RSA SecurID トークンを使用したログインをユーザーに要求するように環境を設定できます。SecurID の設定はコマンド ラインからのみサポートされています。

詳細については、RSA SecurID の設定に関する 2 つの vSphere ブログ投稿を参照してください。

注： RSA 認証マネージャでは、ユーザー ID が ASCII 文字（1 ～ 255 文字）を使用する一意の識別子である必要があります。アンパサンド (&)、パーセント (%)、より大きい (>)、より小さい (<)、一重引用符 (`) の文字は使用できません。

前提条件

  • 環境内に正しく構成された RSA 認証マネージャが配備され、ユーザーに RSA トークンが提供されていることを確認します。RSA 認証マネージャのバージョン 8.0 以降が必要です。
  • RSA マネージャが使用する ID ソースが、vCenter Single Sign-On に追加されていることを確認します。vCenter Single Sign-On ID ソースの追加または編集を参照してください。
  • RSA 認証マネージャのシステムが vCenter Server ホスト名を解決でき、vCenter Server システムが RSA 認証マネージャのホスト名を解決できることを確認します。
  • [アクセス] > [認証エージェント] > [構成ファイルを生成] を選択して、sdconf.rec ファイルを RSA マネージャからエクスポートします。sdconf.rec ファイルを見つけるには、取得した AM_Config.zip ファイルを解凍します。
  • sdconf.rec ファイルを vCenter Server ノードにコピーします。

手順

  1. sso-config スクリプトが配置されているディレクトリに移動します。 
    /opt/vmware/bin
  2. RSA SecureID 認証を有効にするには、次のコマンドを実行します。 
    sso-config.sh -t tenantName -set_authn_policy -securIDAuthn true
    tenantName は、vCenter Single Sign-On ドメインの名前であり、デフォルトで vsphere.local になっています。
  3. （オプション） その他の認証方法を無効にするには、次のコマンドを実行します。 
    sso-config.sh -set_authn_policy -pwdAuthn false -winAuthn false -certAuthn false -t vsphere.local
  4. クライアント サイトのテナントが RSA サイトを使用するように環境を設定するには、次のコマンドを実行します。 
    sso-config.sh -set_rsa_site [-t tenantName] [-siteID Location] [-agentName Name] [-sdConfFile Path]
    例： 
    sso-config.sh -set_rsa_site -agentName SSO_RSA_AUTHSDK_AGENT -sdConfFile /tmp/sdconf.rec
    次のオプションを指定できます。
    オプション 説明
    siteID オプションの Platform Services Controller サイト ID。Platform Services Controller は、サイトあたり 1 つの RSA 認証マネージャ インスタンスまたはクラスタをサポートします。このオプションを明示的に指定しない場合、RSA 設定は現在の Platform Services Controller サイトの設定用になります。このオプションは、異なるサイトを追加する場合にのみ使用します。
    agentName RSA 認証マネージャ内で定義されます。
    sdConfFile sdconf.rec ファイルのコピーであり、RSA マネージャからダウンロードされたもので、IP アドレスなどの設定情報を含んでいます。
  5. （オプション） テナント構成をデフォルト以外の値に変更するには、次のコマンドを実行します。 
    sso-config.sh -set_rsa_config [-t tenantName] [-logLevel Level] [-logFileSize Size] [-maxLogFileCount Count] [-connTimeOut Seconds] [-readTimeOut Seconds] [-encAlgList Alg1,Alg2,...]
    通常、デフォルト値が適切です。次に例を示します。 
    sso-config.sh -set_rsa_config -t vsphere.local -logLevel DEBUG
  6. （オプション） ID ソースでユーザー プリンシパル名がユーザー ID として使用されていない場合、ID ソースの userID 属性を設定します（LDAP アイデンティティ ソース上の Active Directory でのみサポートされます）。

    この userID 属性により、RSA userID として使用される LDAP 属性が決定されます。 

    sso-config.sh -set_rsa_userid_attr_map [-t tenantName] [-idsName Name] [-ldapAttr AttrName] [-siteID Location]
    例： 
    sso-config.sh -set_rsa_userid_attr_map -t vsphere.local -idsName ssolabs.com -ldapAttr userPrincipalName
  7. 現在の設定を表示するには、次のコマンドを実行します。 
    sso-config.sh -t tenantName -get_rsa_config

結果

ユーザー名とパスワードによる認証が無効で、RSA 認証が有効な場合、ユーザーはユーザー名と RSA トークンを使用してログインする必要があります。ユーザー名とパスワードでのログインはできません。

注： ユーザー名の形式は、 userID@domainName または userID@domain_upn_suffix です。