Настройка двухфакторной аутентификации VMware vCenter Server

Общая информация

В статье описывается настройка VMware vSphere Client для подключения к vCenter Server c учётными данными Active Directory и двухфакторной аутентификацией.

Применимо к версиям:

• VMware vSphere 7.0
• VMware vSphere 6.7
• VMware vSphere 6.5
• VMware vSphere 6.0
• VMware vSphere 5.5

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Звонок (нужно принять вызов и нажать #)

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR LDAP Adapter.

Видео-презентация

Схема работы

1. Пользователь подключается к vCenter Server, вводит логин и пароль в vSphere Client;
2. vSphere Client по протоколу LDAP подключается к компоненту MULTIFACTOR LDAP Adapter;
3. Компонент проверяет логин и пароль пользователя в Active Directory и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа выбранным способом аутентификации.

Перед началом работы

1. Убедитесь, что на сервере с vCenter открыты порт 389 TCP (LDAP) и 636 TCP (LDAPS) для отправки запросов на сервер MULTIFACTOR LDAP Adapter;
2. На сервере должно быть установлено правильное время.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел «Ресурсы» и создайте новое LDAP приложение;
2. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;
3. Загрузите и установите MULTIFACTOR LDAP Adapter.

Настройка VMware vSphere Client

Настройка источника учётных записей

1. Зайдите в административную консоль VMware vSphere Client;
2. Откройте Menu → Administration → Single Sign On → Configuration;
3. На вкладке «Identity Sources» кликните «Add Identity Source»;
4. В выпадающем списке «Identity source type» выберите «Active Directory over LDAP»:

• Name: Произвольное имя
• Base distinguished name for users: Base DN для пользователей
• Base distinguished name for groups: Base DN для групп
• Domain name: Имя домена
• Username: DN сервисного пользователя
• Password: Пароль сервисного пользователя
• Connect To: Specific domain controllers
• Primary Server URL: Адрес компонента MULTIFACTOR LDAP Adapter в формате ldap://hostname:port:port или ldaps://hostname:port:port. Обычно используется порт 389 для LDAP соединений и 636 для LDAPS соединений.
• Secondary Server URL: Резервный сервер LDAP Proxy (опционально)
• SSL Certificates: Сертификат, в случае, если используется схема LDAPS.

5. Нажмите Add.

Настройка прав доступа

1. Зайдите в административную консоль VMware vSphere Client;
2. Откройте Menu → Administration → Access Control → Global Permissions;
3. Нажмите «+» (Add Permission):

• User: выберите домен из списка
• Search: в строке поиска найдите и выберите имя группы или конкретного пользователя из домена
• Role: выберите роль

4. Нажмите "ОК"

Права для пользователей можно настроить отдельно для каждого хоста в разделе «Permissions» этого хоста.

Смотрите также:

• Active Directory over LDAP and OpenLDAP Server Identity Source Settings
  
• VMware vSphere & Microsoft LDAP Channel Binding & Signing