设置 RSA SecurID 身份验证

可以将您的环境设置为要求用户使用 RSA SecurID 令牌登录。仅支持从命令行进行 SecurID 设置。

有关详细信息，请参见两个有关 RSA SecurID 设置的 vSphere 博客帖子。

注： RSA Authentication Manager 要求用户 ID 为使用 1 到 255 个 ASCII 字符的唯一标识符。不允许使用以下字符：与号 (&)、百分号 (%)、大于号 (>)、小于号 (<) 和单引号 (`)。

前提条件

验证您的环境是否具有正确配置的 RSA Authentication Manager，以及用户是否具有 RSA 令牌。需要 RSA Authentication Manager 版本 8.0 或更高版本。
验证 RSA Manager 使用的标识源是否已添加到 vCenter Single Sign-On。请参见添加或编辑 vCenter Single Sign-On 标识源。
验证 RSA Authentication Manager 系统是否可以解析 vCenter Server 主机名，以及 vCenter Server 系统是否可以解析 RSA Authentication Manager 主机名。
通过选择访问 > 身份验证代理 > 生成配置文件，从 RSA Manager 导出 sdconf.rec 文件。要查找 sdconf.rec 文件，请解压缩生成的 AM_Config.zip 文件。
将 sdconf.rec 文件复制到 vCenter Server 节点。

过程

更改到 sso-config 脚本所在的目录。
```
/opt/vmware/bin
```
要启用 RSA SecurID 身份验证，请运行以下命令。
```
sso-config.sh -t tenantName -set_authn_policy -securIDAuthn true
```
tenantName 是 vCenter Single Sign-On 域的名称，默认情况下为 vsphere.local。

（可选） 要禁用其他身份验证方法，请运行以下命令。

sso-config.sh -set_authn_policy -pwdAuthn false -winAuthn false -certAuthn false -t vsphere.local

要配置环境以使当前站点的租户使用 RSA 站点，请运行以下命令。

sso-config.sh -set_rsa_site [-t tenantName] [-siteID Location] [-agentName Name] [-sdConfFile Path]

例如：

sso-config.sh -set_rsa_site -agentName SSO_RSA_AUTHSDK_AGENT -sdConfFile /tmp/sdconf.rec

可以指定以下选项。

选项	描述
siteID	可选 Platform Services Controller 站点 ID。Platform Services Controller 支持每个站点具有一个 RSA Authentication Manager 实例或集群。如果您未明确指定该选项，则 RSA 配置用于当前 Platform Services Controller 站点。仅当添加不同的站点时才使用此选项。
agentName	在 RSA Authentication Manager 中定义。
sdConfFile	从 RSA Manager 下载的 sdconf.rec 文件的副本，其中包括 RSA Manager 的 IP 地址等配置信息。

（可选） 要将租户配置更改为非默认值，请运行以下命令。

sso-config.sh -set_rsa_config [-t tenantName] [-logLevel Level] [-logFileSize Size] [-maxLogFileCount Count] [-connTimeOut Seconds] [-readTimeOut Seconds] [-encAlgList Alg1,Alg2,...]

通常情况下，默认值是合适的，例如：

sso-config.sh -set_rsa_config -t vsphere.local -logLevel DEBUG

（可选） 如果标识源未将用户主体名称用作用户 ID，则设置标识源的 userID 属性。（仅支持基于 LDAP 的 Active Directory 标识源。）
userID 属性确定哪个 LDAP 属性用作 RSA userID。
```
sso-config.sh -set_rsa_userid_attr_map [-t tenantName] [-idsName Name] [-ldapAttr AttrName] [-siteID Location]
```
例如：
```
sso-config.sh -set_rsa_userid_attr_map -t vsphere.local -idsName ssolabs.com -ldapAttr userPrincipalName
```
要显示当前设置，请运行以下命令。
```
sso-config.sh -t tenantName -get_rsa_config
```

结果

如果已禁用用户名和密码身份验证且已启用 RSA 身份验证，则用户必须使用其用户名和 RSA 令牌进行登录。无法再使用用户名和密码进行登录。

注：使用用户名格式 userID@domainName 或 userID@domain_upn_suffix.