統合 Windows 認証を使用する Active Directory の追加

このディレクトリ タイプは、マルチドメイン Active Directory 環境に接続する場合に作成します。コネクタは、統合 Windows 認証を使用して Active Directory にバインドされます。

前提条件

ディレクトリを追加するために必要なユーザー認証情報を持っていることを確認します。

手順

1. [マイ サービス] ダッシュボードで、[ID およびテナントの管理] をクリックします。
2. [ディレクトリ管理] タブに移動し、[ディレクトリ] をクリックします。
3. [+ディレクトリを追加] をクリックし、[IWA 経由の Active Directory の追加] をクリックします。
4. [ディレクトリの詳細] タブで、次のように入力します。

   フィールド	説明
   ディレクトリ情報	有効なディレクトリ名を入力します。
   ディレクトリの同期と認証	Active Directory と同期するコネクタを選択します。コネクタは、Active Directory と VMware Identity Manager サービスの間でユーザーおよびグループのデータを同期する VMware Identity Manager サービス コンポーネントです。これによってユーザーが認証されます。各 VMware Identity Manager アプライアンス ノードにはデフォルトのコネクタ コンポーネントが含まれています。必要に応じて、グローバル環境へのスケール アウトを介して専用のコネクタを展開することもできます。
   認証の有効化	選択したコネクタが認証も実行するかどうかを指定できます。サードパーティの ID プロバイダを使用してユーザーを認証している場合は、[いいえ] をクリックします。
   ディレクトリ検索属性	ドロップダウン メニューから検索属性を選択します。
   証明書	Active Directory が SSL/TLS 経由のアクセスを必要とする場合は、[証明書] セクションの [ディレクトリではすべての接続で STARTTLS を使用する必要がある] チェック ボックスをオンにし、ドメイン コントローラの中間 CA（使用している場合）証明書およびルート CA 証明書をコピーして [SSL 証明書] フィールドに貼り付けます。最初に中間 CA 証明書を入力し、次にルート CA 証明書を入力します。各証明書が PEM 形式であり、「BEGIN CERTIFICATE」と「END CERTIFICATE」の行を含んでいることを確認します。ドメイン コントローラに複数の中間 CA およびルート CA からの証明書が含まれている場合は、すべての中間 - ルート CA 証明書チェーンを順番に入力します。Active Directory が SSL/TLS 経由のアクセスを必要とする場合、証明書がなければディレクトリを作成できません。
   ドメインへの参加の詳細	ドメイン名、ドメイン管理者ユーザー名、およびドメイン パスワードを入力します。
   バインド ユーザーの詳細	必要なドメインのユーザーおよびグループをクエリする権限を持つバインド ユーザーの [バインド ユーザー名] と [バインド パスワード] を入力します。sAMAccountName@domain の形式でユーザー名を入力します。domain は完全修飾ドメイン名です。有効期限のないパスワードを持つバインド ユーザー アカウントを使用します。

5. [作成して次へ] をクリックします。
   Active Directory 接続に関連付けられているドメインを選択できます。
6. [ドメイン選択の詳細] タブでドメインを選択し、[送信して次へ] をクリックします。
   IWA を使用する Active Directory によってドメインのリストが入力され、必要に応じてドメインを選択または編集できます。
7. VMware Identity Manager ディレクトリ属性名が正しい Active Directory 属性にマッピングされていることを確認するために、[属性のマッピング] タブで必要な属性を選択し、[送信して次へ] をクリックします。
8. [グループの選択] タブで、グループ DN の詳細を指定し、[次へ] をクリックします。

   グループを選択するには、[グループ識別名の追加] をクリックし、1 つ以上のグループ識別名を指定して、その下からグループを選択します。[ディレクトリの追加] セクションの [ベース DN] テキスト ボックスに入力したベース DN の下にあるグループ DN を指定します。グループ DN がベース DN に含まれない場合、その DN のユーザーは、同期はされますがログインすることはできません。

   グループを同期する際、Active Directory のプライマリ グループである Domain Users に属していないユーザーの同期は行われません。

   1. [ネストされたグループ メンバーを同期] オプションを選択します。
9. [ユーザーの選択] タブで、ユーザー DN の詳細を入力し、[次へ] をクリックします。
   注： このオプションが有効になっている場合、グループに資格が与えられると、選択したグループに直接属するすべてのユーザーと、その下にネストされたグループに属するすべてのユーザーが同期されます。ネストされたグループ自体は同期されないことに注意してください。同期されるのは、ネストされたグループに属するユーザーのみです。 VMware Identity Manager ディレクトリで、これらのユーザーは同期のために選択した親グループのメンバーです。 [ネストされたグループ メンバーを同期] オプションが無効になっている場合、同期するグループを指定すると、そのグループに直接属するすべてのユーザーが同期されます。その下のネストされたグループに属するユーザーは同期されません。グループ ツリーのスキャンに多くのリソースが消費され時間がかかる大規模な Active Directory 構成では、このオプションを無効にすると時間を短縮できます。このオプションを無効にする場合は、同期するユーザーが属するグループをすべて選択するようにしてください。

   スイート管理者は、展開されたスイート製品、ログ、および Active Directory テーブルの管理者ユーザーとして行動する Active Directory 内のユーザーです。
10. [ドライ ラン チェック] タブで、サマリを読みます。
11. [同期して完了] をクリックして、ディレクトリへの同期を開始します。Active Directory への接続が確立され、ユーザーとグループの名前が Active Directory から VMware Identity Manager ディレクトリに同期されます。
12. [送信] をクリックします。
13. 編集するには、Active Directory のリストで目的の Active Directory の [編集] アイコンをクリックします。追加された情報が VMware Identity Manager の構成に付加されます。ただし、編集によって削除しても、構成は vRealize Suite Lifecycle Manager インベントリから削除されるだけで、VMware Identity Manager からは削除されません。
14. 削除するには、Active Directory のリストで目的の Active Directory の [削除] アイコンをクリックします。Active Directory は vRealize Suite Lifecycle Manager インベントリから削除されるだけで、VMware Identity Manager からは削除されません。