Microsoft Active Directory

Standardmäßig wird eine einzelne Active Directory-VSI (VSI - Virtual Server Instance) auf der IBM Cloud®-Infrastruktur bereitgestellt.

Das Design bietet außerdem die Möglichkeit, zwei hoch verfügbare MSAD-Server als dedizierte Microsoft Windows® Server-VMs im Management-Cluster zu implementieren.

Wenn Sie die Option mit zwei hoch verfügbaren MSAD-Servern auswählen, sind Sie für die Bereitstellung der Microsoft-Lizenzierung und -Aktivierung verantwortlich.

Active Directory dient nur zur Authentifizierung von Zugriffen für die Verwaltung der VMware®-Instanz und nicht zur Speicherung von Benutzern der Workloads in den bereitgestellten Instanzen. Der Gesamtstrukturrootdomänenname des Active Directory-Servers stimmt mit dem DNS-Domänennamen (DNS = Domain Name Service) überein, den Sie angeben. Dieser Domänenname wird nur für die primäre VMware Cloud Foundation for Classic - Automated Instanz angegeben, wenn mehrere Instanzen verknüpft sind. Bei verknüpften Instanzen enthält jede Instanz einen Active Directory Server, der sich im Rootreplikatring der Gesamtstruktur befindet. Die DNS-Zonendateien werden ebenfalls auf die Active Directory Server repliziert.

vSphere-SSO (Single Sign-On)-Domäne

Die SSO-Domäne (Single Sign On) für vSphere wird als erster Authentifizierungsmechanismus für eine einzelne Instanz oder mehrere verknüpfte Instanzen verwendet. Die SSO-Domäne dient außerdem dazu, eine VMware-Instanz oder mehrere verknüpfte Instanzen mit dem MSAD-Server zu verbinden. Die folgende SSO-Konfiguration wird angewendet:

• Die SSO-Domäne von vsphere.local wird immer verwendet.
• Bei VMware Instanzen, die mit einer bestehenden Instanz verknüpft sind, wird die vCenter Server-Appliance der SSO-Domäne der bestehenden Instanz hinzugefügt.
• Der Name der SSO-Site ist die Rootdomäne, die bei der Implementierung der Instanz ausgewählt wurde.

Integration mit vorhandener Gesamtstruktur

Die Zusammenführung von Active Directory-Gesamtstrukturen ist ein komplexer Prozess. Wenn Sie Ihre Instanz in eine vorhandene Active Directory Gesamtstruktur integrieren möchten, IBM Cloud empfiehlt es sich, Ihre vorhandene Active Directory Infrastruktur als zusätzliche Identitätsquelle zu VMware vCenter Server® hinzuzufügen, anstatt zu versuchen, Gesamtstrukturen zusammenzuführen. IBM Cloud Die Automatisierung erfordert, dass Sie für Ihre Instanz eine Stammdomäne mit mindestens drei Qualifizierern auswählen, um die Wahrscheinlichkeit von Konflikten mit Ihrer vorhandenen Domäne zu verringern.

Sie haben mehrere Optionen, um auf Ihre vorhandene Domäne als Identitätsquelle zu verweisen:

• Wenn Sie über Konnektivität zu Ihren Domänencontrollern in oder von IBM Cloudverfügen, können Sie direkt darauf verweisen.
• Sie können Nur-Lese-Replikat-Controller in IBM Cloud implementieren.
• Sie können eine Einweg-Vertrauensstellung von den Domänencontrollern, die von bereitgestellt IBM Cloud werden, zu Ihren Domänencontrollern hinzufügen.

Primäre Instanz VMware Cloud Foundation for Classic - Automated

Die VMware Cloud Foundation for Classic - Automated Bereitstellung verwendet die bereitgestellten AD-VSIs oder VMs als DNS-Server für die Instanz. Alle bereitgestellten Komponenten ( vCenter, NSX, ESXi-Hosts) sind so konfiguriert, dass sie auf das AD als ihren Standard-DNS verweisen. Sie können die Konfiguration der DNS-Zone anpassen, sofern Ihre Konfiguration die Konfiguration der bereitgestellten Komponenten nicht beeinträchtigt.

Dieses Design integriert DNS-Services auf den AD VMs in der folgenden Konfiguration:

• Die Domänenstruktur wird vom Benutzer angegeben.
• Der Domainname kann beliebig viele Ebenen umfassen, bis zu der maximalen Anzahl, die alle VMware Cloud Foundation for Classic - Automated Komponenten verarbeiten können.
• Der Domänenname muss mindestens drei Ebenen aufweisen. Diese Richtlinie erzwingt das beste Verfahren, mit dem die Domäne der höchsten Ebene die Zuständigkeit auf die Instanz für die Instanzdomäne überträgt.
• Die AD/DNS-Server sind so konfiguriert, dass sie für die DNS-Domäne maßgeblich sind.
• Die DNS-Server für Active Directory werden so konfiguriert, dass sie auf die IBM Cloud-DNS-Server für alle anderen Zonen verweisen.
• Alle sekundären Cloud-Regionen, die in die erste Cloud-Region oder die Ziel-Cloud-Region integriert sind, müssen dieselbe DNS-Namensstruktur mit eindeutigen Host-Präfixen verwenden.
• Optional können Sie redundante DNS-Server innerhalb des vSphere Clusters bereitstellen. Zwei AD/DNS-Server sind nicht lizenziert konfiguriert. Es liegt in Ihrer Verantwortung, Lizenzen für die Windows-Betriebssysteme für diese Server bereitzustellen.
• Wenn ein einzelner Standort nur mit einem AD/DNS-Server ausgestattet ist, dürfen alle konfigurierten VMware Cloud Foundation for Classic - Automated Komponenten nur diese eine IP-Adresse als DNS-Eintrag haben.

Sekundäre VMware Cloud Foundation for Classic - Automated Instanzen

Für die instanzübergreifende Redundanz wird, wenn die erste sekundäre VMware Cloud Foundation for Classic - Automated Instanz zu einer bestehenden primären oder eigenständigen VMware Cloud Foundation for Classic - Automated Instanz hinzugefügt wird, die IP-Adresse des primären Instanz-AD-DNS-Servers in der sekundären VMware Cloud Foundation for Classic - Automated Instanz und in allen nachfolgenden sekundären Instanzen als „sekundärer DNS”-Eintrag für alle Komponenten verwendet, die einen DNS-Servereintrag erfordern.

Beispielsweise ESXi, vCenter, und NSX Manager sowie Zusatzkomponenten wie HCX, HPE Zerto-Software und Veeam. Der sekundäre DNS-Eintrag der primären Website wird dann in die AD/DNS-IP-Adresse der ersten sekundären VMware Cloud Foundation for Classic - Automated Instanz geändert.