VCenter集成LDAP和AD的配置方法

VCenter5.5的用戶體系與5.1及之前版本略有不同，安裝完成後，默認所在OS已經不能用於VC的用戶驗證（驗證是指驗證登陸，授權是指功能權限，用戶授權當然是VC自己管理的）。從5.1起，如果要使用LDAP或者AD作爲VC的用戶驗證源，需要進行專門設置（4.x直接就用windows的用戶驗證體系，所以只要vc的os在ad域裏，自動就能用ad驗證了），這篇博客將給出配置的方法。

SSO的配置需要登陸vSphere web client進行，vSphere web client的地址爲https://VC所在OS的IP:9443/vsphere-client，要進行sso配置，需要使用超級管理員登陸，5.5的超級管理員爲[email protected]（5.1的超級管理員爲admin@System-Domain），密碼實在安裝過程中輸入的，具體的VC安裝請參見基於VMware的虛擬機資源池實現。

登陸後，點擊界面左側的“系統管理”-》“Single Sign-On”-》“配置”，在右側界面中選擇“標識源”頁籤，點擊“+”工具按鈕添加標識源，如使用AD，在窗口上方選擇“Active Directory作爲LDAP服務器”，如果使用的是LDAP，直接選“Open LDAP”即可。不管選擇哪一項，需要輸入的項目是相同的，如下圖。

如果標識源是AD，假定域名爲mydomain.com，則各項目輸入說明如下：

• 名稱：mydomain-ad
• 用戶的基本DN：dc=mydomain,dc=com
• 域名：mydomain.com
• 域別名：mydomain
• 組的基本DN：dc=mydomain,dc=com
• 主服務器URL：ldap://mydomain.com
• 輔助服務器URL：
• 用戶名：mydomain\vcadmin-ad，這裏vcadmin-ad爲mydomain.com裏的普通用戶
• 密碼：mydomain\vcadmin-ad的密碼

如果標識源是LDAP，假定ldap服務器的dns地址爲ldap.mydns.com，ldap裏的根爲dc=mydomain,dc=com，則各項目的輸入說明如下：

• 名稱：mydomain-ldap
• 用戶的基本DN：cn=users,dc=mydomain,dc=com
• 域名：ldap.mydns.com
• 域別名：mydns
• 組的基本DN：cn=groups,dc=mydomain,dc=com
• 主服務器URL：ldap://ldap.mydns.com:389
• 輔助服務器URL：
• 用戶名：uid=vcadmin,cn=users,dc=mydomain,dc=com，這裏vcadmin爲ldap中的普通用戶，屬性如下圖：

• 密碼：vcadmin的密碼

輸入上述信息後，點擊測試連接，成功後，即可使用配置的ldap或ad進行用戶驗證了，可以通過界面左側的“系統管理”-》“Single Sign-On”-》“用戶和組”，對ldap或ad用戶授予sso管理權限，也可以通過vSphere client或還在vSphere web client中，對ldap或ad用戶授予VC裏的各項管理權限。