Configura la autenticación con Active Directory

Puedes configurar vCenter y NSX en Google Cloud VMware Engine para usar tu Active Directory local como una fuente de identidad LDAP o LDAPS para la autenticación de usuarios. Una vez que se complete la configuración, podrás proporcionar acceso a vCenter y NSX Manager, y asignar los roles necesarios para administrar tu nube privada.

Precaución: No se admite la unión de tu nube privada de vCenter a un dominio de Active Directory y tampoco es necesario. Tu servidor de nube privada de vCenter solo es compatible con el tipo de fuente de identidad de Active Directory a través de LDAP, que no requiere unir tu vCenter a un dominio de Active Directory. Evita el tipo de fuente de identidad Identidad de Active Directory (autenticación integrada de Windows).

Antes de comenzar

En los pasos que se indican en este documento, se supone que primero harás lo siguiente:

• Establece conectividad desde tu red local a tu nube privada
• Habilita la resolución de nombres de DNS de tu Active Directory local:
  • Para las redes heredadas de VMware Engine, habilita la resolución de nombres de DNS de tu Active Directory local creando reglas de reenvío de DNS en tu nube privada.
  • Para las redes estándar de VMware Engine: Habilita la resolución de nombres de DNS de tu Active Directory local configurando vinculaciones de DNS a tu red de VMware Engine.

En la siguiente tabla, se muestra la información que necesitas cuando configuras tu dominio de Active Directory local como una fuente de identidad de SSO en vCenter y NSX. Antes de configurar las fuentes de identidad de SSO, recopila la siguiente información:

Información	Descripción
DN base para usuarios	Es el nombre distinguido base para los usuarios.
Nombre de dominio	El FDQN del dominio, por ejemplo, example.com. No proporciones una dirección IP en este campo.
Alias del dominio	Es el nombre de NetBIOS del dominio. Si usas la autenticación SSPI, agrega el nombre de NetBIOS del dominio de Active Directory como un alias de la fuente de identidad.
DN base para grupos	Es el nombre distinguido base de los grupos.
URL del servidor principal	Es el servidor LDAP del controlador de dominio principal para el dominio. Usa el formato ldap://hostname:port o ldaps://hostname:port. Por lo general, el puerto suele ser 389 para las conexiones LDAP y 636 para las conexiones LDAPS. En las implementaciones de controladores de varios dominios de Active Directory, el puerto suele ser 3268 para LDAP y 3269 para LDAPS. Cuando usas ldaps:// en la URL de LDAP principal o secundaria, debes proporcionar un certificado X.509 codificado en Base64 en formato PEM o CER que establezca la confianza para la ruta de acceso completa del certificado, incluida la autoridad de certificación raíz (AC) y cualquier certificado de AC intermedio.
URL del servidor secundario	Es la dirección de un servidor LDAP de controlador de dominio secundario que se usa para la conmutación por error.
Elige un certificado	Para usar LDAPS con tu servidor LDAP de Active Directory o la fuente de identidad del servidor de OpenLDAP, haz clic en el botón Elegir certificado que aparece después de escribir ldaps:// en el campo URL. No se requiere una URL del servidor secundario. Sube un archivo de certificado X.509 con codificación PEM o CER que incluya el certificado de la AC raíz y cualquier certificado de AC intermedia en la cadena de confianza. Debido a que los controladores de dominio no suelen enviar el certificado de la AC raíz durante el protocolo de enlace TLS, subir solo el certificado de hoja del controlador de dominio provoca que falle la validación de TLS y devuelve un error Can't contact LDAP server, incluso cuando la conectividad TCP en el puerto 636 o 3269 se realiza correctamente.
Nombre de usuario	Es el ID de un usuario en el dominio que tiene un acceso mínimo de solo lectura al DN base para usuarios y grupos.
Contraseña	Es la contraseña del usuario que se especifica mediante Nombre de usuario.

Agrega una fuente de identidad en vCenter

En los siguientes pasos, se describe cómo agregar tu Active Directory local como un servidor LDAP en vCenter:

1. Accede a vCenter para tu nube privada con una cuenta de usuario de solución.
2. Selecciona Home > Administration.
3. Selecciona Single Sign On > Configuration.
4. Abre la pestaña Identity Sources y haz clic en +Add para agregar una fuente de identidad nueva.
5. Selecciona Active Directory as an LDAP Server y haz clic en Next.
6. Especifica los parámetros de la fuente de identidad para tu entorno. Si ingresas una URL de ldaps://, haz clic en Elegir certificado y sube el archivo de certificado X.509 codificado en Base64 que contiene el certificado de la AC raíz y cualquier certificado de AC intermedio. Luego, haz clic en Siguiente.
7. Revisa la configuración y haz clic en Finish.

Agrega una fuente de identidad en NSX

En estos pasos, se describe cómo agregar una fuente de identidad en NSX Manager. Si deseas automatizar esta configuración, puedes usar la API de NSX-T.

1. Accede a NSX Manager en tu nube privada.
2. Ve a Sistema > Configuración > Usuarios y funciones > LDAP.
3. Haz clic en Agregar fuente de identidad.
4. En el campo Nombre, ingresa un nombre visible para la fuente de identidad.
5. Especifica el Nombre de dominio y el DN base de tu fuente de identidad.
6. En la columna Tipo, selecciona Active Directory en LDAP.
7. En la columna Servidores LDAP, haga clic en Configurar.
8. En la ventana Configurar servidor LDAP, haz clic en Agregar servidor LDAP.
9. Especifica los parámetros del servidor LDAP. Si seleccionas LDAPS como protocolo, proporciona el certificado X.509 codificado en Base64 que contiene tu certificado de la AC raíz y cualquier certificado de la AC intermedio en el campo Certificados y, luego, haz clic en Verificar estado para verificar la conexión de NSX Manager a tu servidor LDAP.
10. Haz clic en Agregar para agregar el servidor LDAP.
11. Haz clic en Aplicar y, luego, en Guardar.

Puertos necesarios para usar Active Directory local como fuente de identidad

Los puertos que se muestran en la siguiente tabla son necesarios para configurar tu Active Directory local como una fuente de identidad en la nube privada de vCenter.

Puerto	Origen	Destino	Objetivo
53 (UDP)	Servidores DNS de nube privada	Servidores DNS locales	Es necesario para reenviar la búsqueda de DNS de los nombres de dominio de Active Directory locales desde un servidor de vCenter de nube privada a un servidor DNS local.
389 (TCP/UDP)	Red de administración de nube privada	Controladores de dominio de Active Directory local	Es obligatorio para la comunicación LDAP desde un servidor de vCenter de nube privada hasta los controladores de dominio de Active Directory para la autenticación de usuarios.
636 (TCP)	Red de administración de nube privada	Controladores de dominio de Active Directory local	Es necesario para la comunicación segura de LDAP (LDAPS) desde un servidor de vCenter de nube privada a los controladores de dominio de Active Directory para la autenticación de usuarios.
3268 (TCP)	Red de administración de nube privada	Servidores de catálogos globales de Active Directory local	Obligatorio para la comunicación LDAP a las implementaciones del controlador de varios dominios.
3269 (TCP)	Red de administración de nube privada	Servidores de catálogos globales de Active Directory local	Obligatorio para la comunicación LDAPS a las implementaciones del controlador de varios dominios.
8000 (TCP)	Red de administración de nube privada	Red local	Obligatorio para vMotion de máquinas virtuales de la red de nube privada a la red local.

¿Qué sigue?

Para obtener más información sobre las fuentes de identidad de SSO, consulta la siguiente documentación de vSphere y NSX Data Center:

• Agrega o edita una fuente de identidad de inicio de sesión único de vCenter.
• Fuente de identidad de LDAP.