Konfigurieren und aktivieren Sie den KerberosIdpAdapter auf dem VMware Identitätsmanager Connector. Wenn Sie einen Cluster für Hochverfügbarkeit bereitgestellt haben, konfigurieren und aktivieren Sie den Adapter in allen Konnektoren Ihres Clusters.

Warum und wann dieser Vorgang ausgeführt wird

Wichtig:

Die Authentifizierungsadapter der Konnektoren in Ihrem Cluster müssen alle identisch konfiguriert sein. Für alle Konnektoren muss die gleiche Authentifizierungsmethode konfiguriert werden.

Wenn Sie den Kerberos-Authentifizierungsadapter konfigurieren, versucht der VMware Identity Manager-Konnektor, Kerberos automatisch zu initialisieren. Wenn der VMware IDM-Connector-Dienst nicht mit ausreichenden Berechtigungen zum Initialisieren von Kerberos ausgeführt wird, wird eine Fehlermeldung angezeigt. Befolgen Sie in diesem Fall die Anweisungen in http://kb.vmware.com/kb/2149753, um zum Initialisieren von Kerberos ein Skript auszuführen.

Weitere Informationen zur Konfiguration der Kerberos-Authentifizierung finden Sie im Administratorhandbuch für VMware Identity Manager.

Voraussetzungen

  • Die Windows-Maschine, auf der der VMware Identity Manager-Konnektor installiert ist, muss der Domäne beigetreten sein.

  • Sie müssen die VMware Identitätsmanager Connector-Komponente als Domänenbenutzer installiert haben, der Teil der Administratorgruppe auf der Windows-Maschine ist, und Sie müssen den VMware IDM-Connector-Dienst als Windows-Domänenbenutzer ausführen.

Prozedur

  1. Klicken Sie in der VMware Identity Manager-Verwaltungskonsole auf die Registerkarte Identitäts- und Zugriffsmanagement.
  2. Klicken Sie auf Einrichten und wählen Sie anschließend die Registerkarte Konnektoren aus.

    Es werden alle von Ihnen bereitgestellten Konnektoren aufgeführt.

  3. Klicken Sie auf den Link in der Spalte Worker eines der Konnektoren.
  4. Klicken Sie auf die Registerkarte Authentifizierungsadapter.
  5. Klicken Sie auf den KerberosIdpAdapter-Link und konfigurieren bzw. aktivieren Sie den Adapter.

    Option

    Beschreibung

    Name

    Der Standardname des Adapters lautet KerberosIdpAdapter. Sie können diesen Namen ändern.

    Verzeichnis-UID-Attribut

    Das Kontoattribut, das den Benutzernamen enthält.

    Windows-Authentifizierung aktivieren

    Wählen Sie diese Option aus.

    Umleitung aktivieren

    Wenn Sie über mehrere Konnektoren in einem Cluster verfügen und eine Kerberos-Hochverfügbarkeit mithilfe eines Lastausgleichsdienstes einrichten möchten, wählen Sie diese Option aus und geben Sie einen Wert für Hostnamen umleiten ein.

    Wenn Ihre Bereitstellung nur über einen Konnektor verfügt, müssen Sie die Optionen Umleitung aktivieren und Hostnamen umleiten nicht verwenden.

    Hostnamen umleiten

    Wenn Sie die Option Umleitung aktivieren auswählen, müssen Sie einen Wert eingeben. Geben Sie den Hostnamen des Konnektors ein. Wenn der Hostname des Konnektors beispielsweise „konnektor1.beispiel.de“ lautet, geben Sie konnektor1.beispiel.de in das Textfeld ein.

    Zum Beispiel:

    Weitere Informationen zur Konfiguration von KerberosIdPAdapter finden Sie im Administratorhandbuch für VMware Identity Manager.

  6. Klicken Sie auf Speichern.
    Anmerkung:

    Wenn Sie eine Fehlermeldung erhalten, dass die Kerberos-Initialisierung fehlgeschlagen ist, führen Sie das Kerberos-Initialisierungsskript manuell aus, indem Sie den Anweisungen in http://kb.vmware.com/kb/2149753 folgen und anschließend zu dieser Seite zurückkehren und den Adapter konfigurieren.

  7. Wenn Sie einen Cluster bereitgestellt haben, konfigurieren und aktivieren Sie KerberosIdPAdapter in allen Konnektoren Ihres Clusters.

    Stellen Sie sicher, dass der Adapter in allen Konnektoren identisch konfiguriert wird, mit Ausnahme des Werts „Hostnamen umleiten“. Dieser sollte für jeden Konnektor spezifisch sein.

Nächste Maßnahme

  • Stellen Sie sicher, dass jeder Connector, auf dem der „KerberosIdpAdapter“ aktiviert ist, über ein vertrauenswürdiges SSL-Zertifikat verfügt. Sie können das Zertifikat von Ihrer internen Zertifizierungsstelle beziehen. Kerberos-Authentifizierung funktioniert nicht mit selbst signierten Zertifikaten.

    Vertrauenswürdige SSL-Zertifikate sind erforderlich, unabhängig davon, ob Sie Kerberos auf einem einzelnen Connector oder auf mehreren Connectors für Hochverfügbarkeit aktivieren.

  • Richten Sie bei Bedarf eine Hochverfügbarkeit für die Kerberos-Authentifizierung ein. Die Kerberos-Authentifizierung ist ohne Lastausgleichsdienst nicht hochverfügbar.