Настройка двухфакторной аутентификации VMware vCenter Server
Общая информация
В статье описывается настройка VMware vSphere Client для подключения к vCenter Server c учётными данными Active Directory и двухфакторной аутентификацией.
Применимо к версиям:
VMware vSphere 7.0VMware vSphere 6.7VMware vSphere 6.5VMware vSphere 6.0VMware vSphere 5.5
Возможные способы аутентификации:
Мобильное приложение MultiFactorTelegramЗвонок (нужно принять вызов и нажать #)
Для настройки второго фактора аутентификации вам потребуется установить и настроить MultiFactor LDAP Adapter.
Схема работы
- Пользователь подключается к vCenter Server, вводит логин и пароль в vSphere Client;
- vSphere Client по протоколу LDAP подключается к компоненту MultiFactor LDAP Adapter;
- Компонент проверяет логин и пароль пользователя в Active Directory и запрашивает второй фактор аутентификации;
- Пользователь подтверждает запрос доступа выбранным способом аутентификации.
Перед началом работы
- Убедитесь, что на сервере с vCenter открыты порт 389 TCP (LDAP) и 636 TCP (LDAPS) для отправки запросов на сервер MultiFactor LDAP Adapter;
- На сервере должно быть установлено правильное время.
Настройка Мультифактора
- Зайдите в систему управления Мультифактором, далее в раздел "Ресурсы" и создайте новое LDAP приложение;
- После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;
- Загрузите и установите MultiFactor LDAP Adapter.
Настройка VMware vSphere Client
Настройка источника учётных записей
- Зайдите в административную консоль VMware vSphere Client;
- Откройте Menu -> Administration -> Single Sign On -> Configuration;
- На вкладке "Identity Sources" кликните "Add Identity Source";
- В выпадающем списке "Identity source type" выберите "Active Directory over LDAP":
- Name: Произвольное имя
- Base distinguished name for users: Base DN для пользователей
- Base distinguished name for groups: Base DN для групп
- Domain name: Имя домена
- Username: DN сервисного пользователя
- Password: Пароль сервисного пользователя
- Connect To: Specific domain controllers
- Primary Server URL: Адрес компонента MultiFactor LDAP Adapter в формате
ldap://hostname:port:portилиldaps://hostname:port:port. Обычно используется порт 389 для LDAP соединений и 636 для LDAPS соединений. - Secondary Server URL: Резервный сервер LDAP Proxy (опционально)
- SSL Certificates: Сертификат, в случае, если используется схема LDAPS.
- Нажмите Add.
Настройка прав доступа
- Зайдите в административную консоль VMware vSphere Client;
- Откройте Menu -> Administration -> Access Control -> Global Permissions;
- Нажмите "+" (Add Permission):
- User: выберите домен из списка
- Search: в строке поиска найдите и выберите имя группы или конкретного пользователя из домена
- Role: выберите роль
- Нажмите "ОК"
Права для пользователей можно настроить отдельно для каждого хоста в разделе "Permissions" этого хоста.
Смотрите также: