vCenterをActive Directoryドメインに参加させる方法
vCenter Server Appliance(VCSA)をIDソースとしてMicrosoft Active Directoryと統合することで、アクセス管理が簡素化され、セキュリティも向上します。vCenterをADドメインに参加させることで、VMware vSphere管理者は、ネットワーク上のファイルサーバーやその他のリソースへのアクセス権を付与するために使用されているのと同じIDソースを利用して、vSphereオブジェクトへのアクセス権を付与できるようになります。vCenterをドメインに参加させる手順については、以下をご覧ください。
vCenter を Active Directory ドメインに追加する方法
Active Directory は、多くの組織においてユーザーの一元的な認証を行うための一般的な標準です。Active Directory を使用すれば、VMware ESXi および VMware vCenter のユーザーの認証を行うこともできます。これにより、Active Directory ドメインの認証済みユーザーに対して、必要な vSphere の権限を割り当てることができます。
要件
vCenter の AD 統合を設定するには、いくつかの要件があります:
- Active Directory ドメイン コントローラーを設定する必要があります。ドメイン コントローラーは書き込み可能である必要があります(読み取り専用モードではいけません)。
- vCenter Server の完全修飾ドメイン名(FQDN)に使用される DNS サフィックスは、正しいものである必要があります。
- ドメインコントローラーと通信するためのVCSAのDNS設定は、正しく設定されている必要があります。
- vCenter Server Appliance (VCSA) は、Active Directory ドメイン コントローラーの DNS 名を IP アドレスに解決する必要があります。
注: スタンドアロンのESXiホストをADドメインに参加させることも可能です。
vCenterをドメインに参加させる方法
この機能を有効にするには、VCSAアプライアンスをActive Directoryのオブジェクトとして参加させる必要があります。 Active Directory(統合 Windows 認証). このオプションを使用すると、ログイン中のユーザーを渡すことができます’vCenter Web Client への認証として、Windows の認証情報を使用します。なお、このチュートリアルでは、組み込みのプラットフォーム・サービス・コントローラーを備えた vCenter Server Appliance 7.0 を使用しています。
AD接続を設定するには、以下の手順を実行してください:
- としてログインしてください SSO管理者 Webブラウザを使用して、VMware vSphere Clientのページにアクセスし、vCenterにログインします。デフォルトの管理者名は administrator@vsphere.local (以前の投稿で取り上げた……) vSphere SSO ドメイン)、これはVCSAのインストール時に設定された管理者ユーザーです。また、これはWindows Active Directoryのドメインユーザーではない点にご注意ください。ただし、 Windows セッション認証を使用する vCenter を Active Directory と統合する際のオプション。
- SSO 管理者として Web クライアントにログインしたら、左上隅にあるメニューアイコンをクリックします。クリックして 管理 表示されるメニューで。
- クリック 設定 について 管理 のページ シングルサインオン セクション。以下の項目を選択してください。 IDプロバイダー タブをクリックして Active Directory ドメイン、そしてクリックして 広告掲載のお申し込み vCenterをドメインに参加させるには。
- これにより、ダイアログボックスが表示され、そこに ドメイン, 組織単位, ユーザー名、および パスワード.
- Active Directory のドメイン名を入力してください。たとえば、 domain1.net. なお、既存のローカル SSO ドメインの名前(vsphere.local (当社の場合)および Active Directory ドメイン(domain1.net (当社の場合)は異なる必要があります。同じ AD ドメイン名を使用すると、エラーが発生し、’ドメインに参加できず、vCenterをActive Directoryと統合することができません。
- LDAPに詳しい方にとっては、組織単位を設定しておくと便利です。もし 組織単位 このフィールドが空欄のままの場合、AD内のコンピュータアカウントがデフォルトの場所に作成されます。その場所は コンピュータ コンテナ。コンピュータオブジェクトは、Active Directory ドメイン コントローラー上で、いつでも必要な組織単位に移動することができます。”組織単位”フィールドへの入力例:OU=Unit1,DC=domain1,DC=net
- Active Directory ドメイン管理者のユーザー名とパスワードを入力してください。当社のドメイン管理者は administrator@domain.net。ただし、専用のユーザーを作成することも可能です(例えば、 vmwareadmin) ドメイン コントローラー上で、このユーザーを適切なドメイン管理者グループに追加します。ダイアログ ボックスの操作が完了したら、[] をクリックします。 参加する すると、vCenterアプライアンスの再起動を求めるメッセージが表示されます。
注: 次のようなエラーが表示された場合は:
IDMクライアントの例外:ADへの参加中にエラーが発生しました、エラーコード [11], ユーザー [domain1/administrator], ドメイン [domain1.net], orgUnit[]
VCSAのコンソールシェル(コマンドライン)で、root権限で以下のコマンドを実行してみてください。その際、ご自身のドメイン名とドメイン管理者名を入力してください:
/opt/likewise/bin/domainjoin-cli join domain1.net administrator - VMware vSphere Client のインターフェースから vCenter Server を再起動するには、次の場所に移動します。 管理 > システム構成, vCenterノードを選択し、[]をクリックします。 ノードの再起動.あるいは、vCenter Server Appliance(VCSA)VMが実行されているESXiホストのVMware Host Clientにログインし、VCSA VMを再起動することもできます。もう1つの解決策として、VCSA上のダイレクトコンソールユーザーインターフェイス(DCUI)を使用し、そこで”再起動”オプションを選択する方法もあります。
- vCenterの再起動後、次の場所に移動できます。 管理 > シングルサインオン > 設定 > IDプロバイダー > Active Directory ドメイン (先ほど行ったように)ドメインコントローラーへの接続が正常に行われていることを確認し、vCenterがドメインのメンバーになっていることを確認してください。
- また、vCenter マシンが、ドメイン コントローラーとして機能している Windows Server のドメインに参加していることを確認することもできます。この確認を行うには、次のファイルを開きます。 Active Directory のユーザーとコンピュータ、ドメインを選択し、[クリック] をクリックしてください コンピュータ. ご覧の通り、当社の vcenter7 以下のスクリーンショットにあるように、このマシンは当社のActive Directoryドメインに所属しています。
IDソースの追加
vCenter Server Appliance (VCSA) をドメインに参加させ、再起動した後、Active Directory 識別情報ソースを追加する準備が整いました:
- 戻る 管理 そして、クリックして 設定 ～の下で シングルサインオン メニュー。をクリックしてください。 ID情報源 その中では IDプロバイダー タブを選択し、次に ADD IDソースを追加するボタン。
- 私たちは、 Active Directory(統合 Windows 認証) オプション。vCenterをドメインに加入させたので、 ドメイン名 このフィールドには、当社のドメイン名が自動的に入力されます。この マシンアカウントを使用する ここでデフォルトのオプションとして選択します。最後に、ID ソースの設定を完了し、[ 追加.
- さて、”ID ソース”の下に、自分のドメインが表示されています。ここをクリックすると 既定値に設定する デフォルトでこの Active Directory ドメインを使用するように設定します。
そうすれば、あなたは vCenter でロールを作成する そして、それらのロールに権限を割り当て、Active Directory ユーザーにロールを割り当てます。
結論
環境内にユーザー認証のための一元化されたシステムを構築し、vSphereのユーザー認証にActive Directoryを利用することは、多くの場面で役立ちます。必ず Active Directory をバックアップする ドメインコントローラーとvCenter Serverアプライアンスを定期的に確認し、ユーザーの認証やインフラストラクチャの管理ができなくなることに起因するダウンタイムや問題を回避してください。 NAKIVO Backup & Replication これは、VMware vSphere 環境向けの包括的なデータ保護ソリューションです。このソリューションを使用して、仮想マシンや Microsoft Active Directory などのアプリケーションをバックアップできます。
