vCenter Single Sign On

VMware vCenter Single Sign-On (SSO) ist ein Authentifizierungsbroker und eine Infrastruktur für den Austausch von Sicherheitstoken, die es den Komponenten von VMware vSphere ermöglicht, über einen sicheren Token-Mechanismus miteinander zu kommunizieren, und die die folgenden Dienste nutzt

• Sicherheitstokenservice (STS)
• SSL für sicheren Datenverkehr
• Authentifizierung von Benutzern durch Verwendung einer Identitätsquelle wie Active Directory™ oder OpenLDAP

Prüfen Sie den folgenden vSphere-SSO-Ablauf.

1. Ein Benutzer meldet sich beim vSphere-Client mit einem Benutzernamen und einem Kennwort an, um auf vCenter oder einen vCenter-Service zuzugreifen.
2. Der vSphere-Client übergibt die Anmeldeinformationen an den SSO-Service, der das SAML-Token des vSphere-Clients überprüft. Wenn der vSphere-Client ein gültiges Token hat, prüft das SSO Folgendes:
   • Wenn die Benutzer-ID @vsphere.local lautet, wird der Benutzer anhand der lokalen SSO-Domäne überprüft.
   • Wenn die Benutzer-ID @DOMAIN lautet, verwendet SSO die Identitätsquelle, um diese Domäne zu überprüfen.
3. Nach einer erfolgreichen Authentifizierung wird beim SSO ein Token zurückgegeben, das den Benutzer gegenüber dem vSphere-Client darstellt.
4. Der vSphere-Client übergibt das Token an vCenter.
5. vCenter überprüft beim SSO, ob das Token gültig und nicht abgelaufen ist.
6. Der Benutzer kann alle Objekte, für die die Rolle des Benutzers eine Berechtigung hat, anzeigen und ändern.

Die vSphere SSO-Domäne wird als anfänglicher Authentifizierungsmechanismus verwendet und dient dazu, eine Instanz oder mehrere verknüpfte Instanzen mit den AD-Servern in der IBM Cloud® for VMware Solutions Infrastrukturdomäne zu verbinden. Im Konzept von IBM Cloud for VMware Solutions vCenter Server wird die folgende SSO-Konfiguration angewendet:

• Die SSO-Domäne von vsphere.local wird immer verwendet.
• Der SSO-Site-Name entspricht dem während des Bestellvorgangs erfassten <root_domain>.
• Eine Identitätsquelle, die Infrastrukturdomäne IBM Cloud for VMware Solutions <root_domain>, wird konfiguriert.
• Der Benutzer VSPHERE.LOCAL\Administrator ist mit Administratorrolle konfiguriert.
• Die folgenden Gruppen sind mit Administratorrollen konfiguriert:
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

Nach der Implementierung hat der Benutzer administrator@vsphere.local Administratorzugriff auf SSO und vCenter Server. Dieser Benutzer kann Identitätsquellen und Standarddomänen verwalten, Kennwortrichtlinien angeben und andere Verwaltungstasks in der Domäne vsphere.local ausführen. Dieser Benutzer ist jedoch integraler Bestandteil der Authentifizierung der VMware vSphere® und VMware NSX®-Infrastruktur. Sie sind nicht Teil von AD, sondern werden automatisch erstellt, wenn vSphere bereitgestellt wird. Da dieses Konto kein Bestandteil von AD ist, kann es in Situationen verwendet werden, in denen AD nicht ordnungsgemäß funktioniert.

Als Kunde haben Sie uneingeschränkten Zugriff auf die Verwaltung der vSphere-SSO-Benutzer und -Gruppen nach Bedarf. Weitere Informationen zum Ändern dieser Richtlinien finden Sie unter Verwalten von vCenter Single Sign-On Benutzern und Gruppen.