vCenter Single Sign On

VMware vCenter Single Sign-On (SSO) es un intermediario de autenticación y una infraestructura de intercambio de tokens de seguridad, que permite a los componentes de VMware vSphere comunicarse entre sí a través de un mecanismo de tokens seguro y utiliza los siguientes servicios:

• Servicio de señal de seguridad (STS)
• SSL para tráfico seguro
• Autenticación de usuarios utilizando un origen de identidad como, por ejemplo, Active Directory™ u OpenLDAP

Revise el siguiente flujo de inicio de sesión único de vSphere.

1. Un usuario inicia la sesión en el cliente de vSphere con un nombre de usuario y una contraseña para acceder a vCenter o a un servicio de vCenter.
2. El cliente de vSphere pasa la información de inicio de sesión al servicio de SSO, que comprueba la señal SAML del cliente de vSphere. Si vSphere Client tiene una señal válida, SSO comprueba lo siguiente:
   • Si el ID de usuario es @vsphere.local, comprueba el usuario respecto al dominio SSO local.
   • Si el ID de usuario es @DOMAIN, SSO utiliza el origen de identidad para comprobar ese dominio.
3. Si la autenticación es satisfactoria, el SSO se devuelve una señal que representa al usuario en el cliente de vSphere.
4. El cliente de vSphere pasa la señal a vCenter.
5. vCenter comprueba con el SSO que la señal sea válida y que no haya caducado.
6. El usuario puede ver y modificar cualquier objeto para el cual el rol del usuario tenga privilegios.

El dominio vSphere SSO se utiliza como mecanismo de autenticación inicial y sirve para conectar una instancia o varias instancias vinculadas a los servidores AD del dominio de infraestructura IBM Cloud® for VMware Solutions. En el diseño de IBM Cloud for VMware Solutions vCenter Server, se aplica la siguiente configuración del inicio de sesión único:

• El dominio SSO de vsphere.local siempre se utiliza.
• El nombre de sitio de SSO es igual al <root_domain> capturado durante el proceso de pedido.
• Se configura una fuente de identidad, el dominio de infraestructura IBM Cloud for VMware Solutions <root_domain>.
• El usuario de VSPHERE.LOCAL\Administrator está configurado como rol de administrador.
• Se configuran los siguientes grupos con los roles Administrador:
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

Después del despliegue, el usuario administrator@vsphere.local tiene acceso de administrador tanto a SSO como a vCenter Server. Este usuario puede gestionar orígenes de identidad y dominios predeterminados, especificar políticas de contraseñas y realizar otras tareas administrativas en el dominio vsphere.local. Sin embargo, este usuario es parte integrante de la autenticación de la infraestructura de VMware vSphere® y VMware NSX® que no forman parte de AD, sino que se crean automáticamente cuando se despliega vSphere. Dado que esta cuenta no forma parte de AD, se puede utilizar en situaciones en las que AD no funciona correctamente.

Como cliente, tiene acceso completo para gestionar los usuarios y grupos de SSO de vSphere, según sea necesario. Para obtener más información sobre cómo cambiar estas políticas, consulte Administración de usuarios y grupos de inicio de sesión único en vCenter.