Active Directory オブジェクトを使用すると、ユーザー ID や ID ベースのファイアウォール ルールに基づいてセキュリティ グループを作成できます。

Active Directory (AD) ドメイン全体を IDFW (Identity Firewall) で使用するように登録することも、大規模なドメインのサブセットを同期することもできます。ドメインが登録されると、NSX は、IDFW が必要とするすべての Active Directory データを同期します。

開始後に API を使用して完全同期を手動で終了すると、同期統計が正しく更新されません。

注: IDFW は、ゲスト OS のセキュリティと整合性に依存します。悪意のあるローカル管理者がファイアウォール ルールを回避するために ID を偽装する方法は 1 つではありません。ユーザー ID 情報は、ゲスト仮想マシン内のゲスト イントロスペクション エージェントによって提供されます。セキュリティ管理者は、NSX ゲスト イントロスペクション エージェントが各ゲスト仮想マシンにインストールされ、実行されていることを確認する必要があります。ログイン ユーザーには、エージェントの削除または停止を行う権限を付与してはなりません。

手順

  1. ブラウザから、NSX Manager (https://<nsx-manager-ip-address>) に管理者権限でログインします。
  2. [システム] > [Identity Firewall Active Directory] > [Active Directory] に移動します。
  3. 同期する Active Directory の横にある 3 つのボタンのメニュー アイコンをクリックして、次のいずれかを選択します。
    メニュー項目 説明
    差分の同期 最後の同期以降に変更されたローカル Active Directory オブジェクトが更新される差分同期を実行します。
    すべて同期 すべての Active Directory オブジェクトのローカル状態が更新される完全同期を実行します。
  4. [同期状態の表示] をクリックして、Active Directory の現在の状態、以前の同期状態、同期の状態、および最終同期時刻を表示します。