Instalando e configurando o VMware Identity Manager Connector (Windows)

Transcrição

1 Instalando e configurando o VMware Identity Manager Connector (Windows) OUTUBRO DE 2018 VMware Identity Manager VMware Identity Manager 3.3

2 Você pode encontrar a documentação técnica mais atualizada no site da VMware, em: O site da VMware também fornece as atualizações mais recentes de produtos. Caso tenha comentários sobre esta documentação, envie seu feedback para: docfeedback@vmware.com VMware, Inc Hillview Ave. Palo Alto, CA VMware Brasil Rua Surubim, 504 4º andar CEP Cidade Monções São Paulo SÃO PAULO: Brasil Tel: Fax: Direitos autorais 2018 VMware, Inc. Todos os direitos reservados. Informações sobre direitos autorais e marca registrada. VMware, Inc. 2

3 Conteúdo Instalando e configurando o VMware Identity Manager Connector (Windows) 5 1 Sobre o VMware Identity Manager Connector 6 2 Preparando-se para a instalação do VMware Identity Manager Connector no Windows 8 Requisitos do sistema para o VMware Identity Manager Connector (Windows) 8 Lista de verificação de implantação para o VMware Identity Manager Connector (Windows) 13 3 Instalando o VMware Identity Manager Connector no Windows 15 Gerar um código de ativação para o VMware Identity Manager Connector 15 Executar o instalador do VMware Identity Manager Connector 16 Executar o Assistente de Instalação do VMware Identity Manager Connector 22 Definindo as configurações de proxy para o VMware Identity Manager Connector 24 4 Configurando o VMware Identity Manager Connector 26 Configurar um diretório 26 Habilitar os adaptadores de autenticação no VMware Identity Manager Connector 27 Habilitar o modo de saída para o VMware Identity Manager Connector 29 5 Configurando a alta disponibilidade para o VMware Identity Manager Connector 33 Instalar e configurar instâncias adicionais do VMware Identity Manager Connector 34 Configurar a alta disponibilidade para autenticação 35 Ativando a sincronização de diretório em outro conector em caso de falha 36 6 Como adicionar suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector 37 Configurando e habilitando o adaptador de autenticação Kerberos 38 Configurando a alta disponibilidade para a autenticação Kerberos 40 7 Configurações adicionais do VMware Identity Manager Connector 45 Usando certificados SSL para o VMware Identity Manager Connector 46 Configurando um servidor de syslog para o VMware Identity Manager Connector 49 Gerenciando suas senhas do conector do VMware Identity Manager 49 Definindo as configurações de proxy para o VMware Identity Manager Connector 50 Visualizando e baixando arquivos de log do VMware Identity Manager Connector 50 VMware, Inc. 3

4 8 Atualizando o VMware Identity Manager Connector 53 9 Atualizando o Java no servidor do VMware Identity Manager Connector Excluindo uma instância do VMware Identity Manager Connector Migração de diretório do ACC para o VMware Identity Manager Connector 56 Converter outro diretório em Active Directory sobre LDAP ou Active Directory sobre Autenticação Integrada do Windows 56 Parar a sincronização de diretório do Workspace ONE UEM para o VMware Identity Manager Solucionando problemas do VMware Identity Manager Connector 60 Redefinindo a senha do usuário administrador para o VMware Identity Manager Connector 60 Erro de inicialização Kerberos 60 VMware, Inc. 4

5 Instalando e configurando o VMware Identity Manager Connector (Windows) fornece informações sobre como instalar e configurar a versão do Windows do VMware Identity Manager, um componente local do VMware Identity Manager. Observação Para obter informações sobre como implantar a versão do Linux do VMware Identity Manager connector, consulte Implantação do VMware Identity Manager Cloud para implantações na nuvem ou Implantando o VMware Identity Manager na DMZ para implantações no local. Público-alvo Essas informações foram escritas para administradores de sistema Windows experientes que estão familiarizados com a tecnologia de máquinas virtuais e com operações de centro de dados. Glossário de Publicações Técnicas VMware As Publicações Técnicas VMware fornecem um glossário de termos que talvez você não conheça. Para conhecer definições de termos usados na documentação técnica da VMware, acesse VMware, Inc. 5

6 Sobre o VMware Identity 1 Manager Connector O VMware Identity Manager connector é um componente local do VMware Identity Manager que oferece integração de diretórios, autenticação de usuário e integração com recursos como o Horizon 7. O conector é implantado no modo de conexão de saída e não exige que a porta 443 de entrada esteja aberta. Ele se comunica com o serviço do VMware Identity Manager por meio de um canal de comunicação baseado em Websocket. Figura 1 1. Implantação do VMware Identity Manager Connector No local 1 1 VMware Identity Tenant do Manager 2 3 Canal Websocket solicitar resposta HTTPS 443 (somente de saída) Conector do VMware Identity Manager Active Directory/ LDAP Serviços opcionais Autenticação RSA RSA adaptativa SecurID Servidor RADIUS Visualizar servidores de conexão Integration Broker Farms da Citrix Observação O tenant do VMware Identity Manager ilustrado no diagrama pode estar na nuvem ou implantado no local. VMware, Inc. 6

7 Métodos de autenticação suportados O VMware Identity Manager connector é compatível com os seguintes métodos de autenticação. Senha Autenticação adaptável RSA RSA SecurID RADIUS Autenticação Kerberos para usuários internos Observação Além desses métodos de autenticação com base em conector, os métodos de autenticação com base em serviço do VMware Identity Manager também estão disponíveis. Além disso, a SAML de entrada por meio de um provedor de identidade de terceiros está disponível. Integrações de diretório suportadas O VMware Identity Manager connector oferece suporte à integração com os seguintes tipos de diretórios corporativos. Active Directory sobre LDAP Active Directory sobre Autenticação Integrada do Windows Diretório LDAP Observação Você também pode usar o provisionamento Just-in-Time para criar usuários dinamicamente no serviço do VMware Identity Manager no login, com asserções SAML enviadas por um provedor de identidade de terceiros. Recursos suportados O VMware Identity Manager connector oferece suporte à integração com os seguintes tipos de recursos. Pools de desktops e aplicativos do VMware Horizon 7, Horizon 6 ou View VMware Horizon Cloud Service com infraestrutura hospedada e no local Recursos publicados Citrix Observação Além disso, o VMware Identity Manager é compatível com aplicativos Web e aplicativos móveis nativos. VMware, Inc. 7

8 Preparando-se para a instalação do VMware Identity Manager Connector no Windows 2 Antes de implantar o VMware Identity Manager Connector, confira os requisitos do sistema e prepare o ambiente. Este capítulo inclui os seguintes tópicos: Requisitos do sistema para o VMware Identity Manager Connector (Windows) Lista de verificação de implantação para o VMware Identity Manager Connector (Windows) Requisitos do sistema para o VMware Identity Manager Connector (Windows) Para implantar o VMware Identity Manager connector, certifique-se de que seu sistema atenda aos requisitos necessários. Requisitos de hardware Certifique-se de que o seu servidor Windows atenda aos seguintes requisitos de hardware. VMware, Inc. 8

9 Tabela 2 1. Requisitos do VMware Identity Manager Connector Número de usuários Até 1000 De 1000 a De a De a De a CPU 2 Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs RAM (GB) por servidor Espaço em disco (GB) 6 6 cada Oito cada 16 cada 16 cada cada 50 cada 50 cada 50 cada Observação Todos os núcleos da CPU devem ter 2.0 GHz ou mais. É obrigatório um processador Intel. Os requisitos de espaço em disco são: 1 GB de espaço em disco para o aplicativo VMware Identity Manager connector, o sistema operacional Windows e o tempo de execução do.net. O espaço em disco adicional é alocado para o registro em log. Requisitos de software Certifique-se de que o seu Windows Server atenda aos seguintes requisitos de software. Lista de verificação do status Requisito Notas Windows Server 2008 R2 ou Windows Server 2012 ou Windows Server 2012 R2 ou Windows Server 2016 Instalar o PowerShell no servidor Observação A versão 4.0 do PowerShell será obrigatória se você estiver instalando no Windows Server 2008 R2. Instalar o.net Framework Requisitos de rede Para a configuração das portas listadas abaixo, todo o tráfego é unidirecional (saída) do componente de origem para o componente de destino. Um proxy de saída ou qualquer outro software ou hardware de gerenciamento de conexão não deve encerrar ou rejeitar a conexão de saída a partir do VMware Identity Manager connector. A conexão de saída necessária para a utilização pelo VMware Identity Manager connector deve permanecer aberta o tempo todo. VMware, Inc. 9

10 Tabela 2 2. Requisitos de porta do VMware Identity Manager Connector Origem Destino Porta Protocolo Notas VMware Identity Manager connector VMware Identity Manager connector Navegadores Navegadores Navegadores Serviço do VMware Identity Manager Host de serviço do VMware Identity Manager (instalações no local) Balanceador de carga do serviço do VMware Identity Manager (instalações no local) VMware Identity Manager connector VMware Identity Manager connector VMware Identity Manager connector 443 HTTPS Porta padrão Obrigatório 443 HTTPS 8443 HTTPS Porta administrativa Obrigatório 80 HTTP Obrigatório 443 HTTPS Esta porta só é necessária para um conector que está sendo usado no modo de entrada. Se a autenticação Kerberos estiver configurada no conector, essa porta será necessária. VMware Identity Manager connector Active Directory 389, 636, 3268, 3269 Portas padrão. Essas portas são configuráveis. VMware Identity Manager connector VMware Identity Manager connector VMware Identity Manager connector VMware Identity Manager connector Servidor DNS 53 TCP/UDP Toda instância deve ter acesso ao servidor DNS na porta 53 e permitir o tráfego SSH de entrada na porta 22. Controlador de domínio 88, 464, 135, 445 TCP/UDP Para a autenticação Kerberos Sistema RSA SecurID 5500 Porta padrão. Essa porta é configurável. Horizon Connection Server 389, 443 Acesse as instâncias do Servidor de Conexão do Horizon para ver as integrações do Horizon VMware, Inc. 10

11 Tabela 2 2. Requisitos de porta do VMware Identity Manager Connector (Continuação) Origem Destino Porta Protocolo Notas VMware Identity Manager connector Integration Broker 80, 443 Acesso ao Integration Broker para a integração com recursos publicados pela Citrix. Importante Se você instalar o Integration Broker no mesmo servidor Windows que o VMware Identity Manager connector, deverá garantir que, nas ligações de site do Site padrão do Servidor IIS, as portas de conexão HTTP e HTTPS não entrem em conflito com as portas usadas pelo VMware Identity Manager connector. O VMware Identity Manager connector usa as portas 80, 443 e A instalação do Integration Broker no servidor do VMware Identity Manager connector não é recomendada. VMware Identity Manager connector servidor syslog 514 UDP Para o servidor syslog externo, se configurado Endereços IP hospedados na nuvem VMware Identity Manager (Implantações na nuvem) Consulte no Artigo da Base de conhecimento a lista de endereços IP do serviço do VMware Identity Manager aos quais o VMware Identity Manager connector deve ter acesso. Requisitos de registros DNS e de endereços IP Uma entrada DNS e um endereço IP estático devem estar disponíveis para o conector. Antes de iniciar a instalação, obtenha o registro DNS e os endereços IP para usar e definir as configurações de rede do servidor Windows. Certifique-se de selecionar um nome de host apropriado e fácil de usar para o conector se você pretender configurar a autenticação Kerberos. O nome de host do VMware Identity Manager connector ficará disponível para os usuários quando o Kerberos estiver configurado. VMware, Inc. 11

12 A configuração da pesquisa inversa é opcional. Ao implementar a pesquisa inversa, você deve definir um registro PTR no servidor DNS para que o conector use a configuração de rede correta. Você pode usar a seguinte lista de exemplo de registros DNS. Substitua as informações de amostra por informações do seu ambiente. Este exemplo mostra os registros DNS e os endereços IP encaminhados. Tabela 2 3. Exemplo de registros DNS e endereços IP encaminhados Nome do domínio Tipo de Recurso Endereço IP meuconector.empresa.com Um Este exemplo mostra os registros DNS e endereços IP reversos. Tabela 2 4. Exemplo de registros DNS e endereços IP reversos Endereço IP Tipo de Recurso Nome do Host PTR meuconector.empresa.com Depois de concluir a configuração do DNS, verifique se a pesquisa de DNS reverso está configurada corretamente. Por exemplo, o comando host IPaddress deve ser resolvido para a pesquisa de nome de DNS. Observação Caso você tenha um balanceador de carga com um endereço IP virtual (VIP) na frente dos servidores DNS, observe que o VMware Identity Manager não oferece para suporta usar um VIP. Você pode especificar vários servidores DNS separados por vírgula. Observação Se você estiver usando um servidor DNS baseado em Linux ou Unix e pretende ingressar o conector no domínio do Active Directory, certifique-se de que os registros de recurso do serviço (SRV) adequados sejam criados para cada controlador de domínio do Active Directory. Versões compatíveis do Active Directory É compatível um ambiente Active Directory que consiste em um único domínio do Active Directory, em vários domínios em uma única floresta do Active Directory ou em vários domínios em várias florestas do Active Directory. O VMware Identity Manager é compatível com o Active Directory no Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 e Windows Server 2016, com um nível funcional de Domínio e um nível funcional de Floresta do Windows 2003 e posteriores. Observação Um nível funcional mais alto pode ser necessário para alguns recursos. Por exemplo, para permitir que os usuários alterem as senhas do Active Directory a partir do Workspace ONE, o nível funcional do Domínio deve ser Windows 2008 ou posterior. VMware, Inc. 12

13 Lista de verificação de implantação para o VMware Identity Manager Connector (Windows) Você pode usar a lista de verificação de implantação para reunir as informações necessárias para instalar e configurar o VMware Identity Manager Connector no Windows. Informações de nome de domínio completo Informações a reunir Listar as informações FQDN do VMware Identity Manager Connector Informações de rede Informações a reunir Endereço IP Listar as informações Observação Você deve usar um endereço IP estático e ele deve ter um PTR e um registro A definido no DNS. Nome do host do DNS Endereço do gateway padrão Máscara de rede ou prefixo Informações do diretório O VMware Identity Manager é compatível com a integração aos diretórios LDAP e Active Directory. Tabela 2 5. Lista de verificação de informações do controlador de domínio do Active Directory Informações a reunir Listar as informações Nome do servidor Active Directory Nome do domínio do Active Directory DN Base Para o Active Directory sobre LDAP, o nome de usuário e a senha do DN de associação Para o Active Directory sobre Autenticação Integrada do Windows, o nome de usuário e senha de um usuário de domínio que também faz parte do grupo de administradores no servidor Windows no qual você está instalando Tabela 2 6. Lista de verificação de informações do servidor do diretório LDAP Informações a reunir Listar as informações Nome ou endereço IP do servidor do diretório LDAP Número da porta do servidor do diretório LDAP VMware, Inc. 13

14 Tabela 2 6. Lista de verificação de informações do servidor do diretório LDAP (Continuação) Informações a reunir Listar as informações DN Base Nome de usuário e senha do DN de associação Filtros de pesquisa LDAP para objetos do usuário de associação, objetos de grupo e objetos de usuário Nomes de atributo LDAP para associação, UUID do objeto e nome distinto Certificados SSL Você poderá adicionar um certificado SSL de uma autoridade de certificação após implantar o VMware Identity Manager Connector. Tabela 2 7. Lista de verificação de informações do certificado SSL Informações a reunir Listar as informações certificado SSL Chave privada Observação Para a autenticação Kerberos, o conector deve ter um certificado SSL confiável. Você pode obter o certificado da sua autoridade de certificação interna. A autenticação Kerberos não funciona com certificados autoassinados. VMware, Inc. 14

15 Instalando o VMware Identity Manager Connector no Windows 3 A instalação do VMware Identity Manager Connector tem diversas tarefas. 1 Gere um código de ativação no console do VMware Identity Manager. 2 Baixe e execute o instalador do VMware Identity Manager Connector em um servidor Windows que atenda a todos os requisitos 3 Execute o Assistente de Instalação do Conector para ativar o conector e definir senhas 4 Defina as configurações de proxy para o conector, se necessário. Este capítulo inclui os seguintes tópicos: Gerar um código de ativação para o VMware Identity Manager Connector Executar o instalador do VMware Identity Manager Connector Executar o Assistente de Instalação do VMware Identity Manager Connector Definindo as configurações de proxy para o VMware Identity Manager Connector Gerar um código de ativação para o VMware Identity Manager Connector Antes de instalar o VMware Identity Manager connector, faça login no console do VMware Identity Manager e gere um código de ativação para o conector. Esse código de ativação é usado para estabelecer a comunicação entre o serviço do VMware Identity Manager e a instância do VMware Identity Manager connector. Pré-requisitos Você tem as credenciais do administrador de domínio do sistema e a URL de serviço do VMware Identity Manager. Em implantações na nuvem, o administrador do domínio do sistema é o administrador cujas credenciais você recebe ao obter seu tenant do VMware Identity Manager. Em implantações no local, o administrador do domínio do sistema é o usuário administrador criado quando você instala o VMware Identity Manager. Procedimentos 1 Faça login no console do VMware Identity Manager como o administrador do domínio do sistema. 2 Clique na guia Gerenciamento de Identidade e Acesso. VMware, Inc. 15

16 3 Clique em Configuração. 4 Na página Conectores, clique em Adicionar conector. 5 Insira um nome para o conector. 6 Clique em Gerar código de ativação. O código de ativação é exibido na página. 7 Copie o código de ativação e salve-o. Mais tarde, após instalar o conector, insira o código de ativação no Assistente de Instalação do Conector. Próximo passo Baixe e instale o VMware Identity Manager connector. Executar o instalador do VMware Identity Manager Connector Execute o instalador do VMware Identity Manager Connector em um servidor Windows que atenda a todos os requisitos. Pré-requisitos As portas 80, 443 e 8443 devem estar disponíveis no servidor Windows. Se essas portas estiverem sendo usadas por outros serviços, não será possível instalar o VMware Identity Manager connector. VMware, Inc. 16

17 O servidor Windows deve ser associado ao domínio do Active Directory, e você deve instalar o VMware Identity Manager connector como usuário de domínio que também faz parte do grupo de administradores no servidor Windows no qual você está instalando, nos seguintes casos. Se você pretende conectar-se ao Active Directory sobre Autenticação Integrada do Windows Se você planeja usar a autenticação Kerberos Se você planeja integrar o Horizon View ao VMware Identity Manager e deseja usar as opções Executar Sincronização de Diretório ou Configurando o Servidor de Conexão 5.x Nesses casos, você também deve optar por executar o serviço do IDM Connector como usuário de domínio. Essa opção aparece no assistente de instalação. Para que o instalador possa procurar e validar domínios e usuários durante a instalação, os seguintes requisitos devem ser atendidos. O servidor Windows deve ser ingressado em domínio. Observação Isso será necessário somente se você precisar selecionar um usuário de domínio para executar o serviço do IDM Connector. Consulte no marcador anterior os cenários ao qual o requisito se aplica. O serviço Pesquisador de Computadores deve estar habilitado e em execução. O firewall deve ser configurado com uma exceção para o serviço Pesquisador de Computadores. O NetBIOS sobre TCP/IP deve ser habilitado. Um sistema de localizador mestre deve ser configurado na rede. O tráfego transmitido deve ser habilitado na rede. Procedimentos 1 Baixe o instalador do VMware Identity Manager Connector para Windows. Você pode baixar o instalador na página do produto do VMware Identity Manager no My VMware ou no My Workspace ONE. 2 Clique duas vezes no arquivo de instalador para executar o assistente de instalação do VMware Identity Manager Connector. VMware, Inc. 17

18 3 Na página de Boas-vindas, clique em Avançar. O instalador verifica os pré-requisitos no servidor. Se o.net Framework não estiver instalado, você será solicitado a instalá-lo e a reiniciar o servidor. Depois de reiniciá-lo, execute o instalador novamente para retomar o processo de instalação. Se uma versão anterior estiver instalada, o instalador a detectará automaticamente e oferecerá a opção de atualizar para a versão mais recente. 4 Leia e aceite o contrato de licença de usuário final da VMware e clique em Avançar. 5 Selecione a pasta na qual deseja instalar o VMware Identity Manager Connector. Por padrão, C:\VMware é selecionado. VMware, Inc. 18

19 6 Se a versão mais recente e principal do Java Runtime Environment (JRE ) ainda não estiver instalada no servidor Windows, a seguinte pop-up será exibida. Clique em Sim para instalar o JRE. A instalação demora alguns minutos. As versões do JRE existentes não são excluídas quando a versão necessária é instalada. 7 Na página de configuração do VMware Identity Manager, insira um nome de host e uma porta para o conector. Especifique o nome do host como um nome de domínio totalmente qualificado (FQDN). Por exemplo, connector.exemplo.com. Observação O nome deve coincidir com o domínio ao qual o servidor está associado, se aplicável. A porta padrão é 443. Só a porta 443 é compatível com o VMware Identity Manager connector. VMware, Inc. 19

20 8 Na página da conta de serviço do VMware Identity Manager Connector, se você desejar executar o serviço do conector como uma conta de usuário do domínio, selecione a opção e insira o nome de usuário e a senha da conta de usuário do domínio. Você deve executar o serviço como usuário de domínio nos seguintes casos: Se você pretende conectar-se ao Active Directory sobre Autenticação Integrada do Windows Se você planeja usar a autenticação Kerberos Se você planeja integrar o Horizon View ao VMware Identity Manager e deseja usar as opções Executar Sincronização de Diretório ou Configurando o Servidor de Conexão 5.x VMware, Inc. 20

21 Observação Se não conseguir localizar domínios ou usuários ao clicar em Navegar, verifique se você atendeu a todos os pré-requisitos. 9 Clique em Avançar. 10 Na página Pronto para Instalar o Programa, clique em Instalar. A instalação demora alguns minutos. 11 Quando for exibida a página Assistente de Instalação Concluído, clique em Concluir. VMware, Inc. 21

22 A seguinte pop-up será exibida, listando a URL para a conclusão do assistente de instalação para o conector. A URL aponta para as páginas de administração do conector em Próximo passo Vá para a URL listada e conclua o assistente de instalação para o conector. Executar o Assistente de Instalação do VMware Identity Manager Connector Após instalar o VMware Identity Manager Connector, vá para a URL listada na página de confirmação do assistente de instalação, e conclua o assistente de instalação do conector. No assistente de instalação, insira o código de ativação do conector e defina as senhas. Pré-requisitos Você tem um código de ativação para o conector que gerou no console do VMware Identity Manager. Consulte Gerar um código de ativação para o VMware Identity Manager Connector. Não use o Internet Explorer no modo de segurança reforçada para executar o assistente de instalação. O script deve ser habilitado no navegador. Procedimentos 1 Abra uma janela do navegador e acesse a URL Por exemplo, A página de boas-vindas é exibida. VMware, Inc. 22

23 2 Clique em Continuar. 3 Na página Definir Senhas, crie uma senha para o usuário administrador do conector, que será usada para acessar as páginas de administração do conector. Depois, clique em Continuar. 4 Na página Ativar Conector, insira o código de ativação do conector e clique em Continuar. VMware, Inc. 23

24 A mensagem Instalação Concluída aparece quando o conector é ativado com êxito. Agora, a instalação do VMware Identity Manager connector está concluída. Próximo passo Defina as configurações de proxy para o VMware Identity Manager connector, se necessário. Faça login no console do VMware Identity Manager para configurar o conector. Definindo as configurações de proxy para o VMware Identity Manager Connector O VMware Identity Manager connector acessa os serviços da Web na Internet. Se a sua configuração de rede fornece acesso à Internet por meio de um proxy HTTP, você deve ajustar as configurações de proxy no VMware Identity Manager connector. Observação Habilite seu proxy para lidar apenas com o tráfego da Internet. Para garantir que o proxy esteja configurado corretamente, defina o parâmetro para o tráfego interno para não proxy no domínio. Procedimentos 1 Use um navegador para acessar as páginas de administração do VMware Identity Manager connector em 2 Faça login com a senha do usuário administrador do conector. 3 Clique em Configuração do Proxy. 4 Selecione Ativar. 5 Na caixa de texto Host de proxy com porta, insira o nome e a porta do proxy. Por exemplo: proxy.exemplo.com: No campo Hosts sem proxy, insira os hosts que o conector pode acessar sem passar pelo servidor proxy. Use uma vírgula para separar uma lista de nomes de host. VMware, Inc. 24

25 7 Clique em Salvar. VMware, Inc. 25

26 Configurando o VMware 4 Identity Manager Connector Após instalar o VMware Identity Manager Connector, faça login no console do VMware Identity Manager e conclua a configuração. Isso inclui configurar um diretório para sincronizar usuários e grupos com o serviço do VMware Identity Manager, configurar os métodos de autenticação que deseja usar e habilitar o modo de saída para o VMware Identity Manager Connector. Este capítulo inclui os seguintes tópicos: Configurar um diretório Habilitar os adaptadores de autenticação no VMware Identity Manager Connector Habilitar o modo de saída para o VMware Identity Manager Connector Configurar um diretório Depois de instalar e ativar o VMware Identity Manager connector, adicione um diretório no console do VMware Identity Manager e estabeleça a conexão com o diretório corporativo para sincronizar usuários e grupos com o serviço. o VMware Identity Manager suporta integrar os seguintes tipos de diretórios. Active Directory sobre LDAP Active Directory sobre Autenticação Integrada do Windows Diretório LDAP Veja mais informações em Integração de diretório com o VMware Identity Manager antes de configurar o diretório. As tarefas de alto nível estão listadas aqui. Pré-requisitos Os pré-requisitos dependem do tipo de diretório que você está integrando. Veja mais informações em Integração de diretório com o VMware Identity Manager. Procedimentos 1 Faça login no console do VMware Identity Manager. Dica Você também pode ir ao console de administração clicando no link Efetuar login no console de administração na página Instalação Concluída que aparece após a ativação do conector. VMware, Inc. 26

27 2 Selecione os atributos de usuário a serem sincronizados com o diretório. a b Clique na guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Instalar. Na guia Atributos de usuário, selecione os atributos obrigatórios e adicione outros atributos caso seja preciso. Se um atributo for marcado como necessário, somente os usuários com esse atributo serão sincronizados com o serviço. Importante Tenha em mente as seguintes restrições. Após a criação do diretório, não será possível alterar um atributo de opcional para obrigatório. Você deve fazer essa seleção agora. As configurações na página Atributos de Usuário aplicam-se a todos os diretórios no serviço. Quando você torna um atributo obrigatório, considere o impacto sobre outros diretórios. 3 Clique em Gerenciar. 4 Clique em Adicionar diretório e selecione o tipo de diretório que você deseja adicionar. 5 Siga as instruções do assistente de instalação para digitar as informações de configuração de diretório, os grupos selecionados e os usuários para sincronizar, assim como os usuários sincronizados com o serviço do VMware Identity Manager. Veja mais informações em Integração de diretório com o VMware Identity Manager. Próximo passo Clique na guia Usuários e Grupos e verifique se os usuários foram sincronizados. Habilitar os adaptadores de autenticação no VMware Identity Manager Connector Há diversos adaptadores de autenticação disponíveis para o VMware Identity Manager connector no modo externo, incluindo o PasswordIdpAdapter, o RSAAIdpAdapter, o SecurIDAdapter e o RadiusAuthAdapter. Configure e habilite os adaptadores que você pretende usar. Se você já tiver criado um diretório, o método de autenticação de senha será automaticamente habilitado para ele. O PasswordIdpAdapter foi configurado com as informações fornecidas para o diretório. Procedimentos 1 No console do VMware Identity Manager, clique na guia Gerenciamento de Identidade e Acesso. 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. O conector que você implantou é listado. 3 Clique no link que consta na coluna Agente de trabalho. VMware, Inc. 27

28 4 Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. Caso você já tenha configurado um diretório, o PasswordIdpAdapter já estará configurado e habilitado, contendo as informações de configuração que você especificou enquanto criava o diretório. 5 Configure e habilite os adaptadores de autenticação que você deseja usar. Para isso, clique no link relativo a cada um deles e digite as informações de configuração. Você deve habilitar ao menos um adaptador de autenticação. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte o Guia de Administração do VMware Identity Manager. Por exemplo: VMware, Inc. 28

29 Habilitar o modo de saída para o VMware Identity Manager Connector Para habilitar o modo de conexão apenas de saída para o VMware Identity Manager connector, associeo a um provedor de identidade interno. VMware, Inc. 29

30 Via de regra o provedor de identidade interno está disponível no serviço do VMware Identity Manager e fornece métodos de autenticação internos adicionais, tal como o VMware Verify. Para obter mais informações sobre o Provedor de de identidade integrado, consulte o Guia de administração do VMware Identity Manager. Observação O conector pode ser usado simultaneamente tanto no modo de saída quanto no modo normal. Mesmo que você habilite o modo de saída, ainda poderá configurar a autenticação Kerberos para usuários internos usando métodos e políticas de autenticação. Procedimentos 1 No console do VMware Identity Manager, selecione a guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 Insira as seguintes informações. Opção Usuários Rede Conector(es) Descrição Selecione o diretório ou os domínios que usarão o Provedor de de identidade integrado. Selecione os intervalos de rede que usarão o Provedor de identidade integrado. Selecione o conector configurado e clique em Adicionar Conector. Observação Posteriormente, ao adicionar os conectores para alta disponibilidade, selecione e adicione todos eles aqui para associá-los ao Provedor de identidade integrado. O VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade Integrado. Não é necessário ter um balanceador de carga. Métodos de autenticação do conector Os métodos de autenticação que você habilitou para o conector são listados. Selecione os métodos de autenticação que você deseja usar. O PasswordIdpAdapter, que foi automaticamente configurado e habilitado quando você criou um diretório, é exibido nesta página como Senha (implantação em nuvem), o que denota que ele é usado com o conector em modo de saída. Por exemplo: VMware, Inc. 30

31 5 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. 6 Edite as políticas para usar os métodos de autenticação que você habilitou. a b c Na guia Gerenciamento de Identidade e Acesso, clique em Gerenciar. Clique na guia Políticas; em seguida, clique na política que você deseja editar. Clique em Editar. VMware, Inc. 31

32 d e Na página Configuração do assistente, edite as regras. Selecione os métodos de autenticação que você deseja usar para cada regra. Salve as alterações. Para obter mais informações sobre como configurar políticas, consulte o Guia de administração do VMware Identity Manager. Agora, o modo de saída do conector está habilitado. Quando um usuário faz login usando um dos métodos de autenticação que você habilitou para o conector no Provedor de identidade integrado, não se exige um redirecionamento HTTP para o conector. VMware, Inc. 32

33 Configurando a alta disponibilidade para o VMware Identity Manager Connector 5 Você pode configurar o VMware Identity Manager connector para alta disponibilidade e failover adicionando várias instâncias do conector em um cluster. Se uma das instâncias do conector se tornar indisponível por qualquer motivo, outras instâncias ainda estarão disponíveis. Para criar um cluster, instale novas instâncias de conector e configure-as exatamente da mesma maneira que você configurou o primeiro conector. Sendo assim, você associa todas as instâncias do conector ao provedor de identidade integrado. O serviço do VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados com o provedor de identidade integrado. Não é necessário ter um balanceador de carga. Caso um dos conectores fique indisponível devido a um problema na rede, o serviço não direciona o tráfego para ele. Quando a conectividade é restaurada, o serviço é retomado enviando o tráfego ao conector. Depois de configurado o cluster do conector, os métodos de autenticação que você habilitou no conector ficam altamente disponíveis. Caso uma das instâncias do conector esteja indisponível, a autenticação ainda estará disponível. Para a sincronização de diretório, no entanto, em caso de uma falha da instância do conector, você precisará selecionar manualmente outra instância do conector como o conector de sincronização. A sincronização de diretório pode ser ativada somente em um conector por vez. Observação Esta seção não se aplica à alta disponibilidade da autenticação Kerberos. Consulte Capítulo 6Como adicionar suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector. Este capítulo inclui os seguintes tópicos: Instalar e configurar instâncias adicionais do VMware Identity Manager Connector Configurar a alta disponibilidade para autenticação Ativando a sincronização de diretório em outro conector em caso de falha VMware, Inc. 33

34 Instalar e configurar instâncias adicionais do VMware Identity Manager Connector Depois de instalar e configurar a primeira instância do VMware Identity Manager connector, você poderá adicionar mais conectores para fins de alta disponibilidade instalando novas instâncias de conector e configurando-as exatamente da mesma maneira que a primeira instância de conector. Importante As novas instâncias de conector devem ser ativadas junto ao mesmo serviço do VMware Identity Manager que a primeira instância de conector. Pré-requisitos Você instalou e configurou a primeira instância do conector. Procedimentos 1 Instale e configure uma nova instância do VMware Identity Manager connector de acordo com Capítulo 3Instalando o VMware Identity Manager Connector no Windows. 2 Associe o novo VMware Identity Manager connector ao WorkspaceIDP da primeira instância de conector. a b c d e No console de administração do VMware Identity Manager, selecione a guia Gerenciamento de Identidade e Acesso e, em seguida, a guia Provedores de Identidade. Na página Provedores de Identidade, localize o WorkspaceIDP da primeira instância do conector e clique no link. No campo Conectores, selecione o novo conector. Digite a senha do DN de associação e clique em Adicionar Conector. Clique em Salvar. 3 Configure e habilite adaptadores de autenticação no novo conector. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. a b Na guia Gerenciamento de Identidade e Acesso, clique em Configuração e, em seguida, clique na guia Conectores. Clique no link na coluna Trabalhador do novo conector. VMware, Inc. 34

35 c Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. O PasswordIdpAdapter já está configurado e habilitado porque você associou o novo conector ao diretório associado ao primeiro conector. d Configure e habilite os outros adaptadores de autenticação da mesma maneira que o primeiro conector. Certifique-se de que as informações de configuração sejam idênticas. Para obter informações sobre como configurar adaptadores de autenticação, consulte o Guia de Administração do VMware Identity Manager. Próximo passo Configurar a alta disponibilidade para autenticação Configurar a alta disponibilidade para autenticação Depois de implantar e configurar as novas instâncias do VMware Identity Manager connector, configure a alta disponibilidade para autenticação adicionando as novas instâncias ao Provedor de identidade integrado e permitindo os mesmos métodos de autenticação que estão habilitados na primeira instância do conector. O VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade interno. Procedimentos 1 Na guia Gerenciamento de Identidade e Acesso do console de administração do VMware Identity Manager, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 No campo Conectores, selecione o novo conector na lista suspensa e clique em Adicionar Conector. 5 Na seção Métodos de Autenticação do Conector, habilite os mesmos métodos de autenticação habilitados para o primeiro conector. O método de autenticação Senha (implantação em nuvem) é configurado e habilitado automaticamente. Você deve habilitar os outros métodos de autenticação. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte Administração do VMware Identity Manager. 6 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. VMware, Inc. 35

36 Ativando a sincronização de diretório em outro conector em caso de falha Em caso de uma falha na instância do conector, a autenticação é realizada automaticamente por outra instância do conector. No entanto, para a sincronização de diretório, você precisa modificar as configurações de diretório no serviço do VMware Identity Manager para usar outra instância do conector em vez da instância original. A sincronização de diretório pode ser ativada somente em um conector por vez. Procedimentos 1 Faça login no console de administração do VMware Identity Manager. 2 Clique na guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Diretórios. 3 Clique no diretório que era associado à instância original do conector. Dica Você pode exibir essas informações na página Instalar > Conectores. 4 Na seção Sincronização e autenticação do Diretório da página do diretório, no campo Sincronizar conector, selecione outra instância deste. 5 No campo Senha do DN do bind, insira a senha da conta de associação do Active Directory. 6 Clique em Salvar. VMware, Inc. 36

37 Como adicionar suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector 6 Você pode adicionar a autenticação Kerberos para usuários internos, que requer o modo de conexão de entrada, à sua implantação de conectores de modo de conexão de saída. Os mesmos conectores podem ser configurados para usar a autenticação Kerberos para usuários provenientes da rede interna e outro método de autenticação para usuários que vêm da rede externa. Você pode conseguir isso definindo políticas de autenticação baseadas em intervalos de rede. O diagrama a seguir ilustra a autenticação Kerberos em uma implantação do VMware Identity Manager no local. Figura 6 1. Autenticação Kerberos No local DMZ Rede Corporativa Servidor do VMware Identity Manager 443 Balanceador de carga 443 Conector 1 do VMw Identity Manager Conector 2 do VMw Identity Manager Os requisitos e as considerações para a autenticação Kerberos são os seguintes: A autenticação Kerberos poderá ser configurada independentemente do tipo de diretório que você configurar no VMware Identity Manager, no Active Directory sobre LDAP ou no Active Directory sobre Autenticação Integrada do Windows. A máquina Windows na qual o conector do VMware Identity Manager está instalado deve ser associada ao domínio do Active Directory. Você deve ter instalado o VMware Identity Manager connector como um usuário do domínio que faz parte do grupo de administradores na máquina com Windows na qual o conector está instalado e você deve estar executando o serviço do VMware IDM Connector como usuário de domínio do Windows. VMware, Inc. 37

38 Certifique-se de selecionar um nome de host apropriado e fácil de usar para o conector. O nome de host do conector do VMware Identity Manager ficará disponível para os usuários quando a autenticação Kerberos estiver configurada. Cada conector no qual a autenticação Kerberos está configurada deve ter um certificado SSL confiável. Você pode obter o certificado da sua autoridade de certificação interna. A autenticação Kerberos não funciona com certificados autoassinados. Os certificados SSL confiáveis são necessários, independentemente se você ativa o Kerberos em um único conector ou em vários conectores para alta disponibilidade. Para configurar alta disponibilidade para autenticação Kerberos, é necessário um balanceador de carga. Este capítulo inclui os seguintes tópicos: Configurando e habilitando o adaptador de autenticação Kerberos Configurando a alta disponibilidade para a autenticação Kerberos Configurando e habilitando o adaptador de autenticação Kerberos Configure e habilite o KerberosIdpAdapter no VMware Identity Manager connector. Caso você tenha implantado um cluster para alta disponibilidade, configure e habilite o adaptador em todos os conectores de seu cluster. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Todos os conectores devem ser configurados com o mesmo método de autenticação. Quando você configura o adaptador de autenticação Kerberos, o conector do VMware Identity Manager tenta inicializar o Kerberos automaticamente. Se o serviço do VMware IDM Connector não estiver sendo executado com privilégios suficientes para a inicialização do Kerberos, uma mensagem de erro aparecerá. Nesse caso, siga as instruções no para executar um script para inicializar o Kerberos. Para obter mais informações sobre como configurar a autenticação Kerberos, consulte o Guia de administração do VMware Identity Manager. Pré-requisitos A máquina Windows na qual o conector do VMware Identity Manager está instalado deve ser associada ao domínio. Você deve ter instalado o VMware Identity Manager connector como um usuário do domínio que faz parte do grupo de administradores na máquina com Windows na qual o conector está instalado e você deve estar executando o serviço do VMware IDM Connector como usuário de domínio do Windows. VMware, Inc. 38

39 Procedimentos 1 No console de administração do VMware Identity Manager, clique na guia Gerenciamento de Identidade e Acesso. 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. Todos os conectores que você tiver implantado estão listados. 3 Clique na coluna Trabalhador de um dos conectores. 4 Clique na guia Adaptadores de Autenticação. 5 Clique no link KerberosIdpAdapter para configurar e habilitar o adaptador. Opção Nome Atributo de UID de diretório Habilitar Autenticação do Windows Habilitar redirecionamento Nome do host de redirecionamento Descrição O nome padrão do adaptador é KerberosIdpAdapter. Você pode alterar esse nome. O atributo da conta que contém o nome de usuário. Selecione esta opção. Caso você tenha vários conectores e um cluster e planeje configurar a alta disponibilidade Kerberos usando um balanceador de carga, selecione essa opção e especifique um valor para Nome do host de redirecionamento. Caso sua implantação tenha apenas um conector, você não precisa usar as opções Habilitar redirecionamento e Nome do host de redirecionamento. Exige-se um valor se a opção Habilitar redirecionamento for selecionada. Digite o nome do host do próprio conector. Por exemplo, caso o nome do host do conector seja conector1.exemplo.com, digite conector1.exemplo.com na caixa de texto. Por exemplo: Para obter mais informações sobre a configuração do KerberosIdPAdapter, consulte o Guia de administração do VMware Identity Manager. VMware, Inc. 39

40 6 Clique em Salvar. Observação Se você receber um erro informando que a inicialização do Kerberos falhou, consulte Erro de inicialização Kerberos. Após executar o script, retorne para esta página e configure o adaptador. 7 Caso você tenha implantado um cluster, configure o KerberosIdPAdapter em todos os conectores de seu cluster. Verifique se você configurou o adaptador de forma idêntica em todos os conectores, exceto para o valor do Nome do Host de Redirecionamento, que deve ser específico para cada conector. Próximo passo Verifique se cada conector no qual o KerberosIdpAdapter está ativado tem um certificado SSL confiável. Você pode obter o certificado da sua autoridade de certificação interna. A autenticação Kerberos não funciona com certificados autoassinados. Os certificados SSL confiáveis são necessários, independentemente se você ativa o Kerberos em um único conector ou em vários conectores para alta disponibilidade. Se for necessário, defina alta disponibilidade para a autenticação Kerberos. A autenticação Kerberos não terá alta disponibilidade sem um balanceador de carga. Configurando a alta disponibilidade para a autenticação Kerberos Para configurar a alta disponibilidade para a autenticação Kerberos, instale um balanceador de carga em sua rede interna dentro do firewall e adicione as instâncias do VMware Identity Manager connector a ele. Você também deve definir determinadas configurações no balanceador de carga, estabelecer a confiança SSL entre o balanceador de carga e as instâncias do conector e alterar a URL de autenticação do conector para usar o nome do host do balanceador de carga. Defina as configurações do balanceador de carga Você deve definir determinadas configurações no balanceador de carga, como configurar corretamente o tempo limite do balanceador de carga e ativar as sessões fixas. Defina essas configurações. Tempo limite do balanceador de carga Para que o VMware Identity Manager connector funcione corretamente, talvez você precise aumentar o padrão do tempo limite de solicitação do balanceador de carga. O valor é definido em minutos. Caso a configuração do tempo-limite seja muito baixa, talvez você veja este erro. Erro 502: O serviço está temporariamente indisponível Ativar sessões fixas VMware, Inc. 40

41 Você deverá habilitar a configuração de sessão fixa no balanceador de carga caso sua implantação tenha várias instâncias do conector. Em seguida, o balanceador de carga associará a sessão de um usuário a uma instância do conector específica. Aplicar o certificado raiz do VMware Identity Manager Connector ao balanceador de carga Quando o VMware Identity Manager connector é configurado atrás de um balanceador de carga, deve-se estabelecer a confiança SSL entre o balanceador de carga e o conector. O certificado raiz do conector deve ser copiado para o balanceador de carga como um certificado raiz confiável. O certificado do VMware Identity Manager connector pode ser baixado a partir das páginas de administração do conector em Quando o nome de domínio do conector aponta para o balanceador de carga, o certificado SSL só pode ser aplicado ao balanceador de carga. Procedimentos 1 Faça login nas páginas de administração do conector, como usuário administrador. 2 Selecione Instalar Certificados SSL. 3 Na guia Certificado do Servidor, clique no link no campo Certificados da CA Raiz Autoassinados do Appliance. 4 Copie tudo entre e incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----, e cole o certificado raiz na localização correta em cada balanceador de carga. Consulte a documentação do balanceador de carga. VMware, Inc. 41

42 Próximo passo Copie e cole o certificado raiz do balanceador de carga no VMware Identity Manager connector. Aplicar o certificado raiz do balanceador de carga ao VMware Identity Manager Connector Quando o VMware Identity Manager connector é configurado atrás de um balanceador de carga, deve-se estabelecer a confiança entre o balanceador de carga e o conector. Além de copiar o certificado raiz do conector para o balanceador de carga, você deverá copiar o certificado raiz do balanceador de carga para o conector. Procedimentos 1 Obtenha o certificado raiz do balanceador de carga. 2 Vá para as páginas de administração do VMware Identity Manager connector em e faça login como usuário administrador. 3 Selecione a guia Instalar Certificados SSL > CAs Confiáveis. 4 Cole o texto do certificado do balanceador de carga na caixa de texto Certificado Raiz ou Intermediário. 5 Clique em Adicionar. Alterar o nome do host IdP do conector para o nome do host do balanceador de carga Depois de adicionar as instâncias do VMware Identity Manager connector ao balanceador de carga, você deverá alterar o nome do host IdP no IdP de Workspace de cada conector para o nome do host do balanceador de carga. VMware, Inc. 42

43 Pré-requisitos As instâncias do conector são configuradas atrás de um balanceador de carga. Verifique se a porta do balanceador de carga é 443. Não use 8443, pois esse número de porta é a porta administrativa. Procedimentos 1 Faça login no console de administração do VMware Identity Manager. 2 Clique na guia Gerenciamento de Identidade e Acesso. 3 Clique na guia Provedores de Identidade. 4 Na página Provedores de Identidade, clique no link do IdP de Workspace para a instância do conector. 5 Na caixa de texto Nome do Host IdP, altere o nome do host do nome de host do conector para o nome do host do balanceador de carga. Por exemplo, se o seu nome do host do conector for meuconector, e seu nome do host do balanceador de carga for meubc, altere a URL myconnector.mycompany.com:porta VMware, Inc. 43

44 para o seguinte: mylb.mycompany.com:porta VMware, Inc. 44