Instalação e Configuração do VMware Enterprise Systems Connector. SETEMBRO DE 2017 VMware AirWatch 9.2 VMware Identity Manager 3.0

Transcrição

1 Instalação e Configuração do VMware Enterprise Systems Connector SETEMBRO DE 2017 VMware AirWatch 9.2 VMware Identity Manager 3.0

2 Você pode encontrar a documentação técnica mais atualizada no site da VMware, em: Caso tenha comentários sobre esta documentação, envie seu feedback para: docfeedback@vmware.com VMware, Inc Hillview Ave. Palo Alto, CA Copyright 2017 VMware, Inc. Todos os direitos reservados. Informações de direitos autorais e marcas registradas. VMware, Inc. 2

3 Conteúdo Instalação e configuração do VMware Enterprise Systems Connector 5 1 Visão geral do VMware Enterprise Systems Connector 6 Sobre o VMware Enterprise Systems Connector 6 Requisitos do sistema do Enterprise Systems Connector 8 2 Visão geral da arquitetura do Enterprise Systems Connector 18 Modelo de implantação de SaaS do Enterprise Systems Connector 18 Modelo de implantação no local do Enterprise Systems Connector 19 Fluxos de trabalho de integração de certificado de componente do ACC 21 3 Processo de Instalação do Enterprise Systems Connector 22 Determinar os componentes a serem instalados 23 (somente clientes no local) Instalar o certificado de canal seguro no AWCM 24 Estabelecer comunicações com o AWCM 25 Obtendo o instalador do VMware Enterprise Systems Connector 25 Habilitar o Enterprise Systems Connector a partir do Console do AirWatch 26 Executar o instalador do Enterprise Systems Connector 29 Verificar uma instalação do Enterprise Systems Connector bem-sucedida 35 4 Gerenciamento do ACC 36 Atualizações do ACC 36 Executar uma atualização manual do ACC 38 Regenerar Certificados 39 5 Configuração do VMware Identity Manager Connector 41 Configurando o VMware Identity Manager Connector 41 Gerenciando as configurações de administrador do VMware Identity Manager Connector 48 Habilitando as configurações de proxy após a instalação 52 Configurando a alta disponibilidade para o VMware Identity Manager Connector 53 Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector 57 Excluindo uma instância do VMware Identity Manager Connector 63 Atualizando o VMware Identity Manager Connector 63 6 Migração de diretório do ACC para o VMware Identity Manager Connector 65 Converter outro diretório em Active Directory sobre LDAP ou Active Directory (Autenticação Integrada do Windows) 66 VMware, Inc. 3

4 Parar a sincronização de diretório do AirWatch para o VMware Identity Manager 68 VMware, Inc. 4

5 Instalação e configuração do VMware Enterprise Systems Connector VMware Enterprise Systems Connector Instalação e Configuração fornece informações sobre a configuração do VMware Enterprise Systems Connector, que fornece às organizações a capacidade de integrar o VMware AirWatch e o VMware Identity Manager a seus sistemas empresariais backend. Este documento fornece informações sobre a instalação de ambos os componentes do VMware Enterprise Systems Connector, do AirWatch Cloud Connector e do VMware Identity Manager Connector. Essas informações são aplicáveis a ambos os cenários de implantação SaaS e no local. As observações no texto indicam as diferenças entre os ambientes. Público-alvo Essas informações são formuladas para administradores de sistema Windows experientes. Elas são aplicáveis tanto a clientes SaaS quanto a clientes no local. Glossário de Publicações Técnicas VMware As Publicações Técnicas VMware fornecem um glossário de termos que talvez você não conheça. Para conhecer definições de termos usados na documentação técnica da VMware, acesse VMware, Inc. 5

6 Visão geral do VMware Enterprise Systems Connector 1 Antes de instalar o VMware Enterprise Systems Connector, confira as informações sobre requisitos de sistemas, arquitetura e modelos de implantação. Este capítulo inclui os seguintes tópicos: Sobre o VMware Enterprise Systems Connector Requisitos do sistema do Enterprise Systems Connector Sobre o VMware Enterprise Systems Connector No VMware AirWatch 9.1 e posterior, o AirWatch Cloud Connector (ACC) é incluído como um componente em um novo instalador chamado VMware Enterprise Systems Connector. Esse instalador serve como o pacote do conector unificado para o Workspace ONE, o AirWatch e o Identity. Ele é composto por dois componentes, o ACC e o VMware Identity Manager Connector. Durante o processo de instalação, você pode escolher os componentes a serem instalados. Consulte em Determinar os componentes a serem instalados os cenários em que se recomenda a instalação de ambos os componentes. VMware, Inc. 6

7 Componente do AirWatch Cloud Connector O AirWatch Cloud Connector (ACC) fornece às organizações a capacidade de integrar o AirWatch a seus sistemas empresariais de back-end. O ACC executa na rede interna, atuando como um tipo de proxy que transmite com segurança as solicitações do AirWatch para os componentes da infraestrutura corporativa essenciais da organização. Isso permite que as organizações aproveitem os benefícios do AirWatch Mobile Device Management (MDM), executando em qualquer configuração, juntamente com os benefícios do LDAP, da autoridade de certificação, do e de outros sistemas internos existentes. Consulte também Capítulo 2 Visão geral da arquitetura do Enterprise Systems Connector. O ACC integra-se aos seguintes componentes internos. Retransmissão de (SMTP) Serviços de Diretório (LDAP/AD) Management Exchange 2010 (PowerShell) BlackBerry Enterprise Server (BES) Lotus Domino Web Service (HTTPS) Syslog (dados de log de eventos) Os seguintes componentes só estarão disponíveis se você tiver adquirido o complemento de integração de PKI, que está disponível separadamente. Microsoft Certificate Services (PKI) Simple Certificate Enrollment Protocol (SCEP PKI) Serviços de Certificados de Terceiros (somente no local) Componente do VMware Identity Manager Connector O VMware Identity Manager Connector fornece a integração de diretório, a autenticação de usuário e a integração com recursos como o Horizon View. O uso do componente do VMware Identity Manager Connector fornece os seguintes recursos adicionais para sua implantação. Métodos de autenticação com base no VMware Identity Manager Connector, como senha, Autenticação adaptável RSA, RSA SecurID e Radius. Autenticação Kerberos para usuários internos Integração com os seguintes recursos: Pools de aplicativo e de desktop do Horizon View Recursos publicados Citrix VMware Horizon Cloud Service com infraestrutura hospedada e no local VMware, Inc. 7

8 Introdução Observação Para implantações no local, antes de prosseguir com este guia, você deve ler e executar os procedimentos no Guia do AirWatch Cloud Messaging Service (AWCM). Se você for um cliente local, certifique-se de que o AWCM esteja instalado corretamente, em execução e se comunicando com o AirWatch sem erros. Requisitos do sistema do Enterprise Systems Connector Para implantar o Enterprise Systems Connector, certifique-se de que seu sistema atenda aos requisitos necessários. Requisitos de hardware Use os seguintes requisitos como base para a criação do seu servidor do Enterprise Systems Connector. Se você só estiver instalando o componente do ACC, use os seguintes requisitos. Tabela 1 1. Requisitos do ACC Número de Usuários Até De a De a Núcleos da CPU 2 Dois servidores com balanceamento de carga com dois núcleos da CPU Três servidores com balanceamento de carga com dois núcleos da CPU RAM (GB) por servidor 4 Quatro cada Oito cada Espaço em disco (GB) cada 50 cada O componente do VMware Identity Manager Connector tem os seguintes requisitos adicionais. Se você estiver instalando os componentes do ACC e do VMware Identity Manager Connector, adicione esses requisitos aos requisitos do ACC. VMware, Inc. 8

9 Tabela 1 2. Requisitos do VMware Identity Manager Connector Número de Usuários Até 1000 De 1000 a De a De a De a CPU 2 Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs Dois servidores com balanceamento de carga, cada um com quatro CPUs RAM (GB) por servidor Espaço em disco (GB) 6 6 cada Oito cada 16 cada 16 cada cada 50 cada 50 cada 50 cada Observação Para o componente do ACC, faz-se automaticamente o balanceamento de carga do tráfego pelo componente do AWCM. Ele não requer um balanceador de carga separado. Todas as instâncias do ACC no mesmo grupo organizacional que se conectam ao mesmo servidor do AWCM para alta disponibilidade podem esperar o recebimento de tráfego (uma configuração ao vivo). O roteamento de tráfego é determinado pelo AWCM e depende da carga atual. Para o componente do VMware Identity Manager Connector, consulte Configurando a alta disponibilidade para o VMware Identity Manager Connector. Todos os núcleos da CPU devem ter 2.0 GHz ou mais. É obrigatório um processador Intel. Os requisitos de espaço em disco são: 1 GB de espaço em disco para o aplicativo Enterprise Systems Connector, o sistema operacional Windows e o tempo de execução do.net. O espaço em disco adicional é alocado para o registro em log. Requisitos de software Certifique-se de que o servidor do Enterprise Systems Connector atenda a todos os seguintes requisitos de software. VMware, Inc. 9

10 Lista de verificação do status Requisito Notas Windows Server 2008 R2 ou Windows Server 2012 ou Windows Server 2012 R2 Instalar o PowerShell no servidor Obrigatório para ambos os componentes Obrigatório para ambos os componentes Observação (Componente do AirWatch Cloud Connector) A versão 3.0 ou posterior do PowerShell será obrigatória se você estiver implantando o modelo direto de memória do PowerShell para s. Para verificar sua versão, abra o PowerShell e execute o comando $PSVersionTable. Observação (Componente do VMware Identity Manager Connector) A versão 4.0 do PowerShell será obrigatória se você estiver instalando no Windows Server 2008 R2. Instalar o.net Framework Obrigatório para ambos os componentes Observação (Componente do AirWatch Cloud Connector) O recurso de atualização automática do AirWatch Cloud Connector não funcionará corretamente até que o servidor do Enterprise Systems Connector seja atualizado para o.net Framework O recurso de atualização automática não atualizará o.net Framework automaticamente. Instale o.net Framework manualmente no servidor do Enterprise Systems Connector antes da execução de uma atualização. Requisitos gerais Certifique-se de que seu servidor do Enterprise Systems Connector esteja configurado com os seguintes requisitos gerais para garantir uma instalação bem-sucedida. Lista de verificação do status Requisito Notas Certifique-se de que você tenha acesso remoto aos servidores em que o AirWatch está instalado Instalação do Notepad++ (recomendada) Contas de serviços para autenticação para os sistemas back-end O VMware AirWatch recomenda a configuração do Gerenciador de Conexão de Área de Trabalho Remota para o gerenciamento de vários servidores. Você pode baixar o instalador em Normalmente, as instalações são realizadas remotamente por uma reunião Web ou por compartilhamento de tela que um consultor AirWatch fornece. Alguns clientes também fornecem ao AirWatch credenciais de VPN para o acesso direto ao ambiente. O VMware AirWatch recomenda a instalação do Notepad++. Valide o método de conectividade do AD usando a ferramenta LDP.exe (Consulte LDAP, BES, PowerShell, etc. VMware, Inc. 10

11 Requisitos de rede Para a configuração das portas listadas abaixo, todo o tráfego é unidirecional (saída) do componente de origem para o componente de destino. Um proxy de saída ou qualquer outro software ou hardware de gerenciamento de conexão não deve encerrar ou rejeitar a conexão de saída a partir do Enterprise Systems Connector. A conexão de saída necessária para a utilização pelo Enterprise Systems Connector deve permanecer aberta o tempo todo. Observação Qualquer recurso, como as autoridades de certificação que você deseja alcançar com o ACC, deve estar no mesmo domínio. Tabela 1 3. Requisitos de porta de componente do AirWatch Cloud Connector (SaaS) Lista de verificaçã o do status Componente de origem Componente de destino Protocolo Porta Verificação Servidor do Enterprise Systems Connector AWCM do AirWatch Por exemplo: ( mdm. com) HTTPS 443 Verifique entrando em s e certifique-se de que não haja nenhum erro de confiança de certificado. (Substitua "XXX" pelo mesmo número usado na URL do ambiente, por exemplo, "100" para cn100.) Servidor do Enterprise Systems Connector Console do AirWatch Por exemplo: ( HTTP ou HTTPS 80 ou 443 Verifique entrando em e certifique-se de que não haja nenhum erro de confiança de certificado. (Substitua "XXX" pelo mesmo número usado na URL do ambiente, por exemplo, "100" para cn100.) Se a atualização automática estiver ativada, o ACC deverá ser capaz de consultar no Console do AirWatch as atualizações usando a porta 443. Servidor do Enterprise Systems Connector Servidor do Enterprise Systems Connector API do AirWatch Por exemplo: ( CRL: crl.verisign.com/csc crl HTTPS 443 Verifique entrando em e certifique-se de que lhe foram solicitadas credenciais. (Substitua "XXX" pelo mesmo número usado na URL do ambiente, por exemplo, "100" para cn100.) O acesso ACC para API é necessário para o bom funcionamento do serviço de Diagnóstico do AirWatch. HTTP 80 Para que vários serviços funcionem corretamente Integrações opcionais VMware, Inc. 11

12 Tabela 1 3. Requisitos de porta de componente do AirWatch Cloud Connector (SaaS) (Continuação) Lista de verificaçã o do status Componente de origem Servidor do Enterprise Systems Connector Componente de destino Protocolo Porta Verificação SMTP interno SMTP 25 Servidor do Enterprise Systems Connector LDAP interno LDAP ou LDAPS 389, 636, 3268 ou 3269 Servidor do Enterprise Systems Connector SCEP interno HTTP ou HTTPS 80 ou 443 Servidor do Enterprise Systems Connector ADCS interno DCOM 135, , Servidor do Enterprise Systems Connector BES interno HTTP ou HTTPS 80 ou 443 Servidor do Enterprise Systems Connector Exchange 2010 ou posterior interno HTTP ou HTTPS 80 ou 443 VMware, Inc. 12

13 Tabela 1 4. Requisitos de porta de componente do AirWatch Cloud Connector (no local) Componente de origem Componente de destino Protocolo Porta Verificação Servidor do Enterprise Systems Connector Servidor de mensagens na nuvem do AirWatch HTTPS 2001 Telnet do Enterprise Systems Connector para o Servidor do AWCM na porta ou quando instalado. Verifique inserindo URL>: 2001/awcm/status e certifique-se de que não haja nenhum erro de confiança de certificado. Se a atualização automática estiver ativada, o ACC deverá ser capaz de consultar no Console do AirWatch as atualizações usando a porta 443. Se você estiver usando o ACC com o AWCM, tiver vários servidores do AWCM e quiser fazer o balanceamento de carga deles, precisará configurar a persistência. Para obter mais informações sobre como configurar as regras de persistência do AWCM usando a tecla F5, consulte o seguinte artigo da Base de Dados: Servidor do Console do AirWatch HTTP ou 80 ou Telnet do Enterprise Systems Connector Enterprise HTTPS 443 para o Console na porta ou quando Systems instalado. Connector Verifique inserindo do Console> e certifiquese de que não haja nenhum erro de confiança de certificado. Se a atualização automática estiver ativada, o ACC deverá ser capaz de consultar no Console do AirWatch as atualizações usando a porta 443. Servidor do Enterprise Systems Connector Servidor do Enterprise Systems Connector Servidor de API (ou onde quer que a API esteja instalada) CRL: crl.verisign.com/csc crl HTTPS 443 Verifique navegando para a URL do servidor de API. O acesso ACC para API é necessário para o bom funcionamento do serviço de Diagnóstico do AirWatch. HTTP 80 Para que vários serviços funcionem corretamente Integrações opcionais Servidor do Enterprise Systems Connector SMTP interno SMTP 25 VMware, Inc. 13

14 Tabela 1 4. Requisitos de porta de componente do AirWatch Cloud Connector (no local) (Continuação) Componente de origem Componente de destino Protocolo Porta Verificação Servidor do Enterprise Systems Connector LDAP interno LDAP ou LDAPS 389, 636, 3268 ou 3269 Servidor do Enterprise Systems Connector SCEP interno HTTP ou HTTPS 80 ou 443 Servidor do Enterprise Systems Connector ADCS interno DCOM 135, , Servidor do Enterprise Systems Connector BES interno HTTP ou HTTPS 80 ou 443 Servidor do Enterprise Systems Connector Exchange 2010 ou posterior interno HTTP ou HTTPS 80 ou 443 Tabela 1 5. Requisitos de porta do componente do VMware Identity Manager Connector (SaaS ou no local) Lista de verificação do status Componente de origem Componente de destino Porta Protocolo Notas VMware Identity Manager Connector Navegadores Navegadores Serviço do VMware Identity Manager VMware Identity Manager Connector VMware Identity Manager Connector 443 HTTPS Porta padrão. Essa porta é configurável HTTPS Porta administrativa. Obrigatório 80 HTTP Obrigatório VMware Identity Manager Connector Active Directory 389, 636, 3268, 3269 Portas padrão. Essas portas são configuráveis. VMware Identity Manager Connector Servidor DNS 53 TCP/UDP Toda instância deve ter acesso ao servidor DNS na porta 53 e permitir o tráfego SSH de entrada na porta 22. VMware, Inc. 14

15 Tabela 1 5. Requisitos de porta do componente do VMware Identity Manager Connector (SaaS ou no local) (Continuação) Lista de verificação do status Componente de origem Componente de destino Porta Protocolo Notas VMware Identity Manager Connector Controlador de domínio 88, 464, 135, 445 TCP/UDP VMware Identity Manager Connector Sistema RSA SecurID 5500 Porta padrão. Essa porta é configurável VMware Identity Manager Connector View Connection Server 389, 443 Acessar as instâncias do Servidor de Conexão do View para as integrações do Horizon View VMware Identity Manager Connector Integration Broker 80, 443 Acesso ao Integration Broker para a integração com recursos publicados pela Citrix. Importante Se você instalar o Integration Broker no mesmo servidor Windows que o Enterprise Systems Connector, deverá garantir que, nas ligações de site do Site padrão do Servidor IIS, as portas de conexão HTTP e HTTPS não entrem em conflito com as portas usadas pelo componente do VMware Identity Manager Connector. O VMware Identity Manager Connector sempre usa a porta 80. Ele também usa a 443, a menos que uma porta diferente seja configurada durante a instalação. VMware Identity Manager Connector servidor syslog 514 UDP Para o servidor syslog externo, se configurado VMware, Inc. 15

16 (componente do VMware Identity Manager Connector ) VMware Identity Manager Endereços IP hospedados na nuvem (clientes de SaaS) Consulte no Artigo da Base de conhecimento a lista de endereços IP do serviço do VMware Identity Manager aos quais o VMware Identity Manager Connector deve ter acesso. (componente do VMware Identity Manager Connector ) Requisitos de registros DNS e endereços IP Uma entrada DNS e um endereço IP estático devem estar disponíveis para o conector. Antes de iniciar a instalação, solicite o registro DNS e os endereços IP para usar e definir as configurações de rede do servidor Windows. A configuração da pesquisa inversa é opcional. Ao implementar a pesquisa inversa, você deve definir um registro PTR no servidor DNS para que o conector use a configuração de rede correta. Você pode usar a seguinte lista de exemplo de registros DNS. Substitua as informações de amostra por informações do seu ambiente. Este exemplo mostra os registros DNS e os endereços IP encaminhados. Tabela 1 6. Exemplos de registros DNS e endereços IP encaminhados Nome do domínio Tipo de Recurso Endereço IP meuidentitymanager.empresa.com Um Este exemplo mostra os registros DNS e endereços IP reversos. Tabela 1 7. Exemplos de registros DNS e endereços IP reversos Endereço IP Tipo de Recurso Nome do Host PTR meuidentitymanager.empresa.com Depois de concluir a configuração do DNS, verifique se a pesquisa de DNS reverso está configurada corretamente. Por exemplo, o comando do appliance virtual host IPaddress deve ser resolvido para a pesquisa de nome de DNS. Observação Caso você tenha um balanceador de carga com um endereço IP virtual (VIP) na frente dos servidores DNS, observe que o VMware Identity Manager não oferece para suporta usar um VIP. Você pode especificar vários servidores DNS separados por vírgula. Observação Se você estiver usando um servidor DNS baseado em Linux ou Unix e pretende ingressar o conector no domínio do Active Directory, certifique-se de que os registros de recurso do serviço (SRV) adequados sejam criados para cada controlador de domínio do Active Directory. VMware, Inc. 16

17 (componente do VMware Identity Manager Connector ) Versões compatíveis do Active Directory O VMware Identity Manager é compatível com o Active Directory no Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2012 R2, com um nível funcional de Domínio e um nível funcional de Floresta do Windows 2003 e posteriores. É compatível um ambiente Active Directory que consiste em um único domínio do Active Directory, em vários domínios em uma única floresta do Active Directory ou em vários domínios em várias florestas do Active Directory. VMware, Inc. 17

18 Visão geral da arquitetura do 2 Enterprise Systems Connector O Enterprise Systems Connector contém dois serviços do Windows que podem ser instalados em um servidor físico ou virtual que executa o Windows 2008 R2, 2012 ou 2012 R2. Ele opera a partir de sua rede interna e pode ser configurado por trás de quaisquer firewalls de aplicativos Web ou balanceadores de carga existentes. Quando se inicia uma conexão HTTPS segura do Enterprise Systems Connector com serviços de mensagens incorporados ao AirWatch e ao VMware Identity Manager, o Enterprise Systems Connector pode transmitir periodicamente informações de seus recursos internos, como AD, LDAP, etc. ao produto sem alterações de firewall. Se você planeja usar proxy no tráfego por meio de um proxy de saída, poderá usar as definições na configuração do conector que permitem o uso de proxy. Configurações compatíveis Use o Enterprise Systems Connector nas seguintes configurações. Usando o transporte HTTPS Dando suporte ao tráfego HTTP por meio de um proxy de saída Este capítulo inclui os seguintes tópicos: Modelo de implantação de SaaS do Enterprise Systems Connector Modelo de implantação no local do Enterprise Systems Connector Fluxos de trabalho de integração de certificado de componente do ACC Modelo de implantação de SaaS do Enterprise Systems Connector Em um modelo de implantação de SaaS, o Enterprise Systems Connector reside em sua rede interna e integra-se a seus sistemas internos, permitindo que o AirWatch e o VMware Identity Manager os aproveite para várias funções, como serviços de diretório e certificados. O diagrama a seguir mostra a implantação completa do Enterprise Systems Connector, com os componentes tanto do ACC quanto do VMware Identity Manager Connector implantados. VMware, Inc. 18

19 Figura 2 1. Implantação de SaaS do Enterprise Systems Connector Internet DMZ AirWatch VMware Enterprise Systems Connector(s) ACC Diretório VMware Identity Manager Conector do VMware Identity Manager O diagrama a seguir mostra somente a implantação do componente do ACC. Figura 2 2. Implantação de SaaS do Enterprise Systems Connector (somente ACC) Internet DMZ AirWatch VMware Enterprise Systems Connector(s) ACC Diretório VMware Identity Manager Modelo de implantação no local do Enterprise Systems Connector Em um modelo de implantação no local, o Enterprise Systems Connector reside em sua rede interna e se comunica com o AWCM e com o serviço do VMware Identity Manager. O AWCM normalmente é instalado no servidor de serviços do dispositivo do AirWatch. O diagrama a seguir mostra a implantação do componente do ACC com um layout típico do AirWatch no local. VMware, Inc. 19

20 Figura 2 3. Implantação do Enterprise Systems Connector on-premise (local), somente o ACC Cluster do SQL Server Internet DMZ Banco de Dados do AirWatch Banco de Dados do VMware Identity Manager 443 Cluster AirWatch DS AirWatch DS VMware Enterprise Systems Connector(s) ACC Diretório LB Cluster Dispositivo 443 VMware Identity Manager VMware Identity Manager VMware Identity Manager O diagrama a seguir mostra a implantação de ambos os componentes do ACC e do VMware Identity Manager Connector com um layout típico do AirWatch on-premise (local). Figura 2 4. Implantação do Enterprise Systems Connector on-premise (local), ACC e o VMware Identity Manager Connector Internet DMZ Cluster do SQL Server Banco de Dados do AirWatch Cluster Banco de Dados do VMware Identity Manager 443 AirWatch DS AirWatch DS VMware Enterprise Systems Connector(s) Dispositivo LB 443 Cluster VMware Identity Manager VMware Identity Manager ACC Conector do VMware Identity Manager Diretório VMware Identity Manager VMware, Inc. 20

21 Fluxos de trabalho de integração de certificado de componente do ACC Os certificados são usados para a autenticação da comunicação entre o Console do AirWatch e o AirWatch Cloud Connector (ACC). Como é a geração de certificados Habilite o ACC e, em seguida, gere os certificados para o AirWatch e o ACC. Ambos os certificados são exclusivos para o grupo selecionado no Console do AirWatch e residem no servidor do AirWatch. Ambos os certificados são gerados a partir de uma raiz do AirWatch confiável. Você instala o ACC. O certificado do ACC que o AirWatch gera é automaticamente empacotado e instalado com o ACC. Como os dados são roteados em ambientes no local O AirWatch envia solicitações ao AWCM. As solicitações são criptografadas para SSL usando-se HTTPS. O ACC consulta no AWCM as solicitações do AirWatch. As solicitações são criptografadas para SSL usando-se HTTPS. Todos os dados são enviados por meio do AWCM. A configuração do ACC confia somente nas mensagens assinadas a partir do ambiente do AirWatch. Essa confiança é única por grupo. Emite-se o mesmo certificado ACC exclusivo a quaisquer servidores do ACC adicionais criados no mesmo grupo do AirWatch como parte de uma configuração altamente disponível (HA). Para obter mais informações sobre a alta disponibilidade, consulte o Guia de Arquitetura Recomendada do VMware AirWatch, disponível em AirWatch Resources. Como é a proteção dos dados em ambientes no local O servidor do AirWatch envia cada solicitação como uma mensagem criptografada e assinada ao AWCM. As solicitações são criptografadas usando-se a chave pública exclusiva da instância do ACC. Só o ACC pode descriptografar as solicitações. As solicitações são assinadas usando-se a chave privada da instância do servidor do AirWatch que é exclusiva para cada grupo. Portanto, o ACC confia nas solicitações somente do servidor do AirWatch configurado. As respostas do ACC ao servidor do AirWatch são criptografadas com a mesma chave que a solicitação e assinadas com a chave privada do ACC VMware, Inc. 21

22 Processo de Instalação do 3 Enterprise Systems Connector Você deve executar várias tarefas para configurar e instalar o Enterprise Systems Connector em sua rede interna. Procedimentos 1 Determinar os componentes a serem instalados - Determine se deseja instalar apenas o componente do ACC ou ACC e o VMware Identity Manager Connector. 2 (somente clientes no local) Instalar o certificado de canal seguro no AWCM - Os clientes no local devem instalar um Certificado de Canal Seguro para estabelecer a segurança entre o AWCM e os seguintes componentes: Console do AirWatch, Serviços de Dispositivos, API e Portal de Autoatendimento. 3 Estabelecer comunicações com o AWCM - Clientes SaaS e no local devem estabelecer comunicações com o AWCM. A execução desta ação permite a configuração de uma instância do AirWatch para se usar um servidor do AWCM específico. 4 Obtendo o instalador do VMware Enterprise Systems Connector - Você pode baixar o instalador do Enterprise Systems Connector a partir da página do Cloud Connector no console do AirWatch, conforme descrito em Habilitar o Enterprise Systems Connector a partir do Console do AirWatch. O instalador também está disponível como parte do assistente de Introdução do Workspace ONE. 5 Habilitar o Enterprise Systems Connector a partir do Console do AirWatch - Antes de instalar o Enterprise Systems Connector, primeiro você deve habilitá-lo, gerar certificados e selecionar os serviços corporativos e os serviços do AirWatch a serem integrados. Após a conclusão dessa etapa, você poderá instalar o Enterprise Systems Connector. 6 Executar o instalador do Enterprise Systems Connector - Execute o instalador do Enterprise Systems Connector em seu servidor configurado que atenda a todos os pré-requisitos. 7 Verificar uma instalação do Enterprise Systems Connector bem-sucedida - Após a instalação do Enterprise Systems Connector, você poderá confirmar se a instalação foi bem-sucedida de dentro do Console do AirWatch. Este capítulo inclui os seguintes tópicos: Determinar os componentes a serem instalados (somente clientes no local) Instalar o certificado de canal seguro no AWCM Estabelecer comunicações com o AWCM VMware, Inc. 22

23 Obtendo o instalador do VMware Enterprise Systems Connector Habilitar o Enterprise Systems Connector a partir do Console do AirWatch Executar o instalador do Enterprise Systems Connector Verificar uma instalação do Enterprise Systems Connector bem-sucedida Determinar os componentes a serem instalados Antes de iniciar o processo de instalação, decida se vai instalar apenas o componente do ACC ou instalar tanto o ACC quanto o VMware Identity Manager Connector, de acordo com as necessidades da empresa. A instalação de ambos os componentes do Enterprise Systems Connector é recomendada para a maioria dos clientes do Workspace ONE. Além dos recursos do ACC, a instalação completa inclui o suporte para os seguintes recursos. Aplicativos virtuais e desktops no Workspace ONE Autenticação da RSA Secure ID Autenticação Integrada do Windows Active Directory múltiplo, confiável ou não confiável com o VMware Identity Manager VMware Identity Manager com múltiplas configurações de grupo de diretório-organizacional no AirWatch Plataforma para recursos de integração centrada na identidade Se você já tiver implantado o Workspace ONE somente com o ACC, esse modelo continuará sendo suportado, mas se você planeja aproveitar qualquer um desses recursos, recomenda-se a instalação completa do Enterprise Systems Connector. A migração somente do ACC para o VMware Identity Manager Connector disponível no Enterprise Systems Connector é suportada. Consulte Capítulo 6 Migração de diretório do ACC para o VMware Identity Manager Connector. VMware, Inc. 23

24 (somente clientes no local) Instalar o certificado de canal seguro no AWCM Os clientes no local devem instalar um Certificado de Canal Seguro para estabelecer a segurança entre o AWCM e os seguintes componentes: Console do AirWatch, Serviços de Dispositivos, API e Portal de Autoatendimento. Importante Execute as seguintes etapas no servidor que executa o AWCM. Não baixe o programa de instalação em outro computador e copie-o no servidor do AWCM. Em caso de falha de download no servidor que executa o AWCM, entre em contato com o Suporte do AirWatch para obter possíveis soluções alternativas. Observação Se você fizer alguma alteração no Certificado de Canal Seguro no repositório de chaves do AWCM após ter baixado e instalado o AirWatch Tunnel ou o Enterprise Systems Connector, será necessário desinstalar, excluir todas as pastas, refazer o download e reinstalá-lo. Procedimentos 1 Navegue até Grupos e Configurações > Todas as Configurações > Sistema > Avançado > Certificado de Canal Seguro. 2 Selecione Baixar o Instalador do AWCM Secure Channel na seção AirWatch Cloud Messaging para iniciar a instalação do script de instalação do Certificado de Canal Seguro. O Instalador do Canal Seguro para Linux só é usado para o Serviço de Notificação na Nuvem. O AWCM só é suportado em servidores Windows. 3 Copie o script de instalação do Certificado de Canal Seguro no servidor do AWCM local e clique com o botão direito do mouse em Executar como Administrador para executar e instalar. 4 Digite ou selecione Procurar para localizar o caminho de Truststore e selecione OK. 5 Selecione OK quando a caixa de diálogo Mensagem for exibida informando que o Certificado foi adicionado ao repositório de chaves. 6 Dê procedimento às etapas para Estabelecer comunicações com o AWCM. 7 Dê procedimento às etapas de instalação do Enterprise Systems Connector. VMware, Inc. 24

25 Estabelecer comunicações com o AWCM Clientes SaaS e no local devem estabelecer comunicações com o AWCM. A execução desta ação permite a configuração de uma instância do AirWatch para se usar um servidor do AWCM específico. Procedimentos 1 Navegue até Grupos e Configurações > Todas as Configurações > Sistema > Avançado > URLs do Site para exibir a seção AirWatch Cloud Messaging. Observação Se você for um cliente de SaaS e não vir essa página nas configurações do sistema, isso significa que essas configurações já foram definidas para você. 2 Defina as seguintes configurações. Configuração Habilitar o AirWatch Server URL externa do AirWatch Server Porta externa do AirWatch URL interna do servidor do AWCM Descrição Marque essa caixa de seleção para permitir a conexão entre o Console do AirWatch e o servidor do AWCM. Esse campo permite que você digite o nome de servidor usado por componentes e dispositivos externos (por exemplo, ACC) para se conectar com o AWCM de forma segura (usando HTTPS). Um exemplo de URL de ACC é: Acme.com. Não adicione pois o aplicativo o adiciona automaticamente como pressuposto. Essa é a porta que está sendo usada pelo nome de servidor acima para se comunicar com o AWCM. Para comunicações externas seguras, use a porta 443. Se você ignorar o descarregamento de SSL, isso significa que você deseja usar uma porta de comunicação interna não segura, que, via de regra, é a 2001, mas pode ser alterada para outros números de porta. Essa URL permite que você alcance o AWCM a partir de componentes e dispositivos internos (por exemplo, Console de Administração, Serviços de Dispositivos, etc.). Entre os exemplos de URLs do AirWatch estão: ou Se o servidor do AWCM e o Console do AirWatch forem internos (dentro da mesma rede), e você quiser ignorar o SSL descarregado, não será necessária uma conexão segura. Assim, você poderá usar http em vez de https. Por exemplo, Esse exemplo mostra que o servidor reside dentro da rede interna e está se comunicando na porta Obtendo o instalador do VMware Enterprise Systems Connector O instalador do VMware Enterprise Systems Connector está disponível desde vários locais. O instalador está disponível na página Grupos e Configurações > Todas as Configurações > Sistema > Integração Empresarial > Cloud Connector no console do AirWatch, conforme descrito em Habilitar o Enterprise Systems Connector a partir do Console do AirWatch. Ele também está disponível como parte do assistente de Introdução do Workspace ONE. Para usar o assistente de Introdução do Workspace ONE, consulte o Guia de configuração rápida do VMware Workspace ONE. VMware, Inc. 25

26 Habilitar o Enterprise Systems Connector a partir do Console do AirWatch Antes de instalar o Enterprise Systems Connector, primeiro você deve habilitá-lo, gerar certificados e selecionar os serviços corporativos e os serviços do AirWatch a serem integrados. Após a conclusão dessa etapa, você poderá instalar o Enterprise Systems Connector. Observação Realize as seguintes etapas no servidor que executará o Enterprise Systems Connector. Não baixe o instalador em outro computador e copie-o no servidor do Enterprise Systems Connector. Procedimentos 1 Navegue até Grupos e Configurações > Todas as Configurações > Sistema > Integração Empresarial > Cloud Connector. 2 Defina as seguintes configurações na guia Geral. Configuração Habilitar o Cloud Connector Habilitar a Atualização Automática Descrição Marque essa caixa de seleção para habilitar o Enterprise Systems Connector e exibir a guia Geral. Marque essa caixa de seleção para habilitar o Enterprise Systems Connector à atualização automática quando uma versão mais recente estiver disponível. Para obter mais informações sobre a atualização automática, consulte a Opção de atualização automática do VMware Enterprise Systems Connector. VMware, Inc. 26

27 3 Defina as seguintes configurações na guia Avançado. Configuração Gerar Certificados Comunicação com o AWCM Descrição Selecione esse botão para gerar um certificado para o Enterprise Systems Connector e o servidor do AirWatch. Os certificados são gerados para ambos e exibidos sob Certificados do VMware Enterprise Systems Connector e do AirWatch. Após a geração dos certificados, o botão muda para Regenerar Certificados. Para obter mais informações sobre a regeneração de certificados, consulte Regenerar Certificados. Selecione como o Enterprise Systems Connector comunica-se com o AWCM em Comunicação com o AWCM. Usar a URL Externa do AWCM Essa é a opção padrão que se aplicará à maioria das implantações. Usar a URL Interna do AWCM Use essa opção caso suas configurações de segurança impeçam que o servidor do Enterprise Systems Connector resolva a URL externa do AWCM. Por exemplo, se o Enterprise Systems Connector estiver na sua rede interna, e o servidor AWCM estiver em uma DMZ. Selecione os botões Habilitado ou Desabilitado para habilitar ou desabilitar os serviços corporativos. Os serviços selecionados (habilitados) serão integrados ao Enterprise Systems Connector. SMTP (retransmissão de ) O AirWatch SaaS oferece entrega de por meio de seu próprio SMTP, mas você pode habilitar o Enterprise Systems Connector ao uso de outro servidor SMTP aqui. Insira as configurações dos servidores SMTP para e- mail em Grupos e Configurações > Todas as Configurações > Sistema > Integração Empresarial > (SMTP). Serviços de Diretório (LDAP/AD) Exchange PowerShell (para determinados gateways de seguro) BES (informações de dispositivo móvel e usuário de sincronização BlackBerry) Syslog (protocolo de cliente/servidor usado para a integração aos dados do log de eventos do AirWatch) VMware, Inc. 27

28 Configuração Serviços corporativos Descrição Os seguintes componentes só estarão disponíveis se você tiver adquirido o complemento de integração de PKI, que está disponível separadamente. Microsoft Certificate Services (PKI) Simple Certificate Enrollment Protocol (SCEP PKI) OpenTrust CMS Mobile (serviços de certificados de terceiros) Entrust PKI (serviços de certificados de terceiros) Symantec MPKI (serviços de certificados de terceiros) Como não é necessário acessar no Enterprise Systems Connector os serviços de certificados na nuvem, se você quiser integrar-se a serviços de certificado (como o Symantec MPKI) marcando uma das caixas de seleção na tela abaixo, o serviço selecionado deverá estar no local, não na nuvem (SaaS). Serviços do AirWatch Selecione os botões Habilitado ou Desabilitado para habilitar ou desabilitar os serviços do AirWatch. Os componentes do AirWatch que você selecionar (habilitados) serão integrados ao Enterprise Systems Connector. O AirWatch recomenda deixar todos os serviços habilitados. Serviços de dispositivo (console de administração e todos os serviços necessários para que ele funcione, incluindo serviços relacionados do Windows) Gerenciamento de dispositivo (inscrição, catálogo de aplicativos e serviços do Windows relacionados) Portal de autoatendimento (incluindo serviços do Windows relacionados) Todos os outros componentes (incluindo serviços do Windows relacionados) Observação (Clientes no local) Se você ainda não executou o descrito em Habilitando o AWCM para comunicar-se com o VMware Enterprise Systems Connector, poderá selecionar Baixar o instalador do AWCM Secure Channel para ser redirecionado à página de download. Observação (Clientes SaaS) Não é necessário fazer o download do instalador do Certificado de Canal Seguro. 4 Selecione Salvar para manter todas essas configurações. 5 Navegue até a guia Geral e selecione Baixar o instalador do Cloud Connector. Aparece uma página de download do instalador do Cloud Connector. 6 Digite uma senha para o certificado do Enterprise Systems Connector nos campos. A senha será necessária mais tarde quando você executar o instalador do Enterprise Systems Connector e precisar inserir a senha do certificado. 7 Selecione Download e salve o arquivo.exe no servidor do Enterprise Systems Connector para uso futuro. VMware, Inc. 28

29 Executar o instalador do Enterprise Systems Connector Execute o instalador do Enterprise Systems Connector em um servidor Windows que atenda a todos os requisitos. O instalador inclui os componentes do AirWatch Cloud Connector e do VMware Identity Manager Connector. Você pode instalar um ou ambos os componentes. Após a instalação inicial, você poderá executar o instalador novamente para modificar quaisquer recursos ou atualizar a instalação. Pré-requisitos Os seguintes pré-requisitos aplicam-se ao componente do AirWatch Cloud Connector (ACC). Antes de começar, os clientes no local devem assegurar que o servidor no qual o Enterprise Systems Connector está sendo instalado consiga alcançar o AWCM navegando para em que {url} é a URL do ambiente do AirWatch e porta é a porta externa que você configurou para que o AWCM se comunique. Você deve ver o status do AWCM sem erros de SSL. Se houver erros, resolva-os antes de continuar. Caso contrário, o ACC não funcionará corretamente. Os clientes de SaaS devem assegurar que o servidor no qual você está instalando o Enterprise Systems Connector consiga alcançar o AWCM navegando para Substitua XXX pelo mesmo número usado na URL do ambiente, por exemplo, "100" para cn100. Você deve ver o status do AWCM sem erros de SSL. Se houver erros, resolva-os antes de continuar. Caso contrário, o ACC não funcionará corretamente. Os seguintes pré-requisitos aplicam-se ao componente do VMware Identity Manager Connector. As portas 80 e 8443 devem estar disponíveis no servidor Windows. Se essas portas estiverem sendo usadas por outros serviços, não será possível instalar o componente do VMware Identity Manager Connector. O servidor Windows deve ser associado ao domínio, e você deve instalar o componente do VMware Identity Manager Connector como usuário de domínio que faz parte do grupo de administradores no servidor Windows, nos seguintes casos. Se você pretende conectar-se ao Active Directory (Autenticação Integrada do Windows) Se você planeja usar a autenticação Kerberos Se você planeja integrar o Horizon View ao VMware Identity Manager e deseja usar as opções Executar Sincronização de Diretório ou Configurando o Servidor de Conexão 5.x Nesses casos, você também deve optar por executar o serviço do IDM Connector como usuário de domínio durante a instalação. Para que o instalador possa procurar e validar domínios e usuários durante a instalação, os seguintes requisitos devem ser atendidos. O sistema de destino deve ser ingressado em domínio. O serviço Pesquisador de Computadores deve estar habilitado e em execução. VMware, Inc. 29

30 O Firewall deve ser configurado com uma exceção para o serviço Pesquisador de Computadores. O NetBIOS sobre TCP/IP deve estar habilitado no sistema de destino. Um sistema de localizador mestre deve ser configurado na rede. O tráfego transmitido deve ser habilitado na rede. Procedimentos 1 Clique duas vezes no instalador. 2 Na página Bem-vindo, clique em Próximo. O instalador verifica os pré-requisitos no servidor. Se o.net Framework não estiver instalado, você será solicitado a instalá-lo e a reiniciar o servidor. Depois de reiniciá-lo, execute o instalador do Enterprise Systems Connector novamente para retomar o processo de instalação. Se uma versão anterior do ACC estiver instalada, o instalador a detectará automaticamente e oferecerá a opção de atualizar para a versão mais recente. Para obter mais informações sobre a atualização do ACC, consulte Atualizações do ACC. 3 Aceite o contrato de licença e clique em Próximo. 4 Na página Instalação Personalizada, selecione os componentes a serem instalados. Via de regra, tanto o AirWatch Cloud Connector quanto o VMware Identity Manager Connector são selecionados. Para desmarcar um componente, clique na seta de expansão e selecione Este recurso não estará disponível. Para obter mais informações sobre os componentes, consulte Determinar os componentes a serem instalados. VMware, Inc. 30

31 5 Selecione Alterar... para alterar o diretório de instalação, se necessário, e clique em Próximo. O componente do VMware Identity Manager Connector requer o Java Runtime Environment (JRE ). Se o servidor Windows não tiver o JRE instalado ou se ele tiver uma versão anterior àquela que foi empacotada com o instalador, você será solicitado a instalá-lo. Observe que as versões do JRE existentes não são excluídas quando a versão necessária é instalada. 6 Verifique a pasta de destino e clique em Próximo. 7 Digite a senha do certificado do ACC que você forneceu na página Configurações do Sistema no AirWatch e clique em Próximo. 8 Se você planeja usar proxy no tráfego de ACC por meio de um proxy de saída, marque a caixa de seleção e forneça as informações do servidor proxy. Se necessário, digite o nome de usuário e a senha. Observação As configurações nesta página aplicam-se apenas ao ACC. As informações do servidor proxy para o VMware Identity Manager Connector serão inseridas separadamente mais tarde. VMware, Inc. 31

32 9 Clique em Avançar. 10 (somente VMware Identity Manager Connector) Na página Configuração do IDM Connector, insira as seguintes informações e, em seguida, clique em Próximo. Opção Porta do IDM Connector Gostaria de usar seu próprio certificado SSL? Você está usando um proxy HTTPS? Descrição Digite um número de porta caso você queira que o VMware Identity Manager Connector execute em uma porta diferente da 443. Por padrão, um certificado autoassinado é gerado para o VMware Identity Manager Connector durante o processo de instalação. Você pode instalar um certificado assinado posteriormente conectando-se às páginas de administração do conector em e navegando para a página Instalar Certificado. Se você já tiver um certificado e quiser instalá-lo agora, marque a caixa de seleção e, em seguida, selecione o certificado e insira a senha do certificado. O certificado deve estar no formato PFX. Selecione para configurar um servidor proxy HTTPS para comunicações de saída, se necessário. Proxy HTTPS: A URL do servidor proxy. Os servidores proxy que exigem autenticação não são suportados. Porta do Proxy: A porta do servidor proxy HTTPS. Hosts sem proxy: Hosts que o VMware Identity Manager Connector pode acessar sem passar pelo servidor proxy. Por exemplo, localhost ou hosts na mesma sub-rede. VMware, Inc. 32

33 11 (somente VMware Identity Manager Connector) Na página Ativação do VMware IDM Connector, marque a caixa de seleção caso deseje ativar o conector agora. Opção Código de ativação Senha de administrador Confirmar Senha Descrição Se o VMware Identity Manager estiver configurado no AirWatch Organization Group do qual você baixou o instalador, este campo será pré-preenchido com o código de ativação. Se o campo não estiver pré-preenchido, gere um código de ativação no console de administração do VMware Identity Manager e copie e cole-o aqui. Consulte Gerar código de ativação do VMware Identity Manager Connector para obter informações. Crie uma senha para as páginas de administração do conector. Você pode acessar essas páginas para coletar pacotes de arquivos de log e carregar certificados. Insira a senha novamente. Se você não ativar o VMware Identity Manager Connector agora, poderá ativá-lo mais tarde em Por exemplo, VMware, Inc. 33

34 12 Clique em Avançar. 13 (somente VMware Identity Manager Connector) Na página Conta de serviço do IDM Connector, marque a caixa de seleção caso você deseje executar o serviço do IDM Connector como usuário de domínio do Windows. Você deve executar o serviço como usuário de domínio nos seguintes casos. Se você pretende conectar-se ao Active Directory (Autenticação Integrada do Windows) Se você planeja usar a autenticação Kerberos Se você planeja integrar o Horizon View ao VMware Identity Manager e deseja usar as opções Executar Sincronização de Diretório ou Configurando o Servidor de Conexão 5.x VMware, Inc. 34

35 Observação Para fazer seleções nesta página, você deve estar executando o instalador como usuário de domínio que faz parte do grupo de administradores no servidor Windows. Observação Se não conseguir localizar domínios ou usuários ao clicar em Navegar, verifique se você atendeu aos pré-requisitos. 14 Clique em Avançar. 15 Clique em Instalar para iniciar a instalação. O instalador exibe uma caixa de seleção para a atualização automática do ACC. Para obter mais informações sobre a atualização automática, consulte a Opção de atualização automática do ACC. 16 Clique em Concluir. Verificar uma instalação do Enterprise Systems Connector bem-sucedida Depois de instalar o Enterprise Systems Connector, você poderá verificar uma instalação bem-sucedida de dentro do Console do AirWatch. Observação A opção Testar Conexão só se aplica ao componente do ACC do Enterprise Systems Connector. Ela não se aplica ao componente do VMware Identity Manager Connector. Procedimentos 1 Navegue até Grupos e Configurações > Todas as Configurações > Sistema > Integração Empresarial > Cloud Connector. 2 Selecione Testar Conexão na parte inferior da tela, e a seguinte mensagem aparece. 3 Se estiver migrando, determine quais recursos são novos e teste a nova funcionalidade para verificar se a migração foi bem-sucedida. Próximo passo Agora que você instalou com êxito o Enterprise Systems Connector, pode usá-lo para a integração à sua infraestrutura de serviço de diretório. VMware, Inc. 35

36 Gerenciamento do ACC 4 Esta seção contém informações sobre como atualizar o componente do ACC e regenerar certificados. Este capítulo inclui os seguintes tópicos: Atualizações do ACC Executar uma atualização manual do ACC Regenerar Certificados Atualizações do ACC Atualize o AirWatch Cloud Connector (ACC) a partir do Console do AirWatch para aproveitar as correções de bugs e os aprimoramentos mais recentes. Esse processo pode ser automatizado usandose a opção de atualização automática do ACC ou executado manualmente para situações em que o controle administrativo é uma prioridade. Observação Para obter informações sobre como atualizar o componente do VMware Identity Manager Connector, consulte Atualizando o VMware Identity Manager Connector. Atualização automática do ACC Por padrão, quando você instala o ACC, a caixa de seleção de atualização automática é marcada. A atualização automática permite que o ACC atualize automaticamente para a versão mais recente sem a intervenção do usuário ao consultar no AirWatch se há versões mais recentes do ACC. O AirWatch recomenda que você permita a atualização automática (não desmarque a caixa de seleção), mas o AirWatch deixou isso como opção para os ambientes e situações em que se preferem as atualizações manuais. Observação A opção de atualização automática só se aplica ao componente do ACC do Enterprise Systems Connector. Ela não se aplica ao componente do VMware Identity Manager Connector. Benefícios para a atualização automática Não há necessidade de determinar manualmente se você precisa atualizar e, em seguida, procurar a versão mais recente do ACC - o software faz isso por você. VMware, Inc. 36

37 Você sempre possui os recursos, aprimoramentos e correções mais recentes. Mais importante ainda, você tem a segurança mais atualizada. Processo de atualização A atualização automática do ACC é executada usando-se as pastas Bank1 e Bank2 dentro da pasta do Cloud Connector. O AirWatch detecta qual dessas pastas está vazia e transmite para ela os arquivos do ACC apropriados, além de esvaziar o conteúdo da outra pasta. Para a atualização subsequente, o AirWatch repete o processo, exceto para a pasta alternativa. Esse processo repete sempre que uma nova versão é atualizada automaticamente. Esse processo é ilustrado na figura Fluxo do Processo de Atualização. Importante Não exclua as pastas Bank1 ou Bank2. As pastas Bank1 e Bank2 são parte integrante do processo de atualização automática do ACC. Figura 4 1. Fluxo do Processo de Atualização Segurança da Atualização Automática As atualizações automáticas do ACC são executadas com a segurança em mente. Toda atualização é assinada pelo Console do AirWatch e verificada pelo ACC. Portanto, ele só aceita uma atualização confiável. O processo de atualização também é transparente para o Administrador do AirWatch. Quando uma versão mais recente está disponível, o ACC fica sabendo após consultar o Console do AirWatch na porta 443 e, em seguida, ocorre uma atualização. Enquanto ocorre a atualização do ACC para a versão mais recente, ele fica indisponível. Portanto, há uma pequena perda de serviço (ou seja, aproximadamente 1 minuto). Quando vários servidores do ACC são instalados, para garantir que todos os serviços do ACC não estejam inativos ao mesmo tempo, o AirWatch incorpora ao processo de atualização um timer aleatório para que as falhas do ACC ocorram em momentos diferentes por curtos períodos de tempo. Se o ACC atualizar automaticamente, a versão em Adicionar ou Remover Programas não será alterada - a versão original ainda estará listada. A versão em Adicionar ou Remover Programas só é alterada quando você executa o instalador completo do ACC. A melhor maneira de verificar se a atualização automática foi bem-sucedida é conferindo nos logs do ACC a versão em execução. VMware, Inc. 37

38 Efeitos da desabilitação da atualização automática Se você optar por desabilitar esse recurso e a atualização do ACC não for realizada, o ACC permanecerá operacional até que ocorra qualquer uma das seguintes situações. O ACC é desligado e em seguida ligado (intencionalmente ou por uma falta de energia). O ACC deve ser reinstalado. É feita a atualização do console do AirWatch para uma versão posterior. Os certificados do AirWatch, do AWCM ou do ACC são regenerados. Quando os certificados são regenerados, a versão mais recente do ACC deve ser instalada e reinicializada para o reconhecimento dos novos certificados. Executar uma atualização manual do ACC O AirWatch não recomenda a realização de uma atualização manual do ACC, mas esse método estará disponível como uma opção se ele se adequar melhor às necessidades do seu ambiente. Para obter mais informações sobre a alternativa, consulte Atualização Automática do ACC. Procedimentos 1 Verifique se a atualização automática está desativada no Console do AirWatch. Isso salvará os arquivos.zip do ACC mais recentes no servidor do ACC quando o console for atualizado e criará entradas no arquivo de log do ACC informando que o ACC precisa ser atualizado. 2 Pare o serviço do AirWatch Cloud Connector. 3 Execute uma das abordagens a seguir. a b A primeira abordagem é descompactar manualmente os arquivos.zip do ACC na pasta Bank mencionada no arquivo de log. Substitua os arquivos existentes nessa pasta ou exclua todos os arquivos. Quando se reinicia o serviço do Cloud Connector, a versão do ACC é atualizada. A segunda abordagem é o uso de qualquer uma das pastas Bank. Nesse caso, deixe o arquivo.config ou.config.old disponível na outra pasta Bank para que o arquivo.config de estoque possa ser reparado para valores personalizados. Descompacte os arquivos e reinicie o serviço do Cloud Connector, que será executado com a versão recém-atualizada. VMware, Inc. 38

39 Regenerar Certificados Você poderá achar necessário regenerar os certificados usados para os servidores AirWatch e AirWatch Cloud Connector (ACC), por exemplo, se eles expirarem ou se a organização precisar deles regularmente. O processo é simples e é executado a partir do Console do AirWatch, mas exige que você baixe e execute o instalador do ACC novamente. Os certificados contêm uma impressão digital e uma data de validade. Ambos podem ser eliminados e regenerados ao mesmo tempo selecionando-se o botão Regenerar Certificados e seguindo os prompts. Se você regenerar os certificados, o ACC não poderá mais se comunicar com o AirWatch, e você precisará executar o procedimento de instalação novamente para permitir que ambos os servidores reconheçam os novos certificados. Procedimentos 1 Navegue até Grupos e Configurações > Todas as Configurações > Sistema > Integração Empresarial > Cloud Connector. Ambos os certificados, suas impressões digitais e as datas de validade são exibidos na guia Avançado. 2 Selecione Regenerar Certificados para gerar um novo certificado para os servidores ACC e AirWatch. VMware, Inc. 39

40 3 Se necessário, digite o PIN de segurança para confirmar a ação e confira a mensagem de aviso. Os certificados antigos são excluídos, e os novos certificados, impressões digitais e datas de validade são regenerados. Figura 4 2. Após a inserção do PIN para confirmação, o ACC não poderá mais se comunicar com o servidor do AirWatch. Para restaurar as comunicações entre o ACC e o servidor do AirWatch, volte para Instalando o ACC e conclua todas as etapas novamente. Isso permite que ambos os servidores reconheçam o certificado mais recente e recuperem as comunicações. VMware, Inc. 40

41 Configuração do VMware 5 Identity Manager Connector Esta seção contém informações sobre como configurar o VMware Identity Manager Connector e gerenciar as configurações de administrador. Ela também inclui informações sobre a configuração avançada. Este capítulo inclui os seguintes tópicos: Configurando o VMware Identity Manager Connector Gerenciando as configurações de administrador do VMware Identity Manager Connector Habilitando as configurações de proxy após a instalação Configurando a alta disponibilidade para o VMware Identity Manager Connector Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector Excluindo uma instância do VMware Identity Manager Connector Atualizando o VMware Identity Manager Connector Configurando o VMware Identity Manager Connector Depois de instalar o componente do VMware Identity Manager Connector, você precisará configurá-lo. A configuração do VMware Identity Manager Connector envolve as seguintes tarefas. 1 Gere um código de ativação e ative o conector caso não tenha feito isso durante a instalação. 2 Configure um diretório. 3 Habilite os adaptadores de autenticação no conector. 4 Habilite o modo de saída para o conector. VMware, Inc. 41

42 Gerar código de ativação do VMware Identity Manager Connector Faça login no console de administração do VMware Identity Manager e gere um código de ativação para o VMware Identity Manager Connector. Usa-se esse código de ativação para estabelecer comunicação entre seu tenant e a instância do seu conector. Observação Se o VMware Identity Manager estiver configurado no grupo organizacional do AirWatch do qual você baixou o instalador, não será necessário gerar o código de ativação. Se você estiver ativando o conector a partir do instalador, o código de ativação será pré-preenchido no campo Código de Ativação. Continue com o instalador. Pré-requisitos (Ambientes SaaS) Você tem a URL de tenant do VMware Identity Manager, por exemplo, minhaempresa.vmwareidentity.com. Ao receber sua confirmação por , vá para a URL do tenant e faça login usando as credenciais de administrador local que você recebeu. O administrador corresponde a um usuário local. Procedimentos 1 Faça login no console de administração. 2 (Ambientes SaaS) Clique em Aceitar para aceitar o acordo de Termos e Condições. 3 Clique na guia Gerenciamento de Identidade e Acesso. 4 Clique em Configuração. 5 Na página Conectores, clique em Adicionar conector. 6 Digite um nome para oconector. 7 Clique em Gerar código de ativação. O código de ativação é exibido na página. 8 Copie o código de ativação e salve-o. VMware, Inc. 42

43 Próximo passo Se você estiver ativando o componente do conector do VMware Identity Manager durante a execução do instalador do Enterprise Systems Connector, copie e cole o código do conector na página Ativação do VMware IDM Connector do instalador. Se você for ativar o componente do conector do VMware Identity Manager mais tarde, após a instalação, consulte Ativar o VMware Identity Manager Connector. Ativar o VMware Identity Manager Connector Se você não tiver ativado o VMware Identity Manager Connector pelo instalador do Enterprise Systems Connector durante a instalação, poderá ativá-lo mais tarde acessando a URL Pré-requisitos Você tem um código de ativação para o conector. Procedimentos 1 Vá para a URL Especifique vidmconnectorhostname como um nome de domínio totalmente qualificado. Por exemplo, 2 Na página Bem-vindo, clique em Continuar. 3 Na página Definir Senhas, crie uma senha para as páginas de administração do conector e clique em Continuar. Você pode acessar essas páginas para coletar pacotes de arquivos de log e carregar certificados. 4 Na página Ativar Conector, insira o código de ativação e clique em Continuar. A mensagem Instalação Concluída aparece quando o conector é ativado com êxito. Configurar um diretório Depois de instalar e ativar o VMware Identity Manager Connector, configure um diretório no console de administração do VMware Identity Manager e estabeleça a conexão com o diretório corporativo para sincronizar usuários e grupos com o serviço. o VMware Identity Manager suporta integrar os seguintes tipos de diretórios. Active Directory sobre LDAP Active Directory (Autenticação Integrada do Windows) Diretório LDAP Veja mais informações no guia Integração de diretório com o VMware Identity Manager antes de configurar o diretório. As tarefas de alto nível estão listadas aqui. VMware, Inc. 43

44 Pré-requisitos Os pré-requisitos dependem do tipo de diretório que você está integrando. Veja mais informações no guia Integração de diretório com o VMware Identity Manager. Procedimentos 1 Faça login no console de administração do VMware Identity Manager. Dica Você também pode ir ao console de administração clicando no link Efetuar login no console de administração na página Instalação Concluída que aparece após a ativação do conector. 2 Selecione os atributos de usuário a serem sincronizados com o diretório. a b Clique na guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Instalar. Na guia Atributos de usuário, selecione os atributos obrigatórios e adicione outros atributos caso seja preciso. Se um atributo for marcado como necessário, somente os usuários com esse atributo serão sincronizados com o serviço. Importante Tenha em mente as seguintes restrições. Após a criação do diretório, não será possível alterar um atributo de opcional para obrigatório. Você deve fazer essa seleção agora. As configurações na página Atributos de Usuário aplicam-se a todos os diretórios no serviço. Quando você torna um atributo obrigatório, considere o impacto sobre outros diretórios. Se você pretende sincronizar recursos publicados pela Citrix com o VMware Identity Manager, torne nomedistinto um atributo obrigatório. 3 Clique em Adicionar diretório e selecione o tipo de diretório que você deseja adicionar. 4 Siga as instruções do assistente de instalação para digitar as informações de configuração de diretório, os grupos selecionados e os usuários para sincronizar, assim como os usuários sincronizados com o serviço do VMware Identity Manager. Veja mais informações em "Configurando a conexão do Active Directory com o serviço" no guia Integração de diretório com o VMware Identity Manager. Próximo passo Clique na guia Usuários e Grupos e verifique se os usuários foram sincronizados. VMware, Inc. 44

45 Habilitar os adaptadores de autenticação no VMware Identity Manager Connector Há diversos adaptadores de autenticação disponíveis para o VMware Identity Manager Connector no modo externo, incluindo o PasswordIdpAdapter, o RSAAIdpAdapter, o SecurIDAdapter e o RadiusAuthAdapter. Configure e habilite os adaptadores que você pretende usar. Quando você criou o diretório, o método de autenticação de senha foi automaticamente habilitado para ele. O PasswordIdpAdapter foi configurado com as informações fornecidas para o diretório. Procedimentos 1 No console de administração do VMware Identity Manager, clique na guia Gerenciamento de Identidade e Acesso. 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. O conector que você implantou é listado. 3 Clique no link que consta na coluna Agente de trabalho. 4 Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. Caso você já tenha configurado um diretório, o PasswordIdpAdapter já estará configurado e habilitado, contendo as informações de configuração que você especificou enquanto criava o diretório. 5 Configure e habilite os adaptadores de autenticação que você deseja usar. Para isso, clique no link relativo a cada um deles e digite as informações de configuração. Você deve habilitar ao menos um adaptador de autenticação. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte o Guia de Administração do VMware Identity Manager. Por exemplo: VMware, Inc. 45

46 Habilitar o modo de saída para o VMware Identity Manager Connector Para habilitar o modo de conexão apenas de saída para o VMware Identity Manager Connector, associeo a um provedor de identidade interno. Via de regra o provedor de identidade interno está disponível no serviço do VMware Identity Manager e fornece métodos de autenticação internos adicionais, tal como o VMware Verify. Para obter mais informações sobre o Provedor de de identidade integrado, consulte o Guia de administração do VMware Identity Manager. Observação O conector pode ser usado simultaneamente tanto no modo de saída quanto no modo normal. Mesmo que você habilite o modo de saída, ainda poderá configurar a autenticação Kerberos para usuários internos usando métodos e políticas de autenticação. Procedimentos 1 Na guia Gerenciamento de Identidade e Acesso do console de administração, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 Insira as seguintes informações. Opção Usuários Rede Descrição Selecione o diretório ou os domínios que usarão o Provedor de de identidade integrado. Selecione os intervalos de rede que usarão o Provedor de identidade integrado. VMware, Inc. 46

47 Opção Conector(es) Descrição Selecione o conector que você configurou. Observação Posteriormente, ao adicionar os conectores para alta disponibilidade, selecione e adicione todos eles aqui para associá-los ao Provedor de identidade integrado. O VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade Integrado. Não é necessário ter um balanceador de carga. Métodos de autenticação do conector Os métodos de implantação que você habilitou para o conector estão listados. Selecione os métodos de autenticação que você deseja usar. O PasswordIdpAdapter, que foi automaticamente configurado e habilitado quando você criou um diretório, é exibido nesta página como Senha (implantado na nuvem), o que denota que ele é usado com o conector em modo de saída. Por exemplo: 5 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. 6 Edite as políticas para usar os métodos de autenticação que você habilitou. a b c d e f Na guia Gerenciamento de Identidade e Acesso, clique em Gerenciar. Clique na guia Políticas; em seguida, clique na política que você deseja editar. Em Regras de política, para a regra que você deseja editar, clique no link que consta na coluna Método de autenticação. Na página Editar regra da política, selecione o método de autenticação que você deseja usar para esta regra. Clique em OK. Clique em Salvar. Para obter mais informações sobre como configurar políticas, consulte o Guia de administração do VMware Identity Manager. VMware, Inc. 47

48 Agora, o modo de saída do conector está habilitado. Quando um usuário faz login usando um dos métodos de autenticação que você habilitou para o conector no Provedor de identidade integrado, não se exige um redirecionamento HTTP para o conector. Gerenciando as configurações de administrador do VMware Identity Manager Connector Após a configuração inicial do VMware Identity Manager Connector, você poderá ir às páginas de administração do conector a qualquer momento para instalar certificados, gerenciar senhas e baixar arquivos de log. As páginas de administração do VMware Identity Manager Connector estão disponíveis em por exemplo, Faça login como usuário administrador do conector com a senha de administrador que você criou quando instalou o conector. Tabela 5 1. Configurações do Conector Opção Instalar Certificado Alterar Senha Localizações do Arquivo de Log Descrição Você pode instalar um certificado personalizado ou autoassinado para o conector. Se o conector estiver configurado com um balanceador de carga, você poderá instalar o certificado raiz do balanceador de carga. A localização do certificado da CA raiz do conector é mostrada nessa página, bem como na guia Encerrar o SSL em um Balanceador de Carga. Nessa página, você pode alterar a senha de administração do conector. Você pode acessar os arquivos de log do conector diretamente no computador host ou agrupar os arquivos de log do conector em um arquivo zip para fazer download. Usando certificados SSL Quando o VMware Identity Manager Connector é instalado, um certificado do servidor SSL padrão é gerado automaticamente. Você pode usar esse certificado autoassinado para testes gerais de sua implementação. A VMware recomenda gerar e instalar certificados SSL comerciais no seu ambiente de produção. Uma autoridade de certificação (CA) é uma entidade confiável que garante a identidade do certificado e do respectivo criador. Quando um certificado é assinado por uma CA confiável, os usuários não receberão mais mensagens solicitando a verificação do certificado. Se você implantar o VMware Identity Manager Connector com o certificado SSL autoassinado, o certificado da CA raiz deverá estar disponível como uma CA confiável para qualquer cliente que acessa o conector. Os clientes podem incluir máquinas do usuário final, balanceadores de carga, proxies etc. Você pode fazer download da CA raiz em VMware, Inc. 48

49 Instalar um certificado assinado pela CA para o VMware Identity Manager Connector Quando o VMware Identity Manager Connector está instalado, gera-se o certificado do servidor SSL autoassinado padrão. Você deve gerar e instalar certificados SSL comerciais para o seu ambiente de produção. Observação Se o conector apontar para um balanceador de carga, o certificado SSL será aplicado ao balanceador de carga. Pré-requisitos Gere uma solicitação de assinatura de certificado (CSR) e obtenha um certificado válido assinado por uma autoridade de certificação. Se a sua organização fornecer certificados SSL assinados por uma autoridade de certificação, você poderá usar esses certificados. O certificado deve estar no formato PEM. Procedimentos 1 Faça login nas páginas de administração do VMware Identity Manager Connector em como usuário administrador. 2 Clique em Instalar Certificado. 3 Na guia Encerrar o SSL no Appliance do Identity Manager, para a opção Certificado SSL, selecione Personalizar Certificado. 4 Na caixa de texto Cadeia de Certificados SSL, cole os certificados intermediários, de host e de raiz, nessa ordem. O certificado SSL somente funcionará se você incluir toda a cadeia de certificados na ordem correta. Para cada certificado, copie tudo que estiver entre as linhas -----INICIAR CERTIFICADO----- e FINALIZAR CERTIFICADO----, incluindo-as Verifique se o certificado inclui o nome do host FQDN. 5 Cole a chave privada na caixa de texto Chave Privada. Copie tudo entre ----INICIAR CHAVE PRIVADA RSA e ---FINALIZAR CHAVE PRIVADA RSA. 6 Clique em Salvar. Exemplo: Exemplos de certificados Exemplo de cadeia de certificados -----INICIAR CERTIFICADO----- jlqvt9wdr9vpg3wqt5+c3hu17buowvhp/r W53+O05j5xsxzDJfWr1lqBlFF/OkIYCPcyK1 VMware, Inc. 49

50 Exemplo de cadeia de certificados -----FINALIZAR CERTIFICADO INICIAR CERTIFICADO----- WdR9Vpg3WQT5+C3HU17bUOwvhp/rjlQvt O05j5xsxzDJfWr1lqBlFF/OkIYCPW53+cyK FINALIZAR CERTIFICADO INICIAR CERTIFICADO----- dr9vpg3wqtjlqvt9w5+c3hu17buowvhp/r j5xsxzDJfWr1lqW53+O0BlFF/OkIYCPcyK FINALIZAR CERTIFICADO----- Exemplo de chave privada -----INICIAR CHAVE PRIVADA RSA----- jlqvtg3wqt5+c3hu17bu9wdr9vpowvhp/r lqBlFFW53+O05j5xsxzDJfWr/OkIYCPcyK FINALIZAR CHAVE PRIVADA RSA----- Gerenciando suas senhas do VMware Identity Manager Connector Quando instalou o VMware Identity Manager Connector, você criou uma senha para o usuário administrador. Você pode alterar essa senha nas páginas do administrador do conector. Importante Certifique-se de criar senhas fortes. As senhas de alta segurança devem ter pelo menos oito caracteres e incluir letras maiúsculas e minúsculas e pelo menos um caractere numérico ou especial. Procedimentos 1 Faça login nas páginas de administração do VMware Identity Manager Connector em como usuário administrador. 2 Clique em Alterar Senha. 3 Digite as senhas antigas e novas. Importante A senha do usuário administrador deve ter pelo menos 6 caracteres. 4 Clique em Salvar. VMware, Inc. 50

51 Visualizando arquivos de log Os arquivos de log do VMware Identity Manager Connector podem ajudar a depurar e a solucionar problemas. Os arquivos de log estão no diretório InstallDirectory\IDMConnector\opt\vmware\horizon\workspace\logs. Os seguintes arquivos de log são os mais relevantes. Tabela 5 2. Arquivos de log Componente Logs do Configurador Logs do conector Logs do Apache Tomcat Local do arquivo de log no Windows InstallDirectory\IDMConnecto r\opt\vmware\horizon\workspac e\logs\configurator.log InstallDirectory\IDMConnecto r\opt\vmware\horizon\workspac e\logs\connector.log InstallDirectory\IDMConnecto r\opt\vmware\horizon\workspac e\logs\catalina.log Descrição Solicita que o configurador receba do cliente REST e da interface Web. Um registro de cada solicitação recebida da interface Web. Cada entrada de log inclui também a URL, o carimbo de data/hora e as exceções da solicitação. Nenhuma ação de sincronização é registrada. O registros do Apache Tomcat de mensagens que não são registradas em outros arquivos de log. Você também pode baixar um pacote de arquivos de log nas páginas de administração do VMware Identity Manager Connector. Baixar um pacote de logs Nas páginas de administração do conector, você pode baixar um pacote de arquivos de log para o VMware Identity Manager Connector. Os arquivos de log podem ajudar a depurar e a solucionar problemas. Para coletar logs de cada instância de conector no seu ambiente, efetue login nas páginas de administração de cada instância. Procedimentos 1 Faça login nas páginas de administração do VMware Identity Manager Connector em como usuário administrador. 2 Clique em Localizações do Arquivo de Log e em Preparar pacote de logs. As informações são coletadas em um arquivo zip para download. 3 Baixe um pacote de logs. VMware, Inc. 51

52 Habilitando as configurações de proxy após a instalação Se você não tiver definido as configurações de proxy HTTPS para o componente do VMware Identity Manager Connector durante a instalação, poderá defini-as mais tarde editando o arquivo C:\INSTALL_DIR\opt\vmware\horizon\workspace\conf\wrapper.conf. Procedimentos 1 Faça logon no servidor Windows. 2 Abra o seguinte arquivo em um editor de texto: C:\INSTALL_DIR\opt\vmware\horizon\workspace\conf\wrapper.conf 3 Adicione as seguintes entradas após a última entrada do wrapper.java.additional: wrapper.java.additional.32="-dhttps.proxyhost=proxyserver" wrapper.java.additional.33="-dhttps.proxyport=proxyserverport" em que proxyserver é o servidor proxy HTTPS, proxyserverport é a porta do servidor proxy HTTPS e o número corresponde ao número da entrada wrapper.java.additional. Por exemplo, se o arquivo já tiver 31 entradas wrapper.java.additional, use 32 e 33 para as novas entradas, conforme mostrado no exemplo. 4 Se você estiver executando o serviço do IDM Connector como usuário de domínio, adicione as seguintes linhas: wrapper.ntservice.account=domínio/nomedousuário wrapper.ntservice.password=****** Por exemplo: wrapper.ntservice.account=example/usera wrapper.ntservice.password=****** VMware, Inc. 52

53 5 Na linha de comando, execute os seguintes comandos como administrador: a C:\INSTALL_DIR\usr\local\horizon\scripts\horizonService.bat reinstall O comando deve retornar o seguinte resultado: Derived instance name: workspace Reinstalling instance at C:\VMware\IDMConnector\opt\vmware\horizon\workspace wrapper Service is running. Stopping it... wrapper Waiting to stop... wrapper VMware IDM Connector stopped. wrapper VMware IDM Connector removed. wrapper VMware IDM Connector installed. b C:\VMware\IDMConnector\usr\local\horizon\scripts\horizonService.bat start O comando deve retornar o seguinte resultado: Derived instance name: workspace Starting instance at C:\VMware\IDMConnector\opt\vmware\horizon\workspace wrapper Starting the VMware IDM Connector service... wrapper VMware IDM Connector started. Configurando a alta disponibilidade para o VMware Identity Manager Connector Você pode configurar o VMware Identity Manager Connector para alta disponibilidade e failover adicionando várias instâncias do conector em um cluster. Se uma das instâncias do conector se tornar indisponível por qualquer motivo, outras instâncias ainda estarão disponíveis. Para criar um cluster, instale novas instâncias de conector e configure-as exatamente da mesma maneira que você configurou o primeiro conector. Sendo assim, você associa todas as instâncias do conector ao provedor de identidade integrado. O serviço do VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados com o provedor de identidade integrado. Não é necessário ter um balanceador de carga. Caso um dos conectores fique indisponível devido a um problema na rede, o serviço não direciona o tráfego para ele. Quando a conectividade é restaurada, o serviço é retomado enviando o tráfego ao conector. VMware, Inc. 53

54 Depois de configurado o cluster do conector, os métodos de autenticação que você habilitou no conector ficam altamente disponíveis. Caso uma das instâncias do conector esteja indisponível, a autenticação ainda estará disponível. Para a sincronização de diretório, no entanto, em caso de uma falha da instância do conector, você precisará selecionar manualmente outra instância do conector como o conector de sincronização. Isso ocorre porque a sincronização de diretório pode ser ativada somente em um conector por vez. Observação Esta seção não se aplica à alta disponibilidade da autenticação Kerberos. Consulte Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector. Instalar outras instâncias do VMware Identity Manager Connector Depois de instalar e configurar a primeira instância do VMware Identity Manager Connector, você poderá adicionar mais conectores para fins de alta disponibilidade instalando novas instâncias de conector e configurando-as exatamente da mesma maneira que a primeira instância de conector. Importante As novas instâncias de conector devem ser ativadas junto ao mesmo serviço do VMware Identity Manager que a primeira instância de conector. Pré-requisitos Você instalou e configurou a primeira instância do conector, conforme descrito em Executar o instalador do Enterprise Systems Connector. Procedimentos 1 Instale e configure uma nova instância do VMware Identity Manager Connector seguindo estas instruções. Executar o instalador do Enterprise Systems Connector Configurando o VMware Identity Manager Connector Importante Você deve ativar a nova instância de conector junto ao mesmo serviço do VMware Identity Manager que o primeiro conector. 2 Associe o novo VMware Identity Manager Connector ao WorkspaceIDP da primeira instância de conector. a b c d e No console de administração do VMware Identity Manager, selecione a guia Gerenciamento de Identidade e Acesso e, em seguida, a guia Provedores de Identidade. Na página Provedores de Identidade, localize o WorkspaceIDP da primeira instância do conector e clique no link. No campo Conectores, selecione o novo conector. Digite a senha do DN de associação e clique em Adicionar Conector. Clique em Salvar. VMware, Inc. 54

55 3 Configure e habilite adaptadores de autenticação no novo conector. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. a b c Na guia Gerenciamento de Identidade e Acesso, clique em Configuração e, em seguida, clique na guia Conectores. Clique no link na coluna Trabalhador do novo conector. Clique na guia Adaptadores de Autenticação. Estão listados todos os adaptadores de autenticação disponíveis para o conector. O PasswordIdpAdapter já está configurado e habilitado porque você associou o novo conector ao diretório associado ao primeiro conector. d Configure e habilite os outros adaptadores de autenticação da mesma maneira que o primeiro conector. Certifique-se de que as informações de configuração sejam idênticas. Para obter informações sobre como configurar adaptadores de autenticação, consulte o Guia de Administração do VMware Identity Manager. Próximo passo Adicionar novas instâncias do VMware Identity Manager Connector ao provedor de identidade interno Adicionar novas instâncias do VMware Identity Manager Connector ao provedor de identidade interno Depois de implantar e configurar as novas instâncias do VMware Identity Manager Connector, adicioneas ao provedor de identidade interno e habilite os mesmos métodos de autenticação que estão habilitados na primeira instância de conector. O VMware Identity Manager distribui automaticamente o tráfego entre todos os conectores associados ao provedor de identidade interno. Procedimentos 1 Na guia Gerenciamento de Identidade e Acesso do console de administração do VMware Identity Manager, clique em Gerenciar. 2 Clique na guia Provedores de Identidade. 3 Clique no link Integrado. 4 No campo Conectores, selecione o novo conector na lista suspensa e clique em Adicionar Conector. VMware, Inc. 55

56 5 Na seção Métodos de Autenticação do Conector, habilite os mesmos métodos de autenticação habilitados para o primeiro conector. O método de autenticação Senha (implantação em nuvem) é configurado e habilitado automaticamente. Você deve habilitar os outros métodos de autenticação. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Os mesmos métodos de autenticação devem ser habilitados em todos os conectores. Para obter informações sobre como configurar adaptadores de autenticação específicos, consulte o Guia de Administração do VMware Identity Manager. 6 Clique em Salvar para salvar a configuração do provedor de identidade Integrado. Ativando a sincronização de diretório em outro conector em caso de falha Em caso de uma falha na instância do conector, a autenticação é realizada automaticamente por outra instância do conector. No entanto, para a sincronização de diretório, você precisa modificar as configurações de diretório no serviço do VMware Identity Manager para usar outra instância do conector em vez da instância original. A sincronização de diretório pode ser ativada somente em um conector por vez. Procedimentos 1 Faça login no console de administração do VMware Identity Manager. 2 Clique na guia Gerenciamento de Identidade e Acesso e, em seguida, clique em Diretórios. 3 Clique no diretório que era associado à instância original do conector. Dica Você pode exibir essas informações na página Instalar > Conectores. 4 Na seção Sincronização e autenticação do Diretório da página do diretório, no campo Sincronizar conector, selecione outra instância deste. 5 No campo Senha do DN do bind, insira a senha da conta de associação do Active Directory. 6 Clique em Salvar. VMware, Inc. 56

57 Adicionando o suporte à autenticação Kerberos à sua implantação do VMware Identity Manager Connector Você pode adicionar a autenticação Kerberos para usuários internos, que requer o modo de conexão de entrada, à sua implantação com base em conectores de modo de conexão somente de saída. Os mesmos conectores podem ser configurados para usar a autenticação Kerberos para usuários provenientes da rede interna e outro método de autenticação para usuários que vêm de fora. Você pode conseguir isso definindo políticas de autenticação baseadas em intervalos de rede. Observação Para configurar alta disponibilidade para autenticação Kerberos, é necessário um balanceador de carga. Configurando e habilitando o adaptador de autenticação Kerberos Configure e habilite o KerberosIdpAdapter no VMware Identity Manager Connector. Caso você tenha implantado um cluster para alta disponibilidade, configure e habilite o adaptador em todos os conectores de seu cluster. Importante Os adaptadores de autenticação em todos os conectores do cluster devem ser configurados de forma idêntica. Todos os conectores devem ser configurados com o mesmo método de autenticação. Quando você configura o adaptador de autenticação Kerberos, o conector do VMware Identity Manager tenta inicializar o Kerberos automaticamente. Se o serviço do VMware IDM Connector não estiver sendo executado com privilégios suficientes para a inicialização do Kerberos, uma mensagem de erro aparecerá. Nesse caso, siga as instruções no para executar um script para inicializar o Kerberos. Para obter mais informações sobre como configurar a autenticação Kerberos, consulte o Guia de administração do VMware Identity Manager. Pré-requisitos A máquina Windows na qual o conector do VMware Identity Manager está instalado deve ser associada ao domínio. Você deve ter instalado o componente do VMware Identity Manager Connector como um usuário do domínio que faz parte do grupo de administradores na máquina Windows e você deve estar executando o serviço do VMware IDM Connector como usuário de domínio do Windows. Procedimentos 1 No console de administração do VMware Identity Manager, clique na guia Gerenciamento de Identidade e Acesso. VMware, Inc. 57

58 2 Clique na guia Configuração e, em seguida, clique na guia Conectores. Todos os conectores que você tiver implantado estão listados. 3 Clique na coluna Trabalhador de um dos conectores. 4 Clique na guia Adaptadores de Autenticação. 5 Clique no link KerberosIdpAdapter para configurar e habilitar o adaptador. Opção Nome Atributo de UID de diretório Habilitar Autenticação do Windows Habilitar redirecionamento Nome do host de redirecionamento Descrição O nome padrão do adaptador é KerberosIdpAdapter. Você pode alterar esse nome. O atributo da conta que contém o nome de usuário. Selecione esta opção. Caso você tenha vários conectores e um cluster e planeje configurar a alta disponibilidade Kerberos usando um balanceador de carga, selecione essa opção e especifique um valor para Nome do host de redirecionamento. Caso sua implantação tenha apenas um conector, você não precisa usar as opções Habilitar redirecionamento e Nome do host de redirecionamento. Exige-se um valor se a opção Habilitar redirecionamento for selecionada. Digite o nome do host do próprio conector. Por exemplo, caso o nome do host do conector seja conector1.exemplo.com, digite conector1.exemplo.com na caixa de texto. Por exemplo: Para obter mais informações sobre a configuração do KerberosIdPAdapter, consulte o Guia de administração do VMware Identity Manager. 6 Clique em Salvar. Observação Se você receber um erro informando que a inicialização do Kerberos falhou, execute o script de inicialização Kerberos manualmente seguindo as instruções em Em seguida, retorne a esta página e configure o adaptador. VMware, Inc. 58

59 7 Caso você tenha implantado um cluster, configure o KerberosIdPAdapter em todos os conectores de seu cluster. Certifique-se de ter configurado o adaptador exatamente da mesma maneira em todos os conectores. Próximo passo Se for necessário, defina alta disponibilidade para a autenticação Kerberos. A autenticação Kerberos não terá alta disponibilidade sem um balanceador de carga. Configurando a alta disponibilidade para a autenticação Kerberos Para configurar a alta disponibilidade para a autenticação Kerberos, instale um balanceador de carga em sua rede interna dentro do firewall e adicione as instâncias do VMware Identity Manager Connector a ele. Você também deve definir determinadas configurações no balanceador de carga, estabelecer a confiança SSL entre o balanceador de carga e as instâncias do conector e alterar a URL de autenticação do conector para usar o nome do host do balanceador de carga. Defina as configurações do balanceador de carga Você deve definir determinadas configurações no balanceador de carga, tais como habilitar os cabeçalhos do X-Forwarded-For, configurar corretamente o tempo-limite para o balanceador de carga e habilitar as sessões fixas. Defina essas configurações. Cabeçalhos X-Forwarded-For Você deve ativar os cabeçalhos X-Forwarded-For no seu balanceador de carga. Isso determina o método de autenticação. Consulte a documentação do balanceador de carga para obter mais informações. Tempo limite do balanceador de carga Para que o VMware Identity Manager Connector funcione corretamente, talvez você precise aumentar o padrão do tempo limite de solicitação do balanceador de carga. O valor é definido em minutos. Caso a configuração do tempo-limite seja muito baixa, talvez você veja este erro. Erro 502: O serviço está temporariamente indisponível Ativar sessões fixas Você deverá habilitar a configuração de sessão fixa no balanceador de carga caso sua implantação tenha várias instâncias do conector. Em seguida, o balanceador de carga associará a sessão de um usuário a uma instância do conector específica. VMware, Inc. 59

60 Aplicar o certificado raiz do VMware Identity Manager Connector ao balanceador de carga Quando o VMware Identity Manager Connector é configurado atrás de um balanceador de carga, devese estabelecer a confiança SSL entre o balanceador de carga e o conector. O certificado raiz do conector deve ser copiado para o balanceador de carga como um certificado raiz confiável. O certificado do VMware Identity Manager Connector pode ser baixado a partir das páginas de administração do conector em Quando o nome de domínio do conector aponta para o balanceador de carga, o certificado SSL só pode ser aplicado ao balanceador de carga. Procedimentos 1 Faça login nas páginas de administração do conector, como usuário administrador. 2 Selecione Instalar Certificado. 3 Selecione a guia Encerrar o SSL em um Balanceador de Carga e, no campo Certificado da CA Raiz do Appliance, clique no link do host/horizon_workspace_rootca.pem. 4 Copie tudo entre e incluindo as linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----, e cole o certificado raiz na localização correta em cada balanceador de carga. Consulte a documentação do balanceador de carga. Próximo passo Copie e cole o certificado raiz do balanceador de carga no VMware Identity Manager Connector. VMware, Inc. 60