sso-config ユーティリティを使用して、コマンド ラインからスマート カード認証を管理できます。このユーティリティは、すべてのスマート カード設定タスクをサポートしています。

sso-config スクリプトは次の場所にあります。
Windows C:\Program Files\VMware\VCenter server\VMware Identity Services\sso-config.bat
Linux /opt/vmware/bin/sso-config.sh

サポートされる認証タイプおよび失効の設定は VMware Directory Service に保存され、vCenter Single Sign-On ドメインのすべての Platform Services Controllerインスタンスにわたって複製されます。

ユーザー名とパスワードの認証が無効で、スマート カード認証に問題が発生した場合、ユーザーはログインできません。その場合、root ユーザーまたは管理者ユーザーは Platform Services Controllerコマンド ラインを使用して、ユーザー名とパスワードの認証を有効にできます。次のコマンドで、ユーザー名とパスワードの認証を有効にします。
OS コマンド
Windows
sso-config.bat -set_authn_policy 
-pwdAuthn true -t <tenant_name>

デフォルトのテナントを使用する場合は、テナント名として vsphere.local を使用します。

Linux
sso-config.sh -set_authn_policy -pwdAuthn true
-t <tenant_name>

デフォルトのテナントを使用する場合は、テナント名として vsphere.local を使用します。

失効確認のために OCSP を使用する場合は、スマート カード証明書 AIA 拡張機能に指定されたデフォルトの OCSP を使用できます。1 つ以上の代替 OCSP レスポンダを設定して、デフォルトをオーバーライドすることもできます。たとえば、vCenter Single Sign-On サイトに対してローカルの OCSP レスポンダを設定して、失効確認要求を処理できます。

注: 証明書に OCSP が定義されていない場合は、代わりに CRL(証明書失効リスト)を有効にします。

前提条件

  • 導入環境内で Platform Services Controller バージョン 6.5 以降および vCenter Server バージョン 6.0 以降を使用していることを確認します。Platform Services Controller バージョン 6.0 Update 2 は、スマート カード認証をサポートしますが、セットアップの手順が異なります。
  • エンタープライズの公開鍵基盤 (PKI) が環境内に設定されていること、および証明書が次の要件を満たしていることを確認します。
    • ユーザー プリンシパル名 (UPN) は、Subject Alternative Names (SAN) 拡張の Active Directory アカウントに対応する必要があります。
    • 証明書では、アプリケーション ポリシーまたは拡張キー使用法のフィールドにクライアント認証を指定する必要があります。設定しない場合、ブラウザに証明書が表示されません。

  • Platform Services Controller の証明書がエンド ユーザーのワークステーションによって信頼されていることを確認します。信頼されていない場合、ブラウザは認証を試行しません。
  • vCenter Single Sign-On に Active Directory ID ソースを追加します。
  • vCenter Server管理者ロールを、Active Directory ID ソースの 1 人以上のユーザーに割り当てます。これらのユーザーは、認証を受けることができ、vCenter Server管理者権限を保有しているので、管理タスクを実行できます。
    注: vCenter Single Sign-On ドメインの管理者(デフォルトは [email protected])はスマート カード認証を実行できません。
  • リバース プロキシを設定し、物理マシンまたは仮想マシンを再起動します。

手順

  1. 証明書を取得し、sso-config ユーティリティで表示可能なフォルダにその証明書をコピーします。
    オプション 説明
    Windows Platform Services Controller Windows 環境にログインし、WinSCP または類似のユーティリティを使用してファイルをコピーします。
    アプライアンス
    1. 直接または SSH を使用してアプライアンス コンソールにログインします。
    2. アプライアンス シェルを次のように有効にします。
      shell
      chsh -s "/bin/bash" root
    3. WinSCP または類似のユーティリティを使用して、証明書を Platform Services Controller 上の /usr/lib/vmware-sso/vmware-sts/conf にコピーします。
    4. 必要に応じて、アプライアンス シェルを次のように無効にします。
      chsh -s "/bin/appliancesh" root
  2. VMware Directory Service (vmdir) のスマート カード認証を有効にするには、次のコマンドを実行します。
    sso-config.[bat|sh] -set_authn_policy -certAuthn true -cacerts first_trusted_cert.cer,second_trusted_cert.cer  -t tenant
    
    例:
    sso-config.[bat|sh] -set_authn_policy -certAuthn true -cacerts MySmartCA1.cer,MySmartCA2.cer  -t vsphere.local
    
    複数の証明書をコンマで区切って入力できますが、コンマの後にスペースは入れないでください。
  3. 他の認証方法をすべて無効にするには、次のコマンドを実行します。
    sso-config.[bat|sh] -set_authn_policy -pwdAuthn false -t vsphere.local
    sso-config.sh -set_authn_policy -winAuthn false -t vsphere.local
    sso-config.sh -set_authn_policy -securIDAuthn false -t vsphere.local
  4. (オプション) 証明書ポリシーのホワイト リストを設定するには、次のコマンドを実行します。
    sso-config.[bat|sh] -set_authn_policy -certPolicies policies
    複数のポリシーを指定するには、次のようにコンマでポリシーを区切ります。
    sso-config.bat -set_authn_policy -certPolicies 2.16.840.1.101.2.1.11.9,2.16.840.1.101.2.1.11.19
    このホワイト リストには、証明書の証明書ポリシー拡張で許可されているポリシーのオブジェクト ID を指定します。X509 証明書では、証明書ポリシー拡張を使用できます。
  5. (オプション) OCSP を使用して失効確認を有効にし、設定します。
    1. OCSP を使用して失効確認を有効にします。
      sso-config.[bat|sh]  -set_authn_policy -t tenantName  -useOcsp true
    2. 証明書の AIA 拡張機能によって OCSP レスポンダのリンクが提供されていない場合、オーバーライドする OCSP レスポンダ URL と OCSP 認証局証明書を指定します。
      各 vCenter Single Sign-On サイトには代替の OCSP が設定されます。vCenter Single Sign-On サイトに対して 1 つ以上の代替 OCSP レスポンダを指定し、フェイルオーバーを使用することができます。
      sso-config.[bat|sh] -t tenant -add_alt_ocsp  [-siteID yourPSCClusterID] -ocspUrl http://ocsp.xyz.com/ -ocspSigningCert yourOcspSigningCA.cer
      注: この設定は、デフォルトで現在の vCenter Single Sign-On サイトに適用されます。他の vCenter Single Sign-On サイトに対して代替 OCSP を設定する場合にのみ、 siteID パラメータを指定します。

      次の例を想定します。

       .sso-config.[bat|sh] -t vsphere.local -add_alt_ocsp -ocspUrl http://failover.ocsp.nsn0.rcvs.nit.disa.mil/ -ocspSigningCert ./DOD_JITC_EMAIL_CA-29__0x01A5__DOD_JITC_ROOT_CA_2.cer
       Adding alternative OCSP responder for tenant :vsphere.local
       OCSP responder is added successfully!
       [
       site::   78564172-2508-4b3a-b903-23de29a2c342
           [
           OCSP url::   http://ocsp.nsn0.rcvs.nit.disa.mil/
           OCSP signing CA cert:   binary value]
           ]
           [
           OCSP url::   http://failover.ocsp.nsn0.rcvs.nit.disa.mil/
           OCSP signing CA cert:   binary value]
           ]
       ]
    3. 現在の代替 OCSP レスポンダ設定を表示するには、次のコマンドを実行します。
      sso-config.[bat|sh] -t tenantName -get_alt_ocsp]
      
    4. 現在の代替 OCSP レスポンダ設定を削除するには、次のコマンドを実行します。
      sso-config.[bat|sh] -t tenantName -delete_alt_ocsp [-allSite] [-siteID pscSiteID_for_the_configuration]
      
  6. (オプション) 設定情報をリストで表示するには、次のコマンドを実行します。
    sso-config.[bat|sh] -get_authn_policy -t tenantName