サービスアカウントの管理

サービスアカウントを使用して、サードパーティアプリケーションによる VMware Cloud Director へのアクセスを自動化できます。

VMware Cloud Director 10.4.1 以降で、ユーザーに表示されるサービスアカウント情報を制限する場合は、制限付きのサービスアカウントビュー権限を特定のロールにのみ付与できます。制限付きのサービスアカウントビュー権限を持つユーザーがサービスアカウントに対して GET 要求を実行すると、応答には、サービスアカウントの softwareId、softwareVersion、uri、および status が null として表示されます。

実装

VMware Cloud Director への自動アクセスを提供するために、サービスアカウントでは API トークンを使用します。サービスアカウントは、API ベースのアクセスのみを対象としています。サービスアカウントにアクセス権を付与すると、認証されたクライアントアプリケーションは OAuth 更新トークンである API トークンと、最初の VMware Cloud Director セッションを表すアクセストークンを受け取ってすぐに使用します。アプリケーションには、VMware Cloud Director での認証用の API トークンが必要です。アクセストークンは、アプリケーションがサービスアカウントを使用して API 要求を行う際に使用する VMware Cloud Director セッショントークン（JWT トークン）です。アプリケーションのサービスアカウントでは API トークンを使用するため、VMware Cloud Director のユーザー API トークンと同じ制限が適用されます。

サービスアカウントには、「サービスアカウント認証の要求」を使用してアクセス権が付与されます。これにより、トークンを使用する必要があるアプリケーションにのみトークンへのアクセス権が付与され、トークンを使用できるようになります。他のアクターはトークンにアクセスできません。管理者はサービスアカウントに対するアクセス権を管理します。ただし、管理者であっても、アクセス権を付与する実際のトークンにアクセスすることはできません。VMware Cloud Director ではサービスアカウントにトークンのみを提供します。そのために、VMware Cloud Director では既知の標準を使用します。管理者および管理者がトークンを付与するアプリケーションが、付与とトークンの転送を通じて同期されていることを確認するために、アプリケーションのユーザーコードを把握していれば API トークン付与プロセスを開始できます。

ユーザー API トークンとは異なり、サービスアカウントに付与される API トークンは、RFC 6749 セクション 6 に従って、使用するたびにローテーションされます。未使用のサービスアカウントの API トークンは、取り消さない限り期限切れになることはありません。

サービスアカウントに割り当てることができるロールは 1 つのみです。OAuth 準拠の API では、ロールは範囲フィールドを介して、そのロールの名前を含む URL エンコードされた Uniform Resource Name (URN) として伝達されます。URN の形式は urn:vcloud:role:[roleName] です。URN エンコーディングについては、RFC 8141 を参照してください。

注：デバイスエンドポイントは認証されていません。ロードバランサで特別なスロットリングルールを構成することを検討してください。

表 1. サービスアカウントのステータス
ステータス	説明
作成済み	アカウントは作成後に初期状態になります。
要求済み	要求者がデバイス認証要求を使用して開始したアクセスに対する未処理の要求が 1 つ以上あります。
付与済み	管理者が未処理の要求を付与し、サービスアカウントのポーリングと API トークンの取得を待機しています。
アクティブ	サービスアカウントが API トークンを取得し、そのトークンを使用して VMware Cloud Director にアクセスできます。

制限

サービスアカウントの使用はサードパーティアプリケーションを対象としているため、サービスアカウントにはいくつかの制限があります。

サービスアカウントを使用している場合、アプリケーションは次に示す特定のタスクを実行できません。

ユーザー管理タスクの実行
API トークンの作成
他のサービスアカウントの管理

サービスアカウントを使用して VMware Cloud Director にアクセスするアプリケーションには、次のリソースの表示権限のみがあります。

ユーザー
グループ
ロール
グローバルロール
権限バンドル

サービスアカウントを使用して VMware Cloud Director にアクセスするアプリケーションには、次の権限がありません。

トークン：管理
トークン：すべての管理

マルチサイト

VMware Cloud Director 10.4.1 以降では、サービスアカウントはマルチサイト機能を使用して、地理的に分散された複数の VMware Cloud Director インストール環境またはサーバグループとその組織を単一エンティティとして管理および監視できます。詳細についてはマルチサイト展開の構成と管理を参照してください。サービスアカウントが、認証の対象となる組織とは異なる組織に要求を行う場合は、サービスアカウントが関連付けられた組織に存在し、同じ名前とソフトウェア ID を保持していることを確認します。要求を満たす必要がある組織の名前を指定する X-VMWARE-VCLOUD-AUTH-CONTEXT ヘッダーも含める必要があります。マルチサイトデプロイの構成および管理の詳細については、VMware Cloud Director API プログラミングガイドを参照してください。

サービスアカウントの作成

Service Provider Admin Portalを使用して、VMware Cloud Director への自動アクセス用のアカウントを作成できます。

手順

上部ナビゲーションバーで [管理] を選択します。
左側のパネルの [プロバイダアクセスコントロール] で、[サービスアカウント] を選択します。
[新規] をクリックします。
サービスアカウントの名前を入力します。
[ロールの割り当て] ドロップダウンメニューでサービスアカウントのロールを選択します。
使用可能なロールのリストは、ローカルシステムの組織ロールで構成されています。サービスアカウントがテナント組織に含まれる場合は、テナントのローカルロールに加えて、組織に公開されるグローバルロールも含まれます。
サービスアカウントのソフトウェア ID を入力するか、[ソフトウェア ID の生成] ボタンを使用して ID を生成し、入力します。

サービスアカウントには、ソフトウェア ID（VMware Cloud Director に接続しているソフトウェアを表す UUID 形式の一意の識別子）が必要です。この ID は、ソフトウェアのすべてのバージョンとインスタンスで同一です。

より大規模なソリューションの場合は、サービスアカウントの ID の制御を維持するために、[ソフトウェア ID の生成] オプションを使用せず、独自のソフトウェア ID を生成します。
（オプション） サービスアカウントを使用して、システムのソフトウェアバージョンを入力します。
ソフトウェアバージョンは、サービスアカウントに関連付けられているメタデータの、ベンダーが指定したオプションの情報です。ソフトウェアの一部がいつ変更されたのか追跡するために、 VMware Cloud Director ではソフトウェアバージョンを使用します。ソフトウェアバージョンは、サービスアカウントの特定に役立つ場合があります。
（オプション） クライアント URI を入力します。
クライアントの Uniform Resource Identifier (URI) は、ベンダーの Web ページの URL であり、クライアントに関する情報を提供します。
[次へ] をクリックします。
（オプション） サービスアカウントで管理するリソースに割り当てを追加します。
これらの割り当てにより、サービスアカウントがストレージおよびコンピューティングリソースを使用する能力が制限されます。
サービスアカウントの情報を確認し、[完了] をクリックします。

結果

サービスアカウントが [サービスアカウント] 画面に Created というステータスで表示されます。

例

VMware Cloud Director API を使用してサービスアカウントを作成することもできます。API 要求では、ユーザー API トークンの作成時と同じ API エンドポイントが使用されますが、software_id フィールドがある場合は、サービスアカウントを作成する目的が示されます。

要求の例：

POST /oauth/provider/register 

Accept:application/json

Content-Type:application/json

Authorization:Bearer eyJhbGciOiJSUzI...7g7rA 

Body: { 

    "client_name": "exampleServiceAccount", 

    "software_id": "bc2528fd-35c4-44e5-a55d-62e5c4bd9c99", 

    "scope": "urn:vcloud:role:System%20Administrator", 

    "client_uri": "https://www.companyname.com", 

    "software_version": "1.0" 

}

応答の例：

{ 

"client_name": "exampleServiceAccount", 

"client_id": "734e3845-1573-4f07-9b6c-b493c9042187", 

"grant_types": [ 

"urn:ietf:params:oauth:grant-type:device_code" 

], 

"token_endpoint_auth_method": "none", 

"client_uri": "https://www.company_name.com", 

"software_id": "bc2528fd-35c4-44e5-a55d-62e5c4bd9c99", 

"software_version": "1.0", 

"scope": "urn:vcloud:role:System%20Administrator" 

}

次のタスク

サービスアカウントの詳細に表示されるクライアント ID をコピーします。サービスアカウントにアクセス権を付与するには、クライアント ID を使用する必要があります。

サービスアカウントへのアクセス権の付与

サービスアカウントを作成した後に、アプリケーションがアクセストークンを受け取るための認証を要求した場合は、VMware Cloud Director Service Provider Admin Portalを使用してトークンを付与できます。

注：この手順の途中でタイムアウト期間が終了すると、 Service Provider Admin Portalのサービスアカウントのステータスが Created に戻り、手順を再度開始する必要があります。

前提条件

Service Provider Admin Portalのサービスアカウントの詳細からクライアント ID をコピーします。

アカウントを要求しているアプリケーションが https://site.cloud.example.com/oauth/provider/device_authorization API エンドポイントに OAuth 2.0 Device Authorization Grant RFC 準拠の要求を行っていることを確認します。デバイス認証要求の詳細については、RFC 8628 セクション 3.1を参照してください。

キー	値
`client_ID`	`Generated_Client_ID`

アプリケーションからアクセスが要求された場合、Service Provider Admin Portalのサービスアカウントのステータスは Requested に変化します。アプリケーションは、デバイスコード、ユーザーコード、およびいくつかの追加情報を受け取ります。

要求の例：

POST /oauth/provider/device_authorization
Accept:application/json 
Content-Type: application/x-www-form-urlencoded
Body:
client_id=734e3845-1573-4f07-9b6c-b493c9042187

応答の例：

{
"device_code": "tkhZ0uoUMy5xgjJqRJblIq3-g44xy2Ms6TEpv3Z_fKw",
"user_code": "3VL8-SQVJ",
"verification_uri": "https://[VCD]/provider/administration/access-control/service-accounts",
"expires_in": 3600,
"interval": 60
}

デバイスでは、RFC に従って、上記の応答 /oauth/provider/token で指定された頻度（秒単位）でポーリングを実行する必要があります。デバイスでは、VMware Cloud Director からトークンを受け取るまで、または要求がタイムアウトになるまで、デバイスコードを使用する必要があります。

要求の例：

POST: /oauth/provider/token
Accept:application/json 
Content-Type: application/x-www-form-urlencoded
Body:
client_id= 734e3845-1573-4f07-9b6c-b493c9042187&grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Adevice_code&device_code=tkhZ0uoUMy5xgjJqRJblIq3-g44xy2Ms6TEpv3Z_fKw

付与前の応答の例：

{
    "error": "authorization_pending",
    "error_description": "Device authorization request pending",
    "error_uri": null,
    "minorErrorCode": "authorization_pending",
    "message": "Device authorization request pending",
    "stackTrace": null
}

付与後の応答の例：

{
    "access_token": "eyJhbGciOiJSU…HqJaDud1sVA",
    "token_type": "Bearer",
    "expires_in": 2592000,
    "refresh_token": "SsybukUed8SBP2p1AaFiGJhrntQNWZVX"
}

アクセス要求の確認または拒否をしなかった場合、ユーザーコードがタイムアウトになります。タイムアウト期間は、デバイス認証要求の応答に表示されます。

VMware Cloud Director では、アプリケーションと管理者が相互に対応するデバイスコードとユーザーコードを使用する場合にのみ、アプリケーションにプライマリ API トークンを付与します。

アプリケーションからユーザーコードを取得します。手順 4 でこのコードを入力する必要があります。

手順

上部ナビゲーションバーで [管理] を選択します。
左側のパネルの [プロバイダアクセスコントロール] で、[サービスアカウント] を選択します。
[アクセス要求の確認] をクリックします。
前提条件 3 で取得したアプリケーションのユーザーコードを入力し、[検索] をクリックして、要求されたアクセスの詳細を確認します。
アプリケーションにアクセス権を付与します。
アプリケーションへのアクセスを拒否すると、 Service Provider Admin Portalのサービスアカウントのステータスが Created に戻ります。

結果

サービス要求のステータスが Granted に変化します。VMware Cloud Director では、サービスアカウントにリンクされているアプリケーションに、API トークンの形式でプライマリ API トークンを付与します。RFC の規定により、応答に含まれるのは、サービスアカウントがすぐに使用できる、ユーザーセッションを表す OAuth アクセストークンです。アプリケーションで OAuth アクセストークンをすぐに使用しない場合、構成されたアイドルセッションタイムアウトに従ってセッションがタイムアウトになります。サービスアカウントが明示的にログアウトする場合もあります。これが推奨されるのは、セキュリティ上の理由のほか、サービスアカウントが VMware Cloud Director に対する API 呼び出しを行うために適したテスト実行を提供するためです。アプリケーションが API トークンを取得すると、ステータスは Active に変化します。

次のタスク

割り当てられたサービスアカウントロール、ソフトウェア ID、ソフトウェアバージョン、クライアント URI、または割り当ての制限を変更するには、サービスアカウントを選択して、[サービスアカウントの編集] をクリックします。変更は次回のトークン更新時に有効になります。
サービスアカウントに対するアクセス権を取り消して、付与された API トークンを無効にするには、[更新] をクリックします。VMware Cloud Director は、すべてのアクティブなセッションを終了します。API トークンを取り消してもサービスアカウントは削除されませんが、アカウントのステータスは Created に変化します。アプリケーションがすでに再度アクセスを要求している場合、サービスアカウントのステータスは Requested に変化します。サービスアカウントのステータスを Active にするには、この手順を再度実行してサービスアカウントにアクセス権を付与する必要があります。

共有

実装

制限

マルチサイト

サービス アカウントの作成

手順

結果

例

次のタスク

サービス アカウントへのアクセス権の付与

前提条件

手順

結果

次のタスク

サービスアカウントの作成

サービスアカウントへのアクセス権の付与