vCenter Single Sign On

VMware vCenter シングルサインオン(SSO)は、認証ブローカーとセキュリティトークン交換インフラストラクチャであり、 VMware vSphere コンポーネントが安全なトークンメカニズムを通じて相互に通信することを可能にし、以下のサービスを使用する：

• セキュリティー・トークン・サービス (STS)
• セキュアなトラフィックのための SSL
• Active Directory™ や OpenLDAP などの ID ソースを使用したユーザーの認証

以下の vSphere SSO フローを確認してください。

1. ユーザーが、vCenter または vCenter サービスにアクセスするためのユーザー名とパスワードを使用して vSphere Client にログインします。
2. vSphere Client が、ログイン情報を SSO サービスに渡します。SSO サービスによって、vSphere Client の SAML トークンが検査されます。 vSphere Client に有効なトークンがある場合、SSO によって以下のように検査されます。
   • ユーザー ID が @vsphere.localの場合、ローカル SSO ドメインに照らしてユーザーを検査します。
   • ユーザー ID が @DOMAINの場合、SSO は ID ソースを使用してそのドメインを検査します。
3. 認証が成功すると、SSO で、ユーザーを表すトークンが vSphere Client に返されます。
4. vSphere Client がトークンを vCenter に渡します。
5. vCenter が、SSO で、トークンが有効で有効期限が切れていないことを検査します。
6. ユーザーが、ユーザーの役割の特権の対象となるオブジェクトを表示および変更できます。

vSphere SSOドメインは、最初の認証メカニズムとして使用され、インスタンスまたはリンクされた複数のインスタンスを、 IBM Cloud® for VMware Solutions インフラストラクチャドメインのADサーバーに接続する役割を果たす。 IBM Cloud for VMware Solutions vCenter Server の設計では、以下の SSO 構成が適用されます。

• SSO ドメイン vsphere.local が、常に使用されます。
• SSO サイト名は、注文プロセス中に取り込まれた <root_domain> と同じです。
• ID ソースである IBM Cloud for VMware Solutions インフラストラクチャドメイン <root_domain> が設定される。
• VSPHERE.LOCAL\Administratorユーザーは、管理者役割として構成されます。
• 次のグループは、管理者役割で構成されます。
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

デプロイメント後、administrator@vsphere.local ユーザーは、SSO と vCenter Server の両方に対する管理者権限を持ちます。 このユーザーは、vsphere.local ドメインで ID ソースとデフォルト・ドメインの管理、パスワード・ポリシーの指定、およびその他の管理用タスクを実行できます。 このユーザーは VMware vSphere® および VMware NSX® インフラストラクチャーの認証に不可欠ですが、AD には含まれていません。vSphere のデプロイ時に自動的に作成されます。 このアカウントは AD の一部ではないため、AD が正しく機能しない場合に使用できます。

お客様は、必要に応じて vSphere SSO ユーザーおよびグループを管理するための全アクセス権限を持ちます。 これらのポリシーの変更に関する詳細については、 vCenter シングルサインオンのユーザーとグループの管理を参照してください。