Configurar Single Sign-On para CCI

Como administrador de VMware Aria Automation, debe configurar la autenticación Single Sign-On (SSO) del servicio de supervisor de CCI antes de habilitar CCI para sus usuarios.

Single Sign-On de CCI requiere que los usuarios utilicen un Active Directory local que se haya federado con instancias de vCenter y VMware Aria Automation. La federación del dominio de Active Directory permite mantener la identidad del usuario durante las operaciones de línea de comandos, la interfaz de usuario o los servicios de espacio de nombres de supervisor y de IaaS.

Los usuarios acceden a los recursos y servicios CCI a través de un proxy de Kubernetes dedicado para permitir un flujo de inicio de sesión único que mantiene la identidad del usuario cuando el proxy accede a las API de vCenter Kubernetes. La función de servicio de usuario de Automation Service Broker y la función de miembro del proyecto entonces incluirían los privilegios necesarios para acceder a los espacios de nombres de supervisor aprovisionados como usuario de SSO.

Antes de configurar SSO:

• Compruebe que la infraestructura incluya lo siguiente:
  • VMware Cloud Foundation (VCF) SDDC Manager 5.1.1 o posterior
  • vCenter 8.0U2 o posterior
• Descargue los siguientes archivos necesarios para configurar el inicio de sesión único (SSO) de supervisor de CCI en un clúster de supervisor:
  • Archivo YAML de definición de servicio cci-supervisor-service.yml disponible en https://tinyurl.com/ycy4b8yw.
  • Script de Python: service_config_from_automation.py disponible en https://tinyurl.com/389xawm3.

Registrar el servicio de interfaz de consumo con supervisores en vCenter

Consumption Interface Service 1.0.0 es un servicio de supervisor que contiene los siguientes componentes:

• Componente SSO de la interfaz de consumo de nube. Se requiere para admitir la comunicación SSO de extremo a extremo de CCI en Aria Automation.
• Componente de interfaz de consumo local. Interfaz de usuario de vSphere Client que requiere vSphere 8.0 U3 o una versión posterior. Consulte https://vsphere-tmm.github.io/Supervisor-Services/#consumption-interface.

Para instalar el servicio de interfaz de consumo en supervisores, debe agregar el servicio de interfaz de consumo como servicio de supervisor cargando su archivo YAML de definición de servicio y, a continuación, registrando el servicio de interfaz de consumo en el supervisor como se describe en los siguientes pasos:

1. Inicie sesión en vCenter.
2. En Administración de cargas de trabajo, seleccione la pestaña Servicios.
3. Para el vCenter, seleccione el vCenter que administra el clúster de supervisor en el que va a instalar el servicio de inicio de sesión único de CCI que piensa integrar con VMware Aria Automation.
4. En el mosaico Agregar nuevo servicio, haga clic en el botón Agregar.
5. En la página Registrar servicio que se muestra, haga clic en el botón Cargar y especifique el archivo YAML.
6. Cuando se muestren los detalles del archivo YAML, compruebe los detalles del servicio y haga clic en Finalizar.

Después de unos minutos, se muestra un nuevo mosaico para el servicio de supervisor denominado Interfaz de consumo. Puede seleccionar acciones en el mosaico para editar el servicio o instalar el servicio en supervisores.

Instalar el servicio de interfaz de consumo en un supervisor

Debe instalar el servicio de interfaz de consumo en todos los supervisores que forman parte de las cuentas de nube de vCenter que agregará a VMware Aria Automation, lo que incluye todos los supervisores agregados a una región CCI. Realice los siguientes pasos para instalar el servicio de interfaz de consumo en supervisores:

1. Para extraer la carga útil YAML de idpConfig del dispositivo de VMware Aria Automation, ejecute el script de Python service_config_from_automation.py usando el FQDN de VMware Aria Automation.

   El siguiente código de ejemplo muestra el comando y el resultado de la ejecución.

   $ service_config_from_automation.py cava-6-001-163.eng.vmware.com
    
   idpConfig: |
     {"issuer_url": "http://identity-service.prelude.svc.cluster.local:8000", "keyset": {"keys": [{"kty": "RSA", "kid": "2310570888464251322", "use": "sig", "n": "wra13Nca99mlsUtfoIeEEB7fsnMGZOiWEgalfySBCon89wM_dw1nxTmvPMFGBMUB83kp0h3e9qhs3Dc7F6UnwaGVN1cg4utZ5UtTG8paa-unWFOd8vSuYIBFonv7M5nCDH_qkURdEGkcC9TCrMSittUU117yL37z395fP5DDzvjjkGifJpAX9e1WopnKLtiAN8NT4K1GkfQu8Pv9GKvNii0732AXVkJujGGq7gpwXY8hVMlQnJ4OYvqrFpiJ5vRTQ6O8ouPYCj4g6vcV5jk3i5_ShXQORJuIy3MRVkpJGRIzLYsLqNe5oH7yHm83OERnq97nOy_juo_kuGc1iy-8lw", "e": "AQAB"}]}}

   Este YAML actúa como entrada al instalar la interfaz de consumo. Copie y guarde la salida del script para usarla más adelante.

2. En el mosaico Interfaz de consumo, haga clic en Acciones > Administrar servicio.

   

3. Se muestra el cuadro de diálogo de instalación del servicio.
   1. Seleccione los supervisores deseados en los que desea instalar el servicio de interfaz de consumo. El servicio debe instalarse en todo supervisor que se utilizará con CCI.

      Haga clic en Siguiente.

   2. Pegue el resultado en YAML que guardó en el área de texto Configuración del servicio YAML (opcional).

      Haga clic en Finalizar para iniciar la instalación.

   La instalación debería completarse en unos minutos.

4. Después de una instalación correcta, compruebe el mosaico Interfaz de consumo en la pestaña Administración de cargas de trabajo Servicios. El recuento del botón Supervisores muestra un aumento.

   

5. Haga clic en el botón Supervisores para comprobar la instalación.
6. (opcional) Para comprobar si el servicio CCI se está ejecutando iniciando sesión en vCenter, realice los siguientes pasos:
   • En la lista de espacios de nombres, seleccione el espacio de nombres que tiene svc-cci...domain... en el nombre.
   • Haga clic en la pestaña Recurso informático y, en Kubernetes de núcleo, seleccione Pods de vSphere.
   • En Pods de vSphere, compruebe si el servicio CCI se está ejecutando.