vCenter Single Sign On

VMware vCenter Single Sign-On (SSO) 是認證中介與安全令牌交換基礎架構，可讓 VMware vSphere 元件透過安全令牌機制互相通訊，並使用下列服務：

• 安全記號服務 (Security Token Service, STS)
• SSL 確保流量安全
• 使用身分來源驗證使用者，例如 Active Directory™ 或 OpenLDAP

查看以下vSphere SSO 流程。

1. 使用者以使用者名稱和密碼登入 vSphere Client，以存取 vCenter 或 vCenter 服務。
2. vSphere Client 將登入資訊傳遞給 SSO 服務，該服務會檢查 vSphere Client 的 SAML 記號。 如果vSphere Client 具有有效令牌，SSO 將檢查：
   • 如果使用者 ID 是 @vsphere.local，則會根據本機 SSO 網域檢查使用者。
   • 如果使用者 ID 是 @DOMAIN，則 SSO 會使用身分來源檢查該網域。
3. 如果鑑別成功，SSO 會將代表使用者的記號傳回給 vSphere Client。
4. vSphere Client 將記號傳遞給 vCenter。
5. vCenter 與 SSO 檢查令牌是否有效且未過期。
6. 使用者可以檢視和修改使用者角色對其具有專用權的任何物件。

vSphere SSO 網域用作初始驗證機制，它的作用是將一個實例或多個連結的實例連接到 IBM Cloud® for VMware Solutions 基礎結構網域中的 AD 伺服器。 在 IBM Cloud for VMware Solutions vCenter Server 設計中，套用了下列 SSO 配置：

• 總是使用 vsphere.local 的 SSO 網域。
• SSO 網站名稱等於訂購過程中擷取的 <root_domain>。
• 設定身分來源 IBM Cloud for VMware Solutions 基礎架構網域 <root_domain>。
• VSPHERE.LOCAL\Administrator 使用者設定為管理員角色。
• 下列群組配置為具有「管理者」角色：
  • <root_domain>\ic4v-vCenter
  • vsphere.local\Administrators

部署後，administrator@vsphere.local 使用者俱有對 SSO 和vCenter Server 的管理員存取權限。 此使用者可以管理身分來源和預設網域、指定密碼原則以及在 vsphere.local 網域中執行其他管理任務。 但是，此使用者是 VMware vSphere® 和 VMware NSX® 基礎結構認證的組成部分，他們不是 AD 的一部分，而是在 vSphere 部署時自動建立的。 由於此帳戶不屬於 AD，因此在 AD 未正常工作的狀況下，仍可以使用此帳戶。

作為客戶，您具有完整存取權，可根據需要管理 vSphere SSO 使用者和群組。 有關更改這些策略的詳細信息，請參閱 管理vCenter Single Sign-On 使用者和群組。