附註：

將 vCenter Server Identity Provider Federation 與 Oracle Cloud VMware Solution 的 OCI IAM 整合

簡介

在現今迅速發展的 IT 環境中，系統間的無縫整合對於加強安全性和簡化管理至關重要。透過 VMware vCenter Server Appliance (VCSA) 8.0 U2，管理員現在可以利用 Oracle Cloud Infrastructure Identity and Access Management (OCI IAM) 進行識別同盟。Oracle Cloud VMware Solution 客戶可以完全控制其環境，讓客戶無須限制即可導入變更。透過啟用此整合，您可以簡化驗證程序並建立統一的存取控制機制，確保您的 VMware 環境保持安全、符合規範，並符合現代化的身分管理實務。

本教學課程旨在重點介紹使用 VCSA 8.0 U2 為組織採用外部身分識別提供者的優點。透過與 OCI IAM 等外部身分識別提供者整合，組織可以利用現有的身分識別基礎架構、簡化單一登入 (SSO) 流程，並透過多重因素認證增強安全性。此外，此整合支援基礎架構與身分識別管理之間的職責劃分，符合安全性與管理效率的最佳做法。

架構

外部身分識別提供者同盟的架構在 vCenter 之間保持一致，由 VMware Identity Services 提供支援。在本教學課程中，我們將著重於運用 OCI IAM 識別網域。

此整合中有兩個階段：

適用對象

OCI IAM 專業人員、Oracle Integration 管理員、Oracle Cloud VMware Solution 管理員及 VMware 管理員。

必要條件

作業 1：在 OCI IAM 網域中註冊機密應用程式

我們會在個別的 OCI IAM 網域中註冊機密應用程式。使用此機密應用程式，我們將使用 OAuth 2.0 授權碼流程來取得存取權杖。

  1. 登入 OCI 主控台，前往識別與安全，然後按一下網域。

    影像 3

  2. 選取您的網域。

    影像 4

  3. 按一下整合的應用程式，選取用於 OAuth 的機密應用程式，然後按一下啟動工作流程。

    影像 5

    影像 6

  4. 輸入您應用程式的名稱，然後按一下下一步。

    影像 7

  5. 在用戶端組態區段中，選取用戶端憑證。

    影像 61

    注意：儲存應用程式，但不啟用授權代碼和重新導向 URL 。從「任務 2」擷取重新導向 URL 之後，再次更新應用程式。請參見下方

    影像 58

  6. 完成應用程式工作流程並加以啟用。複製從屬端 ID 和從屬端密碼。

    影像 62

  7. 從網域資訊頁面複製網域 URL 。

    影像 16

工作 2：設定 vCenter 伺服器中的身分識別提供者 (IdP)，並下載 VCenter 憑證

我們將整合 vCenter 伺服器與 OCI IAM，為使用者啟用 SSO。在此工作中，設定 VCSA 中的 IdP。設定 IdP 之後，我們需要下載要在 IdP 組態中使用的 vCenter 憑證，才能建立 vCenter 與 OCI API 閘道之間的信任。

  1. 以管理員身分登入 vCenter 伺服器，然後瀏覽至首頁、管理、單一登入、組態、識別提供者、識別來源。從下拉式功能表中，選取 Okta 至變更提供者。

    影像 12

    注意： 我們將使用 Okta IdP 樣板，但將會以 OCI IAM 詳細資訊進行修改。

  2. 確認符合先決條件，然後選取下一步。

    影像 13

  3. 輸入目錄名稱、網域名稱，然後按下一步。

    影像 14

  4. 從下拉式功能表中選取一個記號有效期限值，然後按下一步。

    影像 15

  5. 在 OpenID Connect 區段中，複製重新導向 URI ，輸入在任務 1 中複製的識別提供者名稱、用戶端識別碼及秘密。

    在 OpenID 位址中，使用在「任務 1」中複製的網域 URL ，並將其附加至 /.well-known/openid-configuration。儲存詳細資訊之後，請按下一步。

    注意：請記下重新導向 URI 並更新 OCI IAM 中的機密應用程式 (如工作 1 步驟 5 中所述)。

    影像 17

  6. 複查識別提供者詳細資訊區段之後，請按一下完成。

    影像 18

  7. 按一下下載受信任的根 CA 憑證，從 vCenter 下載受信任的根 CA 憑證。

    影像 30

作業 3：在 OCI IAM 中建立 SCIM 應用程式

在此任務中，我們將在 OCI IAM 中建立 SCIM 2.0 應用程式，以便我們指定應將哪些 OCI IAM 使用者推送至 vCenter 伺服器。

  1. 登入 OCI 主控台，瀏覽至識別與安全性，選取您的網域並瀏覽至整合的應用程式，然後選取應用程式目錄以新增應用程式。

    影像 19

  2. 在搜尋列中輸入 GenericSCIM - Bearer 權杖，然後選取動態磚。

    影像 20

  3. 輸入應用程式名稱，然後按下一步。

    影像 21

  4. 選取啟用佈建。

    影像 22

  5. 由於 vCenter URL 不是公用 URL，因此 OCI IAM 將無法連線 vCenter SCIM API。若要公開 vCenter SCIM API，我們將設定公用 OCI API 閘道並新增 vCenter SCIM API 路由。讓我們現在將佈建設定連線詳細資訊保留為空白，然後完成屬性對應區段。

    注意：

    • 依預設，user.id 會與 externalId 對應。將 user.id 取代為 $(user.userName)。
    • 已更新「工作 6」中的「啟動設定」段落。

    影像 23

    如先決條件所述，OCI IAM 的使用者名稱值必須為 sAMAccountName 格式 (不是電子郵件或 UPN 格式)，因為當 OCI IAM 中的 SCIM 佈建處理作業以 vCenter 建立使用者帳戶時，使用者的 sAMAccountName (例如 jdoe) 會作為主要 ID。請參考下列範例屬性對應。

    影像 63

  6. 在選取提供作業區段中，依序選取建立帳戶、刪除帳戶、推送使用者更新、推送使用者啟用 / 停用狀態、啟用啟用同步，以及使用預設組態。

    影像 64

    影像 65

作業 4：建立 CA 組合

若要在 OCI API 閘道與 VCenter 之間建立信任的連線，我們必須在 OCI API 閘道中提供 VCenter 個受信任的根 CA 憑證。

  1. 登入 OCI 主控台，瀏覽至識別與安全、憑證以及 CA 組合。

    影像 31

  2. 在建立 CA 組合頁面中，選取適當的區間並提供有效的名稱給組合，然後貼上「工作 2」中下載之憑證的內容。

    影像 32

作業 5：設定 OCI API 閘道

為了安全地讓 OCI IAM 連線至未對網際網路公開的 vCenter SCIM API，OCI API Gateway 作為代理，可確保 OCI IAM 與 vCenter SCIM API 之間的順暢且安全地通訊。

  1. 登入 OCI 主控台，瀏覽至開發人員服務、 API 管理及閘道。

    影像 27

  2. 在建立閘道頁面中，輸入適當的名稱，選取想要的虛擬雲端網路和一個公用子網路。使用預設憑證，然後按一下完成。等待閘道完全部署。

    影像 28

    影像 29

  3. 按一下新增憑證授權機構，即可新增在「工作 4」中建立的 CA 組合。

    影像 33

  4. 按一下部署和建立部署。

    影像 34

  5. 在基本資訊區段中，輸入以下資訊。

    • 名稱： 輸入有效的名稱。
    • 路徑前置碼：輸入 /。
    • 執行記錄層級：選取資訊。

    影像 35

    影像 36

  6. 選取沒有認證。

    影像 37

  7. 在路由區段中，將適當的 vCenter SCIM API 端點新增為不同的路由 (路由 1、路由 2、路由 3、路由 4 和路由 5)，然後按下一步。

    • 路由 1： 路徑為 /usergroup/t/CUSTOMER/scim/v2，URL 為 https://<VSCA URL>

      影像 38

    • 路由 2： 路徑為 /usergroup/t/CUSTOMER/scim/v2/Users，URL 為 https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Users

      影像 39

    • 路由 3： 路徑為 /usergroup/t/CUSTOMER/scim/v2/Groups，URL 為 https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Groups

      影像 40

    • 路由 4： 路徑為 /usergroup/t/CUSTOMER/scim/v2/Groups/{object*}，URL 為 https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Groups/${request.path[object]}

      影像 41

    • 路由 5： 路徑為 /usergroup/t/CUSTOMER/scim/v2/Users/{object*}，URL 為 https://<VSCA URL>/usergroup/t/CUSTOMER/scim/v2/Users/${request.path[object]}

      影像 42

  8. 等待部署完成並複製端點 URL。

    影像 43

作業 6：更新 OCI IAM 中的 SCIM 應用程式

  1. 登入 OCI 主控台，瀏覽至識別與安全，選取您的網域並瀏覽至整合的應用程式，選取您的一般 SCIM Bearer 權杖應用程式，然後貼上 OCI API 閘道部署端點 URL。

    影像 44

    注意：請確定只使用主機名稱。

  2. 輸入基礎 URI 。

    影像 45

  3. 新增 vCenter 存取權杖。因此，您必須登入 vCenter 伺服器，選取 vCenter 組態，產生並複製記號。

    影像 67

  4. 在 SCIM 應用程式中貼上存取權杖，然後按一下測試連線。

    影像 66

作業 7：將使用者從 OCI IAM 同步至 vCenter

若要指定要將哪些 OCI IAM 使用者推送至 vCenter 伺服器，我們會將這些使用者指派給 SCIM 應用程式。

  1. 登入 OCI 主控台，瀏覽至識別與安全性，選取您的網域並瀏覽至整合的應用程式，選取您的 SCIM 應用程式，按一下使用者與指派使用者。

    影像 48

    影像 49

    影像 50

  2. 現在在 vCenter 中驗證推送的使用者並指派適當的權限。登入 vCenter 伺服器，選取 vCenter 組態，按一下「單一登入」中的使用者和群組，選取新增的網域並驗證使用者。

    影像 51

作業 8：測試

  1. 在無痕式瀏覽器中輸入 vSphere URL，然後按一下 LAUNCH VSPHERE CLIENT 。

    影像 52

    影像 53

  2. 在 vSphere 登入頁面中，按一下使用 OCI-IAM 登入。

    影像 54

  3. 要求會被重新導向至 OCI IAM 登入頁面。輸入使用者名稱以及密碼。

    影像 56

    驗證成功後，會移至 vSphere 首頁。

    影像 55

接下來的步驟

在本教學課程中，我們示範如何將 OCI IAM 與 vSphere 整合以進行同盟認證，讓使用者能夠透過集中式身分識別提供者和 SCIM 佈建進行登入，以確保兩個系統之間的使用者帳戶能夠有效率地同步。此整合可簡化身分識別管理、強化安全性，以及提升管理員的作業效率。

認可

其他學習資源

探索 docs.oracle.com/learn 上的其他實驗室，或存取 Oracle Learning YouTube 頻道上的更多免費學習內容。此外，請造訪 education.oracle.com/learning-explorer 以成為 Oracle Learning Explorer。

如需產品文件，請造訪 Oracle Help Center 。