ペアリングされたリモートクラウドサイトへの認証

リモートクラウドサイトのレプリケーションを管理するには、認証トークンを受け入れるか、ローカル VMware Cloud Director の認証情報を指定して、そのサイトへのセッションを拡張します。リモートクラウドサイトへのレプリケーション操作、およびリモートクラウドサイトからの特定のレプリケーション操作には、拡張セッションが必要です。

クラウドからクラウドへのセッション認証の拡張

VMware Cloud Director ユーザーログインはセッションを作成し、将来の要求の認証に使用されるベアラー JSON Web Token (JWT) を受け取ります。

Cloud Service は、 VMware Cloud Director セッションに直接関連付けられていない独自のセッションを管理します。次の 2 つの認証方法のいずれかを使用して、ローカル Cloud Service セッションを作成します。

Cloud Service セッションを作成するための認証用のローカル VMware Cloud Director ユーザーとパスワードを指定します。内部的には、Cloud Service はこれらの認証情報を使用して新しい VMware Cloud Director セッションを作成し、新しい JWT が生成されます。
または、必要な操作を実行するために既存の VMware Cloud Director セッションを使用する Cloud Service の認証情報を指定せずに、既存の JWT を使用します。ローカル VMware Cloud Director の VMware Cloud Director Availability プラグインは、自動的に既存の JWT を使用して認証を実行します。

クラウドサイトのローカルで、Cloud Service セッションを作成することで、ローカルサイトのレプリケーション、タスクなどを使用できます。現在の Cloud Service セッションがローカル VMware Cloud Director の JWT に関連付けられているため、ローカル VMware Cloud Director を参照することもできます。JWT の有効期限が切れていない間は、ローカル VMware Cloud Director へのアクセスを必要とするレプリケーション操作を実行できます。

リモートクラウドサイトでレプリケーション操作を実行するには、次の 2 つの認証方法のいずれかを使用してローカル Cloud Service セッションをリモートクラウドサイトに拡張する必要があります。

リモート VMware Cloud Director 組織でローカルユーザーを使用する場合は、ユーザー認証情報を指定します。
ローカルおよびリモートの VMware Cloud Director とその組織が関連付けられている場合は、[マルチサイトの使用] をクリックします。1 つの組織を複数のリモート組織に関連付けることができるため、認証する組織を選択します。
VMware Cloud Director Availability 4.3 の場合、複数のクラウドサイトが単一の VMware Cloud Director インスタンスを使用している場合は、[マルチサイトの使用] をクリックします。組織を選択するためのドロップダウンメニューには、現在の組織のみが含まれます。

リモート VMware Cloud Director のローカルユーザー認証情報を指定せずに、Cloud Service セッションをローカルからリモート VMware Cloud Director に拡張すると、JWT を使用してリモートサイトへの拡張セッションが認証されます。

リモートサイトへの認証後、Cloud Service は新しく作成された拡張セッションを保持し、リモートサイトでのレプリケーション操作では認証情報を必要とせずに拡張セッションを使用します。

クラウドへのオンプレミス認証

4.3 より前の VMware Cloud Director Availability または vCenter Server 7.0 より前のバージョンの場合、オンプレミステナントには、クラウドサイトへの認証を必要とするディザスタリカバリ操作を実行するための次の 2 つのオプションがあります。

VMware Cloud Director Availability vSphere Client Plug-In で認証情報の入力を求められたら、ローカル VMware Cloud Director ユーザー認証情報を入力して認証を実行します。このオプションを使用すると、オンプレミスインフラストラクチャへのアクセスを制限できますが、認証のために専用の ID 管理ソリューションを使用することはできません。
または、レプリケーション管理の操作に VMware Cloud Director の VMware Cloud Director Availability プラグインを使用します。このオプションを使用すると、認証のために専用の ID 管理ソリューションを使用できますが、ローカルのオンプレミスインフラストラクチャへのアクセスを制限することはできません。これは、ペアリング中に [クラウドからのアクセスを許可] を選択する必要があるためです。

vCenter Server 7.0 以降では、 VMware Cloud Director Availability 4.3 はオンプレミステナントが VMware Cloud Director Availability vSphere Client Plug-In でディザスタリカバリ操作を実行するための新しい認証メカニズムを 1 つ提供します。これは、たとえば新しいレプリケーションの構成やフェイルオーバーなど、クラウドサイトへの認証を必要とします。

VMware Cloud Director 組織が SAML などの外部 ID プロバイダを使用している場合、オンプレミステナントはこの方法を認証に使用できるようになります。

認証を必要とするレプリケーション操作を実行すると、VMware Cloud Director Availability vSphere Client Plug-In はリモートサイトの認証情報を入力するように求めるプロンプトを表示します。プロンプトに対して [API トークン認証を使用] をクリックすると、認証用の一時トークンが生成されて表示されます。これは、VMware Cloud Director の VMware Cloud Director Availability プラグインで受け入れる必要があります。
[ログイン] をクリックすると、VMware Cloud Director の VMware Cloud Director Availability プラグインを含む新しいブラウザウィンドウが開きます。
1. テナントは、Single Sign-On や多要素認証など、VMware Cloud Director に対して認証を行うための一般的な認証方法を選択できます。
2. VMware Cloud Director で認証されると、一時トークンが VMware Cloud Director Availability vSphere Client Plug-In で表示されたものと一致することを確認して受け入れるよう求めるプロンプトが表示されます。
一時トークンを受け入れることで、VMware Cloud Director セッションの既存の JWT に関連付けられます。この関連付けにより、セッション中にクラウドサイトへの VMware Cloud Director Availability vSphere Client Plug-In アクセス権が付与され、テナントは認証情報を要求したディザスタリカバリワークフローを再開できます。

注：

トークンの受け入れ間隔は 5 分です。この期間が終了すると、VMware Cloud Director Availability は新しいトークンの生成を要求します。
1 つのトークンで許可される受け入れまたは拒否は 1 回のみです。
トークンを受け入れると通常のセッションが作成されます。このセッションは最大 24 時間アクティブで、アクティビティが停止すると 30 分間のみ有効になります。
vSphere からログアウトすると、受け入れられたトークンが無効になります。再認証後、認証を必要とするレプリケーション操作を実行する場合は、新しいトークンを生成して受け入れる必要があります。
テナントは、オンプレミスサイトの正しい VMware Cloud Director 組織にログインしていることを確認する必要があります。そうでない場合は、トークンを受け入れることができません。
トークンを使用したオンプレミス認証には、オンプレミスサイトで vCenter Server 7.0 以降、および各サイトで VMware Cloud Director Availability 4.3 以降が必要であり、VMware Cloud Director Availability vSphere Client Plug-In を使用することによってのみ使用できます。

セッションの有効期限

ローカル Cloud Service セッションには、アクティビティ停止によるソフト時間制限があります。デフォルトでは、セッションが 30 分以上アイドル状態になった後、セッションのソフト存続期間の有効期限が切れ、管理インターフェイスページの動的な更新が表示されません。
ローカル Cloud Service セッションには、再認証なしでは延長できないハード時間制限もあります。デフォルトでは、セッションのハード存続期間は 24 時間後に有効期限が切れます。この間、管理インターフェイスからログアウトするまで、または [ピアサイト] 画面でサイトを選択して [ログアウト] をクリックするまで、すべての操作を実行できます。セッションの 2 種類の存続期間の詳細については、「セキュリティ構成のプロパティ」を、ユーザーセッションの詳細については『https://docs.vmware.com/jp/VMware-Cloud-Director-Availability/4.6/VMware-Cloud-Director-Availability-Security-Guide/GUID-2FA5AD34-78DD-4D22-A781-D5EFD89242D9.html』の「Security Guideユーザーロールの権限とセッション」を参照してください。
リモートクラウドサイトへの拡張 Cloud Service セッションは、リモート JWT が無効になった場合（有効期限が切れた、または手動でログアウトした）に期限切れになります。デフォルトでは、VMware Cloud Director JWT の存続期間も 24 時間で有効期限が切れます。JWT の存続期間を変更する場合（たとえば 1 時間に短縮する場合）、拡張セッションは 1 時間後に期限切れになります。JWT の存続期間を 24 時間以上に延長すると、Cloud Service セッションのいずれかの存続期間に従って拡張セッションの有効期限が切れます。つまり、24 時間経過するか、アクティビティ停止から 30 分後に有効期限が切れます。

拡張セッションの認証を必要とするレプリケーション操作

レプリケーションが配置されている場所に応じて、次のレプリケーション操作のためにリモートサイトへのセッションを拡張します。

クラウドからの受信レプリケーション

リモートサイトのレプリケーションを管理する場合、一部のレプリケーション操作はリモートサイトの認証情報を認証して指定することなく実行できますが、その他のレプリケーション操作を実行するにはリモートサイトの認証情報を認証して指定する必要があります。

認証を必要としないレプリケーション操作：認証情報は必要ありません	認証を必要とするレプリケーション操作：リモートサイトの認証情報を指定します
移行	新しい保護
フェイルオーバー	新しい移行
フェイルオーバーのテスト	ネットワーク設定
レプリケーション設定	ディスク設定
所有者を変更
ストレージポリシーの変更
同期
一時停止
レジューム
レプリケーションの削除

クラウドへの送信レプリケーション

リモートクラウドサイトのレプリケーションを管理するには、すべてのレプリケーション操作に対してリモートサイトの認証情報を認証して指定する必要があります。

認証を必要とするレプリケーション操作：リモートサイトの認証情報を指定します
移行
フェイルオーバー
フェイルオーバーのテスト
新しい保護
新しい移行
レプリケーション設定
ネットワーク設定
ディスク設定
ストレージポリシーの変更
同期
一時停止
レジューム
レプリケーションの削除

テナント組織のなりすまし

テナントとしてのなりすましの詳細については、VMware Cloud Director™ プロバイダ管理ポータルを使用したログインを参照してください。