Microsoft Active Directory

デフォルトでは単一の Active Directory VSI が IBM Cloud® インフラストラクチャーにデプロイされます。

この設計では、オプションで 2 台の高可用性 MSAD サーバーを、専用の Microsoft Windows® Server VM として管理クラスターにデプロイすることもできます。

2 つの高可用性 MSAD サーバーのオプションを選択する場合は、お客様の責任で Microsoft ライセンスの取得とアクティベーションを行う必要があります。

Active Directory の役目は VMware® インスタンスを管理するためのアクセスの認証のみであり、デプロイされたインスタンスでのワークロードのユーザーの格納ではありません。 Active Directory サーバーのフォレスト・ルート・ドメイン名は、ユーザーが指定するドメイン・ネーム・サービス (DNS) のドメイン名と同じです。 複数のインスタンスがリンクされている場合、このドメイン名はプライマリインスタンス VMware Cloud Foundation for Classic - Automated にのみ指定されます。 リンクされたインスタンスでは、各インスタンスに、フォレスト・ルート・レプリカ・リングに入っている Active Directory サーバーが含まれています。 Active Directory サーバー上には、DNS ゾーン・ファイルも複製されています。

vSphere シングル・サインオン (SSO) ドメイン

vSphere シングル・サインオン (SSO) ドメインは、単一インスタンスや複数のリンクされたインスタンスのための初期認証メカニズムとして使用されます。 SSO ドメインは、VMware インスタンスや複数のリンクされたインスタンスを MSAD サーバーに接続する役目も担います。 次の SSO 構成が適用されます。

• SSO ドメイン vsphere.local が、常に使用されます。
• 既存のインスタンスに紐付けられているインスタンス VMware の場合、 vCenter サーバーアプライアンスは既存インスタンスのSSOドメインに結合されます。
• SSO サイト名は、インスタンスのデプロイ時に選択したルート・ドメインです。

既存のフォレストとの統合

Active Directory フォレストのマージは複雑なプロセスです。 既存の Active Directory フォレストとインスタンスを統合する場合、フォレストの統合を試みるのではなく、既存の Active Directory インフラストラクチャを Server® の VMware vCenter 追加の識別情報ソースとして追加することを推奨します IBM Cloud。 IBM Cloud 自動化では、既存のドメインとの競合の可能性を減らすため、インスタンスのルートドメインに少なくとも3つの修飾子を含むものを選択する必要があります。

既存のドメインを ID ソースとして参照するには、以下の複数の方法があります。

• IBM Cloud 内のドメイン・コントローラーに接続できる場合、または IBM Cloud からドメイン・コントローラーに接続できる場合は、直接参照することができます。
• IBM Cloud 内に、読み取り専用レプリカ・コントローラーをデプロイすることができます。
• 展開されたドメイン コントローラーから、ドメイン IBM Cloud コントローラーへの片方向の信頼関係を追加できます。

プライマリ VMware Cloud Foundation for Classic - Automated インスタンス

この VMware Cloud Foundation for Classic - Automated デプロイでは、デプロイされた AD VSI または VM をインスタンスの DNS サーバーとして使用します。 展開されたすべてのコンポーネント（ vCenter, NSX、ESXiホスト）は、デフォルトのDNSとしてActive Directoryを指すように構成されています。 DNS ゾーン構成は、デプロイ済みのコンポーネントの構成と干渉しない限りカスタマイズが可能です。

この設計では、次の構成によって、AD VM 上で DNS サービスが統合されます。

• ドメイン構造は、ユーザーが指定します。
• ドメイン名は、すべての VMware Cloud Foundation for Classic - Automated 構成要素が処理できる最大レベルまで、任意のレベル数を持つことができます。
• ドメイン・ネームのレベル数は 3 以上でなければなりません。 このガイドラインにより、トップレベル・ドメインがインスタンス・ドメインのインスタンスに責任を委任するというベスト・プラクティスが適用されます。
• AD/DNS サーバーは、DNS ドメインで権限を持つように構成されます。
• AD/DNS サーバーは、他のすべてのゾーンに対して IBM Cloud DNS サーバーをポイントするように構成されます。
• 最初のクラウドリージョンまたはターゲットデプロイされたクラウドリージョンに統合される二次的なクラウドリージョンは、一意のホストプレフィックスを持つ同一のDNS名構造を使用する必要があります。
• 必要に応じて、クラスタ vSphere 内に冗長化されたDNSサーバーを展開できます。 ライセンスのない状態で 2 つの AD/DNS サーバーが構成されます。 そうしたサーバーのために Windows オペレーティング・システムのライセンスを用意するのは、お客様の責任です。
• 単一のサイトにAD/DNSサーバーが1台のみプロビジョニングされている場合、設定済みのすべての VMware Cloud Foundation for Classic - Automated コンポーネントは、DNSエントリとしてその単一のIPアドレスのみを持つ必要があります。

セカンダリー VMware Cloud Foundation for Classic - Automated インスタンス

クロスインスタンス冗長化のため、既存のプライマリインスタンスまたはスタンドアロン VMware Cloud Foundation for Classic - Automated インスタンスに最初の VMware Cloud Foundation for Classic - Automated セカンダリインスタンスが追加されると、そのプライマリインスタンスのAD DNSサーバーIPアドレスが、DNSサーバーエントリを必要とするすべてのコンポーネントにおいて、セカンダリインスタンス VMware Cloud Foundation for Classic - Automated およびその後のすべてのセカンダリインスタンスの「セカンダリDNS」エントリで使用されます。

例えば、ESXi、NSX Manager vCenter,、およびHCX、Veeamなどのアドオンコンポーネントです HPE Zerto Software。 プライマリサイトのセカンダリDNSエントリは、最初のセカンダリインスタンスの VMware Cloud Foundation for Classic - Automated AD/DNS IPアドレスに変更されます。