Dopo l'installazione o l'aggiornamento a vSphere 8.0 Update 1 o versione successiva, è possibile configurare la federazione del provider di identità di vCenter Server per Okta come provider di identità esterno.
vCenter Server supporta un solo provider di identità esterno configurato (un'origine) e l'origine identità vsphere.local (origine locale). Non è possibile utilizzare più provider di identità esterni. La federazione del provider di identità di vCenter Server utilizza OpenID Connect (OIDC) per l'accesso degli utenti a vCenter Server.
È possibile configurare i privilegi utilizzando i gruppi e gli utenti di Okta tramite le autorizzazioni globali o degli oggetti in vCenter Server. Vedere la documentazione Sicurezza di vSphere per maggiori dettagli sull'aggiunta delle autorizzazioni.
Prerequisiti
Requisiti di Okta:
- È necessario utilizzare Okta e disporre di uno spazio di dominio dedicato, ad esempio https://tua-azienda.okta.com.
- Per eseguire gli accessi OIDC e gestire le autorizzazioni di utenti e gruppi, è necessario creare le seguenti applicazioni Okta.
- Un'applicazione nativa di Okta con OpenID Connect come metodo di accesso. L'applicazione nativa deve includere i tipi di concessione del codice di autorizzazione, il token di aggiornamento e la password del proprietario della risorsa.
- Un'applicazione System for Cross-domain Identity Management (SCIM) 2.0 con un token di connessione OAuth 2.0 per eseguire la sincronizzazione di utenti e gruppi tra il server Okta e vCenter Server.
Vedere l'articolo della Knowledge base di VMware all'indirizzo https://kb.vmware.com/s/article/90835.
- Sono stati identificati gli utenti e i gruppi Okta che si desidera condividere con vCenter Server. Questa condivisione è un'operazione SCIM (non un'operazione OIDC).
Requisiti di connettività di Okta:
- vCenter Server deve essere in grado di connettersi all'endpoint di rilevamento di Okta, nonché agli endpoint di autorizzazione, token, JWKS e a tutti gli altri endpoint annunciati nei metadati dell'endpoint di rilevamento.
- Okta deve inoltre essere in grado di connettersi a vCenter Server per inviare i dati di utenti e gruppi per il provisioning di SCIM.
Requisiti di vCenter Server:
- vSphere 8.0 Update 1 o versioni successive
- Nel vCenter Server in cui si desidera creare l'origine identità Okta, verificare che i VMware Identity Services siano attivati.
Nota: Quando si installa o si esegue l'aggiornamento a vSphere 8.0 Update 1 o versione successiva, i VMware Identity Services vengono attivati per impostazione predefinita. È possibile utilizzare l'interfaccia di gestione di vCenter Server per verificare lo stato dei VMware Identity Services. Vedere Arresto e avvio di VMware Identity Services.
Requisiti dei privilegi di vSphere:
- È necessario disporre del privilegio per creare, aggiornare o eliminare un provider di identità di vCenter Server necessario per l'autenticazione federata. Per limitare un utente alla sola visualizzazione delle informazioni di configurazione del provider di identità, assegnare il privilegio .
Requisiti della modalità collegata avanzata:
- È possibile configurare la federazione del provider di identità di vCenter Server per Okta in una configurazione della modalità collegata avanzata. Quando si configura Okta in una configurazione della modalità collegata avanzata, si configura il provider di identità Okta per l'utilizzo dei VMware Identity Services in un singolo sistema vCenter Server. Ad esempio se la configurazione della modalità collegata avanzata è costituita da due sistemi vCenter Server, solo un vCenter Server e la relativa istanza di VMware Identity Services vengono utilizzati per comunicare con il server Okta. Se questo sistema vCenter Server diventa non disponibile, è possibile configurare VMware Identity Services in altri vCenter Server nella configurazione ELM per interagire con il server Okta. Per ulteriori informazioni, vedere Processo di attivazione per provider di identità esterni nelle configurazioni in modalità collegata avanzata.
- Quando si configura Okta come provider di identità esterno, tutti i sistemi vCenter Server in una configurazione della modalità collegata avanzata devono eseguire almeno vSphere 8.0 Update 1.
Requisiti di rete:
- Se la rete non è disponibile pubblicamente, è necessario creare un tunnel di rete tra il sistema vCenter Server e il server Okta, quindi utilizzare l'URL accessibile pubblicamente appropriato come URI di base.
