Installazione e configurazione di VMware Enterprise Systems Connector. VMware Identity Manager 2.9.1

Transcript

1 Installazione e configurazione di VMware Enterprise Systems Connector VMware Identity Manager 2.9.1

2 Installazione e configurazione di VMware Enterprise Systems Connector È possibile consultare la documentazione tecnica più aggiornata sul sito Web all'indirizo: Sul sito Web di VMware sono inoltre disponibili gli aggiornamenti più recenti del prodotto. Inoltrare eventuali commenti sulla documentazione al seguente indirizzo: docfeedback@vmware.com Copyright 2017 VMware Inc. Tutti i diritti sono riservati. Informazioni sul copyright e sui marchi. VMware, Inc Hillview Ave. Palo Alto, CA VMware, Inc. P.le Biancamano Milano tel: fax: VMware, Inc.

3 Contenuti Installazione e configurazione di VMware Enterprise Systems Connector 5 1 Panoramica di VMware Enterprise Systems Connector 7 Informazioni su VMware Enterprise Systems Connector 7 Requisiti di sistema di Enterprise Systems Connector 9 2 Panoramica dell'architettura di Enterprise Systems Connector 17 Modello di distribuzione SaaS di Enterprise Systems Connector 17 Modello di distribuzione locale di Enterprise Systems Connector 18 Workflow di integrazione del certificato del componente ACC 20 3 Processo di installazione di Enterprise Systems Connector 21 Scelta dei componenti da installare 22 (Solo clienti locali) Installazione del certificato di Secure Channel in AWCM 22 Impostazione delle comunicazioni con AWCM 23 Download del programma di installazione di VMware Enterprise Systems Connector 23 Abilitazione di Enterprise Systems Connector dalla console di AirWatch 24 Esecuzione del programma di installazione di Enterprise Systems Connector 26 Verifica della corretta esecuzione dell'installazione di Enterprise Systems Connector 32 4 Gestione di ACC 33 Aggiornamenti di ACC 33 Esecuzione dell'aggiornamento manuale di ACC 35 Rigenerazione dei certificati 35 5 Configurazione di VMware Identity Manager Connector 39 Configurazione di VMware Identity Manager Connector 39 Gestione delle impostazioni amministrative di VMware Identity Manager Connector 45 Attivazione delle impostazioni del proxy dopo l'installazione 48 Configurazione della disponibilità elevata per VMware Identity Manager Connector 49 Aggiunta del supporto dell'autenticazione Kerberos alla distribuzione di VMware Identity Manager Connector 52 Eliminazione di un'istanza di VMware Identity Manager Connector 57 Aggiornamento di VMware Identity Manager Connector 57 6 Migrazione della directory da ACC a VMware Identity Manager Connector 59 Conversione di Altra directory in Active Directory su LDAP o Active Directory (autenticazione integrata di Windows) 60 Interruzione della sincronizzazione della directory di AirWatch con VMware Identity Manager 62 Indice 63 VMware, Inc. 3

4 Installazione e configurazione di VMware Enterprise Systems Connector 4 VMware, Inc.

5 Installazione e configurazione di VMware Enterprise Systems Connector Installazione e configurazione di VMware Enterprise Systems Connector include informazioni sulla configurazione di VMware Enterprise Systems Connector, che offre alle organizzazioni la possibilità di integrare VMware AirWatch e VMware Identity Manager con i rispettivi sistemi aziendali back-end. Questo documento contiene informazioni sull'installazione di entrambi i componenti di VMware Enterprise Systems Connector, ovvero AirWatch Cloud Connector e VMware Identity Manager Connector. Le informazioni si applicano agli scenari di distribuzione SaaS e locale. Le eventuali differenze tra i due ambienti sono evidenziate dalle note contenute nel testo. Destinatari Queste informazioni sono destinate agli amministratori di sistemi Windows esperti. Si applicano ai clienti SaaS e locali. Glossario delle pubblicazioni tecniche di VMware Il sito delle pubblicazioni tecniche di VMware fornisce un glossario di termini che potrebbero risultare poco familiari. Per le definizioni dei termini utilizzati nella documentazione tecnica di VMware, consultare la pagina VMware, Inc. 5

6 Installazione e configurazione di VMware Enterprise Systems Connector 6 VMware, Inc.

7 Panoramica di VMware Enterprise Systems Connector 1 Prima di installare VMware Enterprise Systems Connector, esaminare le informazioni sui requisiti di sistema, l'architettura e i modelli di distribuzione. Questo capitolo include i seguenti argomenti: Informazioni su VMware Enterprise Systems Connector, pag. 7 Requisiti di sistema di Enterprise Systems Connector, pag. 9 Informazioni su VMware Enterprise Systems Connector In VMware AirWatch 9.1, AirWatch Cloud Connector (ACC) è stato incluso come componente in un nuovo programma di installazione denominato VMware Enterprise Systems Connector. Questo programma di installazione rappresenta il pacchetto del connettore unificato per Workspace ONE, AirWatch e Identity. Include due componenti, ovvero ACC e VMware Identity Manager Connector. Durante il processo di installazione, è possibile scegliere quali componenti installare. Per informazioni sugli scenari in cui è consigliabile installare entrambi i componenti, vedere Scelta dei componenti da installare, pag. 22. VMware, Inc. 7

8 Installazione e configurazione di VMware Enterprise Systems Connector Componente AirWatch Cloud Connector AirWatch Cloud Connector (ACC) offre alle organizzazioni la possibilità di integrare AirWatch con i loro sistemi aziendali back-end. ACC viene eseguito nella rete interna e agisce come un proxy che trasmette in modo sicuro le richieste da AirWatch ai componenti chiave dell'infrastruttura aziendale dell'organizzazione. In questo modo le organizzazioni possono sfruttare i vantaggi di AirWatch Mobile Device Management (MDM), in esecuzione in qualsiasi configurazione, oltre a quelli dei sistemi LDAP, dell'autorità di certificazione e di posta elettronica, nonché degli altri sistemi interni. Vedere anche Capitolo 2, Panoramica dell'architettura di Enterprise Systems Connector, pag. 17. ACC si integra con i componenti interni seguenti. Inoltro della posta elettronica (SMTP) Servizi directory (LDAP/AD) Management Exchange 2010 (PowerShell) BlackBerry Enterprise Server (BES) Servizio Web Lotus Domino (HTTPS) Syslog (dati del registro eventi) I componenti seguenti sono disponibili solo se si acquista il componente aggiuntivo PKI Integration, venduto separatamente. Servizi certificati Microsoft (PKI) Simple Certificate Enrollment Protocol (SCEP PKI) Servizi certificati di terze parti (solo in locale) Componente VMware Identity Manager Connector VMware Identity Manager Connector offre funzionalità di integrazione delle directory, autenticazione degli utenti e integrazione con risorse come Horizon View. Se si utilizza il componente VMware Identity Manager Connector, nella distribuzione è possibile sfruttare le funzionalità aggiuntive seguenti. Metodi di autenticazione basati su VMware Identity Manager Connector, come Password, Autenticazione adattiva RSA, RSA SecurID e Radius Autenticazione Kerberos per gli utenti interni Integrazione con le risorse seguenti: Introduzione Pool di applicazioni e desktop Horizon View Risorse pubblicate da Citrix VMware Horizon Cloud Service con infrastruttura ospitata e locale Nota: Per le distribuzioni locali, prima di continuare con questa guida, è consigliabile leggere la guida di AirWatch Cloud Messaging Service (AWCM) ed eseguire le procedure indicate. Se si è un cliente locale, assicurarsi che AWCM sia installato correttamente, in esecuzione e in comunicazione con AirWatch senza alcun errore. 8 VMware, Inc.

9 Capitolo 1 Panoramica di VMware Enterprise Systems Connector Requisiti di sistema di Enterprise Systems Connector Per distribuire Enterprise Systems Connector, assicurarsi che il sistema in uso soddisfi i requisiti necessari. Requisiti hardware Utilizzare i requisiti seguenti come base per la creazione del server Enterprise Systems Connector. Se si installa solo il componente ACC, utilizzare i requisiti seguenti. Tavola 1 1. Requisiti di ACC Numero di utenti Fino a Da a Da a Core CPU 2 2 server con carico bilanciato e 2 core CPU 3 server con carico bilanciato e 2 core CPU RAM (GB) per server 4 4 ciascuno 8 ciascuno Spazio su disco (GB) ciascuno 50 ciascuno Il componente VMware Identity Manager Connector ha i requisiti aggiuntivi seguenti. Se si installano entrambi i componenti ACC e VMware Identity Manager Connector, aggiungere questi requisiti a quelli di ACC. Tavola 1 2. Requisiti di VMware Identity Manager Connector Numero di utenti Fino a Da a Da a Da a Da a CPU 2 2 server con carico bilanciato, ciascuno con 4 CPU 2 server con carico bilanciato, ciascuno con 4 CPU 2 server con carico bilanciato, ciascuno con 8 CPU 2 server con carico bilanciato, ciascuno con 8 CPU RAM (GB) per server Spazio su disco (GB) 6 8 ciascuno 16 ciascuno 32 ciascuno 64 ciascuno ciascuno 100 ciascuno 150 ciascuno 200 ciascuno Nota: Per il componente ACC, il carico del traffico viene automaticamente bilanciato dal componente AWCM. Non è quindi necessario alcun bilanciamento del carico distinto. Tutte le istanze di ACC che appartengono allo stesso gruppo di organizzazioni e si connettono allo stesso server AWCM per la disponibilità elevata riceveranno traffico (configurazione live-live). La modalità di instradamento del traffico è determinata da AWCM e dipende dal carico corrente. Per il componente VMware Identity Manager Connector, vedere Configurazione della disponibilità elevata per VMware Identity Manager Connector, pag. 49. Ogni core CPU deve essere da almeno 2.0 GHz. È necessario un processore Intel. I requisiti di spazio su disco includono: 1 GB di spazio su disco per l'applicazione Enterprise Systems Connector, il sistema operativo Windows e.net Runtime. La registrazione richiede ulteriore spazio su disco. Requisiti software Assicurarsi che il server Enterprise Systems Connector soddisfi tutti i requisiti software seguenti. VMware, Inc. 9

10 Installazione e configurazione di VMware Enterprise Systems Connector Elenco di controllo dello stato Requisito Note Windows Server 2008 R2 o Windows Server 2012 o Windows Server 2012 R2 Installare PowerShell nel server Installare.NET Framework Necessario per entrambi i componenti Necessario per entrambi i componenti Nota: (Componente AirWatch Cloud Connector) PowerShell versione 3.0 o successive è necessario se si distribuisce il modello diretto con PowerShell MEM per la posta elettronica. Per verificare quale versione si sta utilizzando, aprire PowerShell ed eseguire il comando $PSVersionTable. Nota: (Componente VMware Identity Manager Connector) PowerShell versione 4.0 è necessario se si esegue l'installazione in Windows Server 2008 R2. Necessario per entrambi i componenti Nota: (Componente AirWatch Cloud Connector) La funzionalità di aggiornamento automatico di AirWatch Cloud Connector non funzionerà correttamente finché il server Enterprise Systems Connector non viene aggiornato a.net Framework La funzionalità di aggiornamento automatico non aggiornerà.net Framework automaticamente. Prima di eseguire un aggiornamento, installare.net Framework manualmente nel server Enterprise Systems Connector. Requisiti generali Per fare in modo che l'installazione venga eseguita correttamente, assicurarsi che il server Enterprise Systems Connector sia configurato con i requisiti generali seguenti. Elenco di controllo dello stato Requisito Note Assicurarsi di poter accedere in remoto ai server in cui AirWatch è installato Installazione di Notepad++ (consigliata) Account dei servizi per l'autenticazione nei sistemi back-end VMware AirWatch consiglia di configurare Gestione connessione Desktop remoto per poter gestire più server. È possibile scaricare il programma di installazione da Le installazioni vengono in genere eseguite in remoto tramite una riunione Web o la condivisione dello schermo con un consulente di AirWatch. Alcuni clienti forniscono inoltre AirWatch con credenziali VPN per poter accedere direttamente anche all'ambiente. VMware AirWatch consiglia di installare Notepad++. Convalidare il metodo di connessione di AD mediante lo strumento LDP.exe (vedere LDAP, BES, PowerShell e così via. Requisiti di rete Per la configurazione delle porte elencate di seguito, tutto il traffico deve essere unidirezionale (in uscita) dal componente di origine al componente di destinazione. 10 VMware, Inc.

11 Capitolo 1 Panoramica di VMware Enterprise Systems Connector La connessione in uscita da Enterprise Systems Connector non deve essere terminata o rifiutata da alcun proxy per traffico in uscita o da qualsiasi altro software o hardware per la gestione della connessione. La connessione in uscita che deve essere utilizzata da Enterprise Systems Connector deve rimanere sempre aperta. Nota: Qualsiasi risorsa, come le autorità di certificazione, che si desidera raggiungere con ACC deve far parte dello stesso dominio. Tavola 1 3. Requisiti della porta del componente AirWatch Cloud Connector (SaaS) Elenco di controllo dello stato Componente di origine Componente di destinazione Protocoll o Porta Verifica Server Enterprise Systems Connector AirWatch AWCM Ad esempio: ( wmdm. com) HTTPS 443 Eseguire la verifica immettendo tatus e assicurarsi che non sia presente alcun errore di attendibilità del certificato. Sostituire "XXX" con lo stesso numero utilizzato nell'url dell'ambiente, ad esempio "100" per cn100. Server Enterprise Systems Connector Console di AirWatch Ad esempio: ( m.com) HTTP o HTTPS 80 o 443 Eseguire la verifica immettendo e assicurarsi che non sia presente alcun errore di attendibilità del certificato. Sostituire "XXX" con lo stesso numero utilizzato nell'url dell'ambiente, ad esempio "100" per cn100. Se è abilitato l'aggiornamento automatico, ACC deve essere in grado di verificare la disponibilità di eventuali aggiornamenti nella console di AirWatch utilizzando la porta 443. Server Enterprise Systems Connector Server Enterprise Systems Connector API di AirWatch Ad esempio: ( m.com) CRL: crl.verisign.com/cs C crl HTTPS 443 Eseguire la verifica immettendo e assicurarsi che vengano richieste le credenziali. Sostituire "XXX" con lo stesso numero utilizzato nell'url dell'ambiente, ad esempio "100" per cn100. L'accesso di ACC all'api è necessario per il corretto funzionamento del servizio di diagnostica di AirWatch. HTTP 80 Per il corretto funzionamento di diversi servizi Integrazioni facoltative Server Enterprise Systems Connector SMTP interno SMTP 25 Server Enterprise Systems Connector LDAP interno LDAP o LDAPS 389, 636, 3268 o 3269 VMware, Inc. 11

12 Installazione e configurazione di VMware Enterprise Systems Connector Tavola 1 3. Requisiti della porta del componente AirWatch Cloud Connector (SaaS) (Continua) Elenco di controllo dello stato Componente di origine Componente di destinazione Protocoll o Porta Verifica Server Enterprise Systems Connector SCEP interno HTTP o HTTPS 80 o 443 Server Enterprise Systems Connector ADCS interno DCOM 135, , Server Enterprise Systems Connector BES interno HTTP o HTTPS 80 o 443 Server Enterprise Systems Connector Exchange 2010 (o versioni successive) interno HTTP o HTTPS 80 o VMware, Inc.

13 Capitolo 1 Panoramica di VMware Enterprise Systems Connector Tavola 1 4. Requisiti della porta del componente AirWatch Cloud Connector (in locale) Componente di origine Componente di destinazione Protocollo Porta Verifica Server Enterprise Systems Connector Server AirWatch Cloud Messaging HTTPS 2001 Telnet da Enterprise Systems Connector al server AWCM sulla porta o dopo l'installazione. Eseguire la verifica immettendo URL>: 2001/awcm/status e assicurarsi che non sia presente alcun errore di attendibilità del certificato. Se è abilitato l'aggiornamento automatico, ACC deve essere in grado di verificare la disponibilità di eventuali aggiornamenti nella console di AirWatch utilizzando la porta 443. Se si utilizza ACC con AWCM, sono presenti più server AWCM e si desidera eseguire il bilanciamento del carico in tali server, è necessario configurare la persistenza. Per ulteriori informazioni sulla configurazione delle regole della persistenza di AWCM mediante F5, vedere l'articolo della Knowledge Base seguente: Server Enterprise Systems Connector Console di AirWatch HTTP o HTTPS 80 o 443 Telnet da Enterprise Systems Connector alla console sulla porta o dopo l'installazione. Eseguire la verifica immettendo URL> e assicurarsi che non sia presente alcun errore di attendibilità del certificato. Se è abilitato l'aggiornamento automatico, ACC deve essere in grado di verificare la disponibilità di eventuali aggiornamenti nella console di AirWatch utilizzando la porta 443. Server Enterprise Systems Connector Server Enterprise Systems Connector Server API (o qualsiasi componente in cui l'api è installata) CRL: crl.verisign.com/cs C crl HTTPS 443 Eseguire la verifica passando all'url del server API. L'accesso di ACC all'api è necessario per il corretto funzionamento del servizio di diagnostica di AirWatch. HTTP 80 Per il corretto funzionamento di diversi servizi Integrazioni facoltative Server Enterprise Systems Connector SMTP interno SMTP 25 Server Enterprise Systems Connector LDAP interno LDAP o LDAPS 389, 636, 3268 o 3269 VMware, Inc. 13

14 Installazione e configurazione di VMware Enterprise Systems Connector Tavola 1 4. Requisiti della porta del componente AirWatch Cloud Connector (in locale) (Continua) Componente di origine Componente di destinazione Protocollo Porta Verifica Server Enterprise Systems Connector SCEP interno HTTP o HTTPS 80 o 443 Server Enterprise Systems Connector ADCS interno DCOM 135, , Server Enterprise Systems Connector BES interno HTTP o HTTPS 80 o 443 Server Enterprise Systems Connector Exchange 2010 (o versioni successive) interno HTTP o HTTPS 80 o 443 Tavola 1 5. Requisiti della porta del componente VMware Identity Manager Connector (SaaS o in locale) Elenco di controllo dello stato Componente di origine Componente di destinazione Porta Protocollo Note VMware Identity Manager Connector Browser Browser Servizio VMware Identity Manager VMware Identity Manager Connector VMware Identity Manager Connector 443 HTTPS Porta predefinita. Questa porta è configurabile HTTPS Porta amministrativa. Obbligatorio 80 HTTP Obbligatorio VMware Identity Manager Connector Active Directory 389, 636, 3268, 3269 Porte predefinite. Queste porte sono configurabili. VMware Identity Manager Connector Server DNS 53 TCP/UDP Ogni istanza deve poter accedere al server DNS sulla porta 53 e consentire il traffico SSH in ingresso sulla porta 22. VMware Identity Manager Connector Controller del dominio 88, 464, 135 TCP/UDP VMware Identity Manager Connector Sistema RSA SecurID 5500 Porta predefinita. Questa porta è configurabile. 14 VMware, Inc.

15 Capitolo 1 Panoramica di VMware Enterprise Systems Connector Tavola 1 5. Requisiti della porta del componente VMware Identity Manager Connector (SaaS o in locale) (Continua) Elenco di controllo dello stato Componente di origine Componente di destinazione Porta Protocollo Note VMware Identity Manager Connector Server di connessione di View 389, 443 Accesso alle istanze di View Connection Server per le integrazioni di Horizon View VMware Identity Manager Connector Integration Broker 80, 443 Accesso a Integration Broker per l'integrazione con le risorse pubblicate da Citrix. Importante: Se si installa Integration Broker nella stessa istanza di Windows Server in cui è installato Enterprise Systems Connector, è necessario assicurarsi che nei binding del sito Web predefinito del server IIS le porte dei binding HTTP e HTTPS non siano in conflitto con le porte utilizzate dal componente VMware Identity Manager Connector. VMware Identity Manager Connector utilizza sempre la porta 80. Utilizza anche la porta 443, a meno che durante l'installazione non venga configurata un'altra porta. (Componente VMware Identity Manager Connector ) Indirizzi IP ospitati nel cloud di VMware Identity Manager (Clienti SaaS) Vedere nell'articolo della Knowledge Base l'elenco di indirizzi IP del servizio VMware Identity Manager a cui VMware Identity Manager Connector deve poter accedere. (Componente VMware Identity Manager Connector ) Requisiti relativi ai record DNS e agli indirizzi IP Per il connettore devono essere disponibili una voce DNS e un indirizzo IP statico. Prima di iniziare l'installazione, richiedere il record DNS, nonché gli indirizzi IP da utilizzare e configurare le impostazioni di rete di Windows Server. La configurazione della ricerca inversa è facoltativa. Quando si implementa la ricerca inversa, è necessario definire un record PTR nel server DNS in modo che il connettore utilizzi la configurazione di rete corretta. VMware, Inc. 15

16 Installazione e configurazione di VMware Enterprise Systems Connector È possibile utilizzare l'elenco di record DNS di esempio seguente. Sostituire le informazioni di esempio con le informazioni del proprio ambiente. Questo esempio riporta i record DNS di inoltro e gli indirizzi IP. Tavola 1 6. Esempi di record DNS di inoltro e indirizzi IP Nome di dominio Tipo di risorsa Indirizzo IP myidentitymanager.company.com Un Questo esempio riporta i record DNS inverso e gli indirizzi IP. Tavola 1 7. Esempi di record DNS inverso e indirizzi IP Indirizzo IP Tipo di risorsa Nome host PTR myidentitymanager.company.com Dopo aver completato la configurazione DNS, verificare che la ricerca DNS inversa sia configurata correttamente. Ad esempio, il comando dell'appliance virtuale host IPaddress deve essere risolto sulla ricerca del nome DNS. Nota: Se è presente un programma di bilanciamento del carico con un indirizzo IP virtuale (VIP) prima dei server DNS, si noti che VMware Identity Manager non supporta l'utilizzo di un VIP. È possibile specificare più server DNS separati da una virgola. Nota: Se si utilizza un server DNS basato su Unix o Linux e si desidera inserire il connettore nel dominio di Active Directory, assicurarsi che i record di risorse del servizio appropriati (SRV) siano stati creati per ogni controller del dominio di Active Directory. (Componente VMware Identity Manager Connector ) Versioni di Active Directory supportate VMware Identity Manager supporta Active Directory in Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2012 R2, con un livello di funzionalità del dominio e della foresta di Windows 2003 o versioni successive. È supportato un ambiente di Active Directory costituito da un singolo dominio di Active Directory, più domini in una singola foresta di Active Directory o più domini in più foreste di Active Directory. 16 VMware, Inc.

17 Panoramica dell'architettura di 2 Enterprise Systems Connector Enterprise Systems Connector include due servizi di Windows che possono essere installati in un server fisico o virtuale che esegue Windows 2008 R2, 2012 o 2012 R2. Funziona dalla rete interna e può essere configurato con qualsiasi firewall di applicazione Web o bilanciamento del carico esistente. Avviando una connessione HTTPS sicura da Enterprise Systems Connector ai servizi di messaggistica integrati in AirWatch e VMware Identity Manager, Enterprise Systems Connector può periodicamente trasmettere informazioni dalle risorse interne, ad esempio AD, LDAP e così via, al prodotto senza alcuna modifica del firewall. Se si intende inoltrare il traffico tramite un proxy in uscita, nella configurazione del connettore è possibile specificare impostazioni che consentano l'utilizzo del proxy. Configurazioni supportate Utilizzare Enterprise Systems Connector nelle configurazioni seguenti. Utilizzo del trasporto HTTPS Supporto del traffico HTTP tramite un proxy in uscita Questo capitolo include i seguenti argomenti: Modello di distribuzione SaaS di Enterprise Systems Connector, pag. 17 Modello di distribuzione locale di Enterprise Systems Connector, pag. 18 Workflow di integrazione del certificato del componente ACC, pag. 20 Modello di distribuzione SaaS di Enterprise Systems Connector In un modello di distribuzione SaaS, Enterprise Systems Connector si trova nella rete interna e si integra con i sistemi interni consentendo ad AirWatch e a VMware Identity Manager di sfruttarli per diverse funzionalità, ad esempio i servizi directory e certificati. Il diagramma seguente illustra la distribuzione completa di Enterprise Systems Connector, con entrambi i componenti ACC e VMware Identity Manager Connector. VMware, Inc. 17

18 Installazione e configurazione di VMware Enterprise Systems Connector Figura 2 1. Distribuzione SaaS di Enterprise Systems Connector Internet DMZ AirWatch VMware Enterprise Systems Connector(s) ACC Directory VMware Identity Manager VMware Identity Manager Connector Il diagramma seguente illustra la distribuzione del solo componente ACC. Figura 2 2. Distribuzione SaaS di Enterprise Systems Connector (solo ACC) Internet DMZ AirWatch VMware Enterprise Systems Connector(s) ACC Directory VMware Identity Manager Modello di distribuzione locale di Enterprise Systems Connector In un modello di distribuzione locale, Enterprise Systems Connector si trova nella rete interna e comunica con AWCM e il servizio VMware Identity Manager. AWCM è in genere installato nel server dei servizi dei dispositivi di AirWatch. Il diagramma seguente illustra la distribuzione del componente ACC con un layout di AirWatch locale tipico. 18 VMware, Inc.

19 Capitolo 2 Panoramica dell'architettura di Enterprise Systems Connector Figura 2 3. Modello di distribuzione locale di Enterprise Systems Connector (solo ACC) SQL Server Cluster Internet DMZ AirWatch DB VMware Identity Manager DB 443 Cluster AirWatch DS AirWatch DS VMware Enterprise Systems Connector(s) ACC Directory LB Cluster Device 443 VMware Identity Manager VMware Identity Manager VMware Identity Manager Il diagramma seguente illustra la distribuzione dei componenti ACC e VMware Identity Manager Connector con un layout di AirWatch locale tipico. Figura 2 4. Distribuzione locale di Enterprise Systems Connector (ACC e VMware Identity Manager Connector ) Internet DMZ SQL Server Cluster AirWatch DB Cluster VMware Identity Manager DB 443 AirWatch DS AirWatch DS VMware Enterprise Systems Connector(s) Device LB 443 Cluster VMware Identity Manager VMware Identity Manager ACC VMware Identity Manager Connector Directory VMware Identity Manager VMware, Inc. 19

20 Installazione e configurazione di VMware Enterprise Systems Connector Workflow di integrazione del certificato del componente ACC I certificati vengono utilizzati per eseguire l'autenticazione della comunicazione tra la console di AirWatch e AirWatch Cloud Connector (ACC). Come generare i certificati Abilitare ACC e quindi generare i certificati per AirWatch e ACC. Entrambi i certificati sono univoci per il gruppo selezionato nella console di AirWatch e si trovano nel server AirWatch. Entrambi i certificati vengono generati da un utente root di AirWatch attendibile. Installare ACC. Il certificato di ACC generato da AirWatch viene automaticamente inserito in un bundle e installato con ACC. Come eseguire il routing dei dati in ambienti locali AirWatch invia richieste ad AWCM. Le richieste vengono crittografate tramite SSL utilizzando HTTPS. ACC esegue una query in AWCM per individuare le richieste di AirWatch. Le richieste vengono crittografate tramite SSL utilizzando HTTPS. Tutti i dati vengono inviati tramite AWCM. La configurazione di ACC considera attendibili solo i messaggi firmati dall'ambiente di AirWatch. L'attendibilità è univoca per ogni gruppo. Per qualsiasi server ACC aggiuntivo configurato nello stesso gruppo di AirWatch nell'ambito di una configurazione a disponibilità elevata, viene generato lo stesso certificato di ACC univoco. Per ulteriori informazioni sulla disponibilità elevata, fare riferimento alla guida relativa all'architettura consigliata per VMware AirWatch, disponibile nelle AirWatch Resources. Come proteggere i dati in ambienti locali Il server AirWatch invia ogni richiesta come messaggio crittografato e firmato ad AWCM. Le richieste vengono crittografate mediante la chiave pubblica univoca dell'istanza di ACC. Solo ACC può decrittografare le richieste. Le richieste vengono firmate mediante la chiave privata dell'istanza del server AirWatch che è univoca per ogni gruppo. ACC considera quindi attendibili solo le richieste provenienti dal server AirWatch configurato. Le risposte che ACC invia al server AirWatch vengono crittografate con la stessa chiave utilizzata nelle richieste e vengono firmate con la chiave privata di ACC. 20 VMware, Inc.

21 Processo di installazione di 3 Enterprise Systems Connector Per configurare e installare Enterprise Systems Connector nella rete interna, è necessario eseguire diverse attività. Procedura 1 Scelta dei componenti da installare, pag Determinare se installare solo il componente ACC o entrambi i componenti ACC e VMware Identity Manager Connector. 2 (Solo clienti locali) Installazione del certificato di Secure Channel in AWCM, pag I clienti locali devono installare un certificato di Secure Channel per stabilire la sicurezza tra AWCM e i componenti seguenti: console di AirWatch, Servizi dispositivo, API e Portale Self-Service. 3 Impostazione delle comunicazioni con AWCM, pag I clienti SaaS e locali devono stabilire comunicazioni con AWCM. Eseguendo questa azione è possibile configurare un'istanza di AirWatch in modo che utilizzi un server AWCM specifico. 4 Download del programma di installazione di VMware Enterprise Systems Connector, pag È possibile scaricare il programma di installazione di Enterprise Systems Connector dalla pagina Cloud Connector della console di AirWatch come illustrato in Abilitazione di Enterprise Systems Connector dalla console di AirWatch, pag. 24. Il programma di installazione è inoltre disponibile nell'introduzione guidata di Workspace ONE. 5 Abilitazione di Enterprise Systems Connector dalla console di AirWatch, pag Prima di installare Enterprise Systems Connector, è innanzitutto necessario abilitarlo, generare i certificati, nonché selezionare i servizi aziendali e quelli di AirWatch da integrare. Dopo aver completato questo passaggio, è possibile installare Enterprise Systems Connector. 6 Esecuzione del programma di installazione di Enterprise Systems Connector, pag Eseguire il programma di installazione di Enterprise Systems Connector nel server configurato che soddisfa tutti i prerequisiti. 7 Verifica della corretta esecuzione dell'installazione di Enterprise Systems Connector, pag Dopo aver installato Enterprise Systems Connector, è possibile verificare se l'installazione è stata eseguita correttamente nella console di AirWatch. Questo capitolo include i seguenti argomenti: Scelta dei componenti da installare, pag. 22 (Solo clienti locali) Installazione del certificato di Secure Channel in AWCM, pag. 22 Impostazione delle comunicazioni con AWCM, pag. 23 Download del programma di installazione di VMware Enterprise Systems Connector, pag. 23 Abilitazione di Enterprise Systems Connector dalla console di AirWatch, pag. 24 Esecuzione del programma di installazione di Enterprise Systems Connector, pag. 26 VMware, Inc. 21

22 Installazione e configurazione di VMware Enterprise Systems Connector Verifica della corretta esecuzione dell'installazione di Enterprise Systems Connector, pag. 32 Scelta dei componenti da installare Prima di avviare il programma di installazione, decidere se installare solo il componente ACC o entrambi i componenti ACC e VMware Identity Manager Connector, in base alle esigenze dell'azienda. L'installazione di entrambi i componenti di Enterprise Systems Connector è consigliata per la maggior parte dei clienti di Workspace ONE. Oltre alle funzionalità di ACC, l'installazione completa include il supporto per le funzionalità seguenti. Desktop e app virtuali in Workspace ONE Autenticazione RSA Secure ID Autenticazione integrata di Windows Più istanze di Active Directory, attendibili o meno, con VMware Identity Manager VMware Identity Manager con più configurazioni directory-gruppo di organizzazioni in AirWatch Piattaforma per le funzionalità di integrazione basate su identità Se è già stata eseguita la distribuzione di Workspace ONE solo con ACC, tale modello continua ad essere supportato, ma se si intende sfruttare queste funzionalità, è consigliabile installare la versione completa di Enterprise Systems Connector. La migrazione dal modello che include solo ACC a VMware Identity Manager Connector disponibile in Enterprise Systems Connector è supportata. Vedere Capitolo 6, Migrazione della directory da ACC a VMware Identity Manager Connector, pag. 59. (Solo clienti locali) Installazione del certificato di Secure Channel in AWCM I clienti locali devono installare un certificato di Secure Channel per stabilire la sicurezza tra AWCM e i componenti seguenti: console di AirWatch, Servizi dispositivo, API e Portale Self-Service. Importante: Eseguire i passaggi seguenti nel server che esegue AWCM. Evitare di scaricare il programma di installazione in un altro computer e copiarlo nel server AWCM. Se il download nel server che esegue AWCM non viene eseguito correttamente, contattare il supporto di AirWatch per risolvere il problema. Nota: Se si apportano modifiche al certificato Secure Channel nell'archivio chiavi di AWCM dopo aver scaricato e installato AirWatch Tunnel o Enterprise Systems Connector, sarà necessario eseguire la disinstallazione ed eliminare tutte le cartelle, quindi eseguire nuovamente il download e l'installazione. Procedura 1 Passare a Gruppi e impostazioni > Tutte le impostazioni > Sistema > Avanzate > Certificato di Secure Channel. 2 Selezionare Scarica programma di installazione di AWCM Secure Channel nella sezione AirWatch Cloud Messaging per avviare l'installazione dello script di installazione del certificato di Secure Channel. Il programma di installazione di Secure Channel per Linux viene utilizzato solo per il servizio di notifica del cloud. AWCM è supportato solo in Windows Server. 3 Copiare lo script di installazione del certificato di Secure Channel nel server AWCM locale, fare clic con il pulsante destro del mouse e scegliere Esegui come amministratore per eseguire e installare il certificato. 4 Immettere il percorso di Truststore o fare clic su Sfoglia per cercarlo, quindi fare clic su OK. 5 Fare clic su OK nella finestra di dialogo che informa che il certificato è stato aggiunto all'archivio chiavi. 22 VMware, Inc.

23 Capitolo 3 Processo di installazione di Enterprise Systems Connector 6 Procedere con i passaggi per stabilire le comunicazioni con AWCM. 7 Continuare con i passaggi di installazione di Enterprise Systems Connector. Impostazione delle comunicazioni con AWCM I clienti SaaS e locali devono stabilire comunicazioni con AWCM. Eseguendo questa azione è possibile configurare un'istanza di AirWatch in modo che utilizzi un server AWCM specifico. Procedura 1 Passare a Gruppi e impostazioni > Tutte le impostazioni > Sistema > Avanzate > URL per visualizzare la sezione AirWatch Cloud Messaging. Nota: Se si è un cliente SaaS e questa pagina non è visibile nelle impostazioni di sistema, significa che queste impostazioni sono già state configurate. 2 Configurare le impostazioni seguenti. Impostazione Abilita server AirWatch URL esterno server AirWatch Porta esterna di AirWatch URL interno server AWCM Descrizione Selezionare questa casella per consentire la connessione tra la console di AirWatch e il server AWCM. Questo campo consente di immettere il nome del server utilizzato dai componenti e dai dispositivi esterni (ad esempio, ACC) per comunicare in modo sicuro con AWCM tramite HTTPS. Un esempio di URL di ACC è Acme.com. Non aggiungere poiché viene presunto dall'applicazione e aggiunto automaticamente. Questa è la porta utilizzata dal nome del server indicato sopra per comunicare con AWCM. Per comunicazioni esterne sicure, utilizzare la porta 443. Se si ignora l'offload di SSL, è possibile che si desideri utilizzare una porta per le comunicazioni non sicure interne, che per impostazione predefinita è la 2001, ma può essere sostituita da altri numeri di porta. Questo URL consente di raggiungere AWCM dai componenti e dai dispositivi interni (ad esempio, la console di amministrazione, i servizi dispositivo e così via). Esempi di URL di AirWatch sono o Se il server AWCM e la console di AirWatch sono interni (ovvero si trovano nella stessa rete) e si desidera ignorare l'offload di SSL, non è necessaria una connessione sicura ed è quindi possibile utilizzare http anziché https. Ad esempio, /awcm. Questo esempio mostra che il server si trova nella rete interna e comunica tramite la porta Download del programma di installazione di VMware Enterprise Systems Connector Il programma di installazione di VMware Enterprise Systems Connector è disponibile in più posizioni. Il programma di installazione è disponibile nella pagina Gruppi e impostazioni > Tutte le impostazioni > Sistema > Integrazione aziendale > Cloud Connector della console di AirWatch, come illustrato in Abilitazione di Enterprise Systems Connector dalla console di AirWatch, pag. 24. È inoltre disponibile nell'introduzione guidata di Workspace ONE. Per ultilizzare l'introduzione guidata di Workspace ONE, vedere la guida alla configurazione rapida di VMware Workspace ONE. VMware, Inc. 23

24 Installazione e configurazione di VMware Enterprise Systems Connector Abilitazione di Enterprise Systems Connector dalla console di AirWatch Prima di installare Enterprise Systems Connector, è innanzitutto necessario abilitarlo, generare i certificati, nonché selezionare i servizi aziendali e quelli di AirWatch da integrare. Dopo aver completato questo passaggio, è possibile installare Enterprise Systems Connector. Nota: Eseguire i passaggi seguenti nel server in cui verrà eseguito Enterprise Systems Connector. Evitare di scaricare il programma di installazione in un altro computer e copiarlo nel server Enterprise Systems Connector. Procedura 1 Passare a Gruppi e impostazioni > Tutte le impostazioni > Sistema > Integrazione aziendale > Cloud Connector. 2 Nella scheda Generale, configurare le impostazioni seguenti. Impostazione Abilita Cloud Connector Abilita aggiornamento automatico Descrizione Selezionare questa casella di controllo per abilitare Enterprise Systems Connector e visualizzare la scheda Generale. Selezionare questa casella di controllo per fare in modo che Enterprise Systems Connector venga aggiornato automaticamente quando è disponibile una versione più recente. Per ulteriori informazioni relative all'aggiornamento automatico, vedere la sezione relativa all'opzione di aggiornamento automatico di VMware Enterprise Systems Connector. 24 VMware, Inc.

25 Capitolo 3 Processo di installazione di Enterprise Systems Connector 3 Nella scheda Avanzate configurare le impostazioni seguenti. Impostazione Genera certificati Comunicazione con AWCM Descrizione Fare clic su questo pulsante per generare un certificato per Enterprise Systems Connector e il server AirWatch. I certificati vengono generati per entrambi i componenti e vengono visualizzati nella sezione dei certificati di VMware Enterprise Systems Connector e AirWatch. Dopo la generazione dei certificati, il pulsante diventa Rigenera certificati. Per ulteriori informazioni sulla rigenerazione dei certificati, vedere Rigenerazione dei certificati, pag. 35. In Comunicazione con AWCM, selezionare la modalità di comunicazione di Enterprise Systems Connector con AWCM. Usa URL AWCM esterno - Questa è l'opzione predefinita che verrà applicata alla maggior parte delle distribuzioni. Usa URL AWCM interno - Utilizzare questa opzione se le impostazioni di sicurezza impediscono al server Enterprise Systems Connector di risolvere l'url AWCM esterno. Ad esempio, se Enterprise Systems Connector si trova nella rete interna e il server AWCM è in una rete perimetrale. Fare clic sul pulsante Abilitato o Disabilitato per abilitare o disabilitare i servizi aziendali. I servizi selezionati (abilitati) verranno integrati con Enterprise Systems Connector. SMTP (inoltro della posta elettronica) AirWatch SaaS consente il recapito della posta elettronica tramite il proprio SMTP, ma qui è possibile abilitare Enterprise Systems Connector per l'utilizzo di un altro server SMTP. Immettere le impostazioni dei server SMTP per la posta elettronica in Gruppi e impostazioni > Tutte le impostazioni > Sistema > Integrazione aziendale > Posta elettronica (SMTP). Servizi directory (LDAP/AD) Exchange PowerShell (per determinate istanze di Secure Gateway) BES (per la sincronizzazione dei dati di utenti e dispositivi mobili in BlackBerry) Syslog (protocollo client/server utilizzato per l'integrazione con i dati del registro eventi di AirWatch) VMware, Inc. 25

26 Installazione e configurazione di VMware Enterprise Systems Connector Impostazione Servizi aziendali Descrizione I componenti seguenti sono disponibili solo se si acquista il componente aggiuntivo PKI Integration, venduto separatamente. Servizi certificati Microsoft (PKI) Simple Certificate Enrollment Protocol (SCEP PKI) OpenTrust CMS Mobile (servizi certificati di terze parti) Entrust PKI (servizi certificati di terze parti) Symantec MPKI (servizi certificati di terze parti) Poiché non è necessario cercare servizi certificati cloud in Enterprise Systems Connector, se si desidera eseguire l'integrazione con i servizi certificati (come Symantec MPKI) selezionando una delle caselle di controllo nella schermata seguente, il servizio selezionato deve essere in locale e non nel cloud (SaaS). Servizi di AirWatch Fare clic sul pulsante Abilitato o Disabilitato per abilitare o disabilitare i servizi di AirWatch. I componenti di AirWatch selezionati (abilitati) verranno integrati con Enterprise Systems Connector. AirWatch consiglia di lasciare tutti i servizi abilitati. Servizi dispositivo (console di amministrazione e tutti i servizi necessari affinché funzioni, inclusi i servizi di Windows correlati) Gestione dispositivi (Registrazione, App Catalog e i servizi di Windows correlati) Portale Self-Service (inclusi i servizi di Windows correlati) Tutti gli altri componenti (inclusi i servizi di Windows correlati) Nota: (Clienti in locale) Se non è ancora stata eseguita l'abilitazione di AWCM per la comunicazione con VMware Enterprise Systems Connector, è possibile selezionare Scarica programma di installazione di AWCM Secure Channel per passare alla pagina del download. Nota: (Clienti SaaS) Non è necessario scaricare il programma di installazione del certificato di Secure Channel. 4 Fare clic su Salva per salvare tutte le impostazioni. 5 Tornare alla scheda Generale e selezionare Scarica programma di installazione di Cloud Connector. Verrà visualizzata una pagina in cui è possibile scaricare il programma di installazione di Cloud Connector. 6 Nei campi immettere una password per il certificato di Enterprise Systems Connector. Sarà necessario immettere la password del certificato quando si esegue il programma di installazione di Enterprise Systems Connector. 7 Fare clic su Scarica e salvare il file.exe nel server Enterprise Systems Connector in modo che sia possibile utilizzarlo in un secondo momento. Esecuzione del programma di installazione di Enterprise Systems Connector Eseguire il programma di installazione di Enterprise Systems Connector in un'istanza di Windows Server che soddisfi tutti i requisiti. Il programma di installazione include i componenti AirWatch Cloud Connector e VMware Identity Manager Connector. È possibile installare un solo componente o entrambi. Dopo l'installazione iniziale, è possibile eseguire nuovamente il programma di installazione per modificare le funzionalità o aggiornare l'installazione. 26 VMware, Inc.

27 Capitolo 3 Processo di installazione di Enterprise Systems Connector Prerequisiti I prerequisiti seguenti si applicano al componente AirWatch Cloud Connector (ACC). Prima di iniziare, i clienti locali devono assicurarsi che il server in cui Enterprise Systems Connector verrà installato possa raggiungere AWCM passando a in cui {url} è l'url dell'ambiente AirWatch e port è la porta esterna configurata per la comunicazione di AWCM. Lo stato di AWCM non deve includere errori di SSL. Se sono presenti errori, correggerli prima di continuare. In caso contrario, ACC non funzionerà correttamente. I clienti SaaS devono assicurarsi che il server in cui Enterprise Systems Connector verrà installato possa raggiungere AWCM passando a Sostituire XXX con lo stesso numero utilizzato nell'url dell'ambiente, ad esempio "100" per cn100. Lo stato di AWCM non deve includere errori di SSL. Se sono presenti errori, correggerli prima di continuare. In caso contrario, ACC non funzionerà correttamente. I prerequisiti seguenti si applicano al componente VMware Identity Manager Connector. In Windows Server devono essere disponibili le porte 80 e Se queste porte sono utilizzate da altri servizi, non sarà possibile installare il componente VMware Identity Manager Connector. Windows Server deve far parte del dominio ed è necessario installare il componente VMware Identity Manager Connector come utente del dominio appartenente al gruppo di amministratori di Windows Server nei casi seguenti. Se si intende connettersi ad Active Directory (autenticazione integrata di Windows) Se si intende utilizzare l'autenticazione Kerberos Se si intende integrare Horizon View con VMware Identity Manager e si desidera utilizzare l'opzione Esegui sincronizzazione delle directory o Configurazione del server di connessione 5.x In questi casi, è inoltre necessario scegliere di eseguire il servizio IDM Connector come utente del dominio durante l'installazione. Affinché il programma di installazione possa accedere ai domini e agli utenti, nonché convalidarli durante l'installazione, devono essere soddisfatti i requisiti seguenti. Il sistema di destinazione deve far parte del dominio. Il servizio Browser di computer deve essere abilitato e in esecuzione. Il firewall deve essere configurato con un'eccezione per il servizio Browser di computer. Nel sistema di destinazione è necessario abilitare NetBIOS su TCP/IP. Nella rete deve essere configurato un sistema browser master. Nella rete deve essere abilitato il traffico broadcast. Procedura 1 Fare doppio clic sul programma di installazione. 2 Nella schermata iniziale, fare clic su Avanti. Il programma di installazione verifica i prerequisiti nel server. Se.NET Framework non è installato, verrà richiesto di installarlo e di riavviare il server. Dopo il riavvio, eseguire nuovamente il programma di installazione di Enterprise Systems Connector per riprendere il processo di installazione. Se è installata una versione precedente di ACC, il programma di installazione la rileva automaticamente e offre la possibilità di eseguire l'aggiornamento alla versione più recente. Per ulteriori informazioni sull'aggiornamento di ACC, vedere Aggiornamenti di ACC. 3 Accettare il contratto di licenza, quindi fare clic su Avanti. VMware, Inc. 27

28 Installazione e configurazione di VMware Enterprise Systems Connector 4 Nella pagina Installazione personalizzata, selezionare i componenti da installare. Per impostazione predefinita, sono selezionati entrambi i componenti AirWatch Cloud Connector e VMware Identity Manager Connector. Per deselezionare un componente, fare clic sulla freccia di espansione e selezionare La funzionalità specificata non sarà disponibile. Per ulteriori informazioni sui componenti, vedere Scelta dei componenti da installare, pag Selezionare Modifica... per modificare la directory di installazione, se necessario, quindi fare clic su Avanti. Il componente VMware Identity Manager Connector richiede Java Runtime Environment (JRE ). Se in Windows Server non è installato JRE oppure se la versione installata è precedente a quella disponibile nel pacchetto del programma di installazione, verrà richiesto di installarlo. Si noti che l'installazione della versione richiesta non comporta l'eliminazione delle versioni di JRE esistenti. 6 Verificare la cartella di destinazione, quindi fare clic su Avanti. 7 Immettere la password del certificato di ACC specificata nella pagina Impostazioni di sistema di AirWatch, quindi fare clic su Avanti. 28 VMware, Inc.

29 Capitolo 3 Processo di installazione di Enterprise Systems Connector 8 Se si desidera inoltrare il traffico di ACC tramite un proxy in uscita, selezionare la casella di controllo e fornire le informazioni del server proxy. Se necessario, immettere il nome utente e la password. Nota: Le impostazioni specificate in questa pagina si applicano solo ad ACC. Le informazioni del server proxy per VMware Identity Manager Connector verranno immesse separatamente in un secondo momento. 9 Fare clic su Avanti. 10 (Solo VMware Identity Manager Connector) Nella pagina di configurazione di IDM Connector, immettere le informazioni seguenti, quindi fare clic su Avanti. Opzione Porta di IDM Connector Si desidera utilizzare il proprio certificato SSL? Si sta utilizzando un proxy HTTPS? Descrizione Immettere un numero di porta se si desidera che VMware Identity Manager Connector venga eseguito su una porta diversa dalla 443. Per impostazione predefinita, durante il processo di installazione viene generato un certificato autofirmato per VMware Identity Manager Connector. È possibile installare un certificato firmato in un secondo momento accedendo alle pagine di amministrazione del connettore all'indirizzo e passando alla pagina Installa certificato. Se si dispone già di un certificato e si desidera installarlo subito, selezionare la casella di controllo, quindi selezionare il certificato e immettere la password del certificato. Il formato del certificato deve essere PFX. Scegliere di configurare un server proxy HTTPS per le comunicazioni in uscita, se necessario. Proxy HTTPS: URL del server proxy. I server proxy che richiedono autenticazione non sono supportati. Porta proxy: porta del server proxy HTTPS. Host senza proxy: host a cui VMware Identity Manager Connector può accedere senza passare attraverso il server proxy. Ad esempio, localhost oppure host che si trovano nella stessa subnet. VMware, Inc. 29

30 Installazione e configurazione di VMware Enterprise Systems Connector 11 (Solo VMware Identity Manager Connector) Nella pagina di attivazione di VMware IDM Connector, selezionare la casella di controllo se si desidera attivare subito il connettore. Opzione Codice di attivazione Password amministratore Conferma password Descrizione Se VMware Identity Manager è configurato nel gruppo di organizzazioni di AirWatch da cui è stato scaricato il programma di installazione, in questo campo viene inserito automaticamente il codice di attivazione. Se il campo non viene compilato automaticamente, generare un codice di attivazione nella console di amministrazione di VMware Identity Manager e copiarlo e incollarlo qui. Vedere Generazione del codice di attivazione per il connettore VMware Identity Manager Connector, pag. 39 per informazioni. Creare una password per le pagine di amministrazione del connettore. È possibile accedere a queste pagine per raccogliere i bundle dei file di registro e caricare certificati. Immettere nuovamente la password. Se non si attiva subito VMware Identity Manager Connector, è possibile attivarlo in un secondo momento da Ad esempio, 30 VMware, Inc.

31 Capitolo 3 Processo di installazione di Enterprise Systems Connector 12 Fare clic su Avanti. 13 (Solo VMware Identity Manager Connector) Nella pagina Account servizio di IDM Connector, selezionare la casella di controllo se si desidera eseguire il servizio IDM Connector come utente del dominio Windows. È necessario eseguire il servizio come utente del dominio nei casi seguenti. Se si intende connettersi ad Active Directory (autenticazione integrata di Windows) Se si intende utilizzare l'autenticazione Kerberos Se si intende integrare Horizon View con VMware Identity Manager e si desidera utilizzare l'opzione Esegui sincronizzazione delle directory o Configurazione del server di connessione 5.x VMware, Inc. 31

32 Installazione e configurazione di VMware Enterprise Systems Connector Nota: Per selezionare le opzioni di questa pagina, è necessario eseguire il programma di installazione con le credenziali di un utente del dominio che appartiene al gruppo di amministratori di Windows Server. Nota: Se non è possibile individuare i domini o gli utenti quando si fa clic su Sfoglia, verificare che i prerequisiti siano soddisfatti. 14 Fare clic su Avanti. 15 Fare clic su Installa per iniziare l'installazione. Nel programma di installazione viene visualizzata una casella di controllo per l'aggiornamento automatico di ACC. Per ulteriori informazioni sull'aggiornamento automatico, vedere la sezione relativa all'opzione di aggiornamento automatico di ACC. 16 Fare clic su Fine. Verifica della corretta esecuzione dell'installazione di Enterprise Systems Connector Dopo aver installato Enterprise Systems Connector, è possibile verificare se l'installazione è stata eseguita correttamente nella console di AirWatch. Nota: L'opzione Test della connessione si applica solo al componente ACC di Enterprise Systems Connector. Non si applica al componente VMware Identity Manager Connector. Procedura 1 Passare a Gruppi e impostazioni > Tutte le impostazioni > Sistema > Integrazione aziendale > Cloud Connector. 2 Selezionare Test della connessione nella parte inferiore della schermata. Verrà visualizzato il messaggio seguente. 3 Se si esegue una migrazione, verificare quali funzionalità sono nuove e sottoporle al test per verificare la corretta esecuzione della migrazione. Passi successivi Dopo aver stabilito che Enterprise Systems Connector è stato installato correttamente, è possibile utilizzarlo per eseguire l'integrazione con l'infrastruttura del servizio di directory. 32 VMware, Inc.

33 Gestione di ACC 4 Questa sezione include informazioni sull'aggiornamento del componente ACC e la rigenerazione dei certificati. Questo capitolo include i seguenti argomenti: Aggiornamenti di ACC, pag. 33 Esecuzione dell'aggiornamento manuale di ACC, pag. 35 Rigenerazione dei certificati, pag. 35 Aggiornamenti di ACC Aggiornare AirWatch Cloud Connector (ACC) dalla console di AirWatch per sfruttare i miglioramenti e le correzioni degli errori più recenti. Questo processo può essere automatizzato mediante l'opzione di aggiornamento automatico di ACC oppure può essere eseguito manualmente per le situazioni in cui il controllo amministrativo è prioritario. Nota: Per informazioni sull'aggiornamento del componente VMware Identity Manager Connector, vedere Aggiornamento di VMware Identity Manager Connector, pag. 57. Aggiornamento automatico di ACC Quando si installa ACC, la casella di controllo relativa all'aggiornamento automatico è selezionata per impostazione predefinita. L'aggiornamento automatico consente di aggiornare automaticamente ACC alla versione più recente senza l'intervento dell'utente verificando la disponibilità di versioni più recenti di ACC in AirWatch. Anche se AirWatch consiglia di consentire l'aggiornamento automatico, ovvero di non deselezionare la casella di controllo, questa opzione è facoltativa per gli ambienti e le situazioni in cui è preferibile eseguire un aggiornamento manuale. Nota: L'opzione di aggiornamento automatico si applica solo al componente ACC di Enterprise Systems Connector. Non si applica al componente VMware Identity Manager Connector. Vantaggi dell'aggiornamento automatico Non è necessario determinare manualmente se eseguire l'aggiornamento e nemmeno cercare la versione più recente di ACC. Il software esegue infatti questa operazione al posto dell'utente. Sono sempre disponibili le funzionalità, i miglioramenti e le correzioni più recenti. E, cosa ancora più importante, sono disponibili le informazioni di sicurezza più aggiornate. VMware, Inc. 33

34 Installazione e configurazione di VMware Enterprise Systems Connector Processo di aggiornamento L'aggiornamento automatico di ACC viene eseguito mediante le cartelle Bank1 e Bank2 che si trovano nella cartella Cloud Connector. AirWatch rileva quale di queste cartelle è vuota e vi salva i file di ACC appropriati oltre a svuotare il contenuto dell'altra cartella. Durante l'aggiornamento successivo, AirWatch ripete il processo ad eccezione della cartella alternativa. Questo processo viene ripetuto ogni volta che una nuova versione viene aggiornata automaticamente ed è illustrato nella figura Flusso del processo di aggiornamento. Importante: Non eliminare le cartelle Bank1 e Bank2. Queste cartelle sono infatti necessarie per il processo di aggiornamento automatico di ACC. Figura 4 1. Flusso del processo di aggiornamento Sicurezza dell'aggiornamento automatico Gli aggiornamenti automatici di ACC vengono eseguiti tenendo presente la sicurezza. Ogni aggiornamento viene firmato dalla console di AirWatch e verificato da ACC. Vengono pertanto applicati solo aggiornamenti attendibili. Il processo di aggiornamento è inoltre trasparente per l'amministratore di AirWatch. ACC verifica la disponibilità di una versione più recente tramite la console di AirWatch sulla porta 443. Viene quindi eseguito un aggiornamento. Durante l'aggiornamento alla versione più recente, ACC non è disponibile e si verifica una perdita temporanea del servizio di circa 1 minuto. Se sono installati più server ACC, per evitare che tutti i servizi ACC siano contemporaneamente non disponibili, AirWatch incorpora nel processo di aggiornamento un timer casuale in modo che le interruzioni dei servizi ACC si verifichino in orari diversi per brevi periodi di tempo. Se ACC viene aggiornato automaticamente, la versione disponibile in Installazione applicazioni non cambia e rimane elencata la versione originale. La versione presente in Installazione applicazioni cambia solo quando si esegue il programma di installazione completo di ACC. Il modo migliore per verificare se l'aggiornamento automatico è stato eseguito correttamente consiste nel controllare nei registri di ACC quale versione è in esecuzione. Effetti della disabilitazione dell'aggiornamento automatico Se si sceglie di disabilitare questa funzionalità e ACC non viene aggiornato, ACC continua a funzionare finché non si verifica uno degli eventi seguenti. ACC viene spento e quindi riacceso (intenzionalmente oppure a causa di un'interruzione dell'alimentazione). ACC deve essere reinstallato. La console di AirWatch viene aggiornata a una versione successiva. 34 VMware, Inc.

35 Capitolo 4 Gestione di ACC I certificati di AirWatch, AWCM o ACC vengono rigenerati. Quando i certificati vengono rigenerati, per riconoscere i nuovi certificati è necessario installare e riavviare la versione più recente di ACC. Esecuzione dell'aggiornamento manuale di ACC AirWatch non consiglia di eseguire l'aggiornamento manuale di ACC, ma questo metodo è disponibile come opzione nel caso si adatti meglio alle esigenze dell'ambiente. Per ulteriori informazioni sull'alternativa al metodo manuale, vedere Aggiornamento automatico di ACC. Procedura 1 Assicurarsi che nella console di AirWatch sia disattivato l'aggiornamento automatico. In questo modo, quando la console viene aggiornata, i file.zip di ACC più recenti vengono salvati nel file di registro di ACC e l'utente viene informato che ACC necessita di un aggiornamento. 2 Interrompere il servizio AirWatch Cloud Connector. 3 Eseguire una delle procedure seguenti. a b La prima procedura consiste nel decomprimere manualmente i file.zip di ACC nella cartella Bank citata nel file di registro. Sovrascrivere i file esistenti nella cartella oppure eliminare tutti i file. Al riavvio del servizio Cloud Connector, la versione di ACC verrà aggiornata. La seconda procedura consiste nell'utilizzare una delle due cartelle Bank. In questo caso, lasciare il file.config o.config.old disponibile nell'altra cartella Bank in modo che nel file.config stock possano essere ripristinati i valori personalizzati. Decomprimere i file e riavviare il servizio Cloud Connector, che verrà eseguito con la versione appena aggiornata. Rigenerazione dei certificati Potrebbe essere necessario rigenerare i certificati utilizzati per i server AirWatch e AirWatch Cloud Connector (ACC), ad esempio nel caso in cui scadano o se l'organizzazione richiede che la rigenerazione venga eseguita regolarmente. Il processo è semplice e viene eseguito dalla console di AirWatch, ma è necessario scaricare ed eseguire nuovamente il programma di installazione di ACC. Il certificato contiene un'identificazione personale e la data di scadenza. Entrambi i dati possono essere cancellati e rigenerati contemporaneamente facendo clic sul pulsante Rigenera certificati ed eseguendo le istruzioni visualizzate. Se si rigenerano i certificati, ACC non sarà più in grado di comunicare con AirWatch e sarà necessario eseguire nuovamente la procedura di installazione per consentire a entrambi i server di riconoscere i nuovi certificati. Procedura 1 Passare a Gruppi e impostazioni > Tutte le impostazioni > Sistema > Integrazione aziendale > Cloud Connector. La scheda Avanzate include entrambi i certificati, le identificazioni personali e le date di scadenza. VMware, Inc. 35

36 Installazione e configurazione di VMware Enterprise Systems Connector 2 Fare clic su Rigenera certificati per generare un nuovo certificato per i server ACC e AirWatch. 36 VMware, Inc.

37 Capitolo 4 Gestione di ACC 3 Se necessario, immettere il PIN di sicurezza per confermare l'azione e la ricezione del messaggio di avviso. I vecchi certificati vengono eliminati, mentre i nuovi certificati vengono rigenerati insieme alle identificazioni personali e alle date di scadenza. Figura 4 2. Quando si immette il PIN per confermare, ACC non può più comunicare con il server AirWatch. Per ripristinare le comunicazioni tra ACC e il server AirWatch, tornare a Installazione di ACC ed eseguire nuovamente tutti i passaggi. In questo modo, entrambi i server riconosceranno il certificato più recente e potranno riprendere le comunicazioni. VMware, Inc. 37

38 Installazione e configurazione di VMware Enterprise Systems Connector 38 VMware, Inc.

39 Configurazione di VMware Identity Manager Connector 5 Questa sezione contiene informazioni sulla configurazione di VMware Identity Manager Connector e sulla gestione delle impostazioni amministrative. Include inoltre indicazioni sulla configurazione avanzata. Questo capitolo include i seguenti argomenti: Configurazione di VMware Identity Manager Connector, pag. 39 Gestione delle impostazioni amministrative di VMware Identity Manager Connector, pag. 45 Attivazione delle impostazioni del proxy dopo l'installazione, pag. 48 Configurazione della disponibilità elevata per VMware Identity Manager Connector, pag. 49 Aggiunta del supporto dell'autenticazione Kerberos alla distribuzione di VMware Identity Manager Connector, pag. 52 Eliminazione di un'istanza di VMware Identity Manager Connector, pag. 57 Aggiornamento di VMware Identity Manager Connector, pag. 57 Configurazione di VMware Identity Manager Connector Dopo aver installato il componente VMware Identity Manager Connector, è necessario configurarlo. La configurazione di VMware Identity Manager Connector comporta l'esecuzione delle attività seguenti. 1 Generare un codice di attivazione e attivare il connettore, se questa operazione non è stata eseguita durante l'installazione. 2 Configurare una directory. 3 Abilitare gli adattatori di autenticazione nel connettore. 4 Abilitare la modalità in uscita per il connettore. Generazione del codice di attivazione per il connettore VMware Identity Manager Connector Accedere alla console di amministrazione di VMware Identity Manager e generare un codice di attivazione per VMware Identity Manager Connector. Questo codice di attivazione viene utilizzato per stabilire la comunicazione tra il tenant e l'istanza del connettore. Nota: Se VMware Identity Manager è configurato nel gruppo di organizzazioni di AirWatch da cui è stato scaricato il programma di installazione, non è necessario generare il codice di attivazione. Se si attiva il connettore dal programma di installazione, il codice di attivazione viene inserito automaticamente nel campo Codice di attivazione. Continuare con il programma di installazione. VMware, Inc. 39

40 Installazione e configurazione di VMware Enterprise Systems Connector Prerequisiti (Ambienti SaaS) Si dispone dell'url del tenant di VMware Identity Manager, ad esempio mycompany.vmwareidentity.com. Dopo aver ricevuto la conferma tramite , passare all'url del tenant e accedere utilizzando le credenziali di amministratore locale ricevute. Questo amministratore è un utente locale. Procedura 1 Accedere alla console di amministrazione. 2 (Ambienti SaaS) Fare clic su Accetto per accettare i termini e le condizioni. 3 Selezionare a scheda Gestione identità e accessi. 4 Fare clic su Configura. 5 Nella pagina Connettori, fare clic su Aggiungi connettore. 6 Immettere un nome per connettore. 7 Fare clic su Genera codice di attivazione. Il codice di attivazione verrà visualizzato nella pagina. 8 Copiare il codice di attivazione e salvarlo. Passi successivi Se si attiva il componente VMware Identity Manager Connector durante l'esecuzione del programma di installazione di Enterprise Systems Connector, copiare e incollare il codice del connettore nella pagina di attivazione di VMware IDM Connector del programma di installazione. Se si attiva il componente VMware Identity Manager Connector in un secondo momento dopo l'installazione, vedere Attivazione di VMware Identity Manager Connector, pag. 40. Attivazione di VMware Identity Manager Connector Se non si attiva VMware Identity Manager Connector dal programma di installazione di Enterprise Systems Connector durante l'installazione, è possibile attivarlo in un secondo momento passando all'url Prerequisiti È necessario disporre di un codice di attivazione per il connettore. 40 VMware, Inc.

41 Capitolo 5 Configurazione di VMware Identity Manager Connector Procedura 1 Passare all'url Specificare vidmconnectorhostname come nome di dominio completo. Ad esempio, 2 Nella pagina di benvenuto, fare clic su Continua. 3 Nella pagina Imposta password, creare una password per le pagine di amministrazione del connettore, quindi fare clic su Continua. È possibile accedere a queste pagine per raccogliere i bundle dei file di registro e caricare certificati. 4 Nella pagina Attiva connettore, immettere il codice di attivazione, quindi fare clic su Continua. Verrà visualizzato il messaggio Configurazione completata che indica che il connettore è stato attivato correttamente. Configurazione di una directory Dopo aver installato e attivato VMware Identity Manager Connector, configurare una directory nella console di amministrazione di VMware Identity Manager e stabilire la connessione con la directory aziendale per sincronizzare utenti e gruppi con il servizio. VMware Identity Manager supporta l'integrazione dei tipi di directory seguenti. Active Directory su LDAP Active Directory (autenticazione integrata di Windows) directory LDAP Per ulteriori informazioni, vedere l'argomento relativo all'integrazione della directory con VMware Identity Manager prima di configurare la directory. Qui sono elencate le attività di alto livello. Prerequisiti I prerequisiti dipendono dal tipo di directory che si sta integrando. Per informazioni, vedere la guida all'integrazione della directory con VMware Identity Manager. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. Tip È possibile accedere alla console di amministrazione anche facendo clic sul collegamento Accedere alla console di amministrazione disponibile nella pagina Configurazione completata visualizzata dopo l'attivazione del connettore. VMware, Inc. 41

42 Installazione e configurazione di VMware Enterprise Systems Connector 2 Selezionare gli attributi utente da sincronizzare con la directory. a b Fare clic sulla scheda Gestione identità e accessi, quindi fare clic su Configura. Nella scheda Attributi utente, selezionare gli attributi obbligatori e aggiungere attributi aggiuntivi, se necessario. Se un attributo è contrassegnato come obbligatorio, soltanto gli utenti con quell'attributo saranno sincronizzati con il servizio. Importante: Tenere presenti le limitazioni seguenti. Dopo la creazione della directory, non è possibile rendere obbligatorio un attributo facoltativo. È necessario definire questa impostazione ora. Le impostazioni nella pagina Attributi utente si applica a tutte le directory nel servizio. Quando si rende obbligatorio un attributo, considerare l'eventuale effetto che questa operazione potrebbe avere sulle altre directory. Se si intende sincronizzare le risorse pubblicate da Citrix con VMware Identity Manager, è necessario rendere distinguishedname un attributo obbligatorio. 3 Fare clic su Aggiungi directory e selezionare il tipo di directory che si desidera aggiungere. 4 Eseguire la procedura guidata per immettere le informazioni di configurazione della directory, selezionare gli utenti e i gruppi da sincronizzare e sincronizzare gli utenti con il servizio VMware Identity Manager. Per informazioni, vedere la sezione relativa alla configurazione della connessione di Active Directory con il servizio nella guida all'integrazione della directory con VMware Identity Manager. Passi successivi Fare clic sulla scheda Utenti e gruppi e verificare che gli utenti siano sincronizzati. Abilitazione di adattatori di autenticazione in VMware Identity Manager Connector Sono disponibili diversi adattatori di autenticazione per VMware Identity Manager Connector in modalità in uscita, inclusi PasswordIdpAdapter, RSAAIdpAdapter, SecurIDAdapter e RadiusAuthAdapter. Configurare e abilitare gli adattatori che si intende utilizzare. Quando si crea la directory, il metodo di autenticazione Password viene automaticamente abilitato per la directory. PasswordIdpAdapter viene configurato con le informazioni specificate per la directory. Procedura 1 Nella console di amministrazione di VMware Identity Manager, fare clic sulla scheda Gestione identità e accessi. 2 Fare clic su Configura, quindi sulla scheda Connettori. Il connettore distribuito è presente nell'elenco. 3 Fare clic sul collegamento nella colonna Worker. 4 Fare clic sulla scheda Adattatori autenticazione. Tale scheda include un elenco di tutti gli adattatori di autenticazione disponibili per il connettore. Se è già stata configurata una directory, PasswordIdpAdapter è già configurato e abilitato con le informazioni di configurazione specificate durante la creazione della directory. 42 VMware, Inc.

43 Capitolo 5 Configurazione di VMware Identity Manager Connector 5 Configurare e abilitare gli adattatori di autenticazione che si desidera utilizzare facendo clic sul relativo collegamento e immettendo le informazioni di configurazione. È necessario abilitare almeno un adattatore di autenticazione. Per informazioni sulla configurazione di adattatori di autenticazione specifici, vedere la guida all'amministrazione di VMware Identity Manager. Ad esempio: Abilitazione della modalità in uscita per VMware Identity Manager Connector Per abilitare la modalità di connessione in sola uscita per VMware Identity Manager Connector, associare il connettore al provider di identità integrato. Il provider di identità integrato è disponibile per impostazione predefinita nel servizio VMware Identity Manager e fornisce ulteriori metodi di autenticazione integrati come VMware Verify. Per informazioni sul provider di identità integrato, vedere la guida all'amministrazione di VMware Identity Manager. Nota: Il connettore può essere utilizzato nella modalità in uscita e nella modalità normale contemporaneamente. Anche se si abilita la modalità in uscita, è comunque possibile configurare l'autenticazione Kerberos per gli utenti interni mediante criteri e metodi di autenticazione. Procedura 1 Nella scheda Gestione identità e accessi della console di amministrazione, fare clic su Gestisci. 2 Fare clic sulla scheda Provider di identità. 3 Fare clic sul collegamento Integrato. VMware, Inc. 43

44 Installazione e configurazione di VMware Enterprise Systems Connector 4 Immettere le informazioni seguenti. Opzione Utenti Rete Connettori Metodi di autenticazione del connettore Descrizione Selezionare la directory o i domini che utilizzeranno il provider di identità integrato. Selezionare gli intervalli di rete che utilizzeranno il provider di identità integrato. Selezionare il connettore che è stato configurato. Nota: Se in seguito si aggiungeranno altri connettori per la disponibilità elevata, selezionarli e aggiungerli tutti qui per associarli al provider di identità integrato. VMware Identity Manager distribuisce automaticamente il traffico tra tutti i connettori associati al provider di identità integrato. Non è necessario utilizzare un programma di bilanciamento del carico. Sono elencati i metodi di distribuzione abilitati per il connettore. Selezionare i metodi di autenticazione che si desidera utilizzare. L'adattatore PasswordIdpAdapter, che è stato automaticamente configurato e abilitato durante la creazione di una directory, viene visualizzato in questa pagina come Password (distribuzione cloud), a indicare che viene utilizzato con il connettore in modalità in uscita. Ad esempio: 5 Fare clic su Salva per salvare la configurazione del provider di identità integrato. 6 Modificare i criteri in modo che utilizzino i metodi di autenticazione abilitati. a b c d Nella scheda Gestione identità e accessi fare clic su Gestisci. Fare clic sulla scheda Criteri e quindi sul criterio che si desidera modificare. In Regole del criterio, fare clic sul collegamento nella colonna Metodo di autenticazione per la regola che si desidera modificare. Nella pagina Modifica regola del criterio selezionare il metodo di autenticazione che si desidera utilizzare per questa regola. 44 VMware, Inc.

45 Capitolo 5 Configurazione di VMware Identity Manager Connector e f Fare clic su OK. Fare clic su Salva. Per ulteriori informazioni sulla configurazione dei criteri, vedere la guida all'amministrazione di VMware Identity Manager. La modalità in uscita del connettore è ora abilitata. Quando un utente accede utilizzando uno dei metodi di autenticazione abilitati per il connettore nella pagina del provider di identità integrato, non è necessario alcun reindirizzamento HTTP al connettore. Gestione delle impostazioni amministrative di VMware Identity Manager Connector Dopo la configurazione iniziale di VMware Identity Manager Connector, è possibile passare alle pagine di amministrazione del connettore in qualsiasi momento per installare certificati, gestire password e scaricare file di registro. Le pagine di amministrazione di VMware Identity Manager Connector sono disponibili all'indirizzo ad esempio, Accedere come utente amministratore del connettore con la password creata durante l'installazione del connettore. Tavola 5 1. Impostazioni del connettore Opzione Installa certificato Modifica password Percorsi dei file di registro Descrizione È possibile installare un certificato personalizzato o autofirmato per il connettore. Se il connettore è configurato con un bilanciamento del carico, è possibile installare il certificato root del bilanciamento del carico. In questa pagina è visualizzato anche il percorso del certificato CA root del connettore nella scheda Termina SSL su un programma di bilanciamento del carico. Su questa pagina è possibile modificare la password amministratore del connettore. È possibile accedere ai file di registro del connettore direttamente nel computer host o creare un bundle dei file di registro in un file zip da scaricare. Uso dei certificati SSL Quando si installa VMware Identity Manager Connector, viene generato automaticamente un certificato del server SSL predefinito. È possibile utilizzare questo certificato autofirmato a scopo di test generale della propria implementazione. VMware consiglia caldamente di generare e installare i certificati SSL commerciali nell'ambiente di produzione. Un'autorità di certificato (CA) è un'entità sicura che garantisce l'identità del certificato e il relativo creatore. Quando un certificato è firmato da una CA, gli utenti non ricevono più i messaggi in cui si richiede di verificare il certificato. Se si distribuisce VMware Identity Manager Connector con il certificato SSL autofirmato, il certificato CA root deve essere disponibile come CA attendibile per qualsiasi client che accede al connettore. I client possono includere le macchine degli utenti finali, i bilanciamenti del carico, i proxy e così via. È possibile scaricare la CA root del connettore da VMware, Inc. 45

46 Installazione e configurazione di VMware Enterprise Systems Connector Installazione di un certificato firmato dall'autorità di certificazione per VMware Identity Manager Connector Quando si installa VMware Identity Manager Connector, viene generato un certificato del server SSL autofirmato predefinito. È necessario generare e installare certificati SSL commerciali per l'ambiente di produzione. Nota: Se il connettore punta a un bilanciamento del carico, il certificato SSL viene applicato al bilanciamento del carico. Prerequisiti Generare una richiesta di firma del certificato e ottenere un certificato valido e firmato da un'autorità di certificazione. È possibile utilizzare anche certificati SSL firmati da un'autorità di certificazione forniti dall'organizzazione. Il formato del certificato deve essere PEM. Procedura 1 Accedere alle pagine amministrative di VMware Identity Manager Connector all'indirizzo come utente amministratore. 2 Fare clic su Installa certificato. 3 Nella scheda per terminare SSL nell'appliance di Identity Manager, in Certificato SSL selezionare Certificato personalizzato. 4 Nella casella di testo della catena di certificati SSL, incollare i certificati dell'host, intermedi e radice in questo ordine. Il certificato SSL funziona solo se la catena di certificati viene specificata nell'ordine corretto. Per ciascun certificato, copiare tutto il contenuto presente tra le righe -----BEGIN CERTIFICATE----- ed -----END CERTIFICATE---- Assicurarsi che nel certificato sia incluso il nome dell'host per il nome di dominio completo. 5 Incollare la chiave privata nella casella di testo Chiave privata. Copiare tutto il contenuto presente tra le righe ----BEGIN RSA PRIVATE KEY---- ed ---END RSA PRIVATE KEY Fare clic su Salva. Esempio: esempi di certificati Esempio di catena di certificati -----BEGIN CERTIFICATE----- jlqvt9wdr9vpg3wqt5+c3hu17buowvhp/r W53+O05j5xsxzDJfWr1lqBlFF/OkIYCPcyK END CERTIFICATE BEGIN CERTIFICATE----- WdR9Vpg3WQT5+C3HU17bUOwvhp/rjlQvt O05j5xsxzDJfWr1lqBlFF/OkIYCPW53+cyK END CERTIFICATE VMware, Inc.

47 Capitolo 5 Configurazione di VMware Identity Manager Connector Esempio di catena di certificati -----BEGIN CERTIFICATE----- dr9vpg3wqtjlqvt9w5+c3hu17buowvhp/r j5xsxzDJfWr1lqW53+O0BlFF/OkIYCPcyK END CERTIFICATE----- Esempio di chiave privata -----BEGIN RSA PRIVATE KEY----- jlqvtg3wqt5+c3hu17bu9wdr9vpowvhp/r lqBlFFW53+O05j5xsxzDJfWr/OkIYCPcyK END RSA PRIVATE KEY----- Gestione delle password di VMware Identity Manager Connector Quando si installa VMware Identity Manager Connector, si crea una password per l'utente amministratore. È possibile modificare questa password dalle pagine di amministrazione del connettore. Importante: Assicurarsi di creare password complesse. Le password complesse devono essere almeno di otto caratteri e comprendere lettere maiuscole e minuscole, nonché almeno un numero e un carattere speciale. Procedura 1 Accedere alle pagine amministrative di VMware Identity Manager Connector all'indirizzo come utente amministratore. 2 Fare clic su Modifica password. 3 Immettere la vecchia password e quella nuova. Importante: La password dell'utente amministratore deve contenere almeno 6 caratteri. 4 Fare clic su Salva. Visualizzazione dei file di registro I file di registro di VMware Identity Manager Connector consentono di eseguire il debug e risolvere i problemi. I file di registro si trovano nella directory InstallDirectory\IDMConnector\opt\vmware\horizon\workspace\logs. I file di registro seguenti sono i più importanti. VMware, Inc. 47

48 Installazione e configurazione di VMware Enterprise Systems Connector Tavola 5 2. File di registro Componente Registri configuratore Registri connettore Registri di Apache Tomcat Posizione dei file di registro in Windows InstallDirectory\IDMConnect or\opt\vmware\horizon\works pace\logs\configurator.log InstallDirectory\IDMConnect or\opt\vmware\horizon\works pace\logs\connector.log InstallDirectory\IDMConnect or\opt\vmware\horizon\works pace\logs\catalina.log Descrizione Richieste che il configuratore riceve dal client REST e dall'interfaccia Web. Un record di ogni richiesta ricevuta dall'interfaccia Web. Ogni voce del registro include anche l'url della richiesta, il formato data/ora e le eccezioni. Nessuna azione di sincronizzazione viene registrata. I record Apache Tomcat dei messaggi che non sono registrati in altri file di registro. È inoltre possibile scaricare un bundle di file di registro dalle pagine di amministrazione di VMware Identity Manager Connector. Download di un bundle di registri È possibile scaricare un bundle di file di registro per VMware Identity Manager Connector dalle pagine di amministrazione del connettore. I file di registro consentono di eseguire il debug e risolvere i problemi. Per raccogliere i registri da ogni istanza del connettore nell'ambiente, accedere alle pagine amministrative per ogni istanza. Procedura 1 Accedere alle pagine amministrative di VMware Identity Manager Connector all'indirizzo come utente amministratore. 2 Fare clic su Percorsi dei file di registro e selezionare Prepara bundle di registri. Le informazioni vengono raccolte in un file zip che può essere scaricato. 3 Scaricare il bundle di registri. Attivazione delle impostazioni del proxy dopo l'installazione Se non si configurano le impostazioni del proxy HTTPS per il componente VMware Identity Manager Connector durante l'installazione, è possibile configurarle in un secondo momento modificando il file C:\INSTALL_DIR\opt\vmware\horizon\workspace\conf\wrapper.conf. Procedura 1 Accedere al server Windows. 2 Aprire il file seguente in un editor di testo: C:\INSTALL_DIR\opt\vmware\horizon\workspace\conf\wrapper.conf 3 Aggiungere le voci seguenti dopo l'ultima voce wrapper.java.additional: wrapper.java.additional.32="-dhttps.proxyhost=proxyserver" wrapper.java.additional.33="-dhttps.proxyport=proxyserverport" in cui proxyserver è il server proxy HTTPS, proxyserverport è la porta del server proxy HTTPS e il numero corrisponde al numero della voce wrapper.java.additional. Se ad esempio il file include già 31 voci wrapper.java.additional, utilizzare 32 e 33 per le nuove voci, come illustrato nell'esempio. 48 VMware, Inc.

49 Capitolo 5 Configurazione di VMware Identity Manager Connector 4 Se si esegue il servizio IDM Connector come utente del dominio, aggiungere anche le righe seguenti: wrapper.ntservice.account=domain/username wrapper.ntservice.password=****** Ad esempio: wrapper.ntservice.account=example/usera wrapper.ntservice.password=****** 5 Dalla riga di comando eseguire i comandi seguenti come amministratore: a C:\INSTALL_DIR\usr\local\horizon\scripts\horizonService.bat reinstall Il comando dovrebbe restituire l'output seguente: Derived instance name: workspace Reinstalling instance at C:\VMware\IDMConnector\opt\vmware\horizon\workspace wrapper Service is running. Stopping it... wrapper Waiting to stop... wrapper VMware IDM Connector stopped. wrapper VMware IDM Connector removed. wrapper VMware IDM Connector installed. b C:\VMware\IDMConnector\usr\local\horizon\scripts\horizonService.bat start Il comando dovrebbe restituire l'output seguente: Derived instance name: workspace Starting instance at C:\VMware\IDMConnector\opt\vmware\horizon\workspace wrapper Starting the VMware IDM Connector service... wrapper VMware IDM Connector started. Configurazione della disponibilità elevata per VMware Identity Manager Connector È possibile configurare VMware Identity Manager Connector per la disponibilità elevata e il failover aggiungendo più istanze del connettore in un cluster. Se per un motivo qualsiasi una delle istanze del connettore non è più disponibile, le altre istanze saranno comunque disponibili. Per creare un cluster, installare nuove istanze del connettore e configurarle esattamente come la prima istanza del connettore. È quindi necessario associare tutte le istanze dei connettori al provider di identità integrato. Il servizio VMware Identity Manager distribuisce automaticamente il traffico tra tutti i connettori associati al provider di identità integrato. Non è necessario utilizzare un programma di bilanciamento del carico. Se uno dei connettori non è più disponibile a causa di un problema di rete, il servizio non indirizza il traffico verso tale connettore. Quando la connettività viene ripristinata, il servizio riprende a indirizzare il traffico verso il connettore. Dopo aver configurato il cluster del connettore, i metodi di autenticazione abilitati nel connettore sono a disponibilità elevata. Se l'istanza di uno dei connettori non è disponibile, l'autenticazione è comunque disponibile. Per la sincronizzazione della directory, tuttavia, nel caso di un errore dell'istanza del connettore, sarà necessario selezionare manualmente un'altra istanza del connettore come connettore di sincronizzazione. Ciò è necessario in quanto la sincronizzazione della directory può essere abilitata solo su un connettore alla volta. Nota: Questa sezione non si applica alla disponibilità elevata dell'autenticazione Kerberos. Vedere Aggiunta del supporto dell'autenticazione Kerberos alla distribuzione di VMware Identity Manager Connector, pag. 52. VMware, Inc. 49

50 Installazione e configurazione di VMware Enterprise Systems Connector Installazione di istanze aggiuntive di VMware Identity Manager Connector Dopo aver installato e configurato la prima istanza di VMware Identity Manager Connector, è possibile aggiungere altri connettori per la disponibilità elevata installando nuove istanze del connettore e configurandole esattamente come l'istanza del primo connettore. Importante: Le nuove istanze del connettore devono essere attivate in base allo stesso servizio VMware Identity Manager utilizzato dalla prima istanza del connettore. Prerequisiti È stata installata e configurata la prima istanza del connettore in base alla procedura descritta in Esecuzione del programma di installazione di Enterprise Systems Connector, pag. 26. Procedura 1 Installare e configurare una nuova istanza di VMware Identity Manager Connector seguendo le istruzioni seguenti. Esecuzione del programma di installazione di Enterprise Systems Connector, pag. 26 Configurazione di VMware Identity Manager Connector, pag. 39 Importante: È necessario attivare la nuova istanza del connettore in base allo stesso servizio VMware Identity Manager utilizzato dal primo connettore. 2 Associare la nuova istanza di VMware Identity Manager Connector al provider di identità di Workspace della prima istanza del connettore. a b c d e Nella console di amministrazione di VMware Identity Manager, selezionare la scheda Gestione identità e accessi, quindi selezionare la scheda Provider di identità. Nella pagina Provider di identità, individuare l'idp workspace dell'istanza del primo connettore e fare clic sul collegamento. Nel campo Connettori, selezionare il nuovo connettore. Immettere la password del nome distinto di binding e fare clic su Aggiungi connettore. Fare clic su Salva. 3 Configurare e abilitare gli adattatori di autenticazione nel nuovo connettore. Importante: Gli adattatori di autenticazione di tutti i connettori nel cluster devono essere configurati nello stesso modo. In tutti i connettori devono essere abilitati gli stessi metodi di autenticazione. a b c Nella scheda Gestione identità e accessi fare clic su Configura, quindi sulla scheda Connettori. Fare clic sul collegamento nella colonna Worker del nuovo connettore. Fare clic sulla scheda Adattatori autenticazione. Tale scheda include un elenco di tutti gli adattatori di autenticazione disponibili per il connettore. L'adattatore PasswordIdpAdapter è già configurato e abilitato perché il nuovo connettore è stato associato alla directory associata al primo connettore. d Configurare e abilitare gli altri adattatori di autenticazione in modo analogo al primo connettore. Assicurarsi che le informazioni relative alla configurazione siano identiche. Per informazioni sulla configurazione degli adattatori di autenticazione, vedere la Guida all'amministrazione di VMware Identity Manager. 50 VMware, Inc.

51 Capitolo 5 Configurazione di VMware Identity Manager Connector Passi successivi Aggiunta di nuove istanze di VMware Identity Manager Connector al provider di identità integrato, pag. 51 Aggiunta di nuove istanze di VMware Identity Manager Connector al provider di identità integrato Dopo aver distribuito e configurato le nuove istanze di VMware Identity Manager Connector, aggiungerle al provider di identità integrato e abilitare gli stessi metodi di autenticazione abilitati nella prima istanza del connettore. VMware Identity Manager distribuisce automaticamente il traffico tra tutti i connettori associati al provider di identità integrato. Procedura 1 Nella scheda Gestione identità e accessi della console di amministrazione di VMware Identity Manager, fare clic su Gestione. 2 Fare clic sulla scheda Provider di identità. 3 Fare clic sul collegamento Integrato. 4 Nel campo Connettori, selezionare il nuovo connettore nell'elenco a discesa e fare clic su Aggiungi connettore. 5 Nella sezione Metodi di autenticazione del connettore abilitare gli stessi metodi di autenticazione abilitati per il primo connettore. Il metodo di autenticazione Password (distribuzione cloud) viene configurato e abilitato automaticamente. È necessario abilitare gli altri metodi di autenticazione. Importante: Gli adattatori di autenticazione di tutti i connettori nel cluster devono essere configurati nello stesso modo. In tutti i connettori devono essere abilitati gli stessi metodi di autenticazione. Per informazioni sulla configurazione di adattatori di autenticazione specifici, vedere la guida all'amministrazione di VMware Identity Manager. 6 Fare clic su Salva per salvare la configurazione del provider di identità integrato. Abilitazione della sincronizzazione delle directory in un altro connettore in caso di errore Se si verifica un errore dell'istanza di un connettore, l'autenticazione viene gestita automaticamente dall'istanza di un altro connettore. Tuttavia, per la sincronizzazione della directory è necessario modificare le impostazioni della directory nel servizio VMware Identity Manager in modo da utilizzare l'istanza di un altro connettore al posto di quella originale. La sincronizzazione delle directory può essere abilitata solo su un connettore alla volta. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Gestione identità e accessi, quindi fare clic su Directory. 3 Fare clic sulla directory che era associata all'istanza del connettore originale. Tip Queste informazioni sono disponibili nella pagina Configura > Connettori. 4 Nella sezione Sincronizzazione e autenticazione directory della pagina della directory, selezionare l'istanza di un altro connettore nell'elenco a discesa Sincronizza connettore. VMware, Inc. 51

52 Installazione e configurazione di VMware Enterprise Systems Connector 5 Nella casella di testo Password nome distinto di binding, immettere la password dell'account di binding di Active Directory. 6 Fare clic su Salva. Aggiunta del supporto dell'autenticazione Kerberos alla distribuzione di VMware Identity Manager Connector Per gli utenti interni è possibile aggiungere l'autenticazione Kerberos, che richiede la modalità di connessione in entrata, alla distribuzione basata su connettori in modalità di connessione in sola uscita. Gli stessi connettori possono essere configurati in modo da utilizzare l'autenticazione Kerberos per gli utenti che appartengono alla rete interna e un altro metodo di autenticazione per gli utenti che si trovano all'esterno. È possibile ottenere questo risultato definendo criteri di autenticazione basati su intervalli di rete. Nota: Per configurare la disponibilità elevata per l'autenticazione Kerberos, è necessario un programma di bilanciamento del carico. Configurazione e abilitazione dell'adattatore di autenticazione Kerberos Configurare e abilitare KerberosIdpAdapter in VMware Identity Manager Connector. Se è stato distribuito un cluster per la disponibilità elevata, configurare e abilitare l'adattatore in tutti i connettori nel cluster. Importante: Gli adattatori di autenticazione di tutti i connettori nel cluster devono essere configurati nello stesso modo. In tutti i connettori è necessario abilitare gli stessi metodi di autenticazione. Quando si configura l'adattatore di autenticazione Kerberos, VMware Identity Manager Connector tenta di inizializzare Kerberos automaticamente. Se il servizio VMware IDM Connector non viene eseguito con privilegi sufficienti per inizializzare Kerberos, viene visualizzato un messaggio di errore. In questo caso, seguire le istruzioni disponibili in per eseguire uno script per inizializzare Kerberos. Per ulteriori informazioni sulla configurazione dell'autenticazione Kerberos, vedere la guida all'amministrazione di VMware Identity Manager. Prerequisiti Il computer Windows in cui VMware Identity Manager Connector è installato deve appartenere al dominio. È necessario installare il componente VMware Identity Manager Connector come utente del dominio che fa parte del gruppo di amministratori del computer Windows e il servizio VMware IDM Connector deve essere eseguito come utente del dominio Windows. Procedura 1 Nella console di amministrazione di VMware Identity Manager, fare clic sulla scheda Gestione identità e accessi. 2 Fare clic su Configura, quindi sulla scheda Connettori. Sono elencati tutti i connettori distribuiti. 3 Fare clic sul collegamento nella colonna Worker di uno dei connettori. 4 Fare clic sulla scheda Adattatori autenticazione. 52 VMware, Inc.

53 Capitolo 5 Configurazione di VMware Identity Manager Connector 5 Fare clic sul collegamento KerberosIdpAdapter, quindi configurare e abilitare l'adattatore. Opzione Nome Attributo UID di directory Abilita autenticazione di Windows Attiva reindirizzamento Reindirizza nome host Descrizione Il nome predefinito dell'adattatore è KerberosIdpAdapter, ma è possibile modificarlo. Attributo dell'account che contiene il nome utente. Selezionare questa opzione. Se si dispone di più connettori in un cluster e si intende configurare la disponibilità elevata di Kerberos utilizzando un programma di bilanciamento del carico, selezionare questa opzione e specificare un valore per Reindirizza nome host. Se la distribuzione include un solo connettore, non è necessario utilizzare le opzioni Attiva reindirizzamento e Reindirizza nome host. È necessario specificare un valore se è selezionata l'opzione Attiva reindirizzamento. Immettere il nome host del connettore. Ad esempio, se il nome host del connettore è connector1.esempio.com, immettere connector1.esempio.com nella casella di testo. Ad esempio: Per ulteriori informazioni sulla configurazione di KerberosIdPAdapter, vedere la guida all'amministrazione di VMware Identity Manager. 6 Fare clic su Salva. Nota: Se viene visualizzato un messaggio di errore che indica che l'inizializzazione di Kerberos non è riuscita, eseguire manualmente lo script di inizializzazione di Kerberos seguendo le istruzioni disponibili in quindi tornare in questa pagina e configurare l'adattatore. 7 Se è stato distribuito un cluster, configurare KerberosIdPAdapter in tutti i connettori nel cluster. Assicurarsi di configurare l'adattatore nello stesso modo in tutti i connettori. Passi successivi Configurare la disponibilità elevata per l'autenticazione Kerberos, se necessario. A tale scopo, è necessario utilizzare un programma di bilanciamento del carico. VMware, Inc. 53

54 Installazione e configurazione di VMware Enterprise Systems Connector Configurazione della disponibilità elevata per l'autenticazione Kerberos Per configurare la disponibilità elevata per l'autenticazione Kerberos, installare un bilanciamento del carico nel firewall della rete interna e aggiungere le istanze di VMware Identity Manager Connector al bilanciamento del carico. È inoltre necessario configurare determinate impostazioni nel bilanciamento del carico, stabilire l'attendibilità SSL tra il bilanciamento del carico e le istanze del connettore, nonché modificare l'url di autenticazione del connettore in modo che utilizzi il nome host del bilanciamento del carico. Configurazione delle impostazioni del programma di bilanciamento del carico Nel programma di bilanciamento del carico è necessario configurare determinate impostazioni, ad esempio abilitando le intestazioni X-Forwarded-For, impostando correttamente il timeout del programma di bilanciamento del carico e abilitando le sessioni sticky. Configurare queste impostazioni. Intestazioni X-forwarded-for È necessario abilitare le intestazioni X-Forwarded-For sul proprio bilanciamento del carico. Ciò determina il metodo di autenticazione. Per ulteriori informazioni, vedere la documentazione del bilanciamento del carico. Timeout del bilanciamento del carico Perché il VMware Identity Manager Connector funzioni correttamente, potrebbe essere necessario aumentare il valore di timeout richiesta del bilanciamento del carico dal valore predefinito. Il valore è impostato in minuti. Se il valore impostato per il timeout è troppo basso, è possibile che venga visualizzato il messaggio di errore seguente: Errore 502: Il servizio non è al momento disponibile. Abilita sessioni sticky Se nella distribuzione sono presenti più istanze del connettore, è necessario abilitare l'impostazione relativa alle sessioni sticky nel bilanciamento del carico. Il bilanciamento del carico collegherà quindi una sessione utente a una istanza specifica del connettore. Applicazione del certificato root di VMware Identity Manager Connector al bilanciamento del carico Quando VMware Identity Manager Connector è configurato con un bilanciamento del carico, è necessario stabilire una relazione di attendibilità SSL tra il bilanciamento del carico e il connettore. Il certificato root di connettore deve essere copiato nel bilanciamento del carico come certificato root attendibile. Il certificato di VMware Identity Manager Connector può essere scaricato dalle pagine di amministrazione del connettore all'indirizzo Se il nome di dominio del connettore punta al bilanciamento del carico, il certificato SSL può essere applicato solo al bilanciamento del carico. Procedura 1 Accedere alle pagine di amministrazione del connettore all'indirizzo /cfg/login come utente amministratore. 2 Selezionare l'opzione per installare il certificato. 3 Selezionare la scheda Termina SSL su un bilanciamento del carico e nel campo Certificato CA root dell'appliance, fare clic sul collegamento 54 VMware, Inc.

55 Capitolo 5 Configurazione di VMware Identity Manager Connector 4 Copiare quanto compreso tra le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE---- e incollare il certificato root nel percorso corretto di ognuno dei bilanciamenti del carico. Fare riferimento alla documentazione relativa al bilanciamento del carico. Passi successivi Copiare e incollare il certificato root di bilanciamento del carico in VMware Identity Manager Connector. Applicazione del certificato root di bilanciamento del carico a VMware Identity Manager Connector Quando VMware Identity Manager Connector è configurato con un bilanciamento del carico, è necessario stabilire una relazione di attendibilità tra il bilanciamento del carico e il connettore. Oltre a copiare il certificato root del connettore nel bilanciamento del carico, è necessario copiare il certificato root del bilanciamento del carico nel connettore. Procedura 1 Ottenere il certificato root del bilanciamento del carico. 2 Passare alle pagine di amministrazione di VMware Identity Manager Connector all'indirizzo e accedere come utente amministratore. 3 Sulla pagina Installa certificato selezionare la scheda Termina SSL su un bilanciamento del carico. 4 Incollare il testo del certificato del bilanciamento del carico nel campo Certificato CA root. VMware, Inc. 55