Konfigurieren des Identitätsverbunds in VMware Cloud Foundation mit Okta

Die Verwendung von Okta als Identitätsanbieter für den vCenter Server der Verwaltungsdomäne ermöglicht einen Identitätsverbund über SDDC Manager, vCenter Server und NSX Manager hinweg.

Die Konfiguration des Identitätsverbunds mit Okta umfasst die Durchführung von Aufgaben in der Okta-Admin-Konsole und der SDDC Manager-Benutzeroberfläche. Nach der Synchronisierung der Benutzer und Gruppen können Sie Berechtigungen in SDDC Manager, vCenter Server und NSX Manager zuweisen.

1. Erstellen Sie eine OpenID Connect-Anwendung für VMware Cloud Foundation in Okta.
2. Konfigurieren Sie Okta als Identitätsanbieter auf der SDDC Manager-Benutzeroberfläche.
3. Aktualisieren Sie die Okta OpenID Connect-Anwendung mit dem Umleitungs-URI aus SDDC Manager.
4. Erstellen Sie eine SCIM 2.0-Anwendung für VMware Cloud Foundation.
5. Weisen Sie Berechtigungen für Okta-Benutzer und -Gruppen in SDDC Manager, vCenter Server und NSX Manager zu.

Hinweis: Wenn Sie isolierte VI-Arbeitslastdomänen erstellt haben, die verschiedene SSO-Domänen verwenden, müssen Sie Okta mithilfe des vSphere Client als Identitätsanbieter für diese SSO-Domänen konfigurieren. Wenn Sie Okta als Identitätsanbieter für eine isolierte Arbeitslastdomäne im vSphere Client konfigurieren, wird NSX Manager automatisch als vertrauende Seite registriert. Sobald sich ein Okta-Benutzer dann mit den notwendigen Berechtigungen beim vCenter Server der isolierten VI-Arbeitslastdomäne anmeldet, kann er direkt auf den NSX Manager der VI-Arbeitslastdomäne über die SDDC Manager-Benutzeroberfläche zugreifen, ohne sich erneut anmelden zu müssen.

Voraussetzungen

Integrieren Sie Active Directory (AD) in Okta. Weitere Informationen finden Sie unter Verwalten der Active Directory-Integration in der Okta-Dokumentation.

Hinweis: Dies ist nicht notwendig, wenn Sie keine Integration mit AD durchführen möchten oder AD und Okta bereits integriert haben.

Erstellen einer OpenID Connect-Anwendung für VMware Cloud Foundation in Okta

Bevor Sie Okta als Identitätsanbieter in VMware Cloud Foundation verwenden können, müssen Sie eine OpenID Connect-Anwendung in Okta erstellen und der OpenID Connect-Anwendung Benutzer und Gruppen zuweisen.

Prozedur

1. Melden Sie sich bei der Okta-Admin-Konsole an und erstellen Sie mithilfe des Themas Erstellen von OIDC-App-Integrationen in der Okta-Dokumentation eine OpenID Connect-Anwendung.
   Gehen Sie beim Erstellen der OpenID Connect-Anwendung im Assistenten „Neue App-Integration erstellen“ folgendermaßen vor:

   • Wählen Sie OIDC – OpenID Connect als Anmeldemethode aus.
   • Wählen Sie Native Anwendung als Anwendungstyp aus.
   • Geben Sie einen geeigneten Namen für die OpenID Connect-Anwendung ein, wie z. B. Okta-VCF-app.
   • Behalten Sie unter Allgemeine Einstellungen die Auswahl von Autorisierungscode bei und aktivieren Sie Aktualisierungstoken und Kennwort des Ressourcenbesitzers.
   • Ignorieren Sie vorerst die Optionen Weiterleitungs-URIs für die Anmeldung und Weiterleitungs-URIs für die Abmeldung. (Diese Werte werden zu einem späteren Zeitpunkt eingegeben.)
   • Beim Festlegen der Zugriffssteuerung können Sie Gruppenzuweisung vorerst überspringen auswählen.
2. Nach der Erstellung der OpenID Connect-Anwendung generieren Sie den geheimen Clientschlüssel.
   1. Wählen Sie die Registerkarte Allgemein aus.
   2. Klicken Sie unter „Client-Anmeldedaten“ auf Bearbeiten und aktivieren Sie Geheimer Clientschlüssel für die Clientauthentifizierung.
   3. Deaktivieren Sie für Proof Key for Code Exchange (PKCE) die Option PKCE als zusätzliche Verifizierung anfordern.
   4. Klicken Sie auf Speichern.
      Der geheime Clientschlüssel wird generiert.
   5. Kopieren Sie die Client-ID und den geheimen Clientschlüssel und speichern Sie sie für die Erstellung des Okta-Identitätsanbieters in SDDC Manager.
      Hinweis: SDDC Manager verwendet die Begriffe „Clientbezeichner“ und „Gemeinsamer geheimer Schlüssel“.
3. Weisen Sie der OpenID Connect-Anwendung Benutzer und Gruppen zu.
   1. Klicken Sie auf die Registerkarte „Zuweisungen“ und wählen Sie im Dropdown-Menü „Zuweisen“ die Option Zu Gruppen zuweisen aus.
   2. Geben Sie im Feld „Suchen“ die zu suchende Gruppe ein.
   3. Wählen Sie die Gruppe aus und klicken Sie auf Zuweisen.
   4. Suchen Sie gegebenenfalls nach anderen Gruppen, wählen Sie sie aus und weisen Sie sie zu.
   5. Wenn Sie die Gruppen zugewiesen haben, klicken Sie auf Fertig.
      Zum Anzeigen der zugewiesenen Benutzer klicken Sie auf Personen unter „Filter“ auf der Seite Zuweisung.
      Okta weist die Gruppe(n) zu.

Konfigurieren von Okta als Identitätsanbieter auf der SDDC Manager-Benutzeroberfläche

Sie können VMware Cloud Foundation so konfigurieren, dass Okta als externer Identitätsanbieter anstelle von vCenter Single Sign-On verwendet wird. In dieser Konfiguration interagiert der externe Identitätsanbieter im Namen von vCenter Server mit der Identitätsquelle.

Sie können nur einen externen Identitätsanbieter zu VMware Cloud Foundation hinzufügen.

Mit diesem Verfahren wird Okta als Identitätsanbieter für den vCenter Server der Verwaltungsdomäne konfiguriert. Der Informationsendpunkt der VMware Identity Services wird auf alle anderen vCenter Server-Knoten repliziert, die Teil der ELM-Gruppe (Enhanced Link Mode, Erweiterter verknüpfter Modus) des vCenter Server der Verwaltungsdomäne sind. Wenn sich ein Benutzer dann anmeldet und vom vCenter Server der Verwaltungsdomäne autorisiert wird, wird der Benutzer auch auf jedem vCenter Server der VI-Arbeitslastdomäne autorisiert, die Teil derselben ELM-Gruppe ist. Wenn sich der Benutzer zuerst einem vCenter Server der VI-Arbeitslastdomäne anmeldet, gilt dasselbe.

Hinweis: Die Okta-Konfigurationsinformationen und die Benutzer-/Gruppeninformationen werden nicht zwischen vCenter Server-Knoten im erweiterten verknüpften Modus repliziert. Verwenden Sie den vSphere Client nicht, um Okta als Identitätsanbieter für einen beliebigen vCenter Server der VI-Arbeitslastdomäne zu konfigurieren, die Teil der ELM-Gruppe ist.

Voraussetzungen

Anforderungen an Okta:

• Sie sind Kunde von Okta und verfügen über einen dedizierten Domänenbereich. Beispiel: https://your-company.okta.com.
• Zum Durchführen von OIDC-Anmeldungen und Verwalten von Benutzer- und Gruppenberechtigungen müssen Sie die folgenden Okta-Anwendungen erstellen.
  • Eine native Okta-Anwendung mit OpenID Connect als Anmeldemethode. Die native Anwendung muss die Gewährungstypen „Autorisierungscode“, „Aktualisierungstoken“ und „Ressourcenbesitzerkennwort“ enthalten.
  • Ein System für SCIM 2.0-Anwendung (domänenübergreifende Identitätsverwaltung) mit einem OAuth 2.0-Bearer-Token zum Durchführen von Benutzer- und Gruppensynchronisierungen zwischen dem Okta-Server und dem vCenter Server.

Anforderungen an die Okta-Verbindung:

• vCenter Server muss in der Lage sein, eine Verbindung mit dem Ermittlungs-Endpoint für Okta sowie der Autorisierung, dem Token, JWKS und allen anderen Endpoints herzustellen, die in den Metadaten des Ermittlungs-Endpoints angegeben wurden.
• Okta muss auch in der Lage sein, eine Verbindung mit vCenter Server herzustellen, um Benutzer- und Gruppendaten für die SCIM-Bereitstellung zu senden.

Anforderungen an das Netzwerk:

• Wenn Ihr Netzwerk nicht öffentlich verfügbar ist, müssen Sie einen Netzwerktunnel zwischen Ihrem vCenter Server-System und Ihrem Okta-Server erstellen und dann die entsprechende öffentlich zugängliche URL als SCIM 2.0-Basis-URI verwenden.

Anforderungen an vSphere und NSX:

• vSphere 8.0 Update 2 oder höher.
• NSX 4.1.2 oder höher.

Hinweis: Wenn Sie vCenter-Gruppenmitgliedschaften für AD/LDAP-Remote-Benutzer oder -Gruppen hinzugefügt haben, bereitet vCenter Server diese Mitgliedschaften so vor, dass sie mit der neuen Identitätsanbieterkonfiguration kompatibel sind. Diese Vorbereitung wird automatisch beim Start des Diensts ausgeführt und muss abgeschlossen werden, um mit der Konfiguration von Okta fortfahren zu können. Klicken Sie auf Vorabprüfungen ausführen, um den Status der Vorbereitung zu überprüfen und anschließend fortzufahren.

Prozedur

1. Melden Sie sich bei der SDDC Manager-Benutzeroberfläche als Benutzer mit der ADMIN-Rolle an
2. Klicken Sie im Navigationsbereich auf Verwaltung > Single Single Sign-On.
3. Klicken Sie auf Identitätsanbieter.
4. Klicken Sie auf Identitätsanbieter ändern und wählen Sie OKTA aus.
   
   
5. Klicken Sie auf Weiter.
6. Überprüfen und bestätigen Sie die Voraussetzungen im Bereich Voraussetzungen.
7. Klicken Sie auf Vorabprüfungen ausführen, um sicherzustellen, dass das System zum Ändern der Identitätsanbieters bereit ist.
   Wenn bei der Vorabprüfung Fehler gefunden werden, klicken Sie auf Details anzeigen und führen Sie Schritte aus, um die angegebenen Fehler zu beheben.
8. Geben Sie im Bereich Verzeichnisinformationen folgende Informationen ein.
   
   
   • Verzeichnisname: Name des lokalen Verzeichnisses, das in vCenter Server erstellt werden soll und die von Okta übertragenen Benutzer und Gruppen speichert. Beispiel: vcenter-okta-directory.
   • Domänennamen: Geben Sie die Okta-Domänennamen ein, die die Okta-Benutzer und -Gruppen enthalten, die Sie mit vCenter Server synchronisieren möchten.

     Klicken Sie nach der Eingabe des Okta-Domänennamens auf das Pluszeichen (+), um ihn hinzuzufügen. Bei Eingabe mehrerer Domänennamen legen Sie die Standarddomäne fest.

9. Klicken Sie auf Weiter.
10. Geben Sie m Bereich OpenID Connect-Konfiguration die folgenden Informationen ein:
    
    
    • Umleitungs-URIs: Wird automatisch ausgefüllt. Sie geben den Umleitungs-URI zu Ihrem Okta-Administrator ein, der beim Erstellen der OpenID Connect-Anwendung verwendet wird.
    • Name des Identitätsanbieters: Wird automatisch als Okta eingegeben.
    • Clientbezeichner: Wurde beim Erstellen der OpenID Connect-Anwendung in Okta übergeben. (In Okta wird der Clientbezeichner als Client-ID bezeichnet.)
    • Gemeinsamer geheimer Schlüssel: Wurde beim Erstellen der OpenID Connect-Anwendung in Okta übergeben. (In Okta wird der gemeinsame geheime Schlüssel als Clientschlüssel bezeichnet.)
    • OpenID-Adresse: Hat das Format https://Okta domain space/oauth2/default/.well-known/openid-configuration.

      Wenn Ihr Okta-Domänenbereich beispielsweise example.okta.com lautet, wird folgende OpenID-Adresse angezeigt: https://example.okta.com/oauth2/default/.well-known/openid-configuration.

      Weitere Informationen finden Sie unter https://developer.okta.com/docs/reference/api/oidc/#well-known-openid-configuration.

11. Klicken Sie auf Weiter.
12. Überprüfen Sie die Informationen und klicken Sie auf Beenden.

Aktualisieren der Okta OpenID Connect-Anwendung mit dem Umleitungs-URI aus SDDC Manager

Nachdem Sie die Konfiguration des Okta-Identitätsanbieters in der SDDC Manager-Benutzeroberfläche erstellt haben, aktualisieren Sie die Okta OpenID Connect-Anwendung mit dem Umleitungs-URI von SDDC Manager.

Voraussetzungen

Kopieren Sie den Umleitungs-URI aus der SDDC Manager-Benutzeroberfläche.

1. Melden Sie sich bei der SDDC Manager-Benutzeroberfläche an.
2. Klicken Sie im Navigationsbereich auf Verwaltung > Single Single Sign-On.
3. Klicken Sie auf Identitätsanbieter.
4. Kopieren und speichern Sie im Abschnitt „OpenID Connect“ die Umleitungs-URI.
   
   

Prozedur

1. Melden Sie sich bei der Okta-Admin-Konsole an.
2. Klicken Sie im Bildschirm Allgemeine Einstellungen für die erstellte OpenID Connect-Anwendung auf Bearbeiten.
3. Fügen Sie im Textfeld Umleitungs-URIs für die Anmeldung die kopierte Umleitungs-URI von SDDC Manager ein.
4. Klicken Sie auf Speichern.

Erstellen einer SCIM 2.0-Anwendung zur Verwendung von Okta mit VMware Cloud Foundation

Indem Sie eine SCIM 2.0-Anwendung für Okta erstellen, können Sie die Active Directory-Benutzer und -Gruppen angeben, die an vCenter Server übertragen werden sollen.

Voraussetzungen

Kopieren Sie die Mandanten-URL und das geheime Token auf der SDDC Manager-Benutzeroberfläche.

1. Melden Sie sich bei der SDDC Manager-Benutzeroberfläche an.
2. Klicken Sie im Navigationsbereich auf Verwaltung > Single Single Sign-On.
3. Klicken Sie auf Identitätsanbieter.
4. Klicken Sie im Abschnitt „Benutzerbereitstellung“ auf Generieren und kopieren und speichern Sie dann das geheime Token und die Mandanten-URL.
   
   

Sie verwenden diese Informationen in Schritt 4 weiter unten.

Prozedur

1. Melden Sie sich bei der Okta-Admin-Konsole an.
2. Durchsuchen Sie den App-Katalog nach SCIM 2.0 Test App (OAuth Bearer Token) und klicken Sie auf Integration hinzufügen.
   Hinweis: Das Wort „Test“ ist von Okta gewählt. Die SCIM-Anwendung, die Sie mit dieser Vorlage vom Typ „Test“ erstellen, hat Produktionsqualität.
3. Verwenden Sie die folgenden Einstellungen beim Erstellen der SCIM 2.0-Anwendung:
   • Geben Sie einen geeigneten Namen für die SCIM 2.0-Anwendung ein, wie z. B. VCF SCIM 2.0-App.
   • Behalten Sie unter Allgemeine Einstellungen – Erforderliche Seite die Auswahl von Automatisch anmelden, wenn der Benutzer zur Anmeldeseite gelangt bei.
   • Gehen Sie auf der Seite Sign-On-Optionen folgendermaßen vor:
     • Behalten Sie die Auswahl von SAML 2.0 für Anmeldemethoden bei.
     • Für Anmeldedatendetails:
       • Format des Anwendungsbenutzernamens: Wählen Sie AD-SAM-Kontoname aus.
       • Benutzernamen der Anwendung aktualisieren auf: Behalten Sie die Auswahl von Erstellen und aktualisieren bei.
       • Kennwort preisgeben: Behalten Sie die Auswahl von Sichere Kennwortanzeige durch Benutzer zulassen bei.
4. Weisen Sie der SCIM 2.0-Anwendung Benutzer und Gruppen zu, um sie aus Active Directory an vCenter Server zu übertragen:
   1. Klicken Sie in der Okta SCIM 2.0-Anwendung unter „Bereitstellung“ auf API-Integration konfigurieren.
   2. Aktivieren Sie das Kontrollkästchen API-Integration aktivieren.
   3. Geben Sie die SCIM 2.0-Basis-URL und das OAuth-Bearer-Token ein.
      SDDC Manager bezeichnet die SCIM 2.0-Basis-URL als „Mandanten-URL“ und das OAuth-Bearer-Token als „Geheimes Token“.

      Hinweis: Wenn zwischen dem vCenter Server-System und dem Okta-Server ein Netzwerktunnel vorhanden ist, verwenden Sie die entsprechende öffentlich zugängliche URL als Basis-URL.
   4. Behalten Sie die Auswahl von Gruppen importieren bei.
   5. Klicken Sie zum Überprüfen der SCIM-Anmeldedaten auf API-Anmeldedaten testen.
   6. Klicken Sie auf Speichern.
5. Stellen Sie Benutzer bereit.
   1. Klicken Sie auf die Registerkarte Bereitstellung und wählen Sie „Für App“ aus. Klicken Sie dann auf Bearbeiten.
   2. Aktivieren Sie Benutzer erstellen, Benutzerattribute aktualisieren und Benutzer deaktivieren.
   3. Kennwort synchronisieren sollte nicht aktiviert werden.
   4. Klicken Sie auf Speichern.
6. Nehmen Sie Zuweisungen vor.
   1. Klicken Sie auf die Registerkarte Zuweisungen und wählen Sie im Dropdown-Menü „Zuweisen“ die Option Zu Gruppen zuweisen aus.
   2. Geben Sie im Feld „Suchen“ die zu suchende Gruppe ein.
   3. Wählen Sie die Gruppe aus und klicken Sie auf Zuweisen.
   4. Geben Sie gegebenenfalls Attributinformationen ein und klicken Sie dann auf Speichern und zurück.
   5. Suchen Sie nach anderen Gruppen, wählen Sie sie aus und weisen Sie sie nach Bedarf zu.
   6. Wenn Sie die Gruppen zugewiesen haben, klicken Sie auf Fertig.
   7. Wählen Sie unter „Filter“ die Option Personen und Gruppen aus, um die zugewiesenen Benutzer und Gruppen anzuzeigen.
7. Klicken Sie auf die Registerkarte Gruppen weitergeben und wählen Sie eine Option im Dropdown-Menü „Gruppen weitergeben“ aus.
   • Gruppen nach Namen suchen: Wählen Sie diese Option aus, um Gruppen nach Namen zu suchen.
   • Gruppen nach Regel suchen: Wählen Sie diese Option aus, um eine Suchregel zu erstellen, die übereinstimmende Gruppen an die App überträgt.

   Hinweis: Wenn Sie die Aktivierung des Kontrollkästchens Gruppenmitgliedschaften sofort weitergeben beibehalten, wird die ausgewählte Mitgliedschaft sofort übertragen und der Weitergabestatus wird als „Aktiv“ angezeigt. Weitere Informationen finden Sie unter Aktivieren der Weitergabe von Gruppen in der Okta-Dokumentation.

Zuweisen von Okta-Benutzern und -Gruppen als Administratoren in SDDC Manager, vCenter Server und NSX Manager

Nachdem Sie Okta erfolgreich konfiguriert und die entsprechenden Benutzer und Gruppen synchronisiert haben, können Sie Benutzer und Gruppen als Administratoren in SDDC Manager, vCenter Server und NSX Manager hinzufügen. Auf diese Weise können sich Admin-Benutzer bei der Benutzeroberfläche eines Produkts (z. B. SDDC Manager) anmelden, und es erfolgt keine Aufforderung zur erneuten Eingabe von Anmeldedaten, wenn sich die Benutzer bei der Benutzeroberfläche eines anderen Produkts anmelden (z. B. NSX Manager).

Prozedur

1. Fügen Sie Okta-Benutzer/-Gruppen als Administratoren in SDDC Manager hinzu.
   1. Klicken Sie auf der SDDC Manager-Benutzeroberfläche auf Verwaltung > Single Sign-On.
   2. Klicken Sie auf Benutzer und Gruppen und dann auf + Benutzer oder Gruppe.
      
      
   3. Wählen Sie mindestens einen Benutzer oder eine Gruppe aus, indem Sie auf das Kontrollkästchen neben dem Benutzer oder der Gruppe klicken.
      Sie können einen Benutzer oder eine Gruppe nach Namen suchen oder nach Benutzertyp oder Domäne filtern.

      Hinweis: Okta-Benutzer und -Gruppen werden in den Domänen angezeigt, die Sie bei der Konfiguration von Okta als Identitätsanbieter auf der SDDC Manager-Benutzeroberfläche angegeben haben.
   4. Wählen Sie die Rolle ADMIN für jeden Benutzer und jede Gruppe aus.
      
      
   5. Führen Sie auf der Seite einen Bildlauf nach unten durch und klicken Sie auf Hinzufügen.
2. Fügen Sie Okta-Benutzer/-Gruppen als Administratoren in vCenter Server hinzu.
   1. Melden Sie sich beim vSphere Client als lokaler Administrator an.
   2. Wählen Sie Verwaltung aus und klicken Sie im Zugriffssteuerungsbereich auf Globale Berechtigungen.
      
      
   3. Klicken Sie auf Hinzufügen.
   4. Wählen Sie im Dropdown-Menü Domäne die Domäne für den Benutzer oder die Gruppe aus.
   5. Geben Sie einen Namen im Feld „Suchen“ ein.
      Das System sucht nach Benutzer- und Gruppennamen.
   6. Wählen Sie einen Benutzer oder eine Gruppe aus.
   7. Wählen Sie Administrator im Dropdown-Menü Rolle aus.
   8. Aktivieren Sie das Kontrollkästchen An untergeordnete Objekte weitergeben.
      
      
   9. Klicken Sie auf OK.
3. Überprüfen Sie die Anmeldung bei SDDC Manager mit einem Okta-Benutzer.
   1. Melden Sie sich von der SDDC Manager-Benutzeroberfläche ab.
   2. Klicken Sie auf Mit SSO anmelden.
      
      
   3. Geben Sie einen Benutzernamen und ein Kennwort ein und klicken Sie auf Anmelden.
      
      
4. Überprüfen Sie die Anmeldung bei vCenter Server mit einem Okta-Benutzer.
   1. Melden Sie sich von der vSphere Client ab.
   2. Klicken Sie auf Mit SSO anmelden.
      
      
5. Fügen Sie Okta-Benutzer/-Gruppen als Administratoren in NSX Manager hinzu.
   1. Melden Sie sich bei NSX Manager an.
   2. Navigieren Sie zu System > Benutzerverwaltung.
      
      
   3. Klicken Sie auf der Registerkarte Benutzerrollenzuweisung auf Rolle für OpenID Connect-Benutzer hinzufügen.
      
      
   4. Wählen Sie vcenter-idp-federation im Dropdown-Menü aus und geben Sie dann Text ein, um nach einem Okta-Benutzer oder einer Okta-Gruppe zu suchen und diese auszuwählen.
   5. Klicken Sie in der Spalte „Rollen“ auf Festlegen.
   6. Klicken Sie auf Rolle hinzufügen.
   7. Wählen Sie Unternehmensadministrator im Dropdown-Menü aus und klicken Sie auf Hinzufügen.
      
      
   8. Klicken Sie auf Übernehmen.
   9. Klicken Sie auf Speichern.
6. Überprüfen Sie die Anmeldung bei NSX Manager mit einem Okta-Benutzer.
   1. Melden Sie sich bei NSX Manager ab.
   2. Klicken Sie auf Mit vCenter-IPD-Verbund anmelden.