vCenter Single Sign On

VMware vCenter Single Sign-On (SSO) è un broker di autenticazione e un'infrastruttura di scambio di token di sicurezza, che consente ai componenti di VMware vSphere di comunicare tra loro attraverso un meccanismo di token sicuro e utilizza i seguenti servizi:

• Servizio token di sicurezza (STS)
• SSL per un traffico sicuro
• L'autenticazione degli utenti avviene tramite una fonte di identità come Active Directory™ o OpenLDAP

Esaminate il seguente flusso SSO vSphere.

1. Un utente si collega al client vSphere con un nome utente e una password per accedere a vCenter o a un servizio vCenter.
2. Il client vSphere passa le informazioni di accesso al servizio SSO, che controlla il token SAML del client vSphere. Se il client vSphere dispone di un token valido, viene eseguito il controllo SSO:
   • Se l'ID utente è @vsphere.local, allora controlla l'utente rispetto al dominio SSO locale.
   • Se l'ID utente è @DOMAIN, allora SSO utilizza l'origine dell'identità per verificare il dominio.
3. Se l'autenticazione ha esito positivo, SSO restituisce un token che rappresenta l'utente al client vSphere.
4. Il client vSphere passa il token a vCenter.
5. vCenter verifica con SSO che il token sia valido e non sia scaduto.
6. L'utente può visualizzare e modificare tutti gli oggetti per i quali il ruolo dell'utente ha i privilegi.

Il dominio vSphere SSO viene utilizzato come meccanismo di autenticazione iniziale e serve a collegare un'istanza o più istanze collegate ai server AD nel dominio dell'infrastruttura IBM Cloud® for VMware Solutions. Nella progettazione di IBM Cloud for VMware Solutions vCenter Server, viene applicata la seguente configurazione SSO:

• Viene sempre utilizzato il dominio SSO di vsphere.local.
• Il nome del sito SSO corrisponde al sito <root_domain> acquisito durante il processo di ordinazione.
• Viene configurata una fonte di identità, il dominio dell'infrastruttura IBM Cloud for VMware Solutions <root_domain>.
• L'utente VSPHERE.LOCAL\Administrator è configurato come ruolo Amministratore.
• I seguenti gruppi vengono configurati con i ruoli di Amministratore:
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

Dopo la distribuzione, l'utente administrator@vsphere.local ha accesso come amministratore sia a SSO che a vCenter Server. Questo utente può gestire le fonti di identità e i domini predefiniti, specificare i criteri di password ed eseguire altre attività amministrative nel dominio vsphere.local. Tuttavia, questo utente è parte integrante dell'autenticazione delle infrastrutture NSX® VMware vSphere® e VMware, che non fanno parte di AD ma vengono create automaticamente quando viene distribuito vSphere. Poiché questo account non fa parte di AD, può essere utilizzato in situazioni in cui AD non funziona correttamente.

Come cliente, hai accesso completo per gestire gli utenti e i gruppi di vSphere SSO secondo necessità. Per ulteriori informazioni sulla modifica di questi criteri, vedere Gestione di utenti e gruppi vCenter Single Sign-On.