Вы включаете и настраиваете проверку подлинности сертификата с помощью функции управления каталогами на консоли администрирования vRealize Automation.

Необходимые условия

  • Получение корневого сертификата и промежуточных сертификатов от центра сертификации (ЦС), который подписал сертификаты, представленные пользователями.

  • (Необязательно) Список идентификаторов объекта (OID) с действительными политиками сертификатов для проверки подлинности с помощью сертификата.

  • Расположение файла CRL и URL-адрес сервера OCSP для проверки отзыва.

  • (Необязательно) Расположение файла ответа OCSP на подписание сертификата.

  • Содержимое формы подтверждения, если перед проверкой подлинности требуется отображение формы подтверждения.

Процедура

  1. В качестве администратора арендатора выберите Администрирование > Управление каталогами > Соединители
  2. На странице «Соединители» выберите ссылку «Рабочий процесс» для настраиваемого соединителя.
  3. Нажмите Адаптеры проверки подлинности, а затем нажмите CertificateAuthAdapter.

    Вы будете перенаправлены на страницу входа диспетчера удостоверений.

  4. В строке CertificateAuthAdapter нажмите Изменить.
  5. Настройте страницу адаптера проверки подлинности с помощью сертификатов.
    Примечание:

    Звездочка обозначает обязательное поле. Все остальные поля являются необязательными.

    Параметр

    Описание

    * Имя

    Имя должно быть задано. По умолчанию используется имя CertificateAuthAdapter. Его можно изменить.

    Включить адаптер сертификатов

    Установите флажок, чтобы включить проверку подлинности с помощью сертификата.

    * Корневые и промежуточные сертификаты ЦС

    Выберите файлы сертификатов для загрузки. Вы можете выбрать несколько корневых и промежуточных сертификатов центра сертификации, зашифрованных в формате DER или PEM.

    Загруженные сертификаты ЦС

    Загруженные файлы сертификатов перечислены в разделе «Загруженные сертификаты ЦС» формы.

    Чтобы новые сертификаты стали доступны, необходимо перезапустить службу.

    Нажмите Перезапуск веб-службы, чтобы перезапустить службу и добавить сертификаты в доверенную службу.

    Примечание:

    При перезапуске службы проверка подлинности с помощью сертификата не включается. После перезапуска службы необходимо продолжить настройку на данной странице. При нажатии кнопки Сохранить внизу страницы будет включена проверка подлинности с помощью сертификата в службе.

    Использовать электронную почту при отсутствии UPN в сертификате

    Если в сертификате отсутствует основное имя пользователя (UPN), то установите этот флажок, чтобы использовать атрибут EmailAddress в качестве расширения альтернативного имени субъекта для проверки учетных записей пользователей.

    Принимаемые политики сертификатов

    Создайте список идентификаторов объектов, которые принимаются в расширениях политик сертификата.

    Введите числа идентификаторов объекта (OID) для политики выпуска сертификата. Нажмите Добавить еще одно значение, чтобы добавить дополнительные идентификаторы.

    Включить отзыв сертификатов

    Установите флажок, чтобы включить проверку отзыва сертификата. В этом случае пользователи, у которых отозваны сертификаты, не смогут пройти проверку подлинности.

    Использовать CRL из сертификатов

    Установите флажок, чтобы использовать список отзыва сертификатов (CRL), опубликованный центром сертификации, выдавшим сертификаты, для подтверждения статуса сертификата (отозван он или нет).

    Расположение CRL

    Введите путь к файловому серверу или локальный путь к файлу, из которого нужно извлечь CRL.

    Включить отзыв OCSP

    Установите флажок, чтобы использовать протокол проверки состояния сертификатов (OCSP) и получить статус отзыва сертификата.

    Использовать CRL в случае отказа OCSP

    Если настроить и CRL, и OCSP, то при установке этого флажка будет осуществлен возврат к использованию CRL, если проверка по OCSP недоступна.

    Отправить специальный параметр OCSP

    Установите флажок, чтобы отправлять в ответе уникальный идентификатор запроса OCSP.

    URL-адрес OCSP

    Если включен отзыв по OCSP, введите адрес сервера OCSP для проверки отзыва.

    Сертификат подписи ответчика OCSP

    Введите путь к сертификату OCSP для ответчика, /path/to/file.cer.

    Включить форму подтверждения перед проверкой подлинности

    Установите этот флажок, чтобы включить отображение пользователям страницы подтверждения перед входом на портал «Мои приложения» для проверки подлинности с использованием сертификата.

    Содержимое формы подтверждения

    Введите в этом поле текст, который будет отображаться в форме подтверждения.

  6. Нажмите кнопку Сохранить.

Дальнейшие действия

  • Добавьте метод проверки подлинности сертификата в политику доступа по умолчанию. Выберите Администрирование > Управление каталогами > Политики и щелкните Изменить политику по умолчанию, чтобы отредактировать правила политики по умолчанию, добавить сертификат и сделать его первым методом проверки подлинности для политики по умолчанию. Сертификат должен быть первым в списке методов проверки подлинности в правиле политики, в противном случае проверка подлинности сертификата завершится сбоем.

  • При настроенной проверке подлинности с помощью сертификата и установленной за подсистемой балансировки нагрузки устройством службы убедитесь, что компонент Directories Managementсоединитель настроен на сквозное подключение SSL через подсистему балансировки нагрузки и SSL не замыкается на эту подсистему. Эта конфигурация гарантирует, что между соединителем и клиентом будет установлена связь по протоколу SSL для передачи сертификата соединителю.