ロールの割り当てまたはプリンシパル ID の追加

VMware Identity Manager が NSX-T Data Center と統合されている場合、または LDAP を認証プロバイダとして使用している場合は、ユーザーまたはユーザーグループにロールを割り当てることができます。プリンシパル ID にロールを割り当てることもできます。

プリンシパルは、 NSX-T Data Center コンポーネント、または OpenStack 製品などのサードパーティアプリケーションです。プリンシパル ID がある場合、プリンシパルはこの ID を使用してオブジェクトを作成し、同じ ID のエンティティにのみオブジェクトの変更または削除を許可できます。プリンシパル ID には、次のプロパティがあります。

名前
ノード ID：プリンシパル ID に割り当てられた任意の英数字です。
証明書
このプリンシパルのアクセス権を示す RBAC ロール

エンタープライズ管理者ロールが割り当てられているユーザー（ローカル、リモート、またはプリンシパル ID）は、プリンシパル ID が所有するオブジェクトを変更または削除できます。エンタープライズ管理者ロールが割り当てられていないユーザー（ローカル、リモート、またはプリンシパル ID）は、プリンシパル ID が所有する保護されたオブジェクトを変更および削除することができません。ただし、保護されていないオブジェクトを変更または削除することはできます。

プリンシパル ID などのユーザー証明書が期限切れになった場合、新しい証明書をインポートし、API 呼び出しを行ってプリンシパル ID ユーザーの証明書を更新する必要があります（以下の手順を参照）。NSX-T Data Center API の詳細については、https://docs.vmware.com/jp/VMware-NSX-T-Data-Center で API リソースへのリンクを参照してください。

プリンシパル ID ユーザーの証明書は、次の要件を満たす必要があります。

SHA 256 ベース。
2,048 ビット以上のキーサイズを持つ RSA/DSA メッセージアルゴリズム。
ルート証明書にすることはできません。

API を使用して、プリンシパル ID を削除できます。ただし、プリンシパル ID を削除しても、対応する証明書は自動的に削除されません。証明書を手動で削除する必要があります。

プリンシパル ID と証明書の削除手順：

削除するプリンシパル ID の詳細を取得し、応答の certificate_id 値をメモします。
GET /api/v1/trust-management/principal-identities/<principal-identity-id>
プリンシパル ID を削除します。
DELETE /api/v1/trust-management/principal-identities/<principal-identity-id>
手順 1 で取得した certificate_id 値を使用して証明書を削除します。
DELETE /api/v1/trust-management/certificates/<certificate_id>

LDAP の場合、ユーザーグループとユーザーロールのマッピング情報に構成します。グループは、Active Directory (AD) で指定されたユーザーグループに対応しています。NSX のユーザー権限を付与するには、そのユーザーをマッピングされた Active Directory のグループに追加します。

前提条件

認証プロバイダが構成されている必要があります。

vIDM のロール割り当ての場合、vIDM ホストが NSX-T に関連付けられていることを確認します。詳細については、VMware Identity Manager/Workspace ONE Access 連携の構成を参照してください。
LDAP のロール割り当ての場合、LDAP ID ソースがあることを確認します。詳細については、LDAP ID ソースの追加を参照してください。

手順

ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
[システム] > [ユーザーおよびロール] の順に選択します。
ユーザーにロールを割り当てるには、[追加] > [vIDM のロールの割り当て] の順に選択します。
1. ユーザーまたはユーザーグループを選択します。
2. ロールを選択します。
3. [保存] をクリックします。
プリンシパル ID を追加するには、[追加] > [ロールを持つプリンシパル ID] の順に選択します。
1. プリンシパル ID の名前を入力します。
2. ロールを選択します。
3. ノード ID を入力します。
4. 証明書を PEM 形式で入力します。
5. [保存] をクリックします。
LDAP のロール割り当てを追加するには、[追加] > [LDAP のロールの割り当て] の順に選択します。
1. ドメインを選択します。
2. LDAP ディレクトリを検索するには、ユーザー名、ログイン ID またはグループ名の最初の数文字を入力して、表示されたリストからユーザーまたはグループを選択します。
3. ロールを選択します。
4. [保存] をクリックします。
（オプション） NSX Cloud を使用している場合は、NSX Manager の代わりに CSM アプライアンスにログインし、手順 1 ～ 4 を繰り返します。
プリンシパル ID の証明書が期限切れで失効した場合は、次の操作を行います。
1. 新しい証明書をインポートして、証明書の ID をメモしておきます。自己署名証明書または CA 署名付き証明書のインポートを参照してください。
2. 次の API を呼び出して、プリンシパル ID を取得します。
  GET https://<nsx-mgr>/api/v1/trust-management/principal-identities
3. 次の API を呼び出して、プリンシパル ID の証明書を更新します。インポートされた証明書の ID を指定します。また、プリンシパル ID ユーザーの ID も指定する必要があります。
  次はその例です。
```
POST https://<nsx-mgr>/api/v1/trust-management/principal-identities?action=update_certificate
{
    "principal_identity_id": "ebd3032d-728e-44d4-9914-d4f81c9972cb",
    "certificate_id" : "abd3032d-728e-44d4-9914-d4f81c9972cc"
}
```