Configurazione di Single Sign-On per CCI

In qualità di amministratore di VMware Aria Automation, è necessario configurare l'autenticazione Single Sign-On (SSO) del servizio supervisore CCI prima di abilitare CCI per gli utenti.

Single Sign-On di CCI richiede agli utenti di utilizzare un'istanza di Active Directory locale federata in vCenter e VMware Aria Automation. La federazione del dominio di Active Directory supporta il mantenimento dell'identità degli utenti durante l'uso dei servizi Spazio dei nomi supervisore e IaaS, dell'interfaccia utente o delle operazioni della riga di comando.

Gli utenti accedono ai servizi e alle risorse di CCI tramite un proxy Kubernetes dedicato per consentire un flusso Single Sign-On che mantenga l'identità degli utenti quando il proxy accede alle API Kubernetes di vCenter. Il ruolo di servizio utente e il ruolo di membro del progetto di Automation Service Broker includerà quindi i privilegi necessari per accedere agli spazi dei nomi supervisore sottoposti a provisioning come utente SSO.

Prima di configurare SSO:

• Verificare che l'infrastruttura includa quanto segue:
  • VMware Cloud Foundation (VCF) SDDC Manager 5.1.1 o versioni successive
  • vCenter 8.0U2 o versioni successive
• Scaricare i file seguenti necessari per configurare l'accesso Single Sign-On (SSO) del supervisore CCI in un cluster supervisore:
  • File YAML della definizione del servizio cci-supervisor-service.yml disponibile in https://tinyurl.com/ycy4b8yw.
  • Script Python: service_config_from_automation.py disponibile in https://tinyurl.com/389xawm3.

Registrazione del servizio Consumption Interface nei supervisori in vCenter

Il servizio Consumption Interface 1.0.0 è un servizio supervisore che contiene i componenti seguenti:

• Componente SSO di Cloud Consumption Interface. Necessario per supportare la comunicazione SSO end-to-end di CCI in Aria Automation.
• Componente locale di Consumption Interface. Interfaccia utente in vSphere Client che richiede vSphere versione 8.0 U3 o una versione successiva. Vedere https://vsphere-tmm.github.io/Supervisor-Services/#consumption-interface.

Per installare il servizio Consumption Interface nei supervisori, è necessario aggiungere il servizio Consumption Interface come servizio supervisore caricando il file YAML della definizione del servizio, quindi registrando il servizio Consumption Interface nel supervisore come descritto nei passaggi seguenti:

1. Accedere a vCenter.
2. In Gestione carico di lavoro, selezionare la scheda Servizi.
3. In vCenter, selezionare il vCenter che gestisce il cluster supervisore in cui si sta installando il servizio Single Sign-On di CCI che si intende integrare con VMware Aria Automation.
4. Nel riquadro Aggiungi nuovo servizio, fare clic sul pulsante Aggiungi.
5. Nella pagina Registra servizio visualizzata, fare clic sul pulsante Carica e specificare il file YAML.
6. Quando vengono visualizzati i dettagli del file YAML, verificare i dettagli del servizio e fare clic su Fine.

Dopo alcuni minuti, viene visualizzato un nuovo riquadro per il servizio supervisore denominato Consumption Interface. È possibile selezionare azioni nel riquadro per modificare il servizio o installarlo nei supervisori.

Installazione del servizio Consumption Interface nel supervisore

È necessario installare il servizio Consumption Interface in tutti i supervisori che fanno parte degli account cloud di vCenter che verranno aggiunti in VMware Aria Automation, che include ogni supervisore aggiunto a una regione CCI. Per installare il servizio Consumption Interface nei supervisori, eseguire i passaggi seguenti:

1. Per estrarre il payload YAML idpConfig dall'appliance di VMware Aria Automation, eseguire lo script Python service_config_from_automation.py rispetto al nome di dominio completo di VMware Aria Automation.

   L'esempio di codice seguente mostra il comando e l'output dell'esecuzione.

   $ service_config_from_automation.py cava-6-001-163.eng.vmware.com
    
   idpConfig: |
     {"issuer_url": "http://identity-service.prelude.svc.cluster.local:8000", "keyset": {"keys": [{"kty": "RSA", "kid": "2310570888464251322", "use": "sig", "n": "wra13Nca99mlsUtfoIeEEB7fsnMGZOiWEgalfySBCon89wM_dw1nxTmvPMFGBMUB83kp0h3e9qhs3Dc7F6UnwaGVN1cg4utZ5UtTG8paa-unWFOd8vSuYIBFonv7M5nCDH_qkURdEGkcC9TCrMSittUU117yL37z395fP5DDzvjjkGifJpAX9e1WopnKLtiAN8NT4K1GkfQu8Pv9GKvNii0732AXVkJujGGq7gpwXY8hVMlQnJ4OYvqrFpiJ5vRTQ6O8ouPYCj4g6vcV5jk3i5_ShXQORJuIy3MRVkpJGRIzLYsLqNe5oH7yHm83OERnq97nOy_juo_kuGc1iy-8lw", "e": "AQAB"}]}}

   Questo codice YAML funge da input quando si installa Consumption Interface. Copiare e salvare l'output dello script per utilizzarlo in un secondo momento.

2. Nel riquadro Consumption Interface fare clic su Azioni > Gestisci servizio.

   

3. Viene visualizzata la finestra di dialogo per l'installazione del servizio.
   1. Selezionare i supervisori in cui si desidera installare il servizio Consumption Interface. Il servizio deve essere installato in qualsiasi supervisore da utilizzare con CCI.

      Fare clic su Avanti.

   2. Incollare l'output YAML salvato nell'area di testo Configurazione servizio YAML (facoltativa).

      Fare clic su Fine per iniziare l'installazione.

   L'installazione dovrebbe essere completata entro pochi minuti.

4. Una volta completata l'installazione, controllare il riquadro Consumption Interface nella scheda Gestione carico di lavoro Servizi. Il numero sul pulsante Supervisori è aumentato.

   

5. Fare clic sul pulsante Supervisori per verificare l'installazione.
6. (Facoltativo) Per verificare se il servizio CCI è in esecuzione accedendo a vCenter, eseguire i passaggi seguenti:
   • Nell'elenco degli spazi dei nomi, selezionare lo spazio dei nomi con svc-cci...domain... nel nome.
   • Fare clic sulla scheda Risorsa di elaborazione e in Core Kubernetes selezionare Pod vSphere.
   • In Pod vSphere, verificare che il servizio CCI sia in esecuzione.