Implantando o VMware Identity Manager na DMZ. SETEMBRO DE 2018 VMware Identity Manager 3.3

Transcrição

1 Implantando o VMware na DMZ SETEMBRO DE 2018 VMware 3.3

2 Você pode encontrar a documentação técnica mais atualizada no site da VMware, em: O site da VMware também fornece as atualizações mais recentes de produtos. Caso tenha comentários sobre esta documentação, envie seu feedback para: docfeedback@vmware.com VMware, Inc Hillview Ave. Palo Alto, CA VMware Brasil Rua Surubim, 504 4º andar CEP Cidade Monções São Paulo SÃO PAULO: Brasil Tel: Fax: Direitos autorais 2017, 2018 VMware, Inc. Todos os direitos reservados. Informações sobre direitos autorais e marca registrada. VMware, Inc. 2

3 Conteúdo Implantando o VMware na DMZ 4 1 Modelos de implantação 5 Modelo de implantação no local usando-se o AirWatch Cloud Connector 6 Modelo de implantação no local usando-se o conector do VMware no modo de conexão somente de saída 9 2 Implantando o VMware na DMZ 14 3 Implantando o conector do VMware na rede corporativa 17 Implantando o VMware Connector 18 Configurando a alta disponibilidade para o VMware Connector 30 Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector 33 Configurando a autenticação de certificado para um cenário de implantação da DMZ 41 Gerenciando as configurações de administrador do conector do VMware 44 VMware, Inc. 3

4 Implantando o VMware na DMZ Implantando o VMware na DMZ fornece informações sobre como implantar o appliance virtual do VMware baseado em Linux na DMZ em vez de na rede interna. Para obter informações sobre como implantar o VMware na rede interna, consulte Instalação e configuração do VMware. Público-alvo As informações foram concebidas para administradores experientes de sistemas Windows e Linux que estão familiarizados com as tecnologias da VMware, principalmente o vcenter, o ESX e o vsphere, e com os conceitos de rede, Active Directory e bancos de dados. O conhecimento de outras tecnologias, como RSA Adaptive Authentication, RSA SecurID e RADIUS, também é útil se você planeja implementar esses recursos. Glossário de Publicações Técnicas VMware As Publicações Técnicas VMware fornecem um glossário de termos que talvez você não conheça. Para conhecer definições de termos usados na documentação técnica da VMware, acesse VMware, Inc. 4

5 Modelos de implantação 1 Dois tipos principais de modelos de implantação estão disponíveis para implantação do VMware na DMZ, um que se integra a uma implantação do Workspace ONE UEM, e outro que não requer o Workspace ONE UEM e usa o conector do VMware. Também é possível combinar os modelos de implantação caso você precise de funcionalidade que não tenha suporte para um dos modelos. Modelo de implantação usando o AirWatch Cloud Connector Se você tiver uma implantação existente do Workspace ONE UEM, poderá integrar o VMware a ela rapidamente. Nesse modelo, a sincronização de usuários e grupos desde seu diretório corporativo e sua autenticação de usuário é realizada pelo Workspace ONE UEM. Você implanta o VMware na DMZ. Observe que a integração do VMware com recursos como os recursos publicados do Horizon 7 e do Citrix não é suportada neste modelo. Apenas a integração com os aplicativos da Web e os aplicativos móveis nativos é suportada. Consulte Modelo de implantação no local usando-se o AirWatch Cloud Connector. Modelo de implantação usando-se o conector do VMware no modo de conexão somente de saída Em cenários que não requerem uma implantação do Workspace ONE UEM, você pode instalar o appliance virtual do servidor do VMware na DMZ, e um appliance virtual de conector do VMware na rede corporativa. O conector conecta o servidor aos serviços locais, como o Active Directory. O conector é instalado em modo de conexão somente de saída e não exige que a porta 443 do firewall de entrada esteja aberta. Nesse modelo, a sincronização do usuário e do grupo, feitas a partir do diretório corporativo e da autenticação do usuário, são realizadas pelo conector do VMware. Consulte Modelo de implantação no local usando-se o conector do VMware no modo de conexão somente de saída. Adicionando à implantação do conector do VMware o suporte para autenticação Kerberos Você pode adicionar a autenticação Kerberos para usuários internos (o que requer o modo de conexão de entrada) à sua implantação com base em conectores de modo de conexão somente de saída. VMware, Inc. 5

6 Consulte Adicionando suporte de autenticação Kerberos à sua implantação. Este capítulo inclui os seguintes tópicos: Modelo de implantação no local usando-se o AirWatch Cloud Connector Modelo de implantação no local usando-se o conector do VMware no modo de conexão somente de saída Modelo de implantação no local usando-se o AirWatch Cloud Connector Se você tiver uma implantação existente do Workspace ONE UEM, poderá integrar o VMware a ela. Você implanta o appliance virtual do VMware na DMZ. Nesse modelo, a sincronização de usuários e grupos desde seu diretório corporativo e sua autenticação de usuário é realizada pelo Workspace ONE UEM. Observe que a integração do VMware com recursos como os recursos publicados do Horizon 7 ou do Citrix não é suportada neste modelo. Apenas a integração com os aplicativos da Web e os aplicativos móveis nativos é suportada. VMware, Inc. 6

7 Figura 1 1. Implantação com o AirWatch Cloud Connector DMZ No local Rede Corporativa Servidor do VMware sincronização de usuário/grupo autenticação de usuário Servidor do AirWatch solicitar resposta HTTPS 443 (somente de saída) AirWatch Cloud Connector Active Directory/ outros serviços de diretório Observação Se você planejar configurar o SSO para Android, habilite a passagem SSL na porta 5262 do balanceador de carga na frente do VMware. Observação Se você planeja configurar a autenticação de certificado no conector incorporado, ative a passagem SSL no balanceador de carga para a porta configurada como a porta de passagem SSL da autenticação de certificado. A porta padrão é Pré-requisitos Você deve ter os seguintes componentes: Uma implantação de servidor do Workspace ONE UEM (anteriormente conhecido como AirWatch) Uma instância do AirWatch Cloud Connector implantada no local e integrada ao seu diretório corporativo Requisitos de porta As seguintes portas precisam estar abertas no balanceador de carga ou firewall para o servidor do VMware : 443 de entrada (HTTPS) 88 de entrada (TCP/UDP) - somente SSO para ios 5262 de entrada (HTTPS) - somente SSO para Android VMware, Inc. 7

8 CertAuthSSLPassthroughPort de entrada (HTTPS) - somente autenticação de certificado configurada no conector integrado do VMware. A porta padrão é Para os requisitos de implantação do Workspace ONE UEM, consulte a documentação do Workspace ONE UEM. Métodos de autenticação suportados Esse modelo de implantação suporta os seguintes métodos de autenticação. Esses métodos são disponibilizados por meio do provedor Provedor de identidade integrado do VMware. Senha (AirWatch Connector) SSO Móvel (para ios) SSO Móvel (para Android) Conformidade do Dispositivo (com AirWatch) Certificado - usa o conector integrado do VMware VMware Verify Além disso, a SAML de entrada por meio de um provedor de identidade de terceiros também está disponível. Integrações de diretório suportadas Você integra seu diretório corporativo ao do Workspace ONE UEM. Consulte a documentação do Workspace ONE UEM para cada tipo de diretório suportado. Recursos suportados Você pode integrar os seguintes tipos de recursos ao VMware neste modelo de implantação: aplicativos Web Aplicativos móveis nativos Você não pode integrar os seguintes recursos ao VMware neste modelo de implantação: Pools de desktops e aplicativos do Horizon 7, Horizon 6 ou View Recursos publicados Citrix Aplicativos empacotados do ThinApp Aplicativos e desktops do VMware Horizon Cloud Service Informações adicionais Capítulo 2Implantando o VMware na DMZ VMware, Inc. 8

9 "Integrando o Workspace ONE UEM ao VMware " no Guia para implantar o Workspace ONE Documentação do Workspace ONE UEM Modelo de implantação no local usando-se o conector do VMware no modo de conexão somente de saída Nesse modelo, você instala o appliance virtual do VMware na DMZ. Você também instala um appliance virtual de conector autônomo do VMware no modo de conexão somente de saída na rede corporativa. Este modelo não inclui nenhum componente do Workspace ONE UEM. A sincronização de usuários e grupos desde seu diretório corporativo e sua autenticação de usuário é realizada pelo conector autônomo do VMware. O conector também pode sincronizar os recursos, tais como os desktops e aplicativos do Horizon 7, com o serviço do VMware. Observação Alguns métodos de autenticação não requerem o conector e são gerenciados diretamente pelo serviço. Importante Use o conector autônomo em vez do conector que está integrado ao appliance do VMware para sincronizar usuários e grupos e para a autenticação de usuários. VMware, Inc. 9

10 Figura 1 2. Usando o conector do VMware no modo de saída No local DMZ Rede Corporativa 1 1 Servidor do VMware 2 3 Canal Websocket solicitar resposta HTTPS 443 (somente de saída) Conector do VMware Identity Manager Active Directory/ LDAP Serviços opcionais Autenticação RSA adaptativa RSA SecurID Servidor RADIUS Visualizar servidores de conexão Integration Broker ThinApp Farms da Citrix Observação Se você planejar configurar o SSO para Android, habilite a passagem SSL na porta 5262 do balanceador de carga na frente do VMware. Observação Se você planeja configurar a autenticação de certificado no conector incorporado, ative a passagem SSL no balanceador de carga para a porta configurada como a porta de passagem SSL da autenticação de certificado. A porta padrão é Requisitos de porta As seguintes portas precisam estar abertas no balanceador de carga ou firewall para o servidor do VMware : 443 de entrada (HTTPS) 88 de entrada (TCP/UDP) - somente SSO para ios 5262 de entrada (HTTPS) - somente SSO para Android CertAuthSSLPassthroughPort de entrada (HTTPS) - somente autenticação de certificado configurada no conector integrado. A porta padrão é O conector do VMware é instalado no modo de conexão somente de saída e não requer a abertura da porta de entrada 443. O conector se comunica com o serviço do VMware por meio de um canal de comunicação baseado em Websocket. VMware, Inc. 10

11 Para obter a lista completa das portas usadas, consulte Capítulo 2Implantando o VMware Identity Manager na DMZ e Capítulo 3Implantando o conector do VMware na rede corporativa. Métodos de autenticação suportados Esse modelo de implantação suporta todos os métodos de autenticação. Alguns desses métodos de autenticação não exigem o conector e são administrados diretamente pelo Provedor de identidade integrado. Senha - usa o conector Autenticação adaptativa RSA - usa o conector RSA SecurID - usa o conector RADIUS - usa o conector Certificado - usa o conector integrado VMware Verify - por meio do Provedor de identidade integrado Mobile SSO (ios) - por meio do Provedor de identidade integrado Mobile SSO (Android) - por meio do Provedor de identidade integrado SAML de entrada por meio de provedor de identidade de terceiros Observação Para mais informações sobre o uso do Kerberos, consulte Adicionando suporte de autenticação Kerberos à sua implantação. Integrações de diretório suportadas Você pode integrar os seguintes tipos de diretórios corporativos ao serviço do VMware neste modelo de implantação: Active Directory sobre LDAP Active Directory, Autenticação integrada do Windows Diretório LDAP Se você planeja integrar um diretório LDAP, consulte as limitações em "Integrando a diretórios LDAP" em Integração de diretório com o VMware. Alternativamente, você pode usar os seguintes métodos para criar usuários no serviço do VMware : Crie usuários locais diretamente no serviço do VMware. Use o provisionamento Just-in-Time para criar usuários no serviço do VMware dinamicamente no momento de logon, usando asserções SAML enviadas por um provedor de identidade de terceiros. VMware, Inc. 11

12 Recursos suportados Você pode integrar os seguintes tipos de recursos ao serviço do VMware neste modelo de implantação: aplicativos Web Pools de desktops e aplicativos do Horizon 7, Horizon 6 ou View Aplicativos e áreas de trabalho do Horizon Cloud Recursos publicados Citrix Aplicativos empacotados do ThinApp Informações adicionais Capítulo 2Implantando o VMware na DMZ e Capítulo 3Implantando o conector do VMware na rede corporativa Diretórios Integração de diretório com o VMware "Usando diretórios locais" na Administração do VMware "Provisionamento de usuários Just-in Time" na Administração do VMware "Configurando a autenticação de usuário no VMware " na Administração do VMware Configurando recursos no VMware Adicionando suporte de autenticação Kerberos à sua implantação Você pode adicionar a autenticação Kerberos para usuários internos, o que requer o modo de conexão de entrada, à sua implantação com base em conectores de modo de conexão somente de saída do VMware. Os mesmos conectores podem ser configurados para usar a autenticação Kerberos para usuários provenientes da rede interna e outro método de autenticação para usuários que vêm de fora. Você pode conseguir isso definindo políticas de autenticação baseadas em intervalos de rede. VMware, Inc. 12

13 Figura 1 3. Adicionando a autenticação Kerberos No local DMZ Rede Corporativa Servidor do VMware Identity Manager 443 Balanceador de carga 443 Conector 1 do VMw Identity Manager Conector 2 do VMw Identity Manager Observe que o processo para configurar a alta disponibilidade da autenticação Kerberos é diferente. Para obter mais informações, consulte Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector. Adicionando o método de autenticação de certificado à sua implantação Para adicionar a autenticação de certificado à sua implantação, você pode configurar a autenticação de certificado no conector que está incorporado ao serviço do VMware. Consulte Configurando a autenticação de certificado para um cenário de implantação da DMZ para obter informações. VMware, Inc. 13

14 Implantando o VMware Identity 2 Manager na DMZ Você pode implantar o appliance virtual do VMware na DMZ se não quiser implantá-lo na rede corporativa. Se você implantar o appliance do VMware na DMZ, também implantará um conector autônomo do VMware no modo de conexão somente de saída na rede corporativa. Requisitos de configuração do sistema e da rede Os requisitos de configuração do sistema e da rede para a implantação do VMware na DMZ são semelhantes aos requisitos para a implantação do VMware na rede corporativa, descritos nos "Requisitos para a configuração do sistema e da rede" e "Preparando para implantar o VMware " em Instalação e configuração do VMware, exceto as diferenças listadas aqui. Você não precisa abrir uma porta de firewall de entrada para nenhum appliance na rede corporativa. O appliance virtual do VMware é implantado na DMZ. O conector do VMware é implantado na rede corporativa no modo de conexão somente de saída e se comunica com o serviço através de um canal de comunicação baseado em Websocket. Você não precisa implantar um proxy reverso ou um balanceador de carga para permitir o acesso externo ao VMware. Será necessário um balanceador de carga somente se você configurar a alta disponibilidade e a redundância para o appliance virtual do VMware. Se você configurar a autenticação de certificado no conector incorporado, precisará ativar a passagem SSL no balanceador de carga para a porta configurada como a porta de passagem SSL para a autenticação de certificado. A porta padrão é As seguintes portas são usadas. Sua implantação pode exigir apenas um subconjunto delas. Porta Origem Target Descrição 443 Balanceador de carga Appliance virtual do VMware HTTPS 443 Appliance virtual do VMware Balanceador de carga HTTPS Necessário para validar o FQDN do balanceador de carga quando ele é definido. VMware, Inc. 14

15 Porta Origem Target Descrição 443 Conector Host de serviço do VMware 443 Conector Balanceador de carga do serviço do VMware Identity Manager 443 Navegadores Appliance virtual do VMware 88 Navegadores Appliance virtual do VMware 5262 Navegadores Appliance virtual do VMware HTTPS HTTPS HTTPS TCP/UDP Somente SSO para ios TCP/UDP Somente SSO para Android 88 Appliance virtual do VMware 443, 80 Appliance virtual do VMware 443 Appliance virtual do VMware 443 Appliance virtual do VMware Servidor KDC híbrido na nuvem. O nome do host é kdc.<realm>. Por exemplo, kdc.op.vmwareidentity.com. vapp-updates.vmware.com catalog.vmwareidentity.com discovery.awmdm.com Porta UDP usada para autenticar as atualizações configuração de adaptadores de autenticação de SSO móvel do ios que são salvas no serviço do KDC na nuvem. Esta porta será usada somente se o recurso de SSO móvel do ios do KDC híbrido for usado. Acesso ao servidor de upgrade da VMware Acesso ao catálogo na nuvem Acesso à descoberta automática do aplicativo Workspace ONE 8443 Navegadores Appliance virtual do VMware Porta do administrador HTTPS 25 Appliance virtual do VMware 53 Appliance virtual do VMware 443, 8443 Appliance virtual do VMware servidor SMTP Servidor DNS Appliance virtual do VMware Porta TCP para transmitir mensagens de saída TCP/UDP Todos os appliances virtuais devem ter acesso ao servidor DNS na porta 53 e permitir o tráfego SSH de entrada na porta 22. HTTP/HTTPS Para todas as instâncias do VMware em um cluster e entre clusters de centros de dados diferentes VMware, Inc. 15

16 Porta Origem Target Descrição 9300 (TCP) (UDP) Appliance virtual do VMware Appliance virtual do VMware Necessidades de auditoria 5701 (TCP) Appliance virtual do VMware Appliance virtual do VMware Cache do Hazelcast (TCP) (TCP) Appliance virtual do VMware Appliance virtual do VMware Ehcache 1433 Appliance virtual do VMware 443 Appliance virtual do VMware Banco de dados REST API do Workspace ONE UEM A porta padrão do Microsoft SQL é a 1433 HTTPS Para a verificação da conformidade do dispositivo e para o método de autenticação Senha do ACC, se usado. Porta de passagem SSL para autenticação de certificado Navegadores Appliance virtual do VMware HTTPS Para a autenticação de certificado configurada no conector integrado. Porta padrão: Appliance virtual do VMware servidor syslog UDP Para o servidor syslog externo, se configurado Implantando o appliance do VMware Para obter informações sobre como implantar e configurar o appliance virtual do VMware Identity Manager, consulte "Implantando o VMware " e "Gerenciando os parâmetros de configuração do sistema do appliance" em Instalação e configuração do VMware. Configurando failover e redundância Para obter informações sobre como configurar o failover e a redundância para o appliance virtual do VMware, consulte as seções a seguir em Instalação e configuração do VMware Identity Manager: Configurando failover e redundância em um único centro de dados Implantando o VMware em um centro de dados secundário para o failover e a redundância Observação A seção "Usando um balanceador de carga ou um proxy reverso para habilitar o acesso externo ao VMware " não se aplica em cenários em que o VMware está implantado na DMZ. VMware, Inc. 16

17 Implantando o conector do VMware na rede corporativa 3 Quando você implanta o appliance virtual do VMware na DMZ, também deve implantar um appliance de conector autônomo do VMware em sua rede corporativa no modo de conexão somente de saída. O conector conecta o serviço do VMware a outros componentes dentro da rede corporativa, como o Active Directory e o Horizon 7. O conector comunica-se com o serviço no modo de conexão somente de saída através de um canal de comunicação. Observação Se você tiver uma implantação do Workspace ONE UEM e usar o AirWatch Cloud Connector, o conector do VMware não será necessário, a menos que você precise dos casos de uso suportados pelo conector do VMware. Consulte Modelo de implantação no local usando-se o AirWatch Cloud Connector. Requisitos de configuração do sistema e da rede Consulte Requisitos de configuração do sistema e da rede. Implantando e configurando o conector do VMware Para obter informações sobre como implantar e configurar o conector do VMware no modo de conexão somente de saída, consulte os seguintes tópicos. Implantando o VMware Connector Configurando a alta disponibilidade para o VMware Connector Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector VMware, Inc. 17

18 Failover e redundância Para obter informações sobre como configurar o conector para failover e redundância, consulte os seguintes tópicos. Configurando a alta disponibilidade para o VMware Connector Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector Este capítulo inclui os seguintes tópicos: Implantando o VMware Connector Configurando a alta disponibilidade para o VMware Connector Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector Configurando a autenticação de certificado para um cenário de implantação da DMZ Gerenciando as configurações de administrador do conector do VMware Implantando o VMware Connector Para implantar o conector do VMware, instale o appliance virtual do conector no vcenter Server, ligue-o e ative-o usando um código de ativação gerado no console do VMware. Você também define as configurações do appliance, tais como as senhas de configuração. Após instalar e configurar o conector, você vai para o console do VMware para configurar a conexão ao seu diretório corporativo, habilita adaptadores de autenticação no conector e por fim habilita o modo de saída para o conector. Requisitos de configuração do sistema e da rede Considere toda sua implantação, incluindo os recursos que você planeja integrar, quando você toma decisões sobre o hardware, os recursos e os requisitos de rede. Versões compatíveis do vsphere e do ESX Você instala o appliance virtual no vcenter Server. As seguintes versões do vsphere e do ESX Server são compatíveis: 5.5 e posterior 6.0 e posteriores O VMware vsphere Web Client é necessário para a implantação do arquivo OVA e acessar remotamente o appliance virtual implantado. VMware, Inc. 18

19 Requisitos do appliance virtual do conector do VMware Certifique-se de que você atende aos requisitos para a quantidade de servidores e os recursos alocados a cada servidor. Quantidade de usuários Até Quantidade de servidores de conector 1 servidor 2 servidores com balanceamento de carga 2 servidores com balanceamento de carga 2 servidores com balanceamento de carga 2 servidores com balanceamento de carga CPU (por servidor) 2 CPUs 4 CPUs 4 CPUs 4 CPUs 4 CPUs RAM (por servidor) 6 GB 6 GB 8 GB 16 GB 16 GB Espaço em disco (por servidor) 60 GB 60 GB 60 GB 60 GB 60 GB Requisitos de configuração de rede Componente Registro DNS e endereço IP estático Requisito mínimo Os requisitos do conector são os mesmos que os requisitos para o appliance virtual do VMware. Consulte "Criar registros DNS e endereços IP" em Instalando e configurando o VMware. Observação Se você planejar configurar a autenticação Kerberos, o nome do host do conector deverá corresponder ao domínio do Active Directory no qual o conector ingressou. Por exemplo, se o domínio do Active Directory for vendas.exemplo.com, o nome do host do conector deverá ser connectorhost.vendas.exemplo.com. Se você não puder atribuir um nome de host que corresponda à estrutura de domínio do Active Directory, precisará configurar manualmente o conector e o Active Directory. Consulte a Base de conhecimento para obter informações. Porta do firewall Certifique-se de que a porta 443 do firewall de saída está aberta a partir da instância do conector para a URL de seu VMware. Requisitos de porta As portas usadas na configuração do servidor do conector são descritas abaixo. A implantação pode incluir somente um subconjunto delas. Porta Origem Target Descrição 443 Appliance virtual do conector Host de serviço do VMware 443 Appliance virtual do conector Balanceador de carga do serviço do VMware Identity Manager HTTPS HTTPS 443, 80 Appliance virtual do conector vapp-updates.vmware.com Acesso ao servidor de atualização VMware, Inc. 19

20 Porta Origem Target Descrição 8443 Navegadores Appliance virtual do conector HTTPS Porta do administrador 443 Navegadores Appliance virtual do conector HTTPS Esta porta só é necessária para um conector que está sendo usado no modo de entrada. Se a autenticação Kerberos estiver configurada no conector, essa porta será necessária. 389, 636, 3268, 3269 Appliance virtual do conector Active Directory Os valores padrão aparecem. Essas portas são configuráveis Appliance virtual do conector Sistema RSA SecurID O valor padrão é mostrado. Essa porta é configurável 53 Appliance virtual do conector Servidor DNS TCP/UDP Todos os appliances virtuais devem ter acesso ao servidor DNS na porta 53 e permitir o tráfego SSH de entrada na porta 22 88, 464, 135, 445 Appliance virtual do conector Controlador de domínio TCP/UDP 389, 443 Appliance virtual do conector View Connection Server Acesse as instâncias do View Connection Server para as integrações Horizon/View. 445 Appliance virtual do conector Repositório do VMware ThinApp Acesso ao repositório do ThinApp 80, 443 Appliance virtual do conector Servidor do Integration Broker TCP Conexão com o servidor do Integration Broker. A opção de porta depende do fato de um certificado estar instalado no servidor do Integration Broker. 514 Appliance virtual do conector servidor syslog UDP Para o servidor syslog externo, se configurado VMware, Inc. 20

21 Diretórios com suporte Você integra seu diretório corporativo ao VMware e sincroniza com o serviço os usuários e os grupos a partir do seu diretório corporativo. Você pode integrar os seguintes tipos de diretórios. Um ambiente Active Directory que consiste em um único domínio do Active Directory, vários domínios em uma única floresta do Active Directory ou vários domínios em várias florestas do Active Directory. O VMware suporta o Active Directory no Windows 2008, 2008 R2, 2012 e 2012 R2, com um nível funcional de Domínio e nível funcional de Floresta do Windows 2003 e posterior. Observação Um nível funcional mais alto pode ser necessário para alguns recursos. Por exemplo, para permitir que os usuários alterem as senhas do Active Directory a partir do Workspace ONE, o nível funcional do Domínio deve ser Windows 2008 ou posterior. Um diretório LDAP Seu diretório deve ser acessível ao appliance virtual do conector. Observação Você também poderá criar diretórios locais no serviço do VMware. Listas de verificação de implantação Os requisitos do conector são parecidos com os requisitos do appliance virtual do VMware Identity Manager. Consulte "Listas de verificação de implantação" em Instalando e configurando o VMware. Observação Se você planejar configurar a autenticação Kerberos, o nome do host do conector deverá corresponder ao domínio do Active Directory no qual o conector ingressou. Por exemplo, se o domínio do Active Directory for vendas.exemplo.com, o nome do host do conector deverá ser connectorhost.vendas.exemplo.com. Se você não puder atribuir um nome de host que corresponda à estrutura de domínio do Active Directory, precisará configurar manualmente o conector e o Active Directory. Consulte a Base de conhecimento para obter informações. Gerar código de ativação do conector Antes de instalar o conector do VMware, faça login no console de administração do VMware e gere um código de ativação para o conector. Esse código de ativação é usado para estabelecer a comunicação entre o serviço e o conector. Procedimentos 1 Faça login no console do VMware. 2 Clique na guia Gerenciamento de Identidade e Acesso. VMware, Inc. 21

22 3 Clique em Configuração. 4 Na página Conectores, clique em Adicionar conector. 5 Digite um nome para oconector. 6 Clique em Gerar código de ativação. O código de ativação é exibido na página. 7 Copie o código de ativação e salve-o. Você precisará do código de ativação posteriormente quando implantar o conector. Você já pode instalar o appliance virtual do conector. Instalar e configurar o appliance virtual do conector Para implantar o conector, instale o appliance virtual do conector no vcenter Server usando o vsphere Web Client, ligue e ative-o usando o código de ativação gerado no console do VMware. Pré-requisitos Baixe o arquivo do conector OVA a partir da página de produto do VMware no endereço my.vmware.com. Abra o vsphere Web Client, usando os navegadores Firefox ou Chrome. Não use o Internet Explorer para implantar o arquivo OVA. VMware, Inc. 22

23 Identifique, para seu appliance, os registros DNS e o nome do host a serem usados. Observação Se você planejar configurar a autenticação Kerberos, o nome do host do conector deverá corresponder ao domínio do Active Directory no qual o conector ingressou. Por exemplo, se o domínio do Active Directory for vendas.exemplo.com, o nome do host do conector deverá ser connectorhost.vendas.exemplo.com. Se você não puder atribuir um nome de host que corresponda à estrutura de domínio do Active Directory, precisará configurar manualmente o conector e o Active Directory. Consulte a Base de conhecimento para obter informações. Procedimentos 1 No vsphere Web Client, clique com o botão direito do mouse em qualquer objeto de inventário no qual uma máquina virtual pode ser implantada, como um host, cluster ou pasta, e selecione Implantar Modelo OVF. 2 Siga o assistente Implantar Modelo OVF para implantar o modelo de conector do VMware Identity Manager. a b c d e f Na página Selecionar Modelo, selecione Arquivo Local, clique em Procurar para selecionar o arquivo OVA do conector baixado e clique em Avançar. Na página Selecionar nome e localização, insira um nome exclusivo para o appliance virtual do conector, selecione um centro de dados ou uma pasta como o local de implantação e clique em Avançar. Na página Selecionar um recurso, selecione o host, cluster, pool de recursos ou vapp no qual você deseja executar o appliance virtual do conector e clique em Avançar. Na página Detalhes de Revisão, confira os detalhes do modelo de conector e clique em Avançar. Na página Aceitar contratos de licença, leia e aceite o contrato de licença e clique em Avançar. Na página Selecionar armazenamento, selecione o repositório de dados ou o cluster de repositório de dados no qual armazenar os arquivos do appliance virtual e clique em Avançar. Também selecione o formato do disco virtual para os arquivos. Para ambientes de produção, selecione um formato de Provisionamento estático. Use o formato de Provisionamento dinâmico para avaliação e teste. g Na página Selecionar redes, selecione a rede de destino à qual você deseja conectar o appliance virtual do conector e clique em Avançar. VMware, Inc. 23

24 h Na página Personalizar modelo, defina as propriedades de rede e de aplicativo. Opção Propriedades do aplicativo Descrição Ingressar no Programa de Aperfeiçoamento da Experiência do Cliente da VMware Este produto participa do Programa de aperfeiçoamento da experiência do cliente ( CEIP ) da VMware. Os detalhes sobre os dados recolhidos pelo CEIP e os fins para os quais eles são utilizados pela VMware estão estabelecidos no Centro de Confiança e Garantia, em Caso prefira não participar do CEIP da VMware para este produto, desmarque a caixa abaixo. Você pode participar ou deixar de participar do CEIP da VMware para este produto a qualquer momento. Observação Se a sua rede estiver configurada para acessar a Internet por meio do proxy HTTP, para enviar à VMware os dados coletados pelo CEIP, você deverá ajustar as configurações de proxy no appliance virtual do conector. Você pode alterar as configurações de proxy depois de implantar o conector. Observação O CEIP só é aplicável para instalações locais do VMware. Faça as suas escolhas ao instalar o serviço do VMware. No console de administração, você também pode participar ou sair do CEIP a qualquer momento após a instalação. Configuração do fuso horário Selecione o fuso horário correto. Propriedades de Rede Insira valores para DNS, Gateway Padrão, Endereço IP e Máscara de Rede para configurar o endereço IP estático para o conector. Se qualquer um desses quatro campos de endereço, ou o Nome do Host, for deixado em branco, DHCP será usado. Na caixa de texto Nome do Host (FQDN), insira o nome de host totalmente qualificado a ser usado para o appliance virtual do conector. Se estiver em branco, o DNS reverso será usado para procurar o nome do host. i Na página Pronto para ser concluído, revise as seleções, faça os ajustes, se necessário, e clique em Concluir. Dependendo da velocidade da rede, a implantação pode levar vários minutos. 3 Quando a implantação estiver concluída e o appliance virtual do conector aparecer sob o objeto de inventário no qual você o implantou, clique com o botão direito do mouse no appliance virtual do conector e selecione Ligar/Desligar > Ligar. O appliance virtual do conector é inicializado. Você pode ir até a guia Resumo e clicar no console do appliance virtual para ver os detalhes. Após concluída a inicialização do appliance virtual, o console exibirá a versão do conector e a URL para o assistente de Instalação. 4 Para executar o assistente de Configuração, aponte o navegador para a URL do conector exibida no console do appliance virtual, 5 Na página de boas-vindas, clique em Continuar. VMware, Inc. 24

25 6 Crie senhas de alta segurança para as seguintes contas de administrador do appliance virtual do conector. As senhas de alta segurança devem ter pelo menos oito caracteres e incluir letras maiúsculas e minúsculas e pelo menos um caractere numérico ou especial. Opção Administrador do appliance Descrição Crie a senha do administrador do appliance. O nome do usuário é admin e não pode ser alterado. Você usa essa conta e senha para fazer login nos serviços do conector a fim de gerenciar certificados, senhas de appliance e a configuração do syslog. Importante A senha do usuário administrador deve ter pelo menos 6 caracteres. Conta raiz Conta de usuário SSH Uma senha raiz padrão da VMware foi usada para instalar o appliance do conector. Criar uma nova senha raiz. Crie a senha a ser usada para o acesso remoto ao appliance do conector. 7 Clique em Continuar. 8 Na página Ativar Conector, cole o código de ativação e clique em Continuar. O código de ativação é verificado, e a comunicação entre o serviço do VMware e a instância do conector é estabelecida. A instalação do conector foi concluída. Próximo passo Clique no link na página A Instalação foi Concluída para acessar o console do VMware. Em seguida, configure a conexão do diretório. Configurar um diretório Depois de implantar o appliance virtual do conector, configure um diretório no console do VMware. Você pode sincronizar com o serviço do VMware usuários e grupos a partir do diretório corporativo. o VMware suporta integrar os seguintes tipos de diretórios. Active Directory sobre LDAP Active Directory, Autenticação integrada do Windows Diretório LDAP Consulte Integração do diretório com o VMware para obter mais informações. Observação Você também poderá criar diretórios locais no serviço do VMware. Consulte "Usando diretórios locais" na Administração do VMware para obter informações. VMware, Inc. 25

26 Procedimentos 1 Clique no link da página A configuração está completa, que é exibido depois que você tiver ativado o conector. A guia Gerenciamento de Identidade e Acesso > Diretórios é exibida. 2 Clique em Adicionar diretório e selecione o tipo de diretório que você deseja adicionar. 3 Siga as instruções do assistente de instalação para digitar as informações de configuração de diretório, os grupos selecionados e os usuários para sincronizar, assim como os usuários sincronizados com o serviço do VMware. Consulte A integração de diretório com o VMware para obter informações sobre como configurar um diretório. Próximo passo Clique na guia Usuários e Grupos e verifique se os usuários foram sincronizados. Habilitar os adaptadores de autenticação no VMware Identity Manager Connector Há diversos adaptadores de autenticação disponíveis para o VMware Connector no modo externo, incluindo o PasswordIdpAdapter, o RSAAIdpAdapter, o SecurIDAdapter e o RadiusAuthAdapter. Configure e habilite os adaptadores que você pretende usar. Quando você criou o diretório, o método de autenticação de senha foi automaticamente habilitado para ele. O PasswordIdpAdapter foi configurado com as informações fornecidas para o diretório. Procedimentos 1 No console do VMware, clique na guia Gerenciamento de Identidade e Acesso. 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. O conector que você implantou é listado. 3 Clique no link que consta na coluna Agente de trabalho. 4 Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. Caso você já tenha configurado um diretório, o PasswordIdpAdapter já estará configurado e habilitado, contendo as informações de configuração que você especificou enquanto criava o diretório. 5 Configure e habilite os adaptadores de autenticação que você deseja usar. Para isso, clique no link relativo a cada um deles e digite as informações de configuração. Você deve habilitar ao menos um adaptador de autenticação. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte o Guia de Administração do VMware. VMware, Inc. 26

27 Por exemplo: Habilitar o modo de saída para o conector Para habilitar o modo de conexão apenas de saída para o conector, associe-o a um Provedor de identidade integrado. VMware, Inc. 27

28 Via de regra, o provedor de identidade integrado está disponível no serviço do VMware e fornece métodos de autenticação internos adicionais, como o VMware Verify. Para obter mais informações sobre o Provedor de de identidade integrado, consulte o Guia de administração do VMware. Observação O conector pode ser usado simultaneamente tanto no modo de saída quanto no modo normal. Mesmo que você habilite o modo de saída, ainda poderá configurar a autenticação Kerberos para usuários internos usando métodos e políticas de autenticação. Procedimentos 1 Na guia Gerenciamento de Identidade e Acesso do console de administração, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 Insira as seguintes informações. Opção Usuários Rede Conector(es) Descrição Selecione o diretório ou os domínios que usarão o Provedor de de identidade integrado. Selecione os intervalos de rede que usarão o Provedor de identidade integrado. Selecione o conector que você configurou. Observação Posteriormente, ao adicionar os conectores para alta disponibilidade, selecione e adicione todos eles aqui para associá-los ao Provedor de identidade integrado. O VMware distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade Integrado. Não é necessário ter um balanceador de carga. Métodos de autenticação do conector Os métodos de implantação que você habilitou para o conector estão listados. Selecione os métodos de autenticação que você deseja usar. O PasswordIdpAdapter, que foi automaticamente configurado e habilitado quando você criou um diretório, é exibido nesta página como Senha (implantado na nuvem), o que denota que ele é usado com o conector em modo de saída. Por exemplo: VMware, Inc. 28

29 5 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. 6 Edite as políticas para usar os métodos de autenticação que você habilitou. a b c d Na guia Gerenciamento de Identidade e Acesso, clique em Gerenciar. Clique na guia Políticas; em seguida, clique na política que você deseja editar. Em Regras de política, para a regra que você deseja editar, clique no link que consta na coluna Método de autenticação. Na página Editar regra da política, selecione o método de autenticação que você deseja usar para esta regra. VMware, Inc. 29

30 e f Clique em OK. Clique em Salvar. Para obter mais informações sobre como configurar políticas, consulte o Guia de administração do VMware. Agora, o modo de saída do conector está habilitado. Quando um usuário faz login usando um dos métodos de autenticação que você habilitou para o conector no Provedor de identidade integrado, não se exige um redirecionamento HTTP para o conector. Configurando a alta disponibilidade para o VMware Connector Você pode configurar o conector do VMware para alta disponibilidade e failover adicionando vários appliances virtuais do conector em um cluster. Se um dos appliances virtuais se tornar indisponível por qualquer motivo, outros conectores ainda estarão disponíveis. Para criar o cluster, instale novos appliances virtuais de conector e configura-os exatamente da mesma maneira que você configurou o primeiro conector. Sendo assim, você associa todas as instâncias do conector ao provedor de identidade integrado. O serviço do VMware distribui automaticamente o tráfego entre todos os conectores associados com o provedor de identidade integrado. Não é necessário ter um balanceador de carga. Caso um dos conectores fique indisponível devido a um problema na rede, o serviço não direciona o tráfego para ele. Quando a conectividade é restaurada, o serviço é retomado enviando o tráfego ao conector. Depois de configurado o cluster do conector, os métodos de autenticação que você habilitou no conector ficam altamente disponíveis. Caso uma das instâncias do conector esteja indisponível, a autenticação ainda estará disponível. Para a sincronização de diretório, no entanto, em caso de uma falha da instância do conector, você precisará selecionar manualmente outra instância do conector como o conector de sincronização. A sincronização de diretório pode ser ativada somente em um conector por vez. Observação Esta seção não se aplica à alta disponibilidade da autenticação Kerberos. Consulte Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector. Instalar instâncias de conector adicional Depois de instalar e configurar a instância do primeiro conector, você poderá adicionar conectores adicionais para fins de alta disponibilidade. Instale appliances virtuais de novo conector e configure-os exatamente da mesma maneira que a instância do primeiro conector. Pré-requisitos Você instalou e configurou a primeira instância do conector, conforme descrito em Implantando o VMware Connector. VMware, Inc. 30

31 Procedimentos 1 Instale e configure uma nova instância do conector seguindo estas instruções. Gerar código de ativação do conector Instalar e configurar o appliance virtual do conector 2 Associe o novo conector ao WorkspaceIDP da primeira instância do conector. a b c d e No console de administração, selecione a guia Gerenciamento de Identidade e Acesso e, em seguida, selecione a guia Provedores de Identidade. Na página Provedores de Identidade, localize o WorkspaceIDP da primeira instância do conector e clique no link. No campo Conectores, selecione o novo conector. Digite a senha do DN de associação e clique em Adicionar Conector. Clique em Salvar. 3 Se tiver ingressado em um domínio do Active Directory na primeira instância do conector, você precisará ingressar também no domínio na instância do novo conector. a Na guia Gerenciamento de Identidade e Acesso, clique em Configuração. A instância do novo conector está listada na página Conectores. b Clique em Ingressar no Domínio próximo ao novo conector e especifique as informações do domínio. Observação Para diretórios do tipo Autenticação Integrada do Windows (IWA), você deve executar as seguintes ações. a Ingresse a instância do novo conector no domínio no qual o diretório IWA na instância original do conector ingressou. 1 Selecione a guia Gerenciamento de identidade e acesso e clique em Instalar. A instância do novo conector está listada na página Conectores. 2 Clique em Ingressar no Domínio e especifique as informações do domínio. b Salve a configuração do diretório IWA. 1 Selecione a guia Gerenciamento de Identidade e Acesso. 2 Na página Diretórios, clique no link do diretório IWA. 3 Clique em Salvar para salvar a configuração do diretório. VMware, Inc. 31

32 4 Configure e habilite adaptadores de autenticação no novo conector. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. a b c Na guia Gerenciamento de Identidade e Acesso, clique em Configuração e, em seguida, clique na guia Conectores. Clique no link na coluna Trabalhador do novo conector. Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. O PasswordIdpAdapter já está configurado e habilitado porque você associou o novo conector ao diretório associado ao primeiro conector. d Configure e habilite os outros adaptadores de autenticação da mesma maneira que o primeiro conector. Certifique-se de que as informações de configuração sejam idênticas. Para obter informações sobre como configurar adaptadores de autenticação, consulte o Guia de Administração do VMware. Próximo passo Configurar a alta disponibilidade para autenticação Configurar a alta disponibilidade para autenticação Depois de implantar e configurar as novas instâncias do VMware Connector, configure a alta disponibilidade para autenticação adicionando as novas instâncias ao Provedor de identidade integrado e permitindo os mesmos métodos de autenticação que estão habilitados na primeira instância do conector. O VMware distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade interno. Procedimentos 1 Na guia Gerenciamento de Identidade e Acesso do console de administração do VMware, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 No campo Conectores, selecione o novo conector na lista suspensa e clique em Adicionar Conector. VMware, Inc. 32

33 5 Na seção Métodos de Autenticação do Conector, habilite os mesmos métodos de autenticação habilitados para o primeiro conector. O método de autenticação Senha (implantação em nuvem) é configurado e habilitado automaticamente. Você deve habilitar os outros métodos de autenticação. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte Administração do VMware. 6 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. Ativando a sincronização de diretório em outro conector em caso de falha Em caso de uma falha na instância do conector, a autenticação é realizada automaticamente por outra instância do conector. No entanto, para a sincronização de diretório, você precisa modificar as configurações de diretório no serviço do VMware para usar outra instância do conector em vez da instância original. A sincronização de diretório pode ser ativada somente em um conector por vez. Procedimentos 1 Faça login no console de administração do VMware. 2 Clique na guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Diretórios. 3 Clique no diretório que era associado à instância original do conector. Dica Você pode exibir essas informações na página Instalar > Conectores. 4 Na seção Sincronização e autenticação do Diretório da página do diretório, no campo Sincronizar conector, selecione outra instância deste. 5 No campo Senha do DN do bind, insira a senha da conta de associação do Active Directory. 6 Clique em Salvar. Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Connector Você pode adicionar a autenticação Kerberos para usuários internos, que requer o modo de conexão de entrada, à sua implantação de conectores de modo de conexão de saída. Os mesmos conectores podem ser configurados para usar a autenticação Kerberos para usuários provenientes da rede interna e outro método de autenticação para usuários que vêm da rede externa. Você pode conseguir isso definindo políticas de autenticação baseadas em intervalos de rede. VMware, Inc. 33

34 Os requisitos e as considerações incluem: A autenticação Kerberos poderá ser configurada independentemente do tipo de diretório que você configurar no VMware, no Active Directory sobre LDAP ou no Active Directory sobre Autenticação Integrada do Windows. O conector deve ser associado ao domínio do Active Directory. O nome do host do conector deve corresponder ao domínio do Active Directory no qual o conector ingressou. Por exemplo, se o domínio do Active Directory for vendas.exemplo.com, o nome do host do conector deverá ser connectorhost.vendas.exemplo.com. Se você não puder atribuir um nome de host que corresponda à estrutura de domínio do Active Directory, precisará configurar manualmente o conector e o Active Directory. Consulte a Base de conhecimento para obter informações. Cada conector no qual a autenticação Kerberos está configurada deve ter um certificado SSL confiável. Você pode obter o certificado da sua autoridade de certificação interna. A autenticação Kerberos não funciona com certificados autoassinados. Os certificados SSL confiáveis são necessários, independentemente se você ativa o Kerberos em um único conector ou em vários conectores para alta disponibilidade. Para configurar alta disponibilidade para autenticação Kerberos, é necessário um balanceador de carga. Configurando e habilitando o adaptador de autenticação Kerberos Configure e habilite o KerberosIdpAdapter no VMware Connector. Caso você tenha implantado um cluster para alta disponibilidade, configure e habilite o adaptador em todos os conectores de seu cluster. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Todos os conectores devem ser configurados com o mesmo método de autenticação. Para obter mais informações sobre como configurar a autenticação Kerberos, consulte o Guia de administração do VMware. Pré-requisitos O conector deve ser associado ao domínio do Active Directory. O nome do host do conector deve corresponder ao domínio do Active Directory no qual o conector ingressou. Por exemplo, se o domínio do Active Directory for vendas.exemplo.com, o nome do host do conector deverá ser connectorhost.vendas.exemplo.com. Se você não puder atribuir um nome de host que corresponda à estrutura de domínio do Active Directory, precisará configurar manualmente o conector e o Active Directory. Consulte a Base de conhecimento para obter informações. VMware, Inc. 34

35 Procedimentos 1 No console de administração do VMware, clique na guia Gerenciamento de Identidade e Acesso. 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. Todos os conectores que você tiver implantado estão listados. 3 Clique na coluna Trabalhador de um dos conectores. 4 Clique na guia Adaptadores de Autenticação. 5 Clique no link KerberosIdpAdapter para configurar e habilitar o adaptador. Opção Nome Atributo de UID de diretório Habilitar Autenticação do Windows Habilitar NTLM Descrição O nome padrão do adaptador é KerberosIdpAdapter. Você pode alterar esse nome. O atributo da conta que contém o nome de usuário. Selecione esta opção. Você não precisa selecionar essa opção a menos que a infraestrutura de seu Active Directory dependa de autenticação NTLM. Observação Só há suporte para essa opção no VMware baseado em Linux. Habilitar redirecionamento Nome do host de redirecionamento Caso você tenha vários conectores e um cluster e planeje configurar a alta disponibilidade Kerberos usando um balanceador de carga, selecione essa opção e especifique um valor para Nome do host de redirecionamento. Caso sua implantação tenha apenas um conector, você não precisa usar as opções Habilitar redirecionamento e Nome do host de redirecionamento. Exige-se um valor se a opção Habilitar redirecionamento for selecionada. Digite o nome do host do próprio conector. Por exemplo, caso o nome do host do conector seja conector1.exemplo.com, digite conector1.exemplo.com na caixa de texto. Por exemplo: VMware, Inc. 35

36 Para obter mais informações sobre a configuração do KerberosIdPAdapter, consulte o Guia de administração do VMware. 6 Clique em Salvar. 7 Caso você tenha implantado um cluster, configure o KerberosIdPAdapter em todos os conectores de seu cluster. Verifique se você configurou o adaptador de forma idêntica em todos os conectores, exceto para o valor do Nome do Host de Redirecionamento, que deve ser específico para cada conector. Próximo passo Verifique se cada conector no qual o KerberosIdpAdapter está ativado tem um certificado SSL confiável. Você pode obter o certificado da sua autoridade de certificação interna. A autenticação Kerberos não funciona com certificados autoassinados. Os certificados SSL confiáveis são necessários, independentemente se você ativa o Kerberos em um único conector ou em vários conectores para alta disponibilidade. Se for necessário, defina alta disponibilidade para a autenticação Kerberos. A autenticação Kerberos não terá alta disponibilidade sem um balanceador de carga. Configurando a alta disponibilidade para a autenticação Kerberos Para configurar a alta disponibilidade para a autenticação Kerberos, instale um balanceador de carga em sua rede interna dentro do firewall e adicione as instâncias do VMware Connector a ele. Você também deve definir determinadas configurações no balanceador de carga, estabelecer a confiança SSL entre o balanceador de carga e as instâncias do conector e alterar a URL de autenticação do conector para usar o nome do host do balanceador de carga. Defina as configurações do balanceador de carga Você deve definir determinadas configurações no balanceador de carga, como configurar corretamente o tempo limite do balanceador de carga e ativar as sessões fixas. Defina essas configurações. Tempo limite do balanceador de carga Para que o VMware Connector funcione corretamente, talvez você precise aumentar o padrão do tempo limite de solicitação do balanceador de carga. O valor é definido em minutos. Caso a configuração do tempo-limite seja muito baixa, talvez você veja este erro. Erro 502: O serviço está temporariamente indisponível Ativar sessões fixas VMware, Inc. 36

37 Você deverá habilitar a configuração de sessão fixa no balanceador de carga caso sua implantação tenha várias instâncias do conector. Em seguida, o balanceador de carga associará a sessão de um usuário a uma instância do conector específica. Aplicar o certificado raiz do VMware Connector ao balanceador de carga Quando o VMware Connector é configurado atrás de um balanceador de carga, devese estabelecer a confiança SSL entre o balanceador de carga e o conector. O certificado raiz do conector deve ser copiado para o balanceador de carga como um certificado raiz confiável. O certificado do VMware Connector pode ser baixado a partir das páginas de administração do conector em Quando o nome de domínio do conector aponta para o balanceador de carga, o certificado SSL só pode ser aplicado ao balanceador de carga. Procedimentos 1 Faça login nas páginas de administração do conector, como usuário administrador. 2 Selecione Instalar Certificados SSL. 3 Na guia Certificado do Servidor, clique no link no campo Certificados da CA Raiz Autoassinados do Appliance. 4 Copie tudo entre e incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----, e cole o certificado raiz na localização correta em cada balanceador de carga. Consulte a documentação do balanceador de carga. VMware, Inc. 37

38 Próximo passo Copie e cole o certificado raiz do balanceador de carga no VMware Connector. Aplicar o certificado raiz do balanceador de carga ao VMware Identity Manager Connector Quando o VMware Connector é configurado atrás de um balanceador de carga, devese estabelecer a confiança entre o balanceador de carga e o conector. Além de copiar o certificado raiz do conector para o balanceador de carga, você deverá copiar o certificado raiz do balanceador de carga para o conector. Procedimentos 1 Obtenha o certificado raiz do balanceador de carga. 2 Vá para as páginas de administração do VMware Connector em e faça login como usuário administrador. 3 Selecione a guia Instalar Certificados SSL > CAs Confiáveis. 4 Cole o texto do certificado do balanceador de carga na caixa de texto Certificado Raiz ou Intermediário. 5 Clique em Adicionar. Alterar o nome do host IdP do conector para o nome do host do balanceador de carga Depois de adicionar as instâncias do VMware Connector ao balanceador de carga, você deverá alterar o nome do host IdP no IdP de Workspace de cada conector para o nome do host do balanceador de carga. Pré-requisitos As instâncias do conector são configuradas atrás de um balanceador de carga. Verifique se a porta do balanceador de carga é 443. Não use 8443, pois esse número de porta é a porta administrativa. VMware, Inc. 38

39 Procedimentos 1 Faça login no console de administração do VMware. 2 Clique na guia Gerenciamento de Identidade e Acesso. 3 Clique na guia Provedores de Identidade. 4 Na página Provedores de Identidade, clique no link do IdP de Workspace para a instância do conector. 5 Na caixa de texto Nome do Host IdP, altere o nome do host do nome de host do conector para o nome do host do balanceador de carga. Por exemplo, se o seu nome do host do conector for meuconector, e seu nome do host do balanceador de carga for meubc, altere a URL myconnector.mycompany.com:porta VMware, Inc. 39

40 para o seguinte: mylb.mycompany.com:porta VMware, Inc. 40