Microsoft Active Directory

Per impostazione predefinita, una singola VSI di Active Directory viene distribuita sull'infrastruttura IBM Cloud®.

Il progetto prevede anche la possibilità di implementare due server MSAD ad alta disponibilità come Server VM Microsoft Windows® dedicati nel cluster di gestione.

Se scegli l'opzione con due server MSAD altamente disponibili, sei responsabile di fornire licenze e attivazione Microsoft.

Active Directory serve ad autenticare gli accessi per gestire esclusivamente VMware® l'istanza e non per ospitare gli utenti dei carichi di lavoro nelle istanze distribuite. Il nome di dominio root dell'insieme di strutture del server Active Directory corrisponde al nome di dominio DNS (Domain Name Service) da te specificato. Questo nome di dominio è specificato solo per l'istanza VMware Cloud Foundation for Classic - Automated primaria se sono collegate più istanze. Per le istanze collegate, ciascuna istanza contiene un server Active Directory che si trova nell'anello di replica root dell'insieme di strutture. Anche i file di zona DNS vengono replicati sui server Active Directory.

Dominio SSO (Single Sign On) vSphere

Il dominio SSO (Single Sign On) vSphere viene utilizzato come meccanismo di autenticazione iniziale per una singola istanza o più istanze collegate. Il dominio SSO serve anche per connettere un'istanza VMware o più istanze collegate al server MSAD. Viene applicata la seguente configurazione SSO:

• Il dominio SSO di vsphere.local viene sempre utilizzato.
• Per VMware le istanze collegate a un'istanza esistente, l'appliance vCenter Server viene aggiunta al dominio SSO dell'istanza esistente.
• Il nome del sito SSO è il dominio principale scelto al momento della distribuzione dell'istanza.

Integrazione con la foresta esistente

La fusione delle foreste di Active Directory è un processo complesso. Se si desidera integrare l'istanza con una foresta Active Directory esistente, IBM Cloud consiglia di aggiungere l'infrastruttura Active Directory esistente come fonte di identità aggiuntiva a VMware vCenter Server® piuttosto che tentare di unire le foreste. L'automazione IBM Cloud richiede di scegliere un dominio radice per l'istanza con almeno tre qualificatori per ridurre la probabilità di conflitto con il dominio esistente.

Esistono diverse opzioni per fare riferimento al dominio esistente come fonte di identità:

• Se si dispone della connettività ai controller di dominio in o da IBM Cloud, è possibile fare riferimento direttamente ad essi.
• È possibile distribuire controller di replica di sola lettura in IBM Cloud.
• È possibile aggiungere un trust unidirezionale dai controller di dominio distribuiti da IBM Cloud ai controller di dominio.

Istanza primaria VMware Cloud Foundation for Classic - Automated

La VMware Cloud Foundation for Classic - Automated distribuzione utilizza gli VSI o le VM AD distribuiti come server DNS per l'istanza. Tutti i componenti distribuiti ( vCenter, NSX, host ESXi) sono configurati per puntare all'AD come DNS predefinito. Puoi personalizzare la configurazione della zona DNS se non interferisce con quella dei componenti distribuiti.

Questo progetto integra i servizi DNS sulle macchine virtuali AD nella seguente configurazione:

• La struttura del dominio viene specificata dall'utente.
• Il nome di dominio può avere un numero di livelli qualsiasi fino al massimo gestibile da tutti VMware Cloud Foundation for Classic - Automated i componenti.
• Il nome di dominio deve essere di almeno tre livelli. Questa linea guida applica la best practice secondo cui il dominio di primo livello delega la responsabilità all'istanza per il dominio di istanza.
• I server AD/DNS sono configurati per essere autorevoli per il dominio DNS.
• I server AD/DNS sono configurati per puntare ai server DNS di IBM Cloud per tutte le altre zone.
• Eventuali regioni cloud secondarie integrate alla prima regione cloud o alla regione cloud di destinazione devono utilizzare la stessa struttura di nomi DNS con prefissi host unici.
• Facoltativamente, è possibile distribuire server DNS ridondanti all'interno del vSphere cluster. Due server AD/DNS sono configurati senza licenza. È tua responsabilità fornire le licenze per i sistemi operativi Windows per questi server.
• Se un singolo sito è dotato di un solo server AD/DNS, tutti i VMware Cloud Foundation for Classic - Automated componenti configurati devono avere solo quell'unico indirizzo IP come voce DNS.

Istanze secondarie VMware Cloud Foundation for Classic - Automated

Per la ridondanza tra istanze, quando la prima istanza VMware Cloud Foundation for Classic - Automated secondaria viene aggiunta a un'istanza primaria VMware Cloud Foundation for Classic - Automated o autonoma esistente, l'indirizzo IP del server DNS AD dell'istanza primaria viene utilizzato nell'istanza VMware Cloud Foundation for Classic - Automated secondaria e in qualsiasi voce "DNS secondario" dell'istanza secondaria successiva per tutti i componenti che richiedono una voce del server DNS.

Ad esempio, ESXi, vCenter, e NSX Manager, oltre a componenti aggiuntivi quali HCX, e Software HPE Zerto Veeam. La voce DNS secondaria del sito primario viene quindi modificata nell'indirizzo IP AD/DNS della prima istanza VMware Cloud Foundation for Classic - Automated secondaria.