vCenter Single Sign On

VMware vCenter Single Sign-On (SSO) est un courtier d'authentification et une infrastructure d'échange de jetons de sécurité, qui permet aux composants de VMware vSphere de communiquer entre eux par le biais d'un mécanisme de jetons de sécurité et utilise les services suivants :

• Service de jeton de sécurité (STS)
• SSL pour le trafic sécurisé
• Authentification des utilisateurs à l'aide d'une source d'identité telle que Active Directory™ ou OpenLDAP

Passez en revue le flux SSO vSphere suivant :

1. Un utilisateur se connecte à vSphere Client avec un nom d'utilisateur et un mot de passe pour accéder à vCenter ou à un service vCenter.
2. vSphere Client transmet les informations de connexion au service SSO, qui vérifie le jeton SAML de vSphere Client. Si le client vSphere possède un jeton valide, la connexion unique vérifie :
   • Si l'ID utilisateur est @vsphere.local, il vérifie l'utilisateur par rapport au domaine de connexion unique local.
   • Si l'ID utilisateur est @DOMAIN, la connexion unique utilise la source d'identité pour vérifier ce domaine.
3. Si l'authentification aboutit, SSO retourne un jeton qui représente l'utilisateur sur vSphere Client.
4. vSphere Client transmet le jeton à vCenter.
5. vCenter vérifie avec SSO que le jeton est valide et n'a pas expiré.
6. L'utilisateur peut afficher et modifier tous les objets pour lesquels le rôle de l'utilisateur dispose de privilèges.

Le domaine SSO vSphere est utilisé comme mécanisme d'authentification initial et sert à connecter une instance ou plusieurs instances liées aux serveurs AD dans le domaine d'infrastructure IBM Cloud® for VMware Solutions. Dans la conception IBM Cloud for VMware Solutions vCenter, la configuration SSO suivante est appliquée :

• Le domaine SSO vsphere.local est toujours utilisé.
• Le nom du site de connexion unique est égal à <root_domain> capturé au cours du processus de commande.
• Une source d'identité, le domaine d'infrastructure IBM Cloud for VMware Solutions <root_domain>, est configurée.
• L'utilisateur VSPHERE.LOCAL\Administrator est configuré en tant qu'administrateur.
• Les groupes suivants sont configurés avec des rôles d'administrateur :
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

Après le déploiement, l'utilisateur administrator@vsphere.local dispose de l'accès administrateur à SSO et vCenter Server. Il peut gérer les sources d'identité et les domaines par défaut, spécifier des règles sur les mots de passe et effectuer d'autres tâches d'administration dans le domaine vsphere.local. Cet utilisateur est un élément à part entière de l'authentification de l'infrastructure VMware vSphere® et NSX®, mais il ne fait pas partie d'AD puisqu'il est créé automatiquement lorsque vSphere est déployé. Ce compte ne faisant pas partie d'AD, il peut être utilisé dans des situations où AD ne fonctionne pas correctement.

En tant que client, vous disposez d'un accès complet pour gérer les utilisateurs et les groupes vSphere SSO selon les besoins. Pour plus d'informations sur la modification de ces règles, voir la section Gestion des utilisateurs et des groupes de Single Sign-On sur le site vCenter.