vCenter SSO单点登录配置指南

VMware vSphere 使用单点登录（SSO）功能，旨在支持将不同基础设施组件（例如 vCenter 和 Web 客户端）安装在独立的虚拟机上。SSO 是一种通信通道，使管理员无需将全部基础设施都部署在 vCenter Server 上。今天，我们将重点介绍一些与 vCenter SSO 相关的信息。

什么是 vCenter SSO？

vCenter SSO（单点登录）域是 VMware vCenter Server 环境的重要组成部分，用于身份验证和授权。vCenter SSO 域是一组用户、用户组以及解决方案用户（例如 vSphere Web 客户端和 vSphere 更新管理器），这些用户拥有在 vCenter Server 环境中执行特定操作所需的权限。

vCenter SSO 域通过在 VMware 身份管理服务（IDM）中配置和管理用户及用户组来创建。它还支持在多个 vCenter Server 实例及其他 VMware 解决方案之间共享身份验证信息，使用户只需一次登录，即可访问多种 VMware 产品和服务。

vCenter SSO 的组成部分

vCenter SSO 的组成部分具体包括安全令牌服务（STS）、管理服务器、身份管理服务以及 VMware 目录服务（vmdir）。

安全令牌服务（STS）：STS 服务基于安全断言标记语言（SAML）分发令牌。这些安全令牌代表 vCenter SSO 所支持的身份源类型中的用户身份。SAML 令牌允许已成功登录 vCenter SSO 的人工用户和解决方案用户，在无需分别登录每个服务的情况下，访问任何受支持的 vCenter 服务。

管理服务器：拥有 vCenter SSO 管理员权限的用户可通过 vSphere Web 客户端管理用户和组，并使用管理服务器配置 vCenter SSO 服务器。

VMware 目录服务（vmdir）：VMware 目录服务是每个嵌入式部署及平台服务控制器的组成部分。安装过程中，该服务会连接至所选域。此服务为多租户、多主控目录服务。在 vSphere 6.0 中，VMware 目录服务不仅存储 vCenter 单点登录（SSO）信息，还存储证书信息。

身份管理服务：负责处理身份源和STS认证请求。

vCenter SSO 如何保护您的环境？

我们知道，vCenter SSO 通过安全令牌机制使 vSphere 组件之间能够相互通信，从而大幅提升输出环境的安全性。此外，VMware vSphere 套件通过 SSO 认证机制与 vCenter 集成。这使您能够利用 SSO 控制或授予套件中资源的权限，并提供以下服务：

① 统一身份验证：通过使用 vCenter SSO，用户只需登录一次，即可访问多个 vCenter Server 实例及相关服务，无需每次重复输入用户名和密码。

② 安全性：提供安全的身份验证与授权机制，确保仅已通过身份验证的用户才能访问受保护的资源。

③ 多域支持：它还支持跨多个域的用户和组的跨域访问，从而更轻松地在多个安全域中管理 vCenter Server。

④ 集中化管理：提供集中化管理界面，便于管理用户、群组、证书及其他安全相关配置。

如何配置 vCenter SSO 域？

开始之前，请确保已部署 vCenter Server，因为在安装 vCenter Server 时，vSphere SSO 的部署由平台服务控制器（Platform Services Controller）自动完成。

步骤 1。 部署 vCenter Server 时，请按照步骤完成 vCenter Server 的配置。在“SSO 配置”步骤中，单击“创建新的 SSO 域”，在此处可设置 SSO 域名和 SSO 密码。

步骤 2。在 vSphere 系统设置菜单中，导航至单一登录（Single Sign-On）选项卡。然后，在活动目录域身份源（Active Directory Domain Identity Source）下的身份提供商（Identity Provider）选项卡中，单击“加入 AD”，将活动目录域添加为 vCenter SSO 域。

步骤 3。 输入域名，然后选择组织单位（可选）。接着输入用户名和密码，单击“加入”以重启 VCSA。

步骤 4。 返回单点登录选项卡，点击“配置”>“身份提供商”，然后在身份源列表中，根据需要选择一个可用的身份源，再点击“添加”。

步骤 5。 在单点登录选项卡中，点击“用户和群组”>“用户”，然后选择一个域，该域可以是默认的 vSphere 本地域，也可以是用作 vCenter SSO 域的 Active Directory 域。接着点击“添加用户”，为所选域添加新用户，并保存您的设置。

步骤 6。 在单点登录选项卡中继续操作，点击“用户和组”>“组”，然后点击“添加组”，为该组分配权限并添加多个用户。

步骤 7。 输入组名称和描述，然后从“添加成员”中选择一个域。该域可以是 vSphere 本地域或 Active Directory 域。接着单击“保存”，即可成功配置 SSO 域。

适用于您的 VMware 环境的可靠备份解决方案

如前所述，部署和配置 vCenter SSO 为整个 vSphere 环境的安全性与可管理性奠定了坚实基础。然而，在虚拟化基础设施中，数据保护与身份及访问管理同等重要。当发生系统故障、人为错误或网络攻击时，拥有一套可靠的备份解决方案对保障业务连续性至关重要。

此时，Vinchin备份与恢复应运而生——这是一款专业的数据保护解决方案，为虚拟化环境提供高效、可靠且易于管理的备份与恢复功能。它支持VMware虚拟机的无代理备份，可实现快速的完整备份、增量备份及永久增量备份。借助内置的数据去重与压缩技术，显著降低存储空间占用。Vinchin还提供多种恢复选项，包括整机恢复、文件级恢复以及跨平台恢复，助力用户快速恢复关键数据，最大限度缩短停机时间。

以下是如何使用 Vinchin 备份与恢复软件备份 VMware 虚拟机的简单演示。

1. 选择要备份的虚拟机。

2. 选择备份目标位置。

3. 配置备份策略。

4. 审核并提交任务。

它拥有更多功能，等待您去发掘。立即开启15天免费试用——给彼此60个日夜，时间自会给出答案。

下载免费试用版

适用于多种数据备份

* 15天全功能免费安全下载

vSphere SSO 域常见问题解答

1. LDAP 和 SSO 哪个更好？

LDAP 是一种目录访问协议，而 SSO 是一项用户体验功能，允许用户一次登录即可访问多个系统。若追求无缝访问体验，SSO 更为优越；若需集中管理用户信息，LDAP 则必不可少。

2. 单点登录（SSO）与活动目录（AD）认证有何区别？

单点登录（SSO）可通过一次登录访问多个系统，而活动目录（AD）身份验证则通过微软的目录服务验证用户凭据。AD 可以作为 SSO 系统的一部分，但两者并不等同。

结论

vCenter SSO 是 VMware vSphere 生态系统中的基础组件，可在多个 vCenter 组件和服务间提供安全、集中且统一的身份验证。它通过基于令牌的身份验证提升安全性，并简化多域环境下的管理。深入理解并充分利用 vCenter SSO，不仅可提高运维效率，还能增强虚拟基础设施的整体安全防护能力。