Observação:

Ative a autenticação SAML 2.0 para o Horizonte VMware com Domínios de Identidade do OCI IAM e Gateway de Acesso Unificado

Introdução

VMware A Horizon ajuda na entrega eficiente e segura de desktops e aplicativos virtuais do local para a nuvem. Este tutorial explica como configurar os domínios de Identidade do Oracle Cloud Infrastructure (OCI) Identity and Access Management (IAM) como integração do provedor de identidades SAML (IdP) com o VMware Unified Access GatewayTM para acessar desktops e aplicativos virtuais do VMware Horizon.

Este tutorial usa Domínios de Identidade do OCI IAM como IdP. As etapas são sequenciais e se baseiam umas nas outras, portanto, certifique-se de concluir cada etapa antes de ir para a próxima etapa.

Arquitetura

Imagem 1

Como parte do recurso SAML 2.0, podemos iniciar desktops e aplicativos do Horizon VMware usando o cliente do Horizon VMware e o cliente Web.

Público-alvo

Este tutorial se destina a profissionais de TI e administradores do VMware Horizon. Presume-se a familiaridade com a rede e o armazenamento em um ambiente virtual, incluindo as soluções Active Directory e Identity. O conhecimento da Oracle Cloud VMware Solution é necessário.

Pré-requisitos

Tarefa 1: Configurar a Ponte do Microsoft Active Directory (AD) para Sincronização do AD e Autenticação Delegada

A ponte do Microsoft AD para Domínios de Identidade do OCI IAM pode ser facilmente configurada para sincronizar a estrutura do diretório de modo que qualquer registro de usuário ou grupo novo, atualizado ou excluído seja transferido para o OCI IAM. Quando os perfis de usuário são sincronizados, os usuários podem usar suas senhas do AD para acessar o IAM e acessar recursos e aplicativos protegidos pelo OCI IAM. Com a autenticação delegada, os administradores de domínios de identidade e os administradores de segurança não precisam sincronizar senhas de usuário entre o AD e o OCI IAM.

Para obter mais informações, consulte Configurando uma Ponte do Microsoft Active Directory (AD).

Tarefa 2: Configurar a integração SAML para o VMware Unified Access Gateway nos Domínios de Identidade do OCI IAM

Os metadados do provedor de identidades são necessários para ativar a integração entre o OCI IAM e o UAG, que permite o fluxo de comunicação entre o provedor de serviços (SP) e o IdP durante o processo de autenticação. Nesta seção, configuramos o aplicativo SAML 2.0 no OCI IAM (IdP), para obter os metadados IdP que devem ser usados no SP (Unified Access Gateway) e ativar o SSO (Single Sign-on).

  1. Faça log-in no Oracle Cloud, clique em Aplicativos e, em seguida, clique em Adicionar Aplicativo.

    Imagem 2

  2. Selecione Aplicativo SAML e clique em Iniciar workflow.

    Imagem 3

  3. Configure os detalhes do Novo Aplicativo.

    Imagem 4

    1. Informe VMware Horizon como o nome do aplicativo.

    2. (Opcional) Defina o aplicativo na seção Descrição.

    3. (Opcional) Forneça um logotipo do aplicativo se desejar na seção Links do aplicativo.

      Imagem 5

    4. Marque a caixa de seleção Impor concessões como autorização, se quiser permitir acesso ao aplicativo somente se o usuário estiver autorizado.

    5. Clique em Próximo.

  4. Configurar Definições de Sign-on Único: Substitua <UAG-FQDN> dos seguintes parâmetros pelo respectivo FQDN do seu ambiente. Este exemplo usa VMware Horizon.asknikhil.com.

    Imagem 6

    1. Digite https://<UAG-FQDN>/portal para ID da Entidade.

    2. Informe https://<UAG-FQDN>/portal/samlsso para URL do consumidor de asserção.

    3. Formato do ID do Nome como Não Especificado. Valor do ID do Nome como Nome do Usuário.

    4. Faça upload do certificado de assinatura baixado na console UAG.

    5. Mantenha os valores padrão nas caixas de texto restantes antes de rolar para baixo e clique em Concluir.

  5. Ative o aplicativo e faça download dos metadados do IDP.

    Imagem 7

    Observação: depois de configurar as definições de SSO e clicar em Finalizar, você será redirecionado para a página de detalhes do aplicativo, na qual poderá Ativar o aplicativo e, em seguida, Fazer Download dos metadados do Provedor de Identidades. Esses metadados serão carregados no Unified Access Gateway e no VMware Horizon Connection Server em etapas posteriores.

  6. Atribuir Usuários ou Grupos ao aplicativo: Atribua os usuários/grupos de acordo com o requisito.

    Imagem 8

Tarefa 3: Configurar a Integração SAML para o VMware Unified Access Gateway nos Domínios de Identidade do OCI IAM

No Unified Access Gateway, você deve impor a autenticação SAML e fazer upload de metadados do OCI IAM para ativar a autenticação SAML 2.0 de terceiros ao iniciar desktops e aplicativos remotos. Nesta seção, faremos upload dos metadados IdP e configuraremos o serviço de borda Horizonte VMware para autenticação SAML usando a console de administração do Unified Access Gateway.

Fazer Upload dos Metadados do Domínio de Identidades do OCI IAM para o Unified Access Gateway

Aqui, carregamos os metadados do IDP no UAG para permitir a confiança entre os dois.

  1. Em Advanced Settings no Unified Access Gateway. Clique na gear ao lado de Upload Identity Provider Metadata.

    Imagem 9

  2. Fazer Upload de Metadados IDP: Mantenha Entity ID vazio, pois esse valor será definido com base no arquivo XML de metadados.

    Imagem 10

    1. Clique em Selecionar para Metadados do IDP e selecione o arquivo de metadados XML baixado anteriormente do OCI IAM.

    2. Clique em Salvar.

Configurar o VMware Horizon Edge Service no UAG para autenticação SAML

Aqui configuramos SAML como o método de autenticação para o serviço Horizon VMware no Unified Access Gateway.

  1. Clique em Mostrar alternância ao lado das Definições do Serviço de Borda.

    Imagem 11

  2. Clique no ícone de engrenagem ao lado de VMware Configurações de Horizonte.

    Observação: todos os itens devem ser VERDE, representando que o appliance possa se comunicar com o VMware Horizon Connection Server por meio dos vários protocolos configurados. Os itens não totalmente funcionais são apresentados no RED.

  3. Configuração de Métodos de Autenticação de Acesso: Clique em Mais na parte inferior das definições do Horizonte VMware.

    Imagem 12

  4. Configurar SAML como Método de Autenticação.

    Imagem 13

    1. Selecione SAML.

    2. Selecione https://idcs-##### para o Provedor de Identidades. https://idcs-##### é o nome do ID da Entidade especificado nos metadados do Domínio de Identidades do OCI IAM.

    3. Role para baixo e clique em Salvar.

Observação: quando Métodos de Autenticação são definidos como SAML, a asserção SAML é validada pelo Unified Access Gateway e transmitida ao backend para sign-on único do usuário, aproveitando o True SSO para os desktops e aplicativos remotos. Quando os Métodos de Autenticação são definidos como SAML + passthrough, a asserção SAML é validada pelo Unified Access Gateway e o Servidor de Conexão autentica o usuário no Active Directory ao iniciar desktops e aplicativos remotos. Nos dois métodos AuthN, o usuário será redirecionado para autenticação SAML do OCI IAM, e os fluxos iniciados pelo provedor de serviços (SP) e IdP são suportados.

Tarefa 4: Configurar a Integração do Horizonte VMware com o Domínio de Identidades do OCI IAM para SAML e True SSO

Para fornecer uma experiência de SSO de ponta a ponta ao usuário final, precisamos configurar o True SSO em nosso ambiente Horizonte VMware. Quando True SSO está ativado, os usuários não precisam informar credenciais do Active Directory para usar uma área de trabalho remota ou aplicativos.

Quando o Unified Access Gateway está configurado para usar IdP de terceiros e o True SSO está ativado no Horizonte VMware, devemos criar um autenticador SAML na administração do Horizonte VMwareconsole para fornecer a mesma experiência de sign-on único de ponta a ponta, caso contrário, o usuário final terá que inserir suas credenciais de AD para fazer log-in na área de trabalho ou no aplicativo. Um autenticador SAML contém a confiança IdP e a troca de metadados entre o VMware Horizon e o dispositivo ao qual os clientes se conectam.

Nesta seção, criamos um autenticador SAML para o Domínio de Identidades do OCI IAM na console de administração do Horizonte VMware e ativamos o True SSO para o autenticador SAML do OCI IAM criado.

Observação: Associamos um autenticador SAML a uma instância do Servidor de Conexão. Se a implantação incluir mais de uma instância do Servidor de Conexão, você deverá configurar o autenticador SAML com cada instância.

Configurar o Autenticador SAML para True SSO

Aqui configuramos o Domínio de Identidades do OCI IAM como o autenticador SAML para o Horizonte VMware.

  1. Para acessar a console de administração do Horizonte VMware, navegue até https://server/admin no seu Web browser, em que servidor é o nome do host da instância do Servidor de Conexão.

    Imagem 25

    1. Digite o Nome do Usuário.

    2. Informe a Senha.

    3. Informe o Domínio.

    4. Clique em Acessar.

  2. Configurar Definições do Servidor de Conexão.

    Imagem 15

    1. Clique em Definições.

    2. Clique em Servidores.

    3. Selecione Servidores de Conexão e, em seguida, selecione o Servidor de Conexão a ser usado como servidor front-end para o Gateway de Acesso Unificado.

    4. Clique em Editar.

  3. Configurar Definições de Autenticação SAML.

    Imagem 26

    1. Selecione a tab Autenticação.

    2. Selecione Permitido para Delegação de autenticação para VMware Horizon (Autenticador SAML 2.0).

    3. Clique em Gerenciar Autenticadores SAML.

  4. Clique em Adicionar.

    Imagem 17

  5. Configurar Autenticador SAML para Domínio de Identidades do OCI IAM.

    Imagem 18

    1. Selecione Estático para o Tipo.

    2. Informe idcs para o Label.

    3. Cole o conteúdo do arquivo XML de metadados do Domínio de Identidades do OCI IAM que fizemos download anteriormente do OCI IAM na caixa de texto Metadados SAML.

    4. Certifique-se de que a opção Ativado para Servidor de Conexão esteja selecionada.

    5. Clique em OK.

  6. Confirme se o Autenticador SAML está Ativado.

    Imagem 19

    1. Confirme se o OCI IAM agora está configurado como um autenticador SAML para o Horizonte VMware.

    2. Clique em OK.

    Observação: podemos configurar mais de um autenticador SAML para um Servidor de Conexão e todos os autenticadores podem estar ativos simultaneamente. No entanto, o ID da entidade de cada autenticador SAML configurado no Servidor de Conexão deve ser diferente.

  7. Ativar True SSO para Autenticador SAML de Terceiros

    • Se o ambiente aproveitar o VMware Horizon TrueSSO, devemos ativar o Autenticador SAML do OCI IAM no True SSO. Use a linha de comando a seguir para listar todos os autenticadores e o status do modo True SSO.

      vdmutil --authAs <VMware Horizon admin user> --authDomain <fqdn> --authPassword <VMware Horizon admin password> --truesso --list --authenticator

      Substitua <VMware Horizon admin user> pelo usuário administrador do Horizonte VMware <fqdn> pelo nome de domínio totalmente qualificado para o usuário administrador do Horizonte VMware <VMware Horizon admin password> pela senha do administrador do Horizonte VMware

      Imagem 20

    • Se o modo True SSO for DISABLED para o autenticador que estamos tentando configurar, execute a linha de comando a seguir para ativar.

      vdmutil --authAs <VMware Horizon admin user> --authDomain <fqdn> --authPassword <VMware Horizon admin password> --truesso --authenticator --edit --name <SAML authenticator name> --truessoMode ENABLED

    • Depois de ativarmos True SSO, o True SSO mode para o autenticador, estamos ativando as exibições como: ENABLE_IF_NO_PASSWORD

Tarefa 5: Validar Área de Trabalho e Aplicativo por meio da autenticação SAML e True SSO

Aqui iniciamos o VMware Horizon Client para iniciar desktops e aplicativos remotos por meio do Unified Access Gateway e validar o fluxo de autenticação SAML e True SSO.

  1. Configurar o Cliente Horizonte VMware.

    Imagem 21

    1. Inicie VMware Horizon Client.

    2. Clique em Adicionar Servidor.

    3. Digite o IP/FQDN do Unified Access Gateway.

    4. Clique em Connect.

  2. Autenticar pelo OCI IAM.

    Imagem 22

    O usuário é redirecionado para o OCI IAM para autenticação. O usuário informa o Nome do Usuário e a Senha do AD e, após a autenticação bem-sucedida (Autenticação Delegada), ele é redirecionado de volta ao cliente Horizon VMware com um token válido.

  3. Inicie uma Área de Trabalho Virtual ou um Aplicativo.

    Imagem 23

    Após a autenticação bem-sucedida, o usuário receberá as áreas de trabalho e os aplicativos com direito a ele. Clique duas vezes em um dos ícones Desktop ou Aplicativos para iniciar o recurso.

  4. Confirme se a Área de Trabalho Virtual ou o Aplicativo foi iniciado.

    Imagem 24

Tarefa 6: Configurar Aplicativos MyConsole para Iniciar Desktop e Aplicativos Horizon

Nesta tarefa, você configura um aplicativo confidencial para iniciar uma área de trabalho do Horizon. Você pode repetir as mesmas etapas para criar vários aplicativos.

  1. Adicionar um novo aplicativo.

    Imagem 27

    1. Navegue até Aplicativos e clique em Adicionar Aplicativo.

    2. Selecione Aplicativo Confidencial e clique em Iniciar Workflow.

    Imagem 28

    1. No novo assistente de aplicativo, forneça o Nome do aplicativo e o URL do aplicativo.

      Observação: Para iniciar uma área de trabalho virtual chamada Demo-win1- do Pool de Desktop usando Minha Console do Domínio de Identidades do OCI IAM, a sintaxe do URL é a seguinte: https://<UAG-hostname>/portal/webclient/index.html?desktopName=Win10Desktop. Por exemplo, a sintaxe de URL para iniciar o Bloco de Notas do Pool de Aplicativos será https://<UAG-hostname>/portal/webclient/index.html?applicationName=Notepad.

    Imagem 29

    1. Em Exibir Definições, selecione a opção Exibir em Meus Aplicativos.

    2. Selecione Impor concessões como autorização na seção Autenticação e autorização e clique em Próximo.

      Imagem 30

    3. Na seção Configurar OAuth, selecione a opção Ignorar para mais tarde para Configuração do Servidor de Recursos e Configuração do cliente e clique em Próximo.

      Imagem 31

    4. Selecione a opção Ignorar e fazer mais tarde na seção Configurar Política e clique em Finalizar.

  2. Ative o aplicativo depois de criado.

    Imagem 32

  3. Atribuir usuários e grupos: Clique em Usuários ou Grupos para atribuir o respectivo usuário ou grupo de usuários.

    Imagem 33

Tarefa 7: Validar Inicialização de Desktop e Aplicativo do OCI IAM MyConsole.

  1. Faça log-in na console do OCI e navegue até Meu Perfil.

    Imagem 34

  2. Clique em Exibir minha console de aplicativos em Mais Ações.

    Imagem 35

  3. Um log-in bem-sucedido apresentará todos os aplicativos atribuídos à sua conta. Selecione um aplicativo a inicializar.

    Imagem 36

    • VMware UAG - Este é o aplicativo SAML 2.0 usado para gerar os metadados IdP. Iniciar este aplicativo redireciona você para o cliente HTML do Horizon. Você pode ocultar esse aplicativo na console de administração do OCI IAM.
    • Bloco de Notas - Refere-se ao pool de aplicativos do Bloco de Notas, que iniciará uma nova sessão do Bloco de Notas.
    • Windows Server - Refere-se ao grupo Demo-win1- desktop, que iniciará uma nova sessão do Desktop.

  4. Confirme se a área de trabalho virtual ou o aplicativo foi iniciado.

    Imagem 37

    1. Clique em Opções.

    2. Clique em Conexão e, em seguida, clique em Desconexão.

Como resultado da configuração Autenticador SAML e SSO Verdadeiro no Horizonte VMware, o sign-on único é configurado e o usuário é conectado automaticamente.

Confirmações

Autores - Gautam Mishra (Engenheiro de Nuvem Sênior), Nikhil Verma (Arquiteto de Nuvem Principal).

Mais Recursos de Aprendizagem

Explore outros laboratórios no site docs.oracle.com/learn ou acesse mais conteúdo de aprendizado gratuito no canal YouTube do Oracle Learning. Além disso, visite education.oracle.com/learning-explorer para se tornar um Oracle Learning Explorer.

Para obter a documentação do produto, visite o Oracle Help Center.