tempi di inattività e problemi causati dall’impossibilità di autenticare gli utenti e gestire l’infrastruttura. NAKIVO Backup & Replication è una soluzione completa per la protezione dei dati per gli ambienti VMware vSphere. Utilizzare la soluzione per eseguire il backup delle macchine virtuali e delle applicazioni come Microsoft Active Directory.
