在部署过程中，VMware Identity Manager 虚拟设备是在内部网络中设置的。如果要为从外部网络中连接的用户提供该服务的访问权限，您必须在 DMZ 中安装负载平衡器或反向代理，例如，Apache、nginx 或 F5。

如果不使用负载平衡器或反向代理，则以后无法增加 VMware Identity Manager 设备数。您可能需要添加更多设备以提供冗余和负载平衡。下图展示了您可以用于启用外部访问权限的基本部署架构。

图 1. 使用虚拟机的外部负载平衡器代理
此图展示了外部网关代理与 Horizon Workspace vApp 配合使用的工作原理。

在部署过程中指定 VMware Identity Manager FQDN

在 VMware Identity Manager 虚拟设备部署过程中，请输入 VMware Identity Manager FQDN 和端口号。这些值必须指向您希望最终用户访问的主机名。

VMware Identity Manager 虚拟机始终在端口 443 上运行。您可以为负载平衡器使用其他端口号。如果使用其他端口号，您必须在部署过程中指定该端口号。

要配置的负载平衡器设置

要配置的负载平衡器设置包括启用 X-Forwarded-For 标头，正确设置负载平衡器超时，以及启用粘性会话。此外，还必须在 VMware Identity Manager 虚拟设备和负载平衡器之间配置 SSL 信任关系。

  • X-Forwarded-For 标头

    必须在负载平衡器上启用 X-Forwarded-For 标头。这决定了身份验证方法。请参阅负载平衡器供应商提供的文档以了解详细信息。

  • 负载平衡器超时

    要让 VMware Identity Manager 正常工作，您可能需要延长负载平衡器的请求超时时间，而不采用默认值。该值以分钟为单位。如果超时设置太低，您可能会看到以下错误：“502 错误：此服务当前不可用 (502 error: The service is currently unavailable)。”

  • 启用粘性会话

    如果您的部署具有多个 VMware Identity Manager 设备，则必须在负载平衡器上启用粘性会话设置。之后，负载平衡器会将用户的会话绑定到特定实例。