Observação:

Integrar a Federação do Provedor de Identidades do Servidor vCenter com o OCI IAM para o Oracle Cloud VMware Solution

Introdução

No cenário de TI em rápido avanço de hoje, a integração perfeita entre sistemas é essencial para melhorar a segurança e simplificar o gerenciamento. Com o VMware vCenter Server Appliance (VCSA) 8.0 U2, os administradores agora podem aproveitar o OCI IAM (Oracle Cloud Infrastructure Identity and Access Management) para federação de identidades. Esse recurso é possível porque os clientes da Oracle Cloud VMware Solution têm controle completo sobre seus ambientes, permitindo que implementem alterações sem restrições. Ao ativar essa integração, você pode simplificar os processos de autenticação e estabelecer um mecanismo de controle de acesso unificado que garanta que seu ambiente VMware permaneça seguro, em conformidade e alinhado com as práticas modernas de gerenciamento de identidades.

Este tutorial tem como objetivo destacar os benefícios da adoção de provedores de identidade externos para organizações que usam o VCSA 8.0 U2. Ao integrar-se a um provedor de identidades externo como o OCI IAM, as organizações podem aproveitar sua infraestrutura de identidade existente, agilizar os processos de Single Sign-On (SSO) e aprimorar a segurança por meio da autenticação multifator. Além disso, essa integração suporta a separação de tarefas entre gerenciamento de infraestrutura e identidade, alinhando-se às melhores práticas para segurança e eficiência administrativa.

Arquitetura

A arquitetura da federação externa do provedor de identidades permanece consistente em vCenter, com a tecnologia VMware Identity Services. Neste tutorial, nos concentraremos em aproveitar os domínios de identidade do OCI IAM.

Há 2 fases nesta integração:

Público-alvo

Profissionais do OCI IAM, administradores do Oracle Integration, administradores do Oracle Cloud VMware Solution e administradores do VMware.

Pré-requisitos

Tarefa 1: Registrar um Aplicativo Confidencial no Domínio IAM do OCI

Registraremos um aplicativo confidencial no respectivo domínio do OCI IAM. Usando este aplicativo confidencial, usaremos o fluxo de código de autorização OAuth 2.0 para obter tokens de acesso.

  1. Faça log-in na Console do OCI, vá para Identidade e Segurança e clique em Domínios.

    Imagem 3

  2. Selecione seu domínio.

    Imagem 4

  3. Clique em Aplicativos Integrados, selecione Aplicativo confidencial que é usado para OAuth e clique em Iniciar Workflow.

    Imagem 5

    Imagem 6

  4. Informe o Nome do seu aplicativo e clique em Próximo.

    Imagem 7

  5. Na seção Configuração do cliente, selecione Credenciais do cliente.

    Imagem 61

    Observação: salve o aplicativo sem ativar o Código de Autorização e o URL de Redirecionamento. Atualize o aplicativo novamente após obter o URL de Redirecionamento da Tarefa 2. Veja a seguir

    Imagem 58

  6. Conclua o fluxo de trabalho do aplicativo e ative-o. Copie o ID do Cliente e o Segredo do Cliente.

    Imagem 62

  7. Copie o URL do Domínio da página Informações do Domínio.

    Imagem 16

Tarefa 2: Configurar o Provedor de Identidades (IdP) no Servidor vCenter e Fazer Download do Certificado VCenter

Vamos integrar o vCenter Server ao OCI IAM para ativar o SSO para usuários. Nesta tarefa, configure um IdP no VCSA. Depois que o IdP for configurado, precisaremos fazer download do certificado vCenter a ser usado na configuração IdP para estabelecer confiança entre vCenter e o Gateway de API do OCI.

  1. Faça log-in como administrador no Servidor vCenter e navegue até Home, Administração, Sign-on Único, Configuração, Provedor de Identidades, Origens de Identidades. No menu suspenso, selecione Okta para Alterar Provedor.

    Imagem 12

    Observação: Usaremos o modelo IdP do Okta, mas ele será modificado com os detalhes do OCI IAM.

  2. Confirme se os pré-requisitos foram atendidos e selecione Próximo.

    Imagem 13

  3. Digite um Nome do Diretório, Nome(s) do Domínio e clique em Próximo.

    Imagem 14

  4. Selecione um valor Tempo de Vida do Token no menu drop-down e clique em Próximo.

    Imagem 15

  5. Na seção OpenID Connect, copie o URI de Redirecionamento, digite um Nome do Provedor de Identidades, um Identificador do Cliente e um Segredo copiados na Tarefa 1.

    No Endereço OpenID, use o URL do Domínio copiado na Tarefa 1 e anexe-o a /.well-known/openid-configuration. Clique em Próximo depois que os detalhes forem salvos.

    Observação: Anote o URI de Redirecionamento e atualize o aplicativo confidencial no OCI IAM, conforme mencionado na Etapa 5 da Tarefa 1.

    Imagem 17

  6. Clique em Finalizar após verificar a seção de detalhes do Provedor de Identidades.

    Imagem 18

  7. Clique em Fazer download do certificado da CA raiz confiável para fazer download do seu certificado da CA raiz confiável em vCenter.

    Imagem 30

Tarefa 3: Criar Aplicativo SCIM no OCI IAM

Nesta tarefa, criaremos um aplicativo SCIM 2.0 no OCI IAM que nos permitirá especificar quais usuários do OCI IAM devem ser enviados para o Servidor vCenter.

  1. Faça log-in na console do OCI, navegue até Identidade e Segurança, selecione seu Domínio e navegue até Aplicativos Integrados e selecione Catálogo de Aplicativos para adicionar um novo aplicativo.

    Imagem 19

  2. Digite GenericSCIM - Bearer Token na barra de pesquisa e selecione o bloco.

    Imagem 20

  3. Informe um Nome para o aplicativo e clique em Próximo.

    Imagem 21

  4. Selecione Ativar Provisionamento.

    Imagem 22

  5. Como o URL vCenter não é um URL público, o OCI IAM não poderá acessar APIs SCIM vCenter. Para expor a API SCIM vCenter, configuraremos o Gateway de API do OCI público e adicionaremos rotas de API SCIM vCenter. Deixe em branco os detalhes de provisionamento de Configurar conectividade por enquanto e conclua a seção Mapeamento de atributos.

    Observação:

    • Por padrão, user.id é mapeado com externalId. Substitua user.id por $(user.userName).
    • A seção Provisionamento é atualizada na Tarefa 6.

    Imagem 23

    Conforme mencionado nos pré-requisitos, o OCI IAM precisa ter o valor Nome do Usuário no formato sAMAccountName (não no formato de e-mail ou UPN) porque quando o processo de provisionamento SCIM no OCI IAM cria contas de usuário em vCenter, o sAMAccountName do usuário (por exemplo, jdoe) é usado como o identificador principal. Consulte o mapeamento de atributo de amostra a seguir.

    Imagem 63

  6. Na seção Selecionar operação de provisionamento, selecione Criar uma conta, Excluir a conta, Enviar atualizações do usuário, Enviar status de ativação/desativação do usuário, ativar Ativar Sincronização e usar a configuração padrão.

    Imagem 64

    Imagem 65

Tarefa 4: Criar um Pacote de CAs

Para estabelecer uma conectividade confiável entre o OCI API Gateway e o VCenter, precisamos fornecer certificados de CA raiz confiáveis VCenter no gateway de API do OCI.

  1. Faça log-in na console do OCI, navegue até Identidade e Segurança, Certificados e Pacotes de CA.

    Imagem 31

  2. Na página Criar Pacote de CAs, selecione um compartimento apropriado e forneça um Nome válido para seu pacote e cole o conteúdo do certificado baixado na Tarefa 2.

    Imagem 32

Tarefa 5: Configurar o Gateway de API do OCI

Para permitir que o OCI IAM alcance com segurança as APIs SCIM vCenter, que não são expostas à internet, um Gateway de API do OCI atua como proxy, garantindo uma comunicação perfeita e segura entre o OCI IAM e as APIs SCIM vCenter.

  1. Faça log-in na console do OCI, navegue até Developer Services, API Management e Gateways.

    Imagem 27

  2. Na página Criar gateway, digite um Nome apropriado, selecione uma Rede virtual na nuvem desejada e uma Sub-rede pública. Use o certificado padrão e clique em Finalizar. Aguarde até que o gateway seja implantado completamente.

    Imagem 28

    Imagem 29

  3. Clique em Adicionar autoridades de certificação para adicionar o pacote de CAs criado na Tarefa 4.

    Imagem 33

  4. Clique em Implantações e Criar Implantação.

    Imagem 34

  5. Na seção Informações Básicas, especifique as seguintes informações.

    • Nome: Informe um nome válido.
    • Prefixo do caminho: Informe /.
    • Nível de log de execução: Selecione Informações.

    Imagem 35

    Imagem 36

  6. Selecione Sem Autenticação.

    Imagem 37

  7. Na seção Rotas, adicione os pontos finais apropriados da API SCIM vCenter como rotas diferentes (Rota 1, Rota 2, Rota 3, Rota 4 e Rota 5) e clique em Próximo.

    • Rota 1: Caminho como /usergroup/t/CUSTOMER/scim/v2, URL como https://<VSCA URL>

      Imagem 38

    • Rota 2: Caminho como /usergroup/t/CUSTOMER/scim/v2/Users, URL como https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Users

      Imagem 39

    • Rota 3: Caminho como /usergroup/t/CUSTOMER/scim/v2/Groups, URL como https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Groups

      Imagem 40

    • Rota 4: Caminho como /usergroup/t/CUSTOMER/scim/v2/Groups/{object*}, URL como https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Groups/${request.path[object]}

      Imagem 41

    • Rota 5: Caminho como /usergroup/t/CUSTOMER/scim/v2/Users/{object*}, URL como https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Users/${request.path[object]}

      Imagem 42

  8. Aguarde a conclusão da implantação e copie o URL do Ponto Final.

    Imagem 43

Tarefa 6: Atualizar o Aplicativo SCIM no OCI IAM

  1. Faça log-in na console do OCI, navegue até Identidade e Segurança, selecione seu Domínio e navegue até Aplicativos Integrados, selecione seu aplicativo genérico de token ao portador SCIM, cole o URL do ponto final de implantação do Gateway de API do OCI.

    Imagem 44

    Observação: Certifique-se de que somente o Nome do Host seja usado.

  2. Informe o URI Base.

    Imagem 45

  3. Adicione o token de acesso vCenter. Para isso, você precisa Fazer Login no Servidor vCenter, selecionar a configuração vCenter, gerar e copiar o token.

    Imagem 67

  4. Cole o token de acesso no aplicativo SCIM e clique em Testar conectividade.

    Imagem 66

Tarefa 7: Sincronizar usuários do OCI IAM com o vCenter

Para especificar quais usuários do OCI IAM devem ser enviados para o Servidor vCenter, designaremos esses usuários ao aplicativo SCIM.

  1. Faça log-in na console do OCI, navegue até Identidade e Segurança, selecione seu Domínio e navegue até Aplicativos Integrados, selecione seu Aplicativo SCIM, clique em Usuário e Designar Usuários.

    Imagem 48

    Imagem 49

    Imagem 50

  2. Agora valide em vCenter para os usuários enviados e designe permissões apropriadas. Faça log-in no Servidor vCenter, selecione a configuração vCenter, clique em Usuário e Grupos no Sign-on Único, selecione seu Domínio adicionado e valide usuários.

    Imagem 51

Tarefa 8: Testando

  1. Informe o URL vSphere em um browser anônimo e clique em CLIENTE DE VSPHERE DE LÂMINA.

    Imagem 52

    Imagem 53

  2. Na página de log-IN vSphere, clique em INICIONAR COM o OCI-IAM.

    Imagem 54

  3. A solicitação é redirecionada para a página de log-in do OCI IAM. Informe o Nome de Usuário e a Senha.

    Imagem 56

    Após a autenticação bem-sucedida, ela vai para a home page vSphere.

    Imagem 55

Próximas Etapas

Neste tutorial, demonstramos como integrar o OCI IAM com o vSphere para autenticação federada, permitindo que os usuários façam login por meio de um provedor de identidades centralizado e provisionamento SCIM, garantindo que as contas de usuário sejam sincronizadas com eficiência entre os dois sistemas. Essa integração simplifica o gerenciamento de identidades, aumenta a segurança e melhora a eficiência operacional dos administradores.

Confirmações

Mais Recursos de Aprendizagem

Explore outros laboratórios em docs.oracle.com/learn ou acesse mais conteúdo de aprendizado gratuito no canal Oracle Learning YouTube. Além disso, visite education.oracle.com/learning-explorer para se tornar um Oracle Learning Explorer.

Para obter a documentação do produto, visite o Oracle Help Center.