vCenter Single Sign On

VMware vCenter 单点登录（SSO）是一种身份验证代理和安全令牌交换基础设施，它允许 VMware vSphere 组件通过安全令牌机制相互通信，并使用以下服务：

• 安全性令牌服务 (Security Token Service, STS)
• SSL 实现安全通信
• 通过使用身份源（如 Active Directory™ 或 OpenLDAP

查看以下 vSphere SSO 流程。

1. 用户使用用户名和密码登录 vSphere 客户端，访问 vCenter 或 vCenter 服务。
2. vSphere Client 将登录信息传递给 SSO 服务，该服务会检查 vSphere Client 的 SAML 令牌。 如果 vSphere 客户端有有效令牌，SSO 就会进行检查：
   • 如果用户 ID 是 @vsphere.local，则会根据本地 SSO 域检查用户。
   • 如果用户 ID 是 @DOMAIN，则 SSO 使用身份源检查该域。
3. 如果认证成功，SSO 会向 vSphere Client 返回表示用户的令牌。
4. vSphere Client 将令牌传递给 vCenter。
5. vCenter 与 SSO 一起检查令牌是否有效，是否过期。
6. 用户可以查看和修改用户角色对其具有特权的任何对象。

vSphere SSO 域用作初始身份验证机制，用于将一个实例或多个链接实例连接到 IBM Cloud® for VMware Solutions 基础架构域中的 AD 服务器。 在 IBM Cloud for VMware Solutions vCenter Server 设计中，应用了以下 SSO 配置：

• 始终使用 vsphere.local 的 SSO 域。
• SSO 网站名称等于订购过程中捕获的 <root_domain>。
• 配置了一个身份源，即 IBM Cloud for VMware Solutions 基础设施域 <root_domain>。
• VSPHERE.LOCAL\Administrator 用户被配置为管理员角色。
• 以下组配置为具有“管理员”角色：
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

部署后，administrator@vsphere.local 用户对 SSO 和 vCenter 服务器都拥有管理员访问权限。 该用户可以在 vsphere.local 域中管理身份源和默认域、指定密码策略并执行其他管理任务。 不过，该用户是 VMware vSphere® 和 VMware NSX® 基础架构身份验证的组成部分，它们不是 AD 的一部分，而是在 vSphere 部署时自动创建的。 由于此帐户不属于 AD，因此在 AD 未正常工作的情况下，仍可以使用此帐户。

作为客户，您具有完全访问权，可根据需要管理 vSphere SSO 用户和组。 有关更改这些策略的详细信息，请参阅 管理 vCenter 单点登录用户和组。