Installazione e configurazione di VMware Identity Manager. DIC 2017 VMware Identity Manager 3.1 VMware AirWatch 9.2

Transcript

1 Installazione e configurazione di VMware Identity Manager DIC 2017 VMware Identity Manager 3.1 VMware AirWatch 9.2

2 È possibile consultare la documentazione tecnica più aggiornata sul sito Web all'indirizo: Inoltrare eventuali commenti sulla documentazione al seguente indirizzo: VMware, Inc Hillview Ave. Palo Alto, CA VMware, Inc. P.le Biancamano Milano tel: fax: Copyright VMware Inc. Tutti i diritti sono riservati. Informazioni sul copyright e sui marchi. VMware, Inc. 2

3 Contenuti Informazioni sull'installazione e la configurazione di VMware Identity Manager 6 1 Preparazione all'installazione di VMware Identity Manager 7 Requisiti di configurazione di sistema e di rete 9 Preparazione alla distribuzione di VMware Identity Manager 13 Creazione di record DNS e indirizzi IP 14 Opzioni del database con VMware Identity Manager 14 Connessione alla directory aziendale 15 Checklist di distribuzione 15 Programma CEIP (Customer Experience Improvement Program) 17 2 Distribuzione di VMware Identity Manager 18 Installazione del file OVA di VMware Identity Manager 18 (Facoltativo) Aggiunta di pool di IP 21 Configurazione delle impostazioni di VMware Identity Manager 22 Configurazione delle impostazioni del server proxy per VMware Identity Manager 31 Specifica della chiave di licenza 32 3 Gestione delle impostazioni di configurazione del sistema dell'appliance 33 Modifica delle impostazioni di configurazione dell'appliance 34 Connessione al database 35 Configurazione del database Microsoft SQL con la modalità di autenticazione di Windows 35 Configurazione del database Microsoft SQL utilizzando la modalità di autenticazione di Server SQL locale 37 Amministrazione del database interno 38 Configurazione di VMware Identity Manager per l'utilizzo di un database esterno 39 Uso dei certificati SSL 39 Installazione di un certificato server 40 Installazione di certificati root attendibili 41 Modifica dell'url del servizio VMware Identity Manager 42 Modifica dell'url del connettore 42 Abilitazione del server syslog 43 Informazioni sui file di registro 43 Raccolta delle informazioni di registro 44 Impostazione del livello di registro del servizio di VMware Identity Manager su DEBUG 45 Gestione delle password dell'appliance 45 Configurazione delle impostazioni SMTP 46 VMware, Inc. 3

4 4 Configurazione avanzata per l'appliance di VMware Identity Manager 47 Utilizzo di un programma di bilanciamento del carico o di un proxy inverso per abilitare l'accesso esterno a VMware Identity Manager 47 Applicazione del certificato root di VMware Identity Manager al bilanciamento del carico 49 Applicazione del certificato root di bilanciamento del carico a VMware Identity Manager 50 Configurazione delle impostazioni del server proxy per VMware Identity Manager 51 Configurazione del failover e della ridondanza in un data center singolo 52 Numero di nodi consigliato nel cluster VMware Identity Manager 53 Modifica del nome di dominio di completo di VMware Identity Manager nel nome di dominio completo di bilanciamento del carico 53 Clonazione dell'appliance virtuale 54 Assegnazione di un nuovo indirizzo IP a un'appliance virtuale clonata 55 Abilitazione della sincronizzazione delle directory su un'altra istanza di in caso di errore 58 Rimozione di un nodo da un cluster 59 Distribuzione di VMware Identity Manager in un data center secondario per il failover e la ridondanza 61 Configurazione di un data center secondario 64 Failover nel data center secondario 71 Failback nel data center primario 74 Promozione del data center secondario a data center primario 75 Aggiornamento di VMware Identity Manager senza tempo di inattività 75 5 Installazione di appliance aggiuntive per il connettore 77 Generazione del codice di attivazione per il connettore 78 Distribuzione del file OVA di Connettore 78 Configurazione delle impostazioni di Connettore 80 6 Utilizzo di KDC integrato 82 Inizializzazione del centro di distribuzione chiavi nell'appliance 83 Creazione di voci DNS pubbliche per il KDC con Kerberos integrato 84 7 Utilizzo delle directory locali 86 Creazione di una directory locale 88 Impostazione degli attributi utente a livello globale 88 Creazione di una directory locale 89 Associazione della directory locale a un provider di identità 92 Modifica delle impostazioni della directory locale 93 Eliminazione di una directory locale 94 8 Risoluzione dei problemi relativi all'installazione e alla configurazione 95 Utenti non in grado di avviare le applicazioni o metodo di autenticazione non corretto applicato negli ambienti con bilanciamento del carico 95 VMware, Inc. 4

5 Nel gruppo non viene visualizzato alcun membro dopo la sincronizzazione della directory 96 Risoluzione dei problemi relativi a Elasticsearch 97 VMware, Inc. 5

6 Informazioni sull'installazione e la configurazione di VMware Identity Manager include informazioni sull'installazione e la configurazione dell'appliance virtuale VMware Identity Manager basata su Linux in locale. Al termine dell'installazione, è possibile utilizzare la console di amministrazione per consentire agli utenti di accedere da più dispositivi alle applicazioni dell'organizzazione, tra cui applicazioni Web, applicazioni e desktop Horizon e risorse pubblicate da Citrix. Viene inoltre spiegato come configurare la propria distribuzione per l'alta disponibilità. include informazioni sulla distribuzione dell'appliance virtuale VMware Identity Manager nella rete interna. Per distribuire VMware Identity Manager in DMZ, vedere Distribuzione di VMware Identity Manager in DMZ. Destinatari Queste informazioni sono dirette agli amministratori di VMware Identity Manager. Le informazioni sono destinate agli amministratori di sistema esperti di Windows e Linux che conoscono le tecnologie VMware e in particolare vcenter, ESX e vsphere, i concetti relativi ai servizi di rete, i server Active Directory, i database, le procedure di backup e ripristino, Simple Mail Transfer Protocol (SMTP) e i server NTP. La conoscenza di altre tecnologie, come VMware ThinApp e RSA SecurID è utile se si desidera implementare queste funzionalità. VMware, Inc. 6

7 Preparazione all'installazione di 1 VMware Identity Manager Le attività per distribuire e configurare VMware Identity Manager richiedono che vengano soddisfatti alcuni prerequisiti, che venga distribuito il file OVA di VMware Identity Manager e che venga portata a termine la configurazione dalla procedura di configurazione guidata di VMware Identity Manager. VMware, Inc. 7

8 Figura 1 1. Diagramma di architettura VMware Identity Manager per distribuzioni tipiche Nome di dominio completo di VMware Identity Manager: dentitymanager.società.com Dispositivo mobile DMZ HTTPS (443) Internet Laptop Proxy inverso TCP/UDP (88) - solo ios PC Bilanciamento del carico interno identitymanager.società.com HTTPS (443) HTTPS PCoIP Area aziendale Utenti LAN aziendale PC Laptop TCP/UDP (88) - solo ios VDI (HTML) Visualizza server di conn. VDI (PCoIP/RDP) HTTPS (443) Appliance virtuale di VMware Identity Manager Servizi DNS/NTP SecurID RSA Servizi AD/directory Database esterno Repository ThinApp Server Citrix API REST AirWatch Nota: Se si prevede di abilitare l'autenticazione mediante certificato o smart card, utilizzare l'impostazione del pass-through SSL sul bilanciamento del carico, anziché l'impostazione per terminare SSL. Questa configurazione fa sì che l'handshake SSL avvenga tra il connettore, un componente di VMware Identity Manager, e il client. Nota: In base alla posizione della distribuzione di AirWatch, le API REST di AirWatch possono trovarsi nel cloud o in locale. Questo capitolo include i seguenti argomenti: Requisiti di configurazione di sistema e di rete Preparazione alla distribuzione di VMware Identity Manager Programma CEIP (Customer Experience Improvement Program) VMware, Inc. 8

9 Requisiti di configurazione di sistema e di rete Considerare l'intera distribuzione, compreso il modo in cui si integrano le risorse, quando si prendono decisioni relative ai requisiti hardware, delle risorse e di rete. Versioni supportate di vsphere e ESX Sono supportate le seguenti versioni del server vsphere e ESX: 5.5 e versioni successive 6.0 e versioni successive Nota: È necessario attivare la sincronizzazione temporale a livello di host ESX mediante un server NTP. In caso contrario, tra le appliance virtuali si verificherà un ritardo. Se si distribuiscono più appliance virtuali su diversi host, considerare la possibilità di disabilitare l'opzione Sincronizza con host per la sincronizzazione temporale e la configurazione del server NTP su ogni appliance virtuale per essere certi che non vi sia alcun ritardo tra le appliance. Requisiti hardware Assicurarsi che vengano soddisfatti i requisiti per il numero di appliance virtuali di VMware Identity Manager e le risorse allocate a ogni appliance. Numero di utenti Fino a Numero di server VMware Identity Manager 1 server 3 server con bilanciamento del carico 3 server con bilanciamento del carico 3 server con bilanciamento del carico 3 server con bilanciamento del carico CPU (per server) 2 CPU 2 CPU 4 CPU 8 CPU 8 CPU RAM (per server) 6 GB 6 GB 8 GB 16 GB 32 GB Spazio su disco (per server) 60 GB 100 GB 100 GB 100 GB 100 GB Se si installano appliance virtuali del connettore aggiuntive esterne, assicurarsi che vengano soddisfatti i requisiti seguenti. Numero di utenti Fino a Numero di server del connettore 1 server 2 server con bilanciamento del carico 2 server con bilanciamento del carico 2 server con bilanciamento del carico 2 server con bilanciamento del carico CPU (per server) 2 CPU 4 CPU 4 CPU 4 CPU 4 CPU RAM (per server) 6 GB 6 GB 8 GB 16 GB 16 GB Spazio su disco (per server) 60 GB 60 GB 60 GB 60 GB 60 GB VMware, Inc. 9

10 Requisiti del database Configurare VMware Identity Manager con un database esterno per memorizzare e organizzare i dati del server. Nell'appliance virtuale è incorporato un database PostgreSQL interno il cui utilizzo non è però consigliato nelle distribuzioni di produzione. Per informazioni sulle versioni del database e le configurazioni dei service pack supportate, vedere VMware Product Interoperability Matrix all'indirizzo I requisiti seguenti si applicano a un database SQL Server esterno. Numero di utenti Fino a CPU 2 CPU 2 CPU 4 CPU 8 CPU 8 CPU RAM 4 GB 4 GB 8 GB 16 GB 32 GB Spazio su disco 50 GB 50 GB 50 GB 100 GB 100 GB Requisiti di configurazione di rete Componente Record DNS e indirizzo IP Porta firewall Proxy inverso Requisito minimo Indirizzo IP e record DNS Assicurarsi che la porta del firewall in entrata 443 sia aperta per gli utenti all'esterno della rete sull'istanza di VMware Identity Manager o sul bilanciamento del carico. Distribuire un proxy inverso come F5 Access Policy Manager nel DMZ per consentire agli utenti l'accesso sicuro al portale utente di VMware Identity Manager da remoto. Requisiti delle porte Le porte utilizzate nella configurazione del server sono descritte di seguito. È possibile che la distribuzione includa solo una serie di queste porte. Ad esempio: Per sincronizzare utenti e gruppi da Active Directory, VMware Identity Manager deve connettersi a Active Directory. Per la sincronizzazione con ThinApp, VMware Identity Manager deve entrare nel dominio di Active Directory e connettersi alla condivisione del repository ThinApp. Porta Protocollo Origine Destinazione Descrizione 443 HTTPS Bilanciamento del carico Appliance virtuale di VMware Identity Manager 443, 8443 HTTPS/HTT P Appliance virtuale di VMware Identity Manager Appliance virtuale di VMware Identity Manager Per tutte le istanze di VMware Identity Manager in un cluster e nei cluster in diversi data center. VMware, Inc. 10

11 Porta Protocollo Origine Destinazione Descrizione 443 HTTPS Browser Appliance virtuale di VMware Identity Manager 443 HTTPS Appliance virtuale di VMware Identity Manager 443 HTTPS Appliance di VMware Identity Manager 443 HTTPS Appliance di VMware Identity Manager vapp-updates.vmware.com discovery.awmdm.com catalog.vmwareidentity.com Accesso al server di aggiornamento Accesso per l'individuazione automatica dell'applicazione Workspace ONE Accesso al catalogo cloud 8443 HTTPS Browser Appliance virtuale di VMware Identity Manager Porta amministratore 25 SMTP Appliance virtuale di VMware Identity Manager SMTP Porta per l'inoltro della posta in uscita LDAP LDAPS MSFT-GC MSFT-GC- SSL Appliance virtuale di VMware Identity Manager Active Directory Sono mostrati i valori predefiniti. Queste porte sono configurabili. 445 TCP Appliance virtuale di VMware Identity Manager 5500 UDP Appliance virtuale di VMware Identity Manager 53 TCP/UDP Appliance virtuale di VMware Identity Manager Repository di VMware ThinApp Sistema RSA SecurID Server DNS Accesso al repository ThinApp È visualizzato il valore predefinito. Questa porta è configurabile. Ogni appliance virtuale deve poter accedere al server DNS sulla porta 53 e consentire il traffico SSH in ingresso sulla porta , 464, 135, 445 TCP/UDP Appliance virtuale di VMware Identity Manager Controller del dominio TCP UDP Appliance virtuale di VMware Identity Manager 1433 TCP Appliance virtuale di VMware Identity Manager 443 Appliance virtuale di VMware Identity Manager Appliance virtuale di VMware Identity Manager Database Server View Necessità di controllo La porta predefinita di Microsoft SQL è la 1433 Accesso al server View VMware, Inc. 11

12 Porta Protocollo Origine Destinazione Descrizione 80, 443 TCP Appliance virtuale di VMware Identity Manager 443 HTTPS Appliance virtuale di VMware Identity Manager Server Integration Broker API REST AirWatch Connessione a Integration Broker. L'opzione della porta dipende dal fatto che nel server Integration Broker sia installato o meno un certificato Per il controllo della conformità del dispositivo e per il metodo di autenticazione della password di AirWatch Cloud Connector, se viene utilizzato. 88 UDP Unified Access Gateway Appliance virtuale di VMware Identity Manager Porta UDP da aprire per SSO mobile 5262 TCP Dispositivo mobile Android Servizio proxy HTTPS AirWatch Il client AirWatch Tunnel instrada il traffico verso il proxy HTTPS per i dispositivi Android. 88 UDP Dispositivo mobile ios Appliance virtuale di VMware Identity 443 HTTPS/TCP Manager Porta utilizzata per il traffico Kerberos dal dispositivo ios al servizio KDC cloud ospitato. 514 UDP Appliance virtuale di VMware Identity Manager server syslog UDP Per server syslog esterno, se configurato Active Directory VMware Identity Manager supporta Active Directory in Windows 2008, 2008 R2, 2012 e 2012 R2, con un livello di funzionalità del dominio e della foresta di Windows 2003 e versioni successive. Browser Web supportati per l'accesso alla console di amministrazione La console di amministrazione di VMware Identity Manager è un'applicazione basata su Web utilizzata per gestire il tenant. È possibile accedere a console di amministrazione dai browser seguenti. Internet Explorer 11 per sistemi Windows Google Chrome 42.0 o versione successiva per sistemi Windows e Mac Mozilla Firefox 40 o versione successiva per sistemi Windows e Mac VMware, Inc. 12

13 Safari o versione successiva per sistemi Mac Nota: In Internet Explorer 11, è necessario attivare JavaScript e permettere i cookie per l'autenticazione tramite VMware Identity Manager. Browser supportati per l'accesso al portale Workspace ONE Gli utenti finali possono accedere al portale Workspace ONE dai seguenti browser. Mozilla Firefox (versione più recente) Google Chrome (versione più recente) Safari (versione più recente) Internet Explorer 11 Browser Microsoft Edge Browser nativo e Google Chrome su dispositivi Android Safari su dispositivi ios Nota: In Internet Explorer 11, è necessario attivare JavaScript e permettere i cookie per l'autenticazione tramite VMware Identity Manager. Preparazione alla distribuzione di VMware Identity Manager Prima di poter distribuire VMware Identity Manager, è necessario preparare il proprio ambiente. Questa preparazione include il download del file OVA di VMware Identity Manager, la creazione dei record DNS e il recupero degli indirizzi IP. Prerequisiti Prima di iniziare a installare VMware Identity Manager completare le attività prerequisite. Per distribuire l'appliace virtuale di VMware Identity Manager sono necessari uno o più server ESX. Nota: Per informazioni sulle versioni dei server vsphere e ESX supportate, fare riferimento a VMware Product Interoperability Matrixes all'indirizzo Per distribuire il file OVA e accedere all'appliance virtuale distribuita in remoto per configurare la rete, è necessario VMware vsphere Client o vsphere Web Client. Scaricare il file OVA di VMware Identity Manager dal sito Web di VMware. VMware, Inc. 13

14 Creazione di record DNS e indirizzi IP Per l'istanza di VMware Identity Manager del devono essere disponibili una voce DNS e un indirizzo IP statico. Poiché ciascuna azienda amministra i suoi indirizzi IP e i record DNS in maniera differente, prima di iniziare l'installazione richiedere il record DNS e gli indirizzi IP da utilizzare. La configurazione della ricerca inversa è facoltativa. Quando si implementa la ricerca inversa, è necessario definire un record PTR sul server DNS in modo che l'appliance virtuale utilizzi la configurazione di rete corretta. È possibile utilizzare il seguente elenco di record DNS di esempio quando si consulta l'amministratore di rete. Sostituire le informazioni di esempio con le informazioni del proprio ambiente. Questo esempio riporta i record DNS di inoltro e gli indirizzi IP. Tavola 1 1. Esempi di record DNS di inoltro e indirizzi IP Nome di dominio Tipo di risorsa Indirizzo IP myidentitymanager.company.com Un Questo esempio riporta i record DNS inverso e gli indirizzi IP. Tavola 1 2. Esempi di record DNS inverso e indirizzi IP Indirizzo IP Tipo di risorsa Nome host PTR myidentitymanager.company.com Dopo aver completato la configurazione DNS, verificare che la ricerca DNS inversa sia configurata correttamente. Ad esempio, il comando dell'appliance virtuale host IPaddress deve essere risolto sulla ricerca del nome DNS. Uso di un server DNS basato su Unix/Linux Se si utilizza un server DNS basato su Unix o Linux e si desidera inserire l'istanza di VMware Identity Manager del nel dominio di Active Directory, assicurarsi che i record di risorse del servizio appropriati (SRV) siano stati creati per ogni controller del dominio di Active Directory. Nota: Se è presente un programma di bilanciamento del carico con un indirizzo IP virtuale (VIP) prima dei server DNS, si noti che VMware Identity Manager non supporta l'utilizzo di un VIP. È possibile specificare più server DNS separati da una virgola. Opzioni del database con VMware Identity Manager Configurare VMware Identity Manager con un database Microsoft SQL esterno per memorizzare e organizzare i dati del server. Nell'appliance è incorporato un database PostgreSQL interno il cui utilizzo non è però consigliato nelle distribuzioni di produzione. VMware, Inc. 14

15 Per utilizzare un database esterno, il responsabile del database dovrà preparare uno database esterno vuoto e uno schema prima di collegarsi al database esterno utilizzando la procedura guidata di impostazione. Gli utenti con licenza possono utilizzare il server del database Microsoft SQL o per configurare un ambiente di database esterno ad alta disponibilità. Vedere Connessione al database. Connessione alla directory aziendale VMware Identity Manager utilizza l'infrastruttura di directory dell'azienda per l'autenticazione e la gestione degli utenti. È possibile integrare VMware Identity Manager con un ambiente Active Directory costituito da un singolo dominio di Active Directory, più domini ina singola foresta di Active Directory o più domini su più foreste di Active Directory. VMware Identity Manager può essere integrato anche con una directory LDAP. Per sincronizzare gli utenti e i gruppi, l'appliance virtuale di VMware Identity Manager deve connettersi alla directory. La directory deve essere accessibile nella stessa rete LAN dell'appliance virtuale di VMware Identity Manager. Per ulteriori informazioni, vedere Integrazione della directory con VMware Identity Manager. Checklist di distribuzione Utilizzare la checklist di distribuzione per raccogliere le informazioni necessarie per installare l'appliance virtuale di VMware Identity Manager. Informazioni per il nome di dominio completo Tavola 1 3. Checklist di informazioni per il nome di dominio completo (FQDN, Fully Qualified Domain Name) Informazioni da raccogliere Visualizzazione delle informazioni Nome di dominio completo di VMware Identity Manager Informazioni di rete per l'appliance virtuale di VMware Identity Manager Tavola 1 4. Checklist di informazioni per la rete Informazioni da raccogliere Indirizzo IP Visualizzazione delle informazioni È necessario utilizzare un indirizzo IP statico con un PTR e un record A definiti in DNS. Nome DNS per questa appliance virtuale Indirizzo gateway predefinito Maschera di rete o prefisso Informazioni sulla directory VMware Identity Manager supporta l'integrazione con ambienti di directory Active Directory o LDAP. VMware, Inc. 15

16 Tavola 1 5. Checklist di informazioni per il controller del dominio di Active Directory Informazioni da raccogliere Visualizzazione delle informazioni Nome server Active Directory Nome dominio di Active Directory Nome distinto di base Per Active Directory su LDAP, il nome utente e la password di Nome distinto di binding Per Active Directory con l'autenticazione integrata di Windows, il nome utente e la password dell'account con i privilegi per unire i computer al dominio. Tavola 1 6. Checklist di informazioni per il server di directory LDAP Informazioni da raccogliere Visualizzazione delle informazioni Nome server o indirizzo IP della directory LDAP Numero di porta server di directory LDAP Nome distinto di base Nome utente e password di Nome distinto di binding Filtri di ricerca LDAP per gli oggetti gruppo, gli oggetti dell'utente di binding e gli oggetti utente Nomi di attributi LDAP per l'appartenenza, l'uuid oggetto e il nome distinto (DN, distinguished name) Certificati SSL È possibile aggiungere un certificato SSL dopo aver distribuito l'appliance virtuale di VMware Identity Manager. Tavola 1 7. Checklist di informazioni per i certificati SSL Informazioni da raccogliere Visualizzazione delle informazioni certificato SSL Chiave privata Chiave di licenza Tavola 1 8. Checklist di informazioni per la chiave di licenza di VMware Identity Manager Informazioni da raccogliere Visualizzazione delle informazioni Chiave di licenza Nota: Le informazioni sulla chiave di licenza sono specificate nella console di amministrazione sulla pagina Impostazioni dell'appliance > Licenza una volta completata l'installazione. VMware, Inc. 16

17 Database esterno Tavola 1 9. Checklist di informazioni per il database esterno Informazioni da raccogliere Visualizzazione delle informazioni Nome host database Porta Nome utente Password Programma CEIP (Customer Experience Improvement Program) Quando si installa l'appliance virtuale VMware Identity Manager si può scegliere di partecipare al programma Customer Experience Improvement Program di VMware. Quando si partecipa al programma, VMware raccoglie dati anonimi sulla distribuzione con lo scopo di migliorare l'esperienza dell'utente sulla base dei requisiti espressi. Non viene raccolto alcun dati che possa permettere l'identificazione dell'organizzazione. Prima di raccogliere i dati, VMware rende anonimi tutti i campi che contengono informazioni specifiche per l'organizzazione. Nota: Se la rete è configurata per accedere a Internet attraverso un proxy HTTP, per inviare queste informazioni è necessario regolare le impostazioni del proxy nell'appliance virtuale VMware Identity Manager. Vedere Configurazione delle impostazioni del server proxy per VMware Identity Manager. VMware, Inc. 17

18 Distribuzione di 2 VMware Identity Manager Per distribuire VMware Identity Manager, viene distribuito il modello OVF mediante vsphere Client o vsphere Web Client, viene accesa la appliance virtuale di VMware Identity Manager e vengono configurate le impostazioni. Una volta distribuita l'appliance virtuale di VMware Identity Manager, utilizzare la procedura guidata di impostazione per configurare l'ambiente di VMware Identity Manager. Utilizzare le informazioni riportate nella checklist di distribuzione per completare l'installazione. Vedere Checklist di distribuzione. Questo capitolo include i seguenti argomenti: Installazione del file OVA di VMware Identity Manager (Facoltativo) Aggiunta di pool di IP Configurazione delle impostazioni di VMware Identity Manager Configurazione delle impostazioni del server proxy per VMware Identity Manager Specifica della chiave di licenza Installazione del file OVA di VMware Identity Manager Distribuire il file OVA di VMware Identity Manager utilizzando vsphere Client o vsphere Web Client. È possibile scaricare e distribuire il file OVA da un percorso accessibile al vsphere Client o distribuirlo da un URL Web. Nota: Se si utilizza vsphere Web Client, utilizzare i browser Firefox o Chrome per distribuire il file OVA. Non utilizzare Internet Explorer. Prerequisiti Rivedere Capitolo 1 Preparazione all'installazione di VMware Identity Manager. Procedura 1 Scaricare il file OVA di VMware Identity Manager da My VMware Downloads. 2 Accedere a vsphere Client o a vsphere Web Client. VMware, Inc. 18

19 3 Selezionare File > Distribuisci modello OVF. 4 Nella procedura guidata Distribuisci modello OVF, specificare le seguenti informazioni. Pagina Origine Dettagli del modello OVF Accordo di licenza con l'utente finale Nome e posizione Host/Cluster Pool di risorse Storage Formato disco Mappatura di rete Descrizione Selezionare la posizione del pacchetto OVA oppure immettere un URL specifico. Rivedere i dettagli del prodotto, i requisiti di versione e dimensione. Leggere l'accordo di licenza con l'utente finale e fare clic sul pulsante per accettare. Immettere un nome per l'appliance virtuale di VMware Identity Manager. Il nome deve essere univoco all'interno della cartella dell'inventario e può contenere fino a 80 caratteri. Per i nomi viene fatta distinzione tra lettere maiuscole e minuscole. Selezionare una posizione per l'appliance virtuale. Selezionare l'host o il cluster su cui eseguire l'appliance virtuale. Selezionare il pool di risorse. Selezionare l'archivio dei file dell'appliance virtuale. È possibile selezionare anche un profilo di archiviazione della macchina virtuale. Selezionare il formato del disco relativo ai file. Per gli ambienti di produzione, selezionare uno dei formati Thick Provision. Utilizzare il formato Thin Provision per la valutazione e il testing. Nel formato Thick Provision, tutto lo spazio richiesto per il disco virtuale viene assegnato durante la distribuzione. Nel formato Thin Provision invece, il disco utilizza solo la quantità di spazio di archiviazione necessario per le operazioni iniziali. Mappare le reti utilizzate in VMware Identity Manager alle reti nel proprio inventario. VMware, Inc. 19

20 Pagina Descrizione Proprietà a Nel campo Impostazioni fuso orario, selezionare il fuso orario corretto. b c d Per impostazione predefinita, la casella di spunta CEIP (Customer Experience Improvement Program) è selezionata. I dati anonimi sulla distribuzione vengono raccolti da VMware per migliorare l'esperienza dell'utente sulla base dei requisiti espressi. Se l'utente preferisce che i dati non vengano raccolti, deselezionare la casella di controllo. Nella casella di testo Nome host (nome di dominio completo), immettere il nome host da utilizzare. Se la casella viene lasciata vuota, la ricerca del nome dell'host viene effettuata mediante il DNS inverso. Configurare le proprietà di networking. Per configurare un indirizzo IP statico per VMware Identity Manager, immettere l'indirizzo per i campi Gateway predefinito, DNS, Indirizzo IP e Maschera di rete. Nota: Se è presente un programma di bilanciamento del carico con un indirizzo IP virtuale (VIP) prima dei server DNS, si noti che VMware Identity Manager non supporta l'utilizzo di un VIP. È possibile specificare più server DNS separati da una virgola. Importante: Se uno dei quattro campi relativi agli indirizzi viene lasciato vuoto, incluso Nome host, sarà utilizzato il DHCP. Per configurare il DHCP, lasciare vuoti i campi relativi agli indirizzi. Nota: I campi Nome dominio e Percorso di ricerca del dominio non sono utilizzati. È possibile lasciare vuoti questi campi. (Facoltativo) Una volta installato VMware Identity Manager, è possibile configurare i pool di IP. Vedere (Facoltativo) Aggiunta di pool di IP. Completamento Rivedere le selezioni e fare clic su Fine. A seconda della velocità di rete, possono essere necessari alcuni minuti per la distribuzione. È possibile visualizzare l'avanzamento nella relativa finestra di dialogo. 5 Una volta completata la distribuzione, fare clic su Chiudi nella finestra di dialogo di avanzamento. 6 Selezionare l'appliance virtuale di VMware Identity Manager distribuita, fare clic con il pulsante destro del mouse e selezionare Accensione/spegnimento > Accendi. L'appliance virtuale di VMware Identity Manager viene inizializzata. È possibile andare nella scheda della console per visualizzare i dettagli. Una volta terminata l'inizializzazione dell'appliance virtuale, sullo schermo della console vengono visualizzati la versione di VMware Identity Manager, l'indirizzo IP e gli URL per accedere all'interfaccia Web di VMware Identity Manager e completare la configurazione. Passi successivi (Facoltativo) Aggiungere pool di IP. Configurare le impostazioni di VMware Identity Manager, compresa la connessione a Active Directory o alla directory LDAP e selezionare gli utenti e i gruppi da sincronizzare con VMware Identity Manager. VMware, Inc. 20

21 (Facoltativo) Aggiunta di pool di IP La configurazione di rete con pool di IP è un processo facoltativo in VMware Identity Manager. È possibile aggiungere manualmente i pool di IP all'appliance virtuale di VMware Identity Manager una volta installata. I pool di IP funzionano come server DHCP per assegnare gli indirizzi IP dal pool all'appliance virtuale di VMware Identity Manager. Per utilizzare i pool di IP, vengono modificate le proprietà di networking dell'appliance virtuale e si configurano le impostazioni di maschera di rete, gateway e DNS. Prerequisiti L'appliance virtuale deve essere spenta. Procedura 1 In vsphere Client o vsphere Web Client, fare clic con il pulsante destro del mouse sull'appliance virtuale di VMware Identity Manager e selezionare Modifica impostazioni. 2 Selezionare la scheda Opzioni. 3 In Opzioni vapp, fare clic su Avanzate. 4 Nella sezione Proprietà sulla destra, fare clic sul pulsante Proprietà. 5 Nella finestra di dialogo Configurazione delle proprietà avanzate, configurare le seguenti chiavi: vami.dns.workspaceportal vami.netmask0.workspaceportal vami.gateway.workspaceportal a b c d e Selezionare una delle chiavi e fare clic su Modifica. Nella finestra di dialogo Modifica impostazioni della proprietà, accanto al campo Tipo, fare clic su Modifica. Nella finestra di dialogo Modifica tipo della proprietà, selezionare Proprietà dinamica e selezionare il valore appropriato dal menu a discesa per Maschera di rete, Indirizzo gateway e Server DNS rispettivamente. Fare clic su OK e poi ancora su OK. Ripetere questi passi per configurare ciascuna chiave. 6 Accendere l'appliance virtuale. Le proprietà saranno configurate per l'uso di pool di IP. Passi successivi Configurare le impostazioni di VMware Identity Manager. VMware, Inc. 21

22 Configurazione delle impostazioni di VMware Identity Manager Una volta distribuito il file OVA di VMware Identity Manager, sarà possibile utilizzare la procedura guidata di impostazione per impostare le password e selezionare un database. Quindi, sarà possibile configurare la connessione alla directory Active Directory o LDAP. Prerequisiti L'appliance virtuale di VMware Identity Manager deve essere accesa. Se si utilizza un database esterno, questo database deve essere configurato e le informazioni di connessione dovranno essere disponibili. Vedere Connessione al database per informazioni. Rivedere Integrazione della directory con VMware Identity Manager per i requisiti e le limitazioni. Le informazioni sulla directory Active Directory o LDAP devono essere disponibili. Quando è configurato un Active Directory multi-foresta e il gruppo Dominio locale contiene membri da domini in foreste differenti, l'utente Nome distinto di binding utilizzato sulla pagina Directory di VMware Identity Manager deve essere aggiunto al gruppo Amministratori del dominio in cui si trova il gruppo Dominio locale, altrimenti i membri non saranno presenti nel gruppo locale di dominio. È presente un elenco di attributi utente da poter utilizzare come filtri e un elenco dei gruppi che possono essere aggiunti a VMware Identity Manager. Procedura 1 Passare all'url di VMware Identity Manager riportato sulla schermata blu nella scheda Console. Ad esempio, 2 Accettare il certificato, se richiesto. 3 Sulla pagina Inizia, fare clic su Continua. 4 Sulla pagina Imposta password, impostare le password per gli account amministratore riportati, utilizzati per gestire l'appliance, quindi fare clic su Continua. Account Amministratore dell'appliance Impostare la password per l'utente amministratore. Questo nome utente non può essere modificato. L'account utente amministratore admin è utilizzato per gestire le impostazioni dell'appliance. Importante: La password dell'utente admin deve essere di almeno 6 caratteri. Root appliance Utente remoto Impostare la password dell'utente root. L'utente root ha i diritti completi per l'appliance. Impostare la password per sshuser, utilizzato per collegarsi in remoto all'appliance con una connessione SSH. VMware, Inc. 22

23 5 Sulla pagina Seleziona database, selezionare il database da utilizzare. Vedere Connessione al database per ulteriori informazioni. Se si utilizza un database esterno, selezionare Database esterno ed immettere le relative informazioni, il nome utente e la password. Per verificare che VMware Identity Manager possa connettersi al database, fare clic su Test della connessione. Una volta eseguito il test della connessione, fare clic su Continua. Se si utilizza il database interno, fare clic su Continua. Nota: Non è consigliabile utilizzare il database interno per l'utilizzo con le distribuzioni di produzione. La connessione al database verrà configurata e il database verrà inizializzato. Una volta completato il processo, verrà visualizzata la pagina Configurazione completata. 6 Fare clic sul collegamento Accedere alla console di amministrazione sulla pagina Configurazione completata per accedere alla console in modo da configurare la connessione ad Active Directory o alla directory LDAP. 7 Accedere alla console di amministrazione come utente amministratore utilizzando la password configurata. L'utente sarà collegato come Amministratore locale. Verrà visualizzata la pagina Directory. Prima di aggiungere una directory, consultare Integrazione della directory con VMware Identity Manager per conoscere requisiti e limitazioni. 8 Selezionare la scheda Gestione identità e accessi. 9 Fare clic su Configura > Attributi utente per selezionare gli attributi utente per la sincronizzazione con la directory. Verranno visualizzati gli attributi predefiniti e potranno essere selezionati quelli necessari. Se un attributo è contrassegnato come obbligatorio, soltanto gli utenti con quell'attributo saranno sincronizzati con il servizio. Sarà inoltre possibile aggiungere altri attributi. Importante: Una volta creata una directory, non sarà possibile modificare un attributo in modo che sia obbligatorio. È necessario definire questa impostazione ora. Inoltre, tenere presente che le impostazioni sulla pagina Attributi utente si applicano a tutte le directory nel servizio. Quando si contrassegna un attributo come obbligatorio, considerarne l'effetto su altre directory. Se un attributo è contrassegnato come obbligatorio, gli utenti senza quell'attributo non saranno sincronizzati con il servizio. Importante: Se si prevede di sincronizzare le risorse di XenApp con VMware Identity Manager, è necessario impostare distinguishedname come attributo obbligatorio. 10 Fare clic su Salva. 11 Selezionare la scheda Gestione identità e accessi. VMware, Inc. 23

24 12 Sulla pagina Directory, fare clic su Aggiungi directory e selezionare Aggiungi Active Directory su LDAP/IWA o Aggiungi directory LDAP, in base al tipo di directory che si sta integrando. È inoltre possibile creare una directory locale nel servizio. Per ulteriori informazioni sull'utilizzo delle directory locali, vedere Capitolo 7 Utilizzo delle directory locali. VMware, Inc. 24

25 13 Per Active Directory, effettuare le operazioni riportate di seguito. a b Immettere un nome per la directory che si sta creando in VMware Identity Manager quindi selezionare il tipo di directory, Active Directory su LDAP o Active Directory (Autenticazione integrata di Windows). Specificare le informazioni sulla connessione. Opzione Descrizione Active Directory su LDAP 1 Nel campo Sincronizza connettore, selezionare il connettore che si desidera utilizzare per sincronizzare gli utenti e i gruppi da Active Directory alla directory VMware Identity Manager. Per impostazione predefinita, un componente del connettore è sempre disponibile con il servizio VMware Identity Manager. Questo connettore verrà visualizzato nell'elenco a discesa. Se si installano più appliance di VMware Identity Manager per la disponibilità elevata, nell'elenco verrà visualizzato il componente del connettore di ciascuna appliance. 2 Nel campo Autenticazione, selezionare Sì se si desidera utilizzare questo Active Directory per autenticare gli utenti. Se si desidera utilizzare un provider di identità di terze parti per autenticare gli utenti, fare clic su No. Dopo aver configurato la connessione a Active Directory per sincronizzare utenti e gruppi, passare alla pagina Gestione identità e accessi > Gestione > Provider di identità per aggiungere il provider di identità di terze parti per l'autenticazione. 3 Nel campo Attributo di ricerca directory, selezionare l'attributo dell'account contenente il nome utente. 4 Se Active Directory utilizza la ricerca DNS posizione servizio, effettuare le selezioni riportate di seguito. Nella sezione Posizione server, selezionare la casella di spunta Questa directory supporta la posizione servizio DNS. Quando viene creata la directory, sarà creato un file domain_krb.properties, completato automaticamente con un elenco di controller del dominio. Vedere "Informazioni sulla selezione del controller di dominio (file domain_krb.properties)" in Integrazione della directory con VMware Identity Manager. Se Active Directory richiede la crittografia STARTTLS, selezionare la casella di spunta Questa directory richiede che tutte le connessioni utilizzino SSL nella sezione Certificati e copiare e incollare il certificato CA root di Active Directory nel campo Certificato SSL. Assicurarsi che il certificato sia in formato PEM e includere le righe "BEGIN CERTIFICATE" e "END CERTIFICATE". Nota: Se Active Directory richiede STARTTLS e non si fornisce il certificato, non sarà possibile creare la directory. 5 Se Active Directory non utilizza la ricerca posizione servizio DNS, effettuare le selezioni riportate di seguito. VMware, Inc. 25

26 Opzione Descrizione Nella sezione Posizione server, verificare che la casella di spunta Questa directory supporta posizione servizio DNS non sia selezionata ed immettere il nome host e il numero di porta del server Active Directory. Per configurare la directory come catalogo globale, vedere la sezione dell'ambiente Active Directory a singola foresta multidominio in "Ambienti Active Directory" in Integrazione della directory con VMware Identity Manager. Se Active Directory richiede l'accesso su SSL, selezionare la casella di spunta Questa directory richiede che tutte le connessioni utilizzino SSL nella sezione Certificati e copiare e incollare il certificato CA root di Active Directory nel campo Certificato SSL. Assicurarsi che il certificato sia in formato PEM e includere le righe "BEGIN CERTIFICATE" e "END CERTIFICATE". Nota: Se Active Directory richiede SSL e non si fornisce il certificato, non sarà possibile creare la directory. 6 Nella sezione Consenti modifica password selezionare Attiva modifica password se si desidera che gli utenti possano reimpostare le loro password dalla pagina di accesso a VMware Identity Manager se la password scade o se l'amministratore di Active Directory la reimposta. 7 Nel campo Nome distinto di base, immettere il nome distinto da cui iniziare le ricerche degli account. Ad esempio, OU=myUnit,DC=myCorp,DC=com. 8 Nel campo Nome distinto di binding, immettere l'account che può ricercare gli utenti. Ad esempio, CN=binduser,OU=myUnit,DC=myCorp,DC=com. Nota: L'uso di un utente Nome distinto di binding con una password che non ha scadenza è consigliato. 9 Dopo aver immesso la password di binding, fare clic su Test della connessione per verificare che la propria directory possa collegarsi a Active Directory. Active Directory (autenticazione integrata di Windows) 1 Nel campo Sincronizza connettore, selezionare il connettore che si desidera utilizzare per sincronizzare gli utenti e i gruppi da Active Directory alla directory VMware Identity Manager. Per impostazione predefinita, un componente del connettore è sempre disponibile con il servizio VMware Identity Manager. Questo connettore verrà visualizzato nell'elenco a discesa. Se si installano più appliance di VMware Identity Manager per la disponibilità elevata, nell'elenco verrà visualizzato il componente del connettore di ciascuna appliance. 2 Nel campo Autenticazione, selezionare Sì se si desidera utilizzare questa Active Directory per autenticare gli utenti. Se si desidera utilizzare un provider di identità di terze parti per autenticare gli utenti, fare clic su No. Dopo aver configurato la connessione a Active Directory per sincronizzare utenti e gruppi, passare alla pagina Gestione identità e accessi > Gestione > Provider di identità per aggiungere il provider di identità di terze parti per l'autenticazione. 3 Nel campo Attributo di ricerca directory, selezionare l'attributo dell'account contenente il nome utente. VMware, Inc. 26

27 Opzione Descrizione 4 Se Active Directory richiede la crittografia STARTTLS, selezionare la casella di spunta Questa directory richiede che tutte le connessioni utilizzino STARTTLS nella sezione Certificati e copiare e incollare il certificato CA root di Active Directory nel campo Certificato SSL. Assicurarsi che il certificato sia in formato PEM e includere le righe "BEGIN CERTIFICATE" e "END CERTIFICATE". Se la directory ha più domini, aggiungere i certificati CA root per tutti i domini, uno alla volta. Nota: Se Active Directory richiede STARTTLS e non si fornisce il certificato, non sarà possibile creare la directory. 5 Immettere il nome del dominio di Active Directory da aggiungere. Immettere un nome utente e una password con i diritti per aggiungere il dominio. Per ulteriori informazioni, vedere "Autorizzazioni richieste per l'unione a un dominio" in Integrazione della directory con VMware Identity Manager. 6 Nella sezione Consenti modifica password selezionare Attiva modifica password se si desidera che gli utenti possano reimpostare le loro password dalla pagina di accesso a VMware Identity Manager se la password scade o se l'amministratore di Active Directory la reimposta. 7 Nella casella di testo UPN utente di binding, immettere il nome dell'entità utente che si autenticherà nel dominio. Ad esempio username@esempio.com. Nota: L'uso di un utente Nome distinto di binding con una password che non ha scadenza è consigliato. 8 Specificare la password dell'utente Nome distinto di binding. c Fare clic su Salva e avanti. Verrà visualizzata la pagina con l'elenco di domini. VMware, Inc. 27

28 14 Per le directory LDAP, effettuare le operazioni riportate di seguito. a Specificare le informazioni sulla connessione. Opzione Nome directory Sincronizzazione e autenticazione directory Descrizione Un nome per la directory che si sta creando in VMware Identity Manager. 1 Nel campo Sincronizza connettore, selezionare il connettore che si desidera utilizzare per sincronizzare gli utenti e i gruppi dalla directory LDAP alla directory VMware Identity Manager. Per impostazione predefinita, un componente del connettore è sempre disponibile con il servizio VMware Identity Manager. Questo connettore verrà visualizzato nell'elenco a discesa. Se si installano più appliance di VMware Identity Manager per la disponibilità elevata, nell'elenco verrà visualizzato il componente del connettore di ciascuna appliance. Non è necessario un connettore separato per una directory LDAP. Un connettore può supportare più directory, indipendentemente dal fatto che siano Active Directory o directory LDAP. 2 Nel campo Autenticazione, selezionare Sì se si desidera utilizzare questa directory LDAP per autenticare gli utenti. Se si desidera utilizzare un provider di identità di terze parti per autenticare gli utenti, fare clic su No. Dopo aver configurato la connessione alla directory per sincronizzare utenti e gruppi, passare alla pagina Gestione identità e accessi > Gestione > Provider di identità per aggiungere il provider di identità di terze parti per l'autenticazione. 3 Nel campo Attributo di ricerca directory specificare l'attributo della directory LDAP da utilizzare per il nome utente. Se l'attributo non è presente, selezionare Personalizzato e immettere il nome dell'attributo. Ad esempio, cn. Posizione server Configurazione LDAP Immettere l'host del server e il numero di porta della directory LDAP. Per l'host del server, è possibile specificare sia il nome di dominio completo che l'indirizzo IP. Ad esempio, serverldap.esempio.com o Se è presente un cluster di server con il bilanciamento del carico, immettere invece le informazioni sul bilanciamento. Specificare i filtri di ricerca LDAP e gli attributi che possono essere utilizzati da VMware Identity Manager per interrogare la propria directory LDAP. I valori predefiniti sono forniti in base allo schema LDAP principale. Query LDAP Ottieni gruppi: il filtro di ricerca per ottenere gli oggetti gruppo. Ad esempio: (objectclass=group) Ottieni utente bind: il filtro di ricerca per ottenere l'oggetto utente bind, ovvero l'utente che può collegarsi alla directory. Ad esempio: (objectclass=person) Ottieni utente: il filtro di ricerca per ottenere gli utenti da sincronizzare. Ad esempio: (&(objectclass=user)(objectcategory=person)) Attributi Appartenenza: questo attributo è utilizzato nella directory LDAP per definire i membri di un gruppo. Ad esempio: member VMware, Inc. 28

29 Opzione Descrizione UUID oggetto: l'attributo utilizzato nella directory LDAP per definire l'uuid di un utente o di un gruppo. Ad esempio: entryuuid DN (Distinguished Name): l'attributo utilizzato nella directory LDAP per il nome distinto (DN) di un utente o un gruppo. Ad esempio: entrydn Certificati Dettagli utente bind Se la directory LDAP richiede l'accesso su SSL, selezionare Questa directory richiede che tutte le connessioni utilizzino SSL e copiare e incollare il certificato SSL CA root del server della directory LDAP. Assicurarsi che il certificato sia in formato PEM e includere le righe "BEGIN CERTIFICATE" e "END CERTIFICATE". Nome distinto di base: immettere il DN da cui iniziare le ricerche. Ad esempio, cn=users,dc=example,dc=com Nome distinto di binding: immettere il nome utente da utilizzare per collegarsi alla directory LDAP. Nota: L'uso di un utente Nome distinto di binding con una password che non ha scadenza è consigliato. Password nome distinto di binding: immettere la password per l'utente Nome distinto di binding b Per eseguire il test della connessione al server di directory LDAP, fare clic su Test della connessione. Se la connessione non riesce, controllare le informazioni immesse ed apportare le modifiche necessarie. c Fare clic su Salva e avanti. Verrà visualizzata la pagina in cui è riportato il dominio. 15 Per una directory LDAP, viene riportato il dominio (che non potrà essere modificato). Per Active Directory su LDAP, vengono riportati i domini (che non possono essere modificati). Per Active Directory (autenticazione integrata di Windows), selezionare i domini da associare a questa connessione ad Active Directory. Nota: se si aggiunge un dominio trusting dopo aver creato la directory, il servizio non rileva automaticamente il nuovo dominio trusting. Per consentire al servizio di rilevare il dominio, connettore deve essere tolto e poi aggiunto nuovamente al dominio. Quando connettore si unisce nuovamente al dominio, il dominio trusting comparirà nell'elenco. Fare clic su Avanti. 16 Verificare che i nomi di attributo di VMware Identity Manager siano mappati agli attributi di Active Directory o LDAP corretti e apportare le modifiche eventualmente necessarie. Importante: Se si sta integrando una directory LDAP, è necessario specificare una mappatura per l'attributo domain. VMware, Inc. 29

30 17 Fare clic su Avanti. 18 Selezionare i gruppi che si desidera sincronizzare dalla directory di Active Directory o LDAP alla directory di VMware Identity Manager. Opzione Specificare i DN gruppo Descrizione Per selezionare i gruppi, specificare uno o più DN e selezionare i gruppi in essi contenuti. a Fare clic su + e specificare il DN del gruppo. Ad esempio, CN=users,DC=example,DC=company,DC=com. b c Importante: Specificare i DN dei gruppi contenuti nel DN di base inserito. Se il DN di un gruppo si trova al di fuori del DN di base, gli utenti di tale DN verranno sincronizzati ma non potranno eseguire il login. Fare clic su Trova gruppi. Nella colonna Gruppi da sincronizzare, è presente il numero di gruppi trovati nel DN. Per selezionare tutti i gruppi nel DN, fare clic su Seleziona tutto oppure fare clic su Seleziona e selezionare i gruppi specifici da sincronizzare. Nota: Se nella directory LDAP sono presenti più gruppi con lo stesso nome, è necessario specificare nomi univoci per tali gruppi in VMware Identity Manager. È possibile modificare il nome mentre si seleziona il gruppo. Nota: Quando si sincronizza un gruppo, gli utenti che non hanno Utenti di dominio come gruppo primario in Active Directory non vengono sincronizzati. Sincronizza membri del gruppo nidificati Per impostazione predefinita, l'opzione Sincronizza membri del gruppo nidificati è abilitata. Quando questa opzione è abilitata, tutti gli utenti che appartengono direttamente al gruppo selezionato così come gli utenti che appartengono ai gruppi nidificati al di sotto di esso vengono sincronizzati. Tenere presente che i gruppi nidificati non vengono sincronizzati; sono sincronizzati solo gli utenti che appartengono ai gruppi. Nella directory di VMware Identity Manager, questi utenti saranno membri del gruppo principale selezionato per la sincronizzazione. Se l'opzione Sincronizza membri del gruppo nidificati è disabilitata, quando si specifica un gruppo da sincronizzare, tutti gli utenti che appartengono direttamente a tale gruppo verranno sincronizzati. Gli utenti che appartengono ai gruppi nidificati al di sotto di esso non saranno sincronizzati. La disabilitazione di questa opzione è utile per configurazioni di Active Directory di grosse dimensioni dove l'attraversamento di una struttura di gruppi implica un uso intensivo di risorse e tempo. Se si disabilita questa opzione, assicurarsi di selezionare tutti i gruppi per cui si desidera sincronizzare gli utenti. 19 Fare clic su Avanti. VMware, Inc. 30

31 20 Specificare altri utenti da sincronizzare, se necessario. a Fare clic su + e inserire i DN degli utenti. Ad esempio, CN=username,CN=Users,OU=myUnit,DC=myCorp,DC=com. Importante: Specificare i DN degli utenti contenuti nel DN di base inserito. Se il DN di un utente si trova al di fuori del DN di base, gli utenti di tale DN verranno sincronizzati ma non potranno eseguire il login. b (Facoltativo) Per escludere utenti, creare un filtro con cui escludere alcuni tipi di utenti. È possibile selezionare l'attributo da utilizzare per filtrare gli utenti, la regola di query e il valore. 21 Fare clic su Avanti. 22 Rivedere la pagina per verificare quanti utenti e gruppi verranno sincronizzati con la directory e visualizzare la pianificazione della sincronizzazione. Per apportare modifiche a utenti e gruppi o alla frequenza di sincronizzazione, fare clic sul collegamento Modifica. 23 Fare clic su Sincronizza directory per iniziare la sincronizzazione della directory. Nota: Se si verifica un errore di rete e il nome host non può essere risolto in maniera univoca utilizzando il DNS inverso, il processo di configurazione verrà interrotto. Correggere i problemi di rete e riavviare l'appliance virtuale. Sarà quindi possibile continuare il processo di distribuzione. Le nuove impostazioni di rete non saranno disponibili fino al riavvio dell'appliance virtuale. Passi successivi Per informazioni sull'impostazione di un bilanciamento del carico o di una configurazione ad alta disponibilità, vedere Capitolo 4 Configurazione avanzata per l'appliance di VMware Identity Manager. È possibile personalizzare il catalogo delle risorse per le applicazioni della propria organizzazione e consentire l'accesso utente a tali risorse. È inoltre possibile configurare altre risorse, tra cui le View, ThinApp e le applicazioni basate su Citrix. Vedere Impostazione delle risorse in VMware Identity Manager. Configurazione delle impostazioni del server proxy per VMware Identity Manager L'appliance virtuale VMware Identity Manager accede al catalogo di applicazioni cloud e altri servizi Web su Internet. Se la configurazione di rete offre accesso a internet tramite un proxy HTTP, è necessario modificare le impostazioni del proxy per l'appliance VMware Identity Manager. Consentire al proxy di gestire solo il traffico Internet. Affinché il proxy sia configurato correttamente, impostare il parametro per il traffico interno su no-proxy nel dominio. Nota: I server proxy che richiedono autenticazione non sono supportati. VMware, Inc. 31

32 Procedura 1 Da vsphere Client, accedere come utente root all'appliance virtuale VMware Identity Manager. 2 Immettere YaST nella riga di comando per eseguire la utility YaST. 3 Selezionare Servizi di rete nel riquadro a sinistra, quindi selezionare Proxy. 4 Immettere gli URL del server proxy nei campi URP proxy HTTP e URL proxy HTTPS. 5 Selezionare Fine e uscire dalla utility YaST. 6 Riavviare il server Tomcat sull'appliance virtuale VMware Identity Manager per utilizzare le nuove impostazioni proxy. service horizon-workspace restart Il catalogo delle applicazioni cloud e altri servizi Web risultano ora disponibili in VMware Identity Manager. Specifica della chiave di licenza Dopo aver distribuito l'appliance di VMware Identity Manager, è necessario specificare la propria chiave di licenza. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Impostazioni dell'appliance e fare clic su Licenza. 3 Sulla pagina Impostazioni della licenza, immettere la chiave di licenza e fare clic su Salva. VMware, Inc. 32

33 Gestione delle impostazioni di configurazione del sistema dell'appliance 3 Una volta completata la configurazione iniziale dell'appliance, è possibile passare alle pagine di amministrazione dell'appliance per installare i certificati, gestire le password e monitorare le informazioni del sistema per l'appliance virtuale. È inoltre possibile aggiornare il database, il nome di dominio completo e il syslog e scaricare i file di registro. Nome pagina Connessione al database Installa certificati SSL Descrizione dell'impostazione L'impostazione di connessione al database, sia esso interno o esterno, è abilitata. È possibile modificare il tipo di database. Se si seleziona Database esterno, è necessario immettere l'url del database esterno, il nome utente e la password. Per configurare un database esterno, vedere Connessione al database. Nelle schede in questa pagina, è possibile installare un certificato SSL per VMware Identity Manager, scaricare il certificato root di VMware Identity Manager autofirmato e installare certificati root attendibili. Se ad esempio VMware Identity Manager è configurato dietro un bilanciamento del carico, è possibile installare il certificato root del bilanciamento del carico. Nota: La scheda Certificato PassThrough è utilizzato solo quando l'autenticazione del certificato è configurata nel connettore incorporato in uno scenario di distribuzione DMZ. Per informazioni, vedere Distribuzione di VMware Identity Manager in DMZ. Vedere Uso dei certificati SSL. Nome di dominio completo di Identity Manager Configura syslog Modifica password In questa pagina è possibile visualizzare o modificare il nome di dominio completo di VMware Identity Manager. Il nome di dominio completo di VMware Identity Manager è l'url utilizzato dagli utenti per accedere al servizio. Su questa pagina, è possibile abilitare un server syslog esterno. I registri di VMware Identity Manager vengono inviati a questo server esterno. Vedere Abilitazione del server syslog. Su questa pagina è possibile modificare la password dell'utente amministratore di VMware Identity Manager. VMware, Inc. 33

34 Nome pagina Sicurezza del sistema Percorsi dei file di registro Descrizione dell'impostazione Su questa pagina è possibile modificare la password root per l'appliance di VMware Identity Manager e la password dell'utente ssh per accedere in remoto. Su questa pagina è riportato un elenco dei file di registro e i percorsi delle relative directory. È possibile accorpare i file di registro in un file zip per il download. Vedere Informazioni sui file di registro. È inoltre possibile modificare l'url del connettore. Vedere Modifica dell'url del connettore. Questo capitolo include i seguenti argomenti: Modifica delle impostazioni di configurazione dell'appliance Connessione al database Uso dei certificati SSL Modifica dell'url del servizio VMware Identity Manager Modifica dell'url del connettore Abilitazione del server syslog Informazioni sui file di registro Gestione delle password dell'appliance Configurazione delle impostazioni SMTP Modifica delle impostazioni di configurazione dell'appliance Dopo aver configurato VMware Identity Manager, è possibile passare alle pagine Impostazioni dell'appliance per aggiornare la configurazione corrente e monitorare le informazioni di sistema per l'appliance virtuale. Procedura 1 Accedere alla console di amministrazione. 2 Selezionare la scheda Impostazioni dell'appliance e fare clic su Gestisci configurazione. 3 Accedere con la password dell'utente amministratore del servizio. 4 Dal riquadro di sinistra, selezionare la pagina da visualizzare o modificare. Passi successivi Verificare che le impostazioni o gli aggiornamenti apportati vengano applicati. VMware, Inc. 34

35 Connessione al database È richiesta la configurazione di un database Microsoft SQL Server esterno con il servizio VMware Identity Manager. Per utilizzare il database esterno con VMware Identity Manager, l'amministratore del database deve preparare un database Microsoft SQL Server vuoto e uno schema prima di effettuare la connessione al database in VMware Identity Manager. Quando ci si connette a Microsoft SQL Server, immettere il nome dell'istanza a cui connettersi e la modalità di autenticazione. È possibile selezionare la modalità di autenticazione di Windows e specificare dominio\nome utente o la modalità di autenticazione di SQL Server e specificare il nome utente locale e la password. Nell'appliance VMware Identity Manager è incorporato un database Postgre SQL interno, ma il database interno non è però consigliato nelle distribuzioni di produzione. È possibile connettersi alla connessione del database esterno quando si esegue la configurazione guidata di VMware Identity Manager. La configurazione del database esterno può essere eseguita anche da Impostazioni appliance > Configurazione VA > pagina Configurazione della connessione al database. Gli utenti possono utilizzare Microsoft SQL Server per configurare un ambiente di database ad alta disponibilità. Configurazione del database Microsoft SQL con la modalità di autenticazione di Windows Per utilizzare un database Microsoft SQL per VMware Identity Manager, è necessario prima creare un nuovo database sul server Microsoft SQL. Durante l'installazione, è necessario selezionare una modalità di autenticazione per il database. Se si seleziona l'autenticazione di Windows, quando si crea il database, immettere il nome utente e il dominio. Queste informazioni vengono specificate nella forma domain\username. Quando si eseguono i comandi di Microsoft SQL, creare un database nel server Microsoft SQL, immettere il nome del database, aggiungere le credenziali di accesso utente e creare lo schema. Lo schema eseguito è denominato saas. Nota: Nella raccolta predefinita viene fatta la distinzione tra maiuscole/minuscole. Prerequisiti La versione supportata del server Microsoft SQL deve essere stata installata come server di database esterno. Deve essere stata configurata un'implementazione del bilanciamento del carico. Autenticazione di Windows selezionata come modalità di autenticazione. Devono essere disponibili i diritti da amministratore per accedere e creare i componenti del database utilizzando Microsoft SQL Server Management Studio o un altro client dell CLI server di Microsoft SQL. VMware, Inc. 35

36 Procedura 1 Accedere alla sessione di Microsoft SQL Server Management Studio come sysadmin o con un account utente con privilegi sysadmin. Verrà visualizzata la finestra dell'editor. 2 Sulla barra degli strumenti, fare clic su Nuova query. 3 Per creare il database con lo schema predefinito denominato saas, immettere i seguenti comandi nella finestra dell'editor. /* Values within angle brackets (< >) are example values. When replacing the example value, remove the angle brackets. */ CREATE DATABASE <saasdb> COLLATE Latin1_General_CS_AS; ALTER DATABASE <saasdb> SET READ_COMMITTED_SNAPSHOT ON; GO IF NOT EXISTS (SELECT name FROM master.sys.server_principals WHERE name=n'<domain\username>') BEGIN CREATE LOGIN ['<domain\username>'] FROM WINDOWS; END GO USE <saasdb>; IF EXISTS (SELECT * FROM sys.database_principals WHERE name=n'<domain\username>') DROP USER ['<domain\username>'] GO CREATE USER [<domain\username>] FOR LOGIN [<domain\username>] WITH DEFAULT_SCHEMA=saas; GO CREATE SCHEMA saas AUTHORIZATION "<domain\username>" GRANT ALL ON DATABASE::<saasdb> TO "<domain\username>"; GO 4 Sulla barra degli strumenti, fare clic su!execute. Il server del database Microsoft SQL è ora pronto per la connessione al database di VMware Identity Manager. Il ruolo del server utilizzato per concedere i privilegi di sicurezza a livello del server è impostato su public. L'appartenenza al ruolo del database è db_owner. Non impostare altri ruoli. VMware, Inc. 36

37 Passi successivi Configurare il database esterno sul server VMware Identity Manager. Passare alla console di amministrazione di VMware Identity Manager selezionando Impostazioni dell'appliance > Configurazione appliance virtuale > Configurazione connessione al database. Immettere l'url JDBC e il nome utente e la password creati per il database. Vedere Configurazione di VMware Identity Manager per l'utilizzo di un database esterno Configurazione del database Microsoft SQL utilizzando la modalità di autenticazione di Server SQL locale Per utilizzare un database Microsoft SQL per VMware Identity Manager, è necessario prima creare un nuovo database sul server Microsoft SQL. Durante l'installazione, è necessario selezionare una modalità di autenticazione per il database. Se si seleziona l'autenticazione di SQL Server, quando si crea il database, immettere un nome utente locale e una password. Quando si eseguono i comandi di Microsoft SQL, creare un database nel server Microsoft SQL, immettere il nome del database, aggiungere le credenziali di accesso utente e creare lo schema. Lo schema eseguito è denominato saas. Nota: Nella raccolta predefinita viene fatta la distinzione tra maiuscole/minuscole. Prerequisiti La versione supportata del server Microsoft SQL deve essere stata installata come server di database esterno. Deve essere stata configurata un'implementazione del bilanciamento del carico. Autenticazione di SQL Server selezionata come modalità di autenticazione. Devono essere disponibili i diritti da amministratore per accedere e creare i componenti del database utilizzando Microsoft SQL Server Management Studio o un altro client dell CLI server di Microsoft SQL. Procedura 1 Accedere alla sessione di Microsoft SQL Server Management Studio come sysadmin o con un account utente con privilegi sysadmin. Verrà visualizzata la finestra dell'editor. 2 Sulla barra degli strumenti, fare clic su Nuova query. 3 Per creare il database con lo schema predefinito denominato saas, immettere i seguenti comandi nella finestra dell'editor. /* Values within angle brackets (< >) are example values. When replacing the example value, remove the angle brackets. */ VMware, Inc. 37

38 CREATE DATABASE <saasdb> COLLATE Latin1_General_CS_AS; ALTER DATABASE <saasdb> SET READ_COMMITTED_SNAPSHOT ON; GO BEGIN CREATE LOGIN <loginusername> WITH PASSWORD = N'<password>'; END GO USE <saasdb>; IF EXISTS (SELECT * FROM sys.database_principals WHERE name=n'<loginusername>') DROP USER [<loginusername>] GO CREATE USER <loginusername>] FOR LOGIN [<loginusername> WITH DEFAULT_SCHEMA=saas; GO CREATE SCHEMA saas AUTHORIZATION <loginusername> GRANT ALL ON DATABASE::<saasdb> TO <loginusername>; GO 4 Sulla barra degli strumenti, fare clic su!execute. Il server del database Microsoft SQL è ora pronto per la connessione al database di VMware Identity Manager. Il ruolo del server utilizzato per concedere i privilegi di sicurezza a livello del server è impostato su public. L'appartenenza al ruolo del database è db_owner. Non impostare altri ruoli. Passi successivi Configurare il database esterno sul server VMware Identity Manager. Passare alla console di amministrazione di VMware Identity Manager selezionando Impostazioni dell'appliance > Configurazione appliance virtuale > Configurazione connessione al database. Immettere l'url JDBC e il nome utente e la password creati per il database. Vedere Configurazione di VMware Identity Manager per l'utilizzo di un database esterno Amministrazione del database interno Per impostazione predefinita, il database PostgreSQL interno è configurato e pronto per l'uso. Si noti che il database interno non è consigliato per l'utilizzo con le distribuzioni di produzione. Quando VMware Identity Manager è installato e attivo, durante il processo di inizializzazione viene creata una password casuale per l'utente database interno. Questa password è univoca per ogni distribuzione e si trova nel file /usr/local/horizon/conf/db.pwd. Per configurare il database interno per l'alta disponibilità, vedere KB VMware, Inc. 38

39 Configurazione di VMware Identity Manager per l'utilizzo di un database esterno Dopo aver configurato il database nella procedura guidata di impostazione di VMware Identity Manager, è possibile configurare VMware Identity Manager in modo che utilizzi un database differente. È necessario che VMware Identity Manager faccia riferimento a un database già completo e inizializzato. Ad esempio, è possibile utilizzare un database configurato come risultato di un'esecuzione riuscita dalla procedura guidata di impostazione di VMware Identity Manager, a database da un backup o un database esistente da un'istantanea ripristinata. Prerequisiti Installare e configurare la versione supportata del server Microsoft SQL come server esterno del database. Per informazioni sulle versioni specifiche supportate da VMware Identity Manager, vedere VMware Product Interoperability Matrixes Procedura 1 Nella console di amministrazione, fare clic su Impostazioni dell'appliance e selezionare Configurazione appliance virtuale. 2 Fare clic su Gestisci configurazione. 3 Accedere con la password dell'utente amministratore di VMware Identity Manager. 4 Sulla pagina Configurazione connessione al database, selezionare Database esterno come tipo di database. 5 Immettere le informazioni sulla connessione al database. a Immettere l'url JDBC del server del database Microsoft SQL. Modalità di autenticazione Autenticazione di Windows (dominio\utente) Stringa URL JDBC jdbc:jtds:sqlserver://hostname_or_ip_address: 1433/saas;integratedSecurity=true;domain=DOMAINNAME;useUSERNAME=true Autenticazione di SQL Server (utente locale) jdbc:sqlserver://hostname_or_ip_address;databasename=<loginuser> b Immettere il nome e la password dell'utente con privilegi di lettura e scrittura al database. 6 Fare clic su Test della connessione per verificare e salvare le informazioni. Uso dei certificati SSL Quando si installa l'appliance di VMware Identity Manager, viene generato automaticamente un certificato del server SSL predefinito. È possibile utilizzare questo certificato autofirmato a scopo di test generale della propria implementazione. VMware consiglia vivamente di ottenere e installare certificati SSL firmati da un'autorità di certificazione (CA) pubblica nell'ambiente di produzione. VMware, Inc. 39

40 Un'autorità di certificazione (CA) è un'entità sicura che garantisce l'identità del certificato e il relativo creatore. Quando un certificato è firmato da una CA, gli utenti non ricevono più i messaggi in cui si richiede di verificare il certificato. È possibile installare un certificato CA firmato dalla pagina Impostazioni appliance > Gestisci configurazione > Installa certificati SSL > Certificato server. Se VMware Identity Manager viene distribuito con il certificato SSL autofirmato, il certificato CA root deve essere disponibile come CA sicura per qualsiasi client che accede a VMware Identity Manager. I client possono includere le macchine degli utenti finali, i bilanciamenti del carico, i proxy e così via. È possibile scaricare la CA root dalla pagina di Installa certificati SSL > Certificato server. Installazione di un certificato server Quando si installa il servizio VMware Identity Manager, viene generato un certificato del server SSL predefinito. È possibile utilizzare questo certificato autofirmato a scopo di test. Tuttavia, VMware consiglia vivamente di utilizzare certificati SSL firmati da un'autorità di certificazione (CA) pubblica per l'ambiente di produzione. Nota: Se un bilanciamento del carico davanti a VMware Identity Manager termina SSL, viene applicato il certificato SSL al bilanciamento del carico. Prerequisiti Generare una richiesta di firma del certificato e ottenere un certificato SSL valido e firmato da un'autorità di certificazione. Il formato del certificato deve essere PEM. Per la parte Nome comune del DN oggetto, utilizzare il nome di dominio completo che gli utenti utilizzeranno per accedere al servizio VMware Identity Manager. Se l'appliance di VMware Identity Manager si trova dietro un bilanciamento del carico, questo è il nome del server del bilanciamento del carico. Se il protocollo SSL non termina sul bilanciamento del carico, il certificato SSL utilizzato dal servizio deve includere i nomi alternativi di soggetto (SAN) per tutti gli host nel cluster di VMware Identity Manager in modo che i nodi all'interno del cluster possono effettuare richieste tra loro. Procedura 1 Nella console di amministrazione, selezionare la scheda Impostazioni dell'appliance. 2 Fare clic su Gestisci configurazione e inserire la password dell'utente amministratore. 3 Selezionare Installa certificati SSL > Certificato server. 4 Nel campo Certificato SSL, selezionare Certificato personalizzato. 5 Nella casella di testo della catena di certificati SSL, incollare i certificati del server, intermedi e radice in questo ordine. È necessario includere l'intera catena di certificati nell'ordine corretto. Per ciascun certificato, copiare tutto il contenuto presente tra le righe -----BEGIN CERTIFICATE----- ed -----END CERTIFICATE----. VMware, Inc. 40

41 6 Nella casella di testo Chiave privata, incollare la chiave privata. Copiare tutto il contenuto presente tra le righe ----BEGIN RSA PRIVATE KEY---- ed ---END RSA PRIVATE KEY Fare clic su Aggiungi. Esempio: esempi di certificati Esempio di catena di certificati -----BEGIN CERTIFICATE----- jlqvt9wdr9vpg3wqt5+c3hu17buowvhp/r0+... W53+O05j5xsxzDJfWr1lqBlFF/OkIYCPcyK END CERTIFICATE BEGIN CERTIFICATE----- WdR9Vpg3WQT5+C3HU17bUOwvhp/rjlQvt O05j5xsxzDJfWr1lqBlFF/OkIYCPW53+cyK END CERTIFICATE BEGIN CERTIFICATE----- dr9vpg3wqtjlqvt9w5+c3hu17buowvhp/r j5xsxzDJfWr1lqW53+O0BlFF/OkIYCPcyK END CERTIFICATE----- Esempio di chiave privata -----BEGIN RSA PRIVATE KEY----- jlqvtg3wqt5+c3hu17bu9wdr9vpowvhp/r lqBlFFW53+O05j5xsxzDJfWr/OkIYCPcyK END RSA PRIVATE KEY----- Installazione di certificati root attendibili Installare i certificati root o intermedi che devono essere considerati attendibili dal server di VMware Identity Manager. Il server di VMware Identity Manager sarà in grado di stabilire connessioni protette a server la cui catena di certificati include uno di questi certificati. Se VMware Identity Manager è configurato dietro un bilanciamento del carico e il protocollo SSL termina sul bilanciamento del carico, installare il certificato root del bilanciamento del carico. Procedura 1 Nella console di amministrazione, selezionare la scheda Impostazioni dell'appliance. 2 Fare clic su Gestisci configurazione e inserire la password dell'utente amministratore. VMware, Inc. 41

42 3 Selezionare Installa certificati SSL > Certificato server. 4 Incollare il certificato root o intermedio. Includere tutto il contenuto presente tra le righe -----BEGIN CERTIFICATE----- ed -----END CERTIFICATE Fare clic su Aggiungi. Modifica dell'url del servizio VMware Identity Manager È possibile modificare l'url del servizio VMware Identity Manager, ovvero l'url che gli utenti utilizzano per accedere al servizio. Ad esempio, è possibile cambiarlo impostando l'url di un bilanciamento del carico. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Impostazioni dell'appliance, quindi selezionare Configurazione appliance virtuale. 3 Fare clic su Gestisci configurazione e accedere con la password dell'utente admin. 4 Fare clic su Nome di dominio completo di Identity Manager ed immettere il nuovo URL nel campo Nome di dominio completo di Identity Manager. Utilizzare il formato di dominio completo:porta. La specifica della porta è facoltativa. La porta predefinita è 443. Ad esempio, 5 Fare clic su Salva. Passi successivi Abilitare la nuova interfaccia utente del portale. 1 Passare a per accedere alla console di amministrazione. 2 Nella console, fare clic sulla freccia sulla scheda Catalogo e selezionare Impostazioni. 3 Selezionare Nuova IU del portale per l'utente finale nel riquadro di sinistra e fare clic su Abilita nuova IU del portale. Modifica dell'url del connettore È possibile modificare l'url del connettore aggiornando il nome host del provider di identità nella console di amministrazione. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Gestione identità e accessi, quindi selezionare la scheda Provider di identità. VMware, Inc. 42

43 3 Nella pagina Provider di identità, selezionare il provider da aggiornare. 4 Nel campo Nome host provider di identità specificare il nuovo nome host. Utilizzare il formato nome host:porta. La specifica della porta è facoltativa. La porta predefinita è 443. Ad esempio, vidm.example.com. 5 Fare clic su Salva. Abilitazione del server syslog Gli eventi a livello di applicazione dal servizio possono essere esportati su un server syslog esterno. Gli eventi del sistema operativo non sono esportati. Poiché la maggior parte delle aziende non ha spazio su disco illimitato, la appliance virtuale non salva la cronologia di registrazione completa. Se si desidera salvare più cronologia o creare un percorso centralizzato per la cronologia, è possibile configurare un server syslog esterno. Se non si specifica un server syslog durante la configurazione iniziale, è possibile configurarlo in un secondo momento dalla pagina Impostazioni appliance > Configurazione VA > Gestisci configurazione > Configurazione syslog. Prerequisiti Configurare un server syslog esterno. È possibile utilizzare uno qualsiasi dei server syslog standard disponibili. Diversi server syslog includono funzionalità di ricerca avanzata. Verificare che VMware Identity Manager possa raggiungere il server syslog sulla porta 514 (UDP). Procedura 1 Accedere alla console di amministrazione. 2 Fare clic sulla scheda Impostazioni appliance, selezionare Configurazione VA nel riquadro sinistro e fare clic su Gestisci configurazione. 3 Selezionare Configura syslog nel riquadro sinistro. 4 Fare clic su Abilita. 5 Immettere l'indirizzo IP o il nome di dominio completo del server syslog in cui si desidera memorizzare i registri. 6 Fare clic su Salva. Una copia dei registri sarà inviata al server syslog. Informazioni sui file di registro I file di registro di VMware Identity Manager consentono di eseguire il debug e di risolvere i problemi. I file di registro riportati di seguito sono un punto di partenza comune. Altri registri sono presenti nella directory /opt/vmware/horizon/workspace/logs. VMware, Inc. 43

44 Tavola 3 1. File di registro Componente Percorso del file di registro Descrizione Registro del servizio Identity Manager Registri configuratore Registri connettore Registri di aggiornamento Registri di Apache Tomcat /opt/vmware/horizon/workspace/logs/ho rizon.log /opt/vmware/horizon/workspace/logs/co nfigurator.log /opt/vmware/horizon/workspace/logs/co nnector.log /opt/vmware/var/log/update.log /opt/vmware/var/log/vami /opt/vmware/horizon/workspace/logs/ca talina.log Informazioni sull'attività sull'applicazione VMware Identity Manager, come permessi, utenti e gruppi. Richieste che il configuratore riceve dal client REST e dall'interfaccia Web. Un record di ogni richiesta ricevuta dall'interfaccia Web. Ogni voce del registro include anche l'url della richiesta, il formato data/ora e le eccezioni. Nessuna azione di sincronizzazione viene registrata. Un record dei messaggi di output relativi alle richieste di aggiornamento durante un aggiornamento di VMware Identity Manager. I file nella directory /opt/vmware/var/log/vami sono utili per la risoluzione dei problemi. Questi file sono disponibili su tutte le macchine virtuali in seguito a un aggiornamento. I record Apache Tomcat dei messaggi che non sono registrati in altri file di registro. Raccolta delle informazioni di registro Durante i test o la risoluzione dei problemi, i registri possono fornire un feedback sull'attività e le prestazioni dell'appliance virtuale e restituire le informazioni sugli eventuali problemi che si verificano. Impostazione del livello di registro del servizio di VMware Identity Manager su DEBUG È possibile impostare il livello di registro su DEBUG per registrare informazioni aggiuntive che consentono di eseguire il debug dei problemi. Raccolta delle informazioni di registro Durante i test o la risoluzione dei problemi, i registri possono fornire un feedback sull'attività e le prestazioni dell'appliance virtuale e restituire le informazioni sugli eventuali problemi che si verificano. I registri vengono raccolti da ogni appliance presente nel proprio ambiente. Procedura 1 Accedere alla console di amministrazione. 2 Selezionare la scheda Impostazioni dell'appliance e fare clic su Gestisci configurazione. 3 Fare clic su Percorsi dei file di registro e selezionare Prepara bundle di registri. Le informazioni vengono raccolte in un file tar.gz che può essere scaricato. 4 Scaricare il bundle preparato. Passi successivi Per raccogliere tutti i registri, effettuare queste operazioni su ogni appliance. VMware, Inc. 44

45 Impostazione del livello di registro del servizio di VMware Identity Manager su DEBUG È possibile impostare il livello di registro su DEBUG per registrare informazioni aggiuntive che consentono di eseguire il debug dei problemi. Procedura 1 Accedere all'appliance virtuale. 2 Passare alla directory /usr/local/horizon/conf/. 3 Aggiornare il livello del registro nei file cfg-log4j.properties, hc-log4j.properties e saaslog4j.properties, che sono i file log4j più comunemente utilizzati per il servizio. a b Modificare il file. Nelle righe con il livello di registro impostato su INFO, sostituire INFO con DEBUG. Ad esempio, cambiare: rootlogger.level=info in: rootlogger.level=debug c Salvare il file. Non è necessario un riavvio del servizio o del sistema. Gestione delle password dell'appliance Quando è stata configurata l'appliance virtuale, sono state create le password per l'utente amministratore, per l'utente root e per sshuser. È possibile modificare queste password dalle pagine Impostazioni dell'appliance. Assicurarsi di creare password complesse. Le password complesse devono essere almeno di otto caratteri e comprendere lettere maiuscole e minuscole, nonché almeno un numero e un carattere speciale. Procedura 1 Nella console di amministrazione, selezionare la scheda Impostazioni dell'appliance. 2 Fare clic su Configurazione appliance virtuale > Gestisci configurazione. 3 Per modificare la password dell'amministratore, selezionare Modifica password. Per modificare la password root o sshuser, selezionare Sicurezza del sistema. Importante: La password dell'utente amministratore deve contenere almeno 6 caratteri. 4 Immettere la nuova password. 5 Fare clic su Salva. VMware, Inc. 45

46 Configurazione delle impostazioni SMTP Configurare le impostazioni del server SMTP per ricevere notifiche dal servizio VMware Identity Manager. Le notifiche vengono inviate ai nuovi utenti creati come utenti locali e quando una password viene reimpostata nel servizio VMware Identity Manager. Procedura 1 Accedere alla console di amministrazione. 2 Selezionare la scheda Impostazioni dell'appliance e fare clic su SMTP. 3 Specificare il nome host del server SMTP. Ad esempio: smtp.example.com 4 Specificare il numero di porta del server SMTP. Ad esempio: 25 5 (Facoltativo) Specificare un nome utente e una password, se il server SMTP richiede l'autenticazione. 6 Fare clic su Salva. VMware, Inc. 46

47 Configurazione avanzata per l'appliance di VMware Identity Manager 4 Dopo aver completato l'installazione di base dell'appliance virtuale di VMware Identity Manager, potrebbe essere necessario completare altre attività di configurazione, come ad esempio l'abilitazione dell'accesso esterno a VMware Identity Manager e la configurazione della ridondanza. Il diagramma dell'architettura di VMware Identity Manager mostra come poter distribuire l'ambiente di VMware Identity Manager. Vedere Capitolo 1 Preparazione all'installazione di VMware Identity Manager per una distribuzione tipica. Questo capitolo include i seguenti argomenti: Utilizzo di un programma di bilanciamento del carico o di un proxy inverso per abilitare l'accesso esterno a VMware Identity Manager Configurazione del failover e della ridondanza in un data center singolo Distribuzione di VMware Identity Manager in un data center secondario per il failover e la ridondanza Utilizzo di un programma di bilanciamento del carico o di un proxy inverso per abilitare l'accesso esterno a VMware Identity Manager Durante la distribuzione, l'appliance virtuale di VMware Identity Manager viene configurata nella rete interna. Se si desidera fornire l'accesso al servizio per gli utenti che si collegano da reti esterne, è necessario installare un programma di bilanciamento del carico come Apache, nginx o F5 nel DMZ. Se non si utilizza un programma di bilanciamento del carico o un proxy inverso, non sarà possibile espandere il numero di appliance di VMware Identity Manager in un secondo momento. Per garantire ridondanza e bilanciamento del carico potrebbe essere necessario aggiungere altre appliance. Il seguente diagramma mostra l'architettura di distribuzione di base che è possibile utilizzare per consentire l'accesso esterno. VMware, Inc. 47

48 Figura 4 1. Proxy esterno di bilanciamento del carico con macchina virtuale Utenti esterni Bilanciamento del carico esterno Nome host: Nome di dominio completo di VMware Identity Manager Indirizzo IP di esempio: 64.x.y.z Porta: Porta di VMware Identity Manager Deve abilitare le intestazioni X-Forwarded-For. Firewall DMZ Utenti interni Porta 443 Porta 443 Bilanciamento del carico interno Nome host: Nome di dominio completo di VMware Identity Manager Indirizzo IP di esempio: 10.x.y.z Porta: Porta di VMware Identity Manager Deve abilitare le intestazioni X-Forwarded-For. VMware Identity Manager Appliance virtuale Appliance virtuale Appliance virtuale Appliance virtuale Specifica del nome di dominio completo di VMware Identity Manager durante la distribuzione Durante la distribuzione della macchina virtuale di VMware Identity Manager, viene specificato il nome di dominio completo di VMware Identity Manager e il relativo numero di porta. Questi valori devono fare riferimento al nome host che si desidera sia utilizzato dagli utenti finali per accedere. La macchina virtuale di VMware Identity Manager viene eseguita sempre sulla porta 443. È possibile utilizzare un numero di porta differente per il bilanciamento del carico. Se si utilizza un numero di porta differente, sarà necessario specificarlo durante la distribuzione. VMware, Inc. 48

49 Impostazioni del bilanciamento del carico da configurare Le impostazioni del bilanciamento del carico da configurare includono l'abilitazione delle intestazioni X- Forwarded-For, l'impostazione del timeout corretto del bilanciamento del carico e l'abilitazione di sessioni sticky. Inoltre, è necessario configurare una relazione SSL sicura tra l'appliance virtuale di VMware Identity Manager e il bilanciamento del carico. Intestazioni X-forwarded-for È necessario abilitare le intestazioni X-Forwarded-For sul proprio bilanciamento del carico. Ciò determina il metodo di autenticazione. Fare riferimento alla documentazione del fornitore del bilanciamento del carico per maggiori informazioni. Timeout del bilanciamento del carico Perché VMware Identity Manager funzioni correttamente, potrebbe essere necessario aumentare il valore di timeout richiesta del bilanciamento del carico dal valore predefinito. Il valore è impostato in minuti. Se il valore di timeout è troppo basso, è possibile che sia visualizzato l'errore Errore 502: il servizio al momento non è disponibile. Abilita sessioni sticky L'impostazione delle sessioni sticky sul bilanciamento del carico va eseguita se nella propria distribuzione sono presenti più appliance di VMware Identity Manager. Il bilanciamento del carico collegherà quindi una sessione utente a una istanza specifica. Supporto WebSocket Il bilanciamento del carico deve supportare WebSocket. Applicazione del certificato root di VMware Identity Manager al bilanciamento del carico Quando l'appliance virtuale di VMware Identity Manager è configurata dietro un bilanciamento del carico, è necessario stabilire una connessione sicura SSL tra il bilanciamento del carico e VMware Identity Manager. Il certificato root di VMware Identity Manager deve essere copiato sul bilanciamento del carico. Il certificato root di VMware Identity Manager può essere scaricato dalla pagina nella console di amministrazione Impostazioni appliance > Gestisci configurazione > Installa certificati SSL > Certificato server. Se il nome di dominio completo d ivmware Identity Manager fa riferimento a un bilanciamento del carico, il certificato SSL può essere applicato solo al bilanciamento del carico. Poiché il bilanciamento del carico comunica con l'appliance virtuale di VMware Identity Manager, è necessario copiare il certificato CA root di VMware Identity Manager al bilanciamento del carico come certificato root sicuro. VMware, Inc. 49

50 Procedura 1 Nella console di amministrazione, selezionare la scheda Impostazioni Appliance, quindi fare clic su Configurazione VA > Gestisci configurazione. 2 Nella finestra di dialogo visualizzata, immettere la password dell'utente amministratore. 3 Selezionare Installa certificati SSL > Certificato server. 4 Fare clic sul collegamento Certificati CA root autofirmati dell'appliance. Il certificato viene visualizzato. 5 Copiare quanto compreso tra le righe -----BEGIN CERTIFICATE----- e -----END CERTIFICATE---- e incollare il certificato root nel percorso corretto di ognuno dei bilanciamenti del carico. Fare riferimento alla documentazione fornita dal fornitore del bilanciamento del carico. Passi successivi Copiare e incollare il certificato root di bilanciamento del carico sull'appliance di VMware Identity Managerconnettore. Applicazione del certificato root di bilanciamento del carico a VMware Identity Manager Quando l'appliance virtuale di VMware Identity Manager è configurata dietro un bilanciamento del carico, è necessario stabilire una connessione sicura tra il bilanciamento del carico a VMware Identity Manager. Inoltre, copiare il certificato root di VMware Identity Manager sul bilanciamento del carico in VMware Identity Manager. Procedura 1 Ottenere il certificato root del bilanciamento del carico. 2 Nella console di amministrazione, selezionare la scheda Impostazioni Appliance, quindi fare clic su Configurazione VA > Gestisci configurazione. 3 Nella finestra di dialogo visualizzata, immettere la password dell'utente amministratore. VMware, Inc. 50

51 4 Selezionare Installa certificati SSL > CA attendibili. 5 Incollare il certificato root del bilanciamento del carico nella casella di testo Certificato root o intermedio. 6 Fare clic su Aggiungi. Configurazione delle impostazioni del server proxy per VMware Identity Manager L'appliance virtuale VMware Identity Manager accede al catalogo di applicazioni cloud e altri servizi Web su Internet. Se la configurazione di rete offre accesso a internet tramite un proxy HTTP, è necessario modificare le impostazioni del proxy per l'appliance VMware Identity Manager. Consentire al proxy di gestire solo il traffico Internet. Affinché il proxy sia configurato correttamente, impostare il parametro per il traffico interno su no-proxy nel dominio. Nota: I server proxy che richiedono autenticazione non sono supportati. Procedura 1 Da vsphere Client, accedere come utente root all'appliance virtuale VMware Identity Manager. 2 Immettere YaST nella riga di comando per eseguire la utility YaST. 3 Selezionare Servizi di rete nel riquadro a sinistra, quindi selezionare Proxy. 4 Immettere gli URL del server proxy nei campi URP proxy HTTP e URL proxy HTTPS. 5 Selezionare Fine e uscire dalla utility YaST. VMware, Inc. 51

52 6 Riavviare il server Tomcat sull'appliance virtuale VMware Identity Manager per utilizzare le nuove impostazioni proxy. service horizon-workspace restart Il catalogo delle applicazioni cloud e altri servizi Web risultano ora disponibili in VMware Identity Manager. Configurazione del failover e della ridondanza in un data center singolo Per implementare il failover e la ridondanza, è possibile aggiungere più appliance virtuali di VMware Identity Manager in un cluster. Se per un qualsiasi motivo una delle appliance virtuali viene arrestata, VMware Identity Manager sarà comunque disponibile. È innanzitutto necessario installare e configurare un'appliance virtuale di VMware Identity Manager e quindi clonarla. Il processo di clonazione dell'appliance crea un duplicato dell'appliance con la stessa configurazione dell'originale. È possibile personalizzare l'appliance virtuale clonata e modificarne il nome, le impostazioni di rete e altre proprietà in base alle proprie necessità. Prima di clonare l'appliance virtuale di VMware Identity Manager, sarà necessario configurarne l'uso con un bilanciamento del carico e modificarne il nome di dominio completo in modo che corrisponda al nome di dominio completo del bilanciamento. Inoltre, prima di clonare l'appliance, completare la configurazione della directory nel servizio VMware Identity Manager. In seguito alla clonazione, assegnare all'appliance virtuale clonata un nuovo indirizzo IP e poi accenderla. L'indirizzo IP dell'appliance virtuale clonata deve seguire le stesse regole dell'indirizzo IP dell'appliance virtuale originale. L'indirizzo IP deve essere risolto su un nome host valido che utilizza il DNS di inoltro e inverso. Tutti i nodi nel cluster VMware Identity Manager devono essere identici e possibilmente copie senza stato l'uno dell'altro. La sincronizzazione con Active Directory e con le risorse configurate, come View o ThinApp, è disabilitata sulle appliance virtuali clonate. 1 Numero di nodi consigliato nel cluster VMware Identity Manager L'impostazione di un cluster VMware Identity Manager con tre nodi è consigliata. 2 Modifica del nome di dominio di completo di VMware Identity Manager nel nome di dominio completo di bilanciamento del carico Prima di clonare l'appliance virtuale di VMware Identity Manager, è necessario modificarne il nome di dominio completo in modo che corrisponda a quello del bilanciamento del carico. 3 Clonazione dell'appliance virtuale 4 Assegnazione di un nuovo indirizzo IP a un'appliance virtuale clonata Prima di poter accedere una nuova appliance virtuale clonata, è necessario aggiungervi un nuovo indirizzo IP. Tale indirizzo IP deve essere risolvibile in DNS. Se l'indirizzo non si trova nel DNS inverso, è necessario assegnare anche il nome host. 5 Abilitazione della sincronizzazione delle directory su un'altra istanza di in caso di errore VMware, Inc. 52

53 6 Rimozione di un nodo da un cluster Se un nodo del cluster di VMware Identity Manager non funziona correttamente e non si è in grado di ripristinarlo, è possibile rimuoverlo dal cluster con il comando Rimuovi nodo. Il comando consente di rimuovere le voci relative al nodo dal database di VMware Identity Manager. Numero di nodi consigliato nel cluster VMware Identity Manager L'impostazione di un cluster VMware Identity Manager con tre nodi è consigliata. L'appliance di VMware Identity Manager include Elasticsearch, un motore di ricerca e analisi. Elasticsearch ha una limitazione nota con i cluster a due nodi. Per una descrizione della limitazione "split brain" di Elasticsearch, consultare la documentazione di Elasticsearch. Tenere presente che non è necessario configurare alcuna impostazione di Elasticsearch. Un cluster di VMware Identity Manager con due nodi fornisce funzionalità di failover con qualche limitazione dovuta a Elasticsearch. Se uno dei nodi viene arrestato, si applicano le seguenti limitazioni fino a che il nodo non torna attivo: Il dashboard non visualizza i dati. La maggior parte dei report non è disponibile. Le informazioni del registro di sincronizzazione non sono visualizzate per le directory. Il campo di ricerca nell'angolo in alto a destra della console di amministrazione non restituisce alcun risultato. La funzione di completamento automatico non è disponibile per i campi di testo. Non vi è alcuna perdita di dati durante il periodo di tempo in cui il nodo è inattivo. I dati dei registri di sincronizzazione e degli eventi di controllo vengono memorizzati e saranno visualizzati una volta ripristinato il nodo. Modifica del nome di dominio di completo di VMware Identity Manager nel nome di dominio completo di bilanciamento del carico Prima di clonare l'appliance virtuale di VMware Identity Manager, è necessario modificarne il nome di dominio completo in modo che corrisponda a quello del bilanciamento del carico. Prerequisiti L'appliance di VMware Identity Manager sia stata aggiunta a un bilanciamento del carico. Sia stato applicato il certificato CA root del bilanciamento del carico a VMware Identity Manager. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Impostazioni dell'appliance. 3 Sulla pagina Configurazione dell'appliance virtuale, fare clic su Gestisci configurazione. VMware, Inc. 53

54 4 Immettere la password dell'amministratore per accedere. 5 Fare clic su Configurazione di Identity Manager. 6 Nel campo Nome di dominio completo di Identity Manager, modificare il nome host dell'url dal nome host di VMware Identity Manager al nome host del bilanciamento del carico. Ad esempio, se il nome host di VMware Identity Manager è myservice e il nome host del bilanciamento del carico è mylb, l'url dovrà essere cambiato in: 7 Fare clic su Salva. Il nome di dominio completo del servizio sarà cambiato nel nome di dominio completo del programma di bilanciamento del carico. L'URL del provider di identità sarà cambiato nell'url del bilanciamento del carico. Passi successivi Clonare l'appliance virtuale. Clonazione dell'appliance virtuale Clonare VMware Identity Manager l'appliance virtuale per creare più appliance virtuali dello stesso tipo per distribuire il traffico ed eliminare potenziali tempi di inattività. L'uso di più VMware Identity Manager appliance virtuali aumenta la disponibilità, bilancia le richieste al servizio e diminuisce i tempi di risposta per l'utente finale. Prerequisiti L'appliance VMware Identity Manager virtuale deve essere configurato con un bilanciamento del carico. Assicurarsi che la porta del bilanciamento del carico sia 443. Non utilizzare la porta 8443 in quanto questo numero di porta è la porta di amministrazione ed è univoca per ogni appliance virtuale. Un database esterno viene configurato come descritto in Connessione al database. VMware, Inc. 54

55 Assicurarsi di aver completato la configurazione della directory in VMware Identity Manager. Accedere alla console dell'appliance virtuale come root ed eliminare il file /etc/udev/rules.d/70- persistent-net.rules, se presente. Se non si elimina il file prima della clonazione, il networking non sarà configurato correttamente sull'appliance virtuale clonata. Procedura 1 Accedere a vsphere Client o a vsphere Web Client e passare VMware Identity Manager all'appliance virtuale. 2 Fare clic con il pulsante destro del mouse sull'appliance virtuale e selezionare Clona. 3 Immettere il nome per l'appliance virtuale clonata e fare clic su Avanti. Il nome deve essere univoco all'interno della cartella VM. 4 Selezionare l'host o il cluster su cui eseguire l'appliance virtuale clonata e fare clic su Avanti. 5 Selezionare il pool di risorse in cui eseguire l'appliance virtuale e fare clic su Avanti. 6 Per il formato del disco virtuale, selezionare Stesso formato dell'origine. 7 Selezionare il percorso dell'archivio dati in cui memorizzare i file dell'appliance virtuale e fare clic su Avanti. 8 Selezionare Non personalizzare come opzione del sistema operativo guest. 9 Rivedere le opzioni e fare clic su Fine. L'appliance virtuale clonata sarà distribuita. Non sarà possibile né modificare l'appliance virtuale fino al completamento del processo di clonazione. Passi successivi Assegnare un indirizzo IP all'appliance virtuale clonata prima di accenderla e di aggiungerla al bilanciamento del carico. Assegnazione di un nuovo indirizzo IP a un'appliance virtuale clonata Prima di poter accedere una nuova appliance virtuale clonata, è necessario aggiungervi un nuovo indirizzo IP. Tale indirizzo IP deve essere risolvibile in DNS. Se l'indirizzo non si trova nel DNS inverso, è necessario assegnare anche il nome host. Procedura 1 In vsphere Client o vsphere Web Client, selezionare l'appliance virtuale clonata. 2 Nella scheda Riepilogo, in Comandi, fare clic su Modifica impostazioni. 3 Selezionare Opzioni e nell'elenco Opzioni vapp selezionare Proprietà. 4 Modificare l'indirizzo IP nel campo Indirizzo IP. VMware, Inc. 55

56 5 Se l'indirizzo IP non si trova nel DNS inverso, aggiungere il nome host nella casella di testo Nome host. 6 Fare clic su OK. 7 Accendere l'appliance clonata e attendere la visualizzazione della schermata di accesso blu nella scheda Console. Importante: Prima di accendere l'appliance clonata, assicurarsi che l'appliance originale sia accesa. Passi successivi Prima di aggiungere l'appliance virtuale clonata al bilanciamento del carico, attendere alcuni minuti finché non viene creato il cluster Elasticsearch. Elasticsearch, un motore di ricerca e analisi, è incorporato nell'appliance virtuale. a b Accedere all'appliance virtuale clonata. Controllare il cluster Elasticsearch: curl -XGET ' Verificare che il risultato corrisponda al numero di nodi. Aggiungere l'appliance virtuale clonata al bilanciamento del carico e configurare il bilanciamento per distribuire il traffico. Fare riferimento alla documentazione del fornitore del bilanciamento del carico per maggiori informazioni. Se si fa parte di un dominio nell'istanza del connettore originale, allora sarà necessario aggiungere il dominio nelle istanze del servizio clonato. a b Accedere alla console di amministrazione di VMware Identity Manager. Selezionare la scheda Gestione identità e accessi, quindi fare clic su Configura. Il componente del connettore per ognuna delle istanze clonate del servizio è riportato sulla pagina Connettori. c Per ogni connettore riportato, fare clic su Entra in dominio e specificare le informazioni sul dominio. Per ulteriori informazioni su Active Directory, vedere Integrazione della Directory con VMware Identity Manager. Per le directory di tipo Autenticazione integrata di Windows (IWA), è necessario effettuare le seguenti operazioni: a Per le istanze clonate del servizio, entrare nel dominio a cui si è unita la directory IWA nell'istanza del servizio originale. 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Gestione identità e accessi, quindi fare clic su Configura. Il componente del connettore per ognuna delle istanze clonate del servizio è riportato sulla pagina Connettori. VMware, Inc. 56

57 3 Per ogni connettore riportato, fare clic su Entra in dominio e specificare le informazioni sul dominio. b Salvare la configurazione della directory IWA. 1 Selezionare la scheda Gestione identità e accessi. 2 Sulla pagina Directory, fare clic sul collegamento della directory IWA. 3 Fare clic su Salva per salvare la configurazione della directory. Se il file /etc/krb5.conf è stato aggiornato manualmente nell'istanza del servizio originale, ad esempio per risolvere problemi relativi alla non riuscita o alla lentezza della sincronizzazione della visualizzazione, è necessario aggiornare il file nell'istanza clonata dopo che è stata aggiunta al dominio. In tutte le istanze del servizio clonate, eseguire le operazioni seguenti. a Modificare il file /etc/krb5.conf e aggiornare la sezione realms specificando gli stessi valori da dominio a host utilizzati nel file /usr/local/horizon/conf/domain_krb.properties. Non è necessario specificare il numero della porta. Ad esempio, se nel file domain_krb.properties è presente la voce di dominio example.com=examplehost.example.com:389, sarà necessario aggiornare il file krb5.conf nel modo seguente. [realms] GAUTO-QA.COM = { auth_to_local = RULE:[1:$0\$1](^GAUTO-QA\.COM\\.*)s/^GAUTO-QA\.COM/GAUTO-QA/ auth_to_local = RULE:[1:$0\$1](^GAUTO-QA\.COM\\.*)s/^GAUTO-QA\.COM/GAUTO-QA/ auth_to_local = RULE:[1:$0\$1](^GAUTO2QA\.GAUTO-QA\.COM\\.*)s/^GAUTO2QA\.GAUTO- QA\.COM/GAUTO2QA/ auth_to_local = RULE:[1:$0\$1](^GLOBEQE\.NET\\.*)s/^GLOBEQE\.NET/GLOBEQE/ auth_to_local = DEFAULT kdc = examplehost.example.com } Nota: È possibile che siano presenti più voci kdc, ma non è un requisito necessario. Nella maggior parte dei casi è infatti presente un singolo valore kdc. Se si sceglie di definire valori kdc aggiuntivi, in ogni riga sarà presente una voce kdc che definisce un controller di dominio. b Riavviare il servizio workspace. service horizon-workspace restart Nota: Vedere inoltre l'articolo della Knowledge Base. Abilitare i metodi di autenticazione configurati per connettore su ciascuna delle istanze clonate. Vedere Guida all'amministrazione di VMware Identity Manager per maggiori informazioni. VMware, Inc. 57

58 L'appliance virtuale del servizio VMware Identity Manager è adesso altamente disponibile. Il traffico viene distribuito sulle appliance virtuali nel cluster basato sulla configurazione del bilanciamento del carico. L'autenticazione al servizio è altamente disponibile. Per la funzionalità di sincronizzazione delle directory del servizio, tuttavia, in caso di un errore dell'istanza del servizio, sarà necessario abilitare manualmente la sincronizzazione su un'istanza clonata del servizio. La sincronizzazione delle directory è gestita dal componente del connettore del servizio e può essere abilitata solo su un connettore alla volta. Vedere Abilitazione della sincronizzazione delle directory su un'altra istanza di in caso di errore. Abilitazione della sincronizzazione delle directory su un'altra istanza di in caso di errore In caso di un errore dell'istanza di servizio, l'autenticazione è gestita automaticamente da un'istanza clonata, come configurata nel bilanciamento del carico. Tuttavia, per la sincronizzazione delle directory è necessario modificare le impostazioni della directory nel servizio VMware Identity Manager in modo da utilizzare un'istanza clonata. La sincronizzazione delle directory è gestita dal componente del connettore del servizio e può essere abilitata solo su un connettore alla volta. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare la scheda Gestione identità e accessi, quindi fare clic su Directory. 3 Fare clic sulla directory che era associata all'istanza del servizio originale. Queste informazioni sono disponibili nella pagina Configura > Connettori. La pagina riporta il componente del connettore di ogni appliance virtuale del servizio nel cluster. 4 Nella sezione Sincronizzazione e autenticazione directory della pagina della directory, nel campo Sincronizza connettore, selezionare uno degli altri connettori. 5 Nel campo Password nome distinto di binding, immettere la password dell'account bind di Active Directory. 6 Fare clic su Salva. VMware, Inc. 58

59 Rimozione di un nodo da un cluster Se un nodo del cluster di VMware Identity Manager non funziona correttamente e non si è in grado di ripristinarlo, è possibile rimuoverlo dal cluster con il comando Rimuovi nodo. Il comando consente di rimuovere le voci relative al nodo dal database di VMware Identity Manager. È possibile verificare l'integrità dei nodi del cluster visualizzandone lo stato in Dashboard di diagnostica del sistema. Un messaggio simile a Lo stato del nodo corrente non è valido indica che il nodo non funziona correttamente. Importante: È consigliabile utilizzare il comando Rimuovi nodo con moderazione. Usarlo solo quando il nodo è irrecuperabile e deve essere completamente rimosso dalla distribuzione di VMware Identity Manager. Nota: Non è possibile utilizzare il comando Rimuovi nodo per rimuovere l'ultimo nodo in un cluster. Rimozione dell'associazione del componente connettore dai domini, dalle impostazioni di sincronizzazione della directory e dal provider di identità integrato Prima di rimuovere un nodo da un cluster di VMware Identity Manager, è necessario assicurarsi che il componente connettore del nodo non faccia parte di alcun dominio, non venga utilizzato come connettore di sincronizzazione e non sia associato al provider di identità integrato. Prerequisiti È necessario accedere al servizio VMware Identity Manager come amministratore tenant, ovvero come amministratore locale. Un amministratore di dominio sincronizzato dalla directory aziendale non dispone infatti delle autorizzazioni necessarie. Procedura 1 Accedere alla console di amministrazione. 2 Fare clic sulla scheda Gestione identità e accessi, quindi fare clic su Configura. Verrà visualizzata la pagina Connettori. 3 Se il componente connettore del nodo fa parte del dominio, uscire dal dominio. a Nella pagina Connettori, individuare il componente connettore del nodo che si desidera rimuovere. Il componente connettore ha lo stesso nome del nodo. b Se nella colonna Azioni disponibili è presente un pulsante Esci da dominio, fare clic sul pulsante per uscire dal dominio. VMware, Inc. 59

60 4 Se il componente connettore del nodo viene utilizzato come connettore di sincronizzazione per una delle directory, modificare l'impostazione relativa al connettore di sincronizzazione della directory in modo che venga utilizzato un altro connettore. a b c d e Nella colonna Directory associata della pagina Connettori, sono visibili le directory con cui il componente connettore è associato. Fare clic sul collegamento di una directory. Nella sezione Sincronizzazione e autenticazione directory della pagina della directory, controllare il valore dell'opzione relativa al connettore di sincronizzazione. Se il componente connettore viene utilizzato come connettore di sincronizzazione, selezionare un altro connettore per l'opzione relativa al connettore di sincronizzazione e fare clic su Salva. Ripetere questi passaggi per tutte le directory a cui il componente connettore è associato. 5 Se il componente connettore è associato al provider di identità integrato, rimuoverlo dal provider di identità. a b c Nella colonna Provider di identità della pagina Connettori, sono visibili i provider di identità a cui il componente connettore è associato. Se nell'elenco è presente il provider di identità integrato, fare clic sul collegamento. Nella sezione Connettori della pagina del provider di identità, fare clic sull'icona di eliminazione accanto al connettore. Passi successivi Rimuovere il nodo dal cluster. Rimozione del nodo dal cluster Dopo aver annullato l'associazione del componente connettore del nodo dai domini, dalle impostazioni di sincronizzazione della directory e dal provider di identità integrato, è possibile rimuovere il nodo dal cluster. Nota: Non è possibile utilizzare il comando Rimuovi per rimuovere l'ultimo nodo in un cluster. Prerequisiti Per rimuovere un nodo, è necessario accedere come amministratore tenant, ovvero come amministratore locale, al servizio VMware Identity Manager. Un amministratore di dominio sincronizzato dalla directory aziendale non dispone infatti delle autorizzazioni necessarie. Annullare l'associazione del componente connettore del nodo dai domini, dalle impostazioni di sincronizzazione della directory e dal provider di identità integrato, se necessario. Vedere Rimozione dell'associazione del componente connettore dai domini, dalle impostazioni di sincronizzazione della directory e dal provider di identità integrato. VMware, Inc. 60

61 Procedura 1 Arrestare la macchina virtuale del nodo. a b Accedere all'istanza di vcenter Server. Fare clic con il pulsante destro del mouse sulla macchina virtuale del nodo e selezionare Alimentazione > Spegni. 2 Rimuovere il nodo dal bilanciamento del carico. 3 Nella console di amministrazione di VMware Identity Manager, rimuovere il nodo. a b c Accedere alla console di amministrazione di VMware Identity Manager come amministratore locale. Fare clic sulla freccia giù nella scheda Dashboard e selezionare Dashboard di diagnostica del sistema. Individuare il nodo che si desidera rimuovere. Nel nodo viene visualizzato un messaggio simile al seguente: Lo stato del nodo corrente non è valido. Rimuoverlo? d Fare clic sul collegamento Rimuovi visualizzato accanto al messaggio. Il nodo viene rimosso dal cluster. Le voci relative al nodo vengono rimosse dal database di VMware Identity Manager. Il nodo viene inoltre rimosso dai cluster Elasticsearch ed Ehcache incorporati. Passi successivi Prima di utilizzare qualsiasi altro comando, attendere 5-15 minuti che i cluster Elasticsearch ed Ehcache si stabilizzino. Distribuzione di VMware Identity Manager in un data center secondario per il failover e la ridondanza Per fornire funzionalità di failover quando il data center primario di VMware Identity Manager non è disponibile, VMware Identity Manager deve essere distribuito in un data center secondario. Se si utilizza un data center secondario, gli utenti finali possono accedere e usare le applicazioni senza alcun tempo di inattività. Un data center secondario consente inoltre agli amministratori di aggiornare VMware Identity Manager alla versione successiva senza alcun tempo di inattività. Vedere Aggiornamento di VMware Identity Manager senza tempo di inattività. Di seguito è illustrata una distribuzione tipica che utilizza un data center secondario. VMware, Inc. 61

62 Programma di bilanciamento del carico globale Programma di bilanciamento del carico DC1 Programma di bilanciamento del carico DC2 vidm1 vidm2 (clonato da vidm1) vidm3 (clonato da vidm1) vidm4 (clonato da vidm1) vidm5 (clonato da vidm1) vidm6 (clonato da vidm1) Listener di SQL Server Always on Always On SQL Server (master) SQL Server (replica) Repo ThinApp (DFS) Cloud Pod Architecture di Horizon View XenFarm A XenFarm B Pod A di View Pod B di View Pod C di View Pod D di View XenFarm C XenFarm D Per una distribuzione con più data center, applicare le linee guida seguenti. Distribuzione cluster: è necessario distribuire un insieme di almeno tre appliance virtuali di VMware Identity Manager come un cluster in un data center e un altro insieme di almeno tre appliance virtuali come un altro cluster nel secondo data center. Vedere Configurazione di un data center secondario per ulteriori informazioni. Database: VMware Identity Manager utilizza il database per archiviare i dati. Per una distribuzione con più data center, la replica del database tra i due data center è fondamentale. Per informazioni su come configurare un database in più data center, fare riferimento alla documentazione del database. Con SQL Server è ad esempio consigliabile utilizzare la distribuzione Always On. Per informazioni, vedere Panoramica di Gruppi di disponibilità Always On (SQL Server) sul sito Web Microsoft. Per le funzionalità di VMware Identity Manager è prevista una latenza molto bassa tra il database e l'appliance di VMware Identity Manager. Le appliance di un data center devono quindi connettersi con il database dello stesso data center. VMware, Inc. 62

63 Non attiva-attiva: VMware Identity Manager non supporta una distribuzione attiva-attiva in cui gli utenti possono utilizzare entrambi i data center contemporaneamente. Il data center secondario è un hot standby e può essere utilizzato per fornire la continuità delle attività agli utenti finali. Le appliance di VMware Identity Manager nel data center secondario sono in modalità di sola lettura. Quindi, dopo un failover in tale data center, la maggior parte delle operazioni amministrative, come l'aggiunta di utenti o app oppure l'assegnazione di autorizzazioni agli utenti, non funzioneranno. Failback nel data center primario: nella maggior parte degli scenari di errore, è possibile eseguire il failback nel data center primario dopo averne ripristinato la normale funzionalità. Vedere Failback nel data center primario per informazioni. Promozione del data center secondario a data center primario: in caso di errore persistente del data center primario, il data center secondario può essere promosso a data center primario. Vedere Promozione del data center secondario a data center primario per informazioni. Nome di dominio completo: il nome di dominio completo per accedere a VMware Identity Manager deve essere lo stesso in tutti i data center. Auditing: VMware Identity Manager utilizza Elasticsearch incorporato nell'appliance di VMware Identity Manager per le verifiche, i report e i registri delle sincronizzazioni delle directory. In ogni data center, è necessario creare cluster di Elasticsearch distinti. Vedere Configurazione di un data center secondario per ulteriori informazioni. Active Directory: VMware Identity Manager può connettersi ad Active Directory mediante l'api LDAP o utilizzando l'autenticazione integrata di Windows. In entrambi i metodi, VMware Identity Manager può sfruttare i record SRV di Active Directory per raggiungere il controller di dominio appropriato in ogni data center. App di Windows: VMware Identity Manager supporta l'accesso alle app di Windows mediante ThinApp e l'accesso ai desktop e alle app di Windows mediante la tecnologia Horizon View o Citrix. È in genere importante rendere disponibili queste risorse dal data center che si trova più vicino all'utente. Questo aspetto è anche detto affinità geografica. Si tengano presenti le considerazioni seguenti sulle risorse di Windows: ThinApps - VMware Identity Manager supporta i file system distribuiti di Windows come un repository di ThinApp. Per configurare criteri appropriati specifici della posizione, fare riferimento alla documentazione dei file system distribuiti di Windows. Horizon View (con Cloud Pod Architecture) - VMware Identity Manager supporta Cloud Pod Architecture di Horizon. Cloud Pod Architecture di Horizon fornisce affinità geografica mediante permessi globali. Per informazioni, vedere "Integrazione delle distribuzioni con Cloud Pod Architecture" in Configurazione delle risorse in VMware Identity Manager. Per una distribuzione con più data center di VMware Identity Manager, non sono necessarie modifiche aggiuntive. Horizon View (senza Cloud Pod Architecture) - Se nell'ambiente in uso non è abilitato Cloud Pod Architecture di Horizon, non è possibile abilitare l'affinità geografica. Dopo un evento di failover, è possibile modificare manualmente VMware Identity Manager per avviare le risorse di Horizon View dai pod di View configurati nel data center secondario. Vedere Configurazione dell'ordine di failover delle risorse di Horizon View e basate su Citrix per ulteriori informazioni. VMware, Inc. 63

64 Risorse Citrix - Analogamente a Horizon View (senza Cloud Pod Architecture), non è possibile abilitare l'affinità geografica per le risorse Citrix. Dopo un evento di failover, è possibile modificare manualmente VMware Identity Manager per avviare le risorse di Citrix dalle istanze di XenFarm configurate nel data center secondario. Vedere Configurazione dell'ordine di failover delle risorse di Horizon View e basate su Citrix per ulteriori informazioni. Configurazione di un data center secondario Il data center secondario di solito è gestito da un vcenter Server differente. Quando si configura il data center secondario, è possibile configurare e implementare gli elementi seguenti in base alle proprie esigenze. Le appliance di VMware Identity Manager nel data center secondario, create da un file OVA importato dal data center primario Il bilanciamento del carico per il data center secondario Risorse e permessi duplicati di Horizon View e basati su Citrix Configurazione del database Bilanciamento del carico o voce DNS sui data center primario e secondario per il failover Requisiti Assicurarsi che siano soddisfatti i requisiti elencati per la distribuzione di VMware Identity Manager in un data center secondario. Assicurarsi che il certificato di VMware Identity Manager includa il FQDN del programma di bilanciamento del carico dal data center primario nonché il FQDN del programma di bilanciamento del carico dal data center secondario. In caso contrario, il certificato deve essere un certificato con caratteri jolly. Le porte 443 e 8443 devono essere aperte tra tutte le istanze di VMware Identity Manager, sia all'interno di un cluster sia nei cluster in diversi data center. Modifica del data center primario per la replica Prima di configurare il data center secondario, configurare il data center primario per la replica Elasticsearch ed Ehcache nei cluster. Elasticsearch ed Ehcache sono incorporati nell'appliance virtuale di VMware Identity Manager. Elasticsearch è un motore di ricerca e analisi utilizzato per le verifiche, i report e i registri della sincronizzazione delle directory. Ehcache offre funzionalità di memorizzazione nella cache. Configurare queste modifiche in tutti i nodi del cluster del data center primario. Prerequisiti Si supponga di aver configurato un cluster di VMware Identity Manager nel data center primario. VMware, Inc. 64

65 Procedura 1 Configurare Elasticsearch per la replica. Apportare queste modifiche in tutti i nodi del cluster del data center primario. a Impostare il percorso Java per il plug-in di Elasticsearch. 1 vi ~/bash_profile 2 Aggiungere le seguenti righe al file: JAVA_HOME=/usr/java/jre-vmware/ export JAVA_HOME export PATH=$PATH:$JAVA_HOME 3 Salvare il file. 4 Eseguire il comando seguente:. ~/bash_profile b Elencare e rimuovere il plug-in di Elasticsearch. /opt/vmware/elasticsearch/bin/plugin -l /opt/vmware/elasticsearch/bin/plugin -r discovery-idm c Aggiungere gli indirizzi IP di tutti i nodi nel data center primario. vi /opt/vmware/elasticsearch/config/elasticsearch.yml discovery.zen.ping.unicast.hosts: [ indirizzoip1, indirizzoip2, indirizzoip3 ] d Riavviare il servizio Elasticsearch. service elasticsearch restart e Aggiungere il nome di dominio completo del programma di bilanciamento del carico del cluster del data center secondario al file /usr/local/horizon/conf/runtime-config.properties. 1 Modificare il file /usr/local/horizon/conf/runtime-config.properties. vi /usr/local/horizon/conf/runtime-config.properties 2 Aggiungere questa riga al file: analytics.replication.peers= 2 Configurare Ehcache per la replica. Apportare queste modifiche in tutti i nodi del cluster del data center primario. a vi /usr/local/horizon/conf/runtime-config.properties VMware, Inc. 65

66 b Aggiungere il nome di dominio completo degli altri nodi nel cluster. Non aggiungere il nome di dominio completo del nodo che si sta modificando. Separare i nomi di dominio completi utilizzando i due punti. ehcache.replication.rmi.servers=nodo2fqdn:nodo3fqdn Ad esempio: ehcache.replication.rmi.servers=server2.example.com:server3.example.com 3 Se si intende configurare il dominio mobile per l'autenticazione di ios, che utilizza il KDC integrato, apportare le seguenti modifiche in tutti i nodi del cluster del data center primario. a Aprire il file runtime-config.properties per la modifica. vi /usr/local/horizon/conf/runtime-config.properties b Aggiungere tutti i nodi nel cluster, separandoli con un segno di due punti. components.kdc.servers=node1fqdn:node2fqdn:node3fqdn Nota: Se si utilizza la funzionalità KDC ibrido, questo passaggio non è necessario. 4 Riavviare il servizio VMware Identity Manager in tutti i nodi. service horizon-workspace restart 5 Verificare che il cluster sia configurato correttamente, eseguire il comando seguente in tutti i nodi del primo cluster. curl ' Il comando, che verifica l'integrità di Elasticsearch, dovrebbe restituire un risultato simile al seguente. } { "cluster_name" : "horizon", "status" : "green", "timed_out" : false, "number_of_nodes" : 3, "number_of_data_nodes" : 3, "active_primary_shards" : 20, "active_shards" : 40, "relocating_shards" : 0, "initializing_shards" : 0, "unassigned_shards" : 0, "delayed_unassigned_shards" : 0, "number_of_pending_tasks" : 0, "number_of_in_flight_fetch" : 0 Se si verificano problemi, vedere Risoluzione dei problemi relativi a Elasticsearch. VMware, Inc. 66

67 Passi successivi Creare un cluster nel data center secondario. Creare i nodi esportando il file OVA della prima appliance virtuale di VMware Identity Manager dal cluster del data center primario e utilizzandolo per distribuire le nuove appliance virtuali nel data center secondario. Creazione di appliance virtuali di VMware Identity Manager nel data center secondario Per configurare un cluster VMware Identity Manager in un data center secondario, è possibile esportare il file OVA dell'appliance di VMware Identity Manager originale nel data center primario e utilizzarlo per distribuire le appliance nel data center secondario. Prerequisiti File OVA di VMware Identity Manager che è stato esportato dall'appliance di VMware Identity Manager originale nel data center primario Indirizzi IP e record DNS per il data center secondario Procedura 1 Nel data center primario, esportare il file OVA dell'appliance di VMware Identity Manager originale. Per informazioni, consultare la documentazione di vsphere. 2 Nel data center secondario, distribuire il file OVA di VMware Identity Manager esportato per creare i nuovi nodi. Per informazioni, consultare la documentazione di vsphere. Vedere anche Installazione del file OVA di VMware Identity Manager. 3 Una volta accese le appliance di VMware Identity Manager, aggiornare la configurazione di ognuna di esse. Le appliance di VMware Identity Manager nel data center secondario sono copie identiche dell'appliance di VMware Identity Manager originale nel data center primario. La sincronizzazione con Active Directory e con tutte le risorse configurate nel data center primario è disabilitata. Passi successivi Passare alle pagine della console di amministrazione e configurare quanto riportato di seguito: Abilitare Entra in dominio come configurato nell'appliance di VMware Identity Manager originale nel data center primario. Sulla pagina Adattatori di autenticazione, aggiungere i metodi di autenticazione che sono configurati nel data center primario. Sulla pagina Metodo di autenticazione directory, abilitare l'autenticazione di Windows, se configurata nel data center primario. VMware, Inc. 67

68 Passare alla pagina Installa certificato delle impostazioni dell'appliance per aggiungere certificati firmati da una CA (Certificate Authority) duplicando i certificati nelle appliance di VMware Identity Manager nel data center primario. Vedere Uso dei certificati SSL. Configurazione di nodi nel data center secondario Dopo aver creato i nodi nel data center secondario mediante il file OVA esportato dal data center primario, è necessario configurare i nodi. Eseguire i passaggi seguenti per ogni nodo nel data center secondario. Procedura u Aggiornare le tabelle IP. a Nel file /usr/local/horizon/scripts/updateiptables.hzn, aggiornare gli indirizzi IP di tutti i nodi nel data center secondario. 1 vi /usr/local/horizon/scripts/updateiptables.hzn 2 Individuare e sostituire la riga ALL_IPS. Specificare gli indirizzi IP separandoli con uno spazio. ALL_IPS="Node1_IPaddress Node2_IPaddress Node3_IPaddress" 3 Aprire le porte eseguendo questo script. /usr/local/horizon/scripts/updateiptables.hzn b Configurare i nodi nel data center secondario per la replica e verificare che siano impostati correttamente. Applicare le istruzioni riportate in Modifica del data center primario per la replica ai nodi nel data center secondario. Modifica del file runtime-config.properties nel data center secondario Se si utilizza un database diverso da una distribuzione di SQL Server Always On, è necessario modificare i file runtime-config.properties per le appliance di VMware Identity Manager nel data center secondario per modificare l'url JDBC in modo che punti al database nel data center secondario e configurare l'appliance per l'accesso di sola lettura. Se si utilizza una distribuzione di SQL Server Always On, questo passaggio non è necessario. Apportare queste modifiche in ogni appliance di VMware Identity Manager nel data center secondario. Procedura 1 Utilizzando un client ssh, accedere all'appliance di VMware Identity Manager come utente root. 2 Aprire il file runtime-config.properties in /usr/local/horizon/conf/runtimeconfig.properties. 3 Modificare l'url JDBC in modo che faccia riferimento al database per il data center secondario. Vedere Configurazione di VMware Identity Manager per l'utilizzo di un database esterno. VMware, Inc. 68

69 4 Configurare l'appliance VMware Identity Manager in modo che abbia accesso in sola lettura. Aggiungere la riga read.only.service=true. 5 Riavviare il server Tomcat sull'appliance. service horizon-workspace restart Configurazione dell'ordine di failover delle risorse di Horizon View e basate su Citrix Per Horizon View e le risorse basate su Citrix, è necessario configurare l'ordine di failover delle risorse nei data center primario e secondario per rendere disponibili le risorse appropriate da qualsiasi data center. Utilizzare il comando hznadmintool per creare una tabella di database con l'ordine di failover per le risorse nella propria istanza di servizio dell'organizzazione. L'ordine di failover configurato è seguito quando viene avviata una risorsa. Eseguire hznadmintool failoverconfiguration in entrambi i data center per configurare l'ordine di failover. Prerequisiti Quando VMware Identity Manager viene distribuito in più data center, le stesse risorse vengono configurate in ogni data center. Ogni pool di applicazioni o desktop in Pod di View o su XenFarms basati su Citrix sono considerati come risorsa differente nel catalogo di VMware Identity Manager. Per evitare la duplicazione della risorsa nel catalogo, assicurarsi di aver abilitato l'opzione Non sincronizzare applicazioni duplicate nella pagina Pool di View o App pubblicate - Citrix sulla pagina console di amministrazione. Procedura 1 Utilizzando un client ssh, accedere all'appliance di VMware Identity Manager come utente root. 2 Per visualizzare un elenco di istanze del server, immettere hznadmintool serviceinstances. Verrà visualizzato un elenco di istanze del servizio, con il numero ID assegnato, come riportato nel seguente esempio. {"id":103,"hostname":"ws4.domain.com","ipaddress":" "}{"id": 154,"hostName":"ws3.domain.com","ipaddress":" "}{"id": 1,"hostName":"ws1.domain.com","ipaddress":" "}{"id": 52,"hostName":"ws2.domain.com","ipaddress":" "} VMware, Inc. 69

70 3 Per ogni istanza del servizio nella propria organizzazione, configurare l'ordine di failover per le risorse di View e basate su Citrix. Digitare hznadmintool failoverconfiguration -configtype <configtype> -configuration <configuration> -serviceinstanceid <serviceinstanceid> [-orgid <orgid>] Opzione -configtype -configuration -serviceinstanceid -orgid Descrizione Specificare il tipo di risorsa configurato per il failover. I valori sono VIEW o XENAPP. Specificare l'ordine di failover. Per il tipo di configurazione VIEW, immettere un elenco separato da virgole dei nomi host di View Connection Server presenti nella pagina Pool di View nella console di amministrazione. Per il tipo di configurazione XENAPP, immettere un elenco separato da virgole di nomi XenFarm. Immettere l'id dell'istanza del servizio per cui è stata impostata la configurazione. L'ID può essere individuato nell'elenco riportato nel passo 2, "id": (Facoltativo). Se questo campo è lasciato vuoto, la configurazione è impostata per l'organizzazione predefinita. Ad esempio hznadmintool failoverconfiguration -configtype VIEW -configuration pod1vcs1.domain.com,pod2vcs1.hs.trcint.com -orgid 1 -serviceinstanceid 1. Quando si digita questo comando per le istanze di VMware Identity Manager nel data center secondario, invertire l'ordine delle istanze di View Connection Server. In questo esempio, il comando sarebbe hznadmintool failoverconfiguration -configtype VIEW -configuration pod2vcs1.hs.trcint.com, pod1vcs1.domain.com -orgid 1 -serviceinstanceid 103 La tabella di database per il failover delle risorse è configurata per ogni data center. Passi successivi Per visualizzare la configurazione di failover per ognuna delle risorse basate su View e Citrix, eseguire hznadmintool failoverconfigurationlist -configtype <configtype> -<orgid). Il valore per <configtype> è VIEW o XENAPP. Di seguito è riportato un output di esempio di hznadmintool failoverconfiguraitonlist con configtype VIEW. {"idorganization":1,"serviceinstanceid": 52,"configType":"VIEW","configuration":"pod1vcs1.domain.com,pod2vcs1.domain.com"} {"idorganization":1,"serviceinstanceid": 103,"configType":"VIEW","configuration":"pod2vcs1.domain.com,pod1vcs1.domain.com"} {"idorganization":1,"serviceinstanceid": 154,"configType":"VIEW","configuration":"pod2vcs1.domain.com,pod1vcs1.domain.com"} Cancellazione della cache nel data center secondario Dopo aver terminato l'impostazione del data center primario e secondario, cancellare la cache del data center secondario, in preparazione per il failover. Quando si esegue il failover nel data center secondario, le cache del data center secondario deve essere vuota. Un altro modo di cancellare la cache consiste nel riavviare le appliance virtuali. VMware, Inc. 70

71 Procedura u Eseguire l'istanza di REST API seguente da un client REST come Postman. PERCORSO: /SAAS/jersey/manager/api/removeAllCaches Metodo: POST Aggiungere le intestazioni: Authorization: HZN <cookie_value> Accept: application/vnd.vmware.horizon.manager.cache.removal.response+json Content-type: application/vnd.vmware.horizon.manager.cache.removal.request+json Aggiungere nella sezione corpo (non elaborata): { "cachenames :[ ] } Nota: cachenames vuoto indica che tutte le cache vanno eliminate. Configurazione del database per il failover Per VMware Identity Manager, la replica del database è configurata in modo tale che i dati restino coerenti sui vari server di database all'interno del data center primario e del data center secondario. È necessario configurare il database esterno per la disponibilità elevata. Configurare un'architettura del database master e slave, dove lo slave è una replica esatta del master. Per informazioni, fare riferimento alla documentazione del database esterno. Se si utilizza SQL Server Always On, usare il nome host o l'indirizzo IP del listener di SQL Server quando si configura il database in ogni appliance VMware Identity Manager. Ad esempio: jdbc:sqlserver://<listener_hostname>;databasename=saas Failover nel data center secondario Quando nel data center primario si verifica un errore, è possibile eseguire il failover nel data center secondario. A tale scopo, è necessario modificare il programma di bilanciamento del carico o il record DNS in modo che faccia riferimento al programma di bilanciamento del carico nel data center secondario. In base alla configurazione del database, le appliance di VMware Identity Manager nel data center secondario sono in modalità di sola lettura o di lettura-scrittura. Per tutti i database ad eccezione di SQL Server Always On, le appliance di VMware Identity Manager sono in modalità di sola lettura. La maggior parte delle operazioni di amministrazione, ad esempio aggiungere utenti o app oppure autorizzare gli utenti, non sono quindi consentite. VMware, Inc. 71

72 Se si utilizza una distribuzione SQL Server Always On, le appliance di VMware Identity Manager nel data center secondario sono in modalità di lettura-scrittura. Importante: Dopo aver eseguire il failover sul data center secondario, è necessario cancellare tutte le cache del data center primario originale. Nel caso in cui sia necessario eseguire il failover sul data center primario originale, le cache in tale data center devono essere vuote. È possibile utilizzare un'istanza di REST API per cancellare la cache. Eseguire l'istanza di REST API seguente da un client REST come Postman: PERCORSO: /SAAS/jersey/manager/api/removeAllCaches Metodo: POST Aggiungere le intestazioni: Authorization: HZN <cookie_value> Accept: application/vnd.vmware.horizon.manager.cache.removal.response+json Content-type: application/vnd.vmware.horizon.manager.cache.removal.request+json Aggiungere nella sezione corpo (non elaborata): { "cachenames :[ ] } cachenames vuoto indica che tutte le cache vanno eliminate. Un altro modo di cancellare la cache consiste nel riavviare le appliance virtuali. Uso di un record DNS per controllare il data center attivo Se si utilizza un record DNS (Domain Name System) per indirizzare il traffico utente ai data center, in condizioni operative normali il record deve puntare a un bilanciamento del carico nel data center primario. Se il data center primario diventa non disponibile, il record DNS deve essere aggiornato in modo da fare riferimento al bilanciamento del carico nel data center secondario. Quando il data center primario torna di nuovo disponibile, il record DNS deve essere aggiornato in modo da fare riferimento al programma di bilanciamento del carico nel data center primario. VMware, Inc. 72

73 SSO mobile per l'autenticazione ios Se si utilizza SSO mobile per l'autenticazione ios, aggiornare le voci DNS A e AAAA in modo che puntino al programma di bilanciamento del carico nel data center secondario. Ad esempio: idm.example.com IN AAAA ::ffff: idm.example.com IN A Nota: Se si utilizza la funzionalità KDC ibrido, questo passaggio non è necessario. Impostazione di TTL (Time To Live) nel record DNS L'impostazione time to live (TTL) determina il tempo che passa prima che le informazioni correlate al DNS vengano aggiornate nella cache. Per un failover continuo di desktop e applicazioni Horizon, assicurarsi che nessuna impostazione Time-to-Live (TTL) nel record DNS abbia un valore troppo basso. Se il valore dell'impostazione TTL è troppo lungo, gli utenti potrebbero non essere in grado di accedere ai desktop e alle applicazioni Horizon immediatamente in seguito al failover. Per consentire un aggiornamento rapido del DNS, impostare il valore di TTL su 30 secondi. Attività di VMware Identity Manager non disponibili in modalità di sola lettura L'uso di VMware Identity Manager in modalità di sola lettura è pensato per l'alta disponibilità per consentire agli utenti finali di accedere alle risorse nel loro portale App personali. Alcune attività nella console di amministrazione di VMware Identity Manager e altre pagine di servizi di amministrazione potrebbero non essere disponibili in modalità di sola lettura. Di seguito è riportato un elenco parziale di attività comuni che non sono disponibili. Quando VMware Identity Manager è in esecuzione in modalità di sola lettura, le attività correlate alle modifiche in Active Directory o al database non possono essere completate e la sincronizzazione con il database VMware Identity Manager non funziona. Le funzioni amministrative che richiedono operazioni di scrittura nel database non sono disponibili in questa fase. È necessario attendere fino a che VMware Identity Manager ritorna in modalità di lettura e scrittura. Modalità di sola lettura della console di amministrazione di VMware Identity Manager Di seguito sono riportate alcune delle limitazioni nella console di amministrazione in modalità di sola lettura. Aggiunta, eliminazione e modifica di utenti nella scheda Utenti e gruppi Aggiunta, eliminazione e modifica di applicazioni nella scheda Catalogo Aggiunta, eliminazione e modifica di permessi per le applicazioni Modifica delle informazioni sul branding Sincronizzazione delle directory per aggiungere, modificare o eliminare utenti e gruppi Modifica delle informazioni sulle risorse, tra cui View, XenApp e altre VMware, Inc. 73

74 Modifica della pagina Metodi di autenticazione Nota: I componenti del connettore delle appliance di VMware Identity Manager nel data center secondario sono riportati nella console di amministrazione. Assicurarsi di non selezionare un connettore dal data center secondario come connettore di sincronizzazione. Modalità di sola lettura delle pagine di configurazione dell'appliance virtuale Di seguito sono riportate alcune delle limitazioni delle pagine di configurazione dell'appliance in modalità di sola lettura. Verifica della configurazione della connessione al database Modifica della password di amministratore nella pagina Modifica password Modalità di sola lettura del portale delle app dell'utente finale Quando VMware Identity Manager si trova in modalità di sola lettura, gli utenti possono collegarsi al loro portale VMware Identity Manager e accedere alle relative risorse. Le funzionalità riportate di seguito nel portale dell'utente finale non sono disponibili in modalità di sola lettura. Selezione o deselezione di una risorsa come preferita Aggiunta di risorse dalla pagina Catalogo o rimozione di risorse dalla pagina Programma di avvio Modifica della password dalla pagina del portale delle app Modalità di sola lettura del client Windows di VMware Identity Manager Quando VMware Identity Manager è in modalità di sola lettura, gli utenti non possono configurare nuovi client Windows. I client Windows esistenti continueranno a funzionare. Failback nel data center primario Nella maggior parte degli scenari di errore, è possibile eseguire il failback nel data center primario quando il data center funziona di nuovo. Procedura 1 Modificare il programma di bilanciamento del carico globale o il record DNS in modo che punti al programma di bilanciamento del carico nel data center primario. Vedere Uso di un record DNS per controllare il data center attivo. 2 Cancellare la cache nel data center secondario. Eseguire l'istanza di REST API seguente da un client REST come Postman: PERCORSO: /SAAS/jersey/manager/api/removeAllCaches Metodo: POST VMware, Inc. 74

75 Aggiungere le intestazioni: Authorization: HZN <cookie_value> Accept: application/vnd.vmware.horizon.manager.cache.removal.response+json Content-type: application/vnd.vmware.horizon.manager.cache.removal.request+json Aggiungere nella sezione corpo (non elaborata): { "cachenames :[ ] } cachenames vuoto indica che tutte le cache vanno eliminate. Un altro modo di cancellare la cache consiste nel riavviare le appliance virtuali. Promozione del data center secondario a data center primario In caso di errore persistente del data center primario, il data center secondario può essere promosso a data center primario. In una distribuzione di SQL Server Always On, non è necessaria alcuna modifica. Per le altre configurazioni di database, è necessario modificare il file runtime-config.properties nelle appliance di VMware Identity Manager nel data center secondario per configurare le appliance per la modalità di lettura-scrittura. Apportare queste modifiche in ogni appliance di VMware Identity Manager nel data center secondario. Procedura 1 Utilizzando un client ssh, accedere all'appliance di VMware Identity Manager come utente root. 2 Aprire il file /usr/local/horizon/conf/runtime-config.properties per la modifica. 3 Sostituire la riga read.only.service=true con read.only.service=false. 4 Salvare il file runtime-config.properties. 5 Riavviare il server Tomcat sull'appliance. service horizon-workspace restart Aggiornamento di VMware Identity Manager senza tempo di inattività Se si utilizza una distribuzione con più data center, è possibile aggiornare VMware Identity Manager alla versione successiva senza tempi di inattività. Per l'esecuzione degli aggiornamenti, utilizzare il workflow suggerito di seguito. Eseguire questi passaggi facendo riferimento al diagramma in Distribuzione di VMware Identity Manager in un data center secondario per il failover e la ridondanza. VMware, Inc. 75

76 Procedura 1 Modificare il routing nel programma di bilanciamento del carico globale in modo che le richieste vengano inviate al programma di bilanciamento del carico DC2. 2 Arrestare la replica del database. 3 Aggiornare l'appliance virtuale vidm1, l'appliance virtuale vidm2 e infine l'appliance virtuale vidm3. 4 Verificare gli aggiornamenti utilizzando il programma di bilanciamento del carico DC1. 5 Al termine, modificare il programma di bilanciamento del carico globale in modo che le richieste vengano inviate al programma di bilanciamento del carico DC1. 6 Aggiornare l'appliance virtuale vidm4, l'appliance virtuale vidm5 e infine l'appliance virtuale vidm6. 7 Verificare gli aggiornamenti utilizzando il programma di bilanciamento del carico DC2. 8 Avviare la replica del database. VMware, Inc. 76

77 Installazione di appliance 5 aggiuntive per il connettore Il connettore è una parte del servizio VMware Identity Manager. Quando si installa un'appliance virtuale di VMware Identity Manager, un connettore è sempre incluso per impostazione predefinita. Il connettore esegue le funzioni riportate di seguito. Sincronizza i dati degli utenti e i gruppi tra la directory aziendale e la directory corrispondente creata nel servizio. Se utilizzato in come provider di identità, autentica gli utenti per il servizio. Il connettore è il provider di identità predefinito. Poiché un connettore è già disponibile come parte del servizio, nelle distribuzioni tipiche non è necessario installarne un altro. In alcuni casi, tuttavia, potrebbe essere necessario un connettore aggiuntivo. Ad esempio: Se sono presenti più directory di tipo Active Directory (autenticazione di Windows integrata), sarà infatti necessario un connettore separato per ognuna di esse. Un'istanza del connettore può essere associata a più directory. Una partizione, detta worker, viene creata nel connettore per ogni directory. Tuttavia, non è possibile avere due worker con il tipo di autenticazione di Windows integrata nella stessa istanza del connettore. Se si desidera gestire l'accesso degli utenti a seconda che accedano da un percorso interno o esterno. Se si desidera utilizzare l'autenticazione basata sui certificati ma il bilanciamento del carico è configurato per terminare SSL sul bilanciamento. L'autenticazione con certificati richiede un passthrough SSL sul bilanciamento del carico. Per installare un connettore aggiuntivo, effettuare le operazioni riportate di seguito. Scaricare il pacchetto OVA del connettore. Generare un token di attivazione nel servizio. Distribuire l'appliance virtuale del connettore. Configurare le impostazioni del connettore. Tutti gli altri connettori che vengono distribuiti saranno riportati nell'interfaccia utente del servizio VMware, Inc. 77

78 Questo capitolo include i seguenti argomenti: Generazione del codice di attivazione per il connettore Distribuzione del file OVA di Connettore Configurazione delle impostazioni di Connettore Generazione del codice di attivazione per il connettore Prima di distribuire l'appliance virtuale del connettore, generare un codice di attivazione per il nuovo connettore dal servizio VMware Identity Manager. Il codice di attivazione del connettore è utilizzato per stabilire la comunicazione tra il servizio e il connettore stesso. Procedura 1 Accedere alla console di amministrazione di VMware Identity Manager. 2 Selezionare a scheda Gestione identità e accessi. 3 Fare clic su Configura. 4 Sulla pagina Connettori, fare clic su Aggiungi connettore. 5 Specificare un nome per l'istanza del nuovo connettore. 6 Fare clic su Genera codice di attivazione. Il codice di attivazione viene visualizzato nel campo Codice di attivazione connettore. 7 Copiare e salvare il codice di attivazione del connettore. Il codice di attivazione sarà utilizzato durante l'esecuzione della procedura guidata di impostazione del connettore. Passi successivi Installare l'appliance virtuale del connettore. Distribuzione del file OVA di Connettore Scaricare il file OVA per il connettore e distribuirlo mediante VMware vsphere Client o vsphere Web Client. Prerequisiti Identificare i record DNS e il nome dell'host da utilizzare per la distribuzione dell'ova per il connettore. Nel caso di vsphere Web Client, scegliere i browser Firefox o Chrome. Non utilizzare Internet Explorer per distribuire il file OVA. Scaricare il file OVA per il connettore. VMware, Inc. 78

79 Procedura 1 In vsphere Client o vsphere Web Client, selezionare File > Distribuisci modello OVF. 2 Nelle pagine relative a Distribuisci modello OVF, immettere le informazioni specifiche per la distribuzione del connettore. Pagina Origine Dettagli del modello OVA Licenza Nome e posizione Host/Cluster Pool di risorse Storage Formato disco Mappatura di rete Descrizione Selezionare la posizione del pacchetto OVA oppure immettere un URL specifico. Verificare di aver selezionato la versione corretta. Leggere l'accordo di licenza con l'utente finale e fare clic sul pulsante per accettare. Immettere un nome per l'appliance virtuale. Il nome deve essere univoco all'interno della cartella dell'inventario e può contenere fino a 80 caratteri. Per i nomi viene fatta distinzione tra lettere maiuscole e minuscole. Selezionare una posizione per l'appliance virtuale. Selezionare l'host o il cluster per eseguire il modello distribuito. Selezionare il pool di risorse. Selezionare la posizione per archiviare i file della macchina virtuale. Selezionare il formato del disco relativo ai file. Per gli ambienti di produzione, selezionare un formato Thick Provision. Utilizzare il formato Thin Provision per la valutazione e il testing. Mappare le reti nell'ambiente alle reti nel modello OVF. Proprietà a Nel campo Impostazioni fuso orario, selezionare il fuso orario corretto. b c d La casella di controllo relativa al programma CEIP (Customer Experience Improvement Program) è selezionata per impostazione predefinita. I dati anonimi sulla distribuzione vengono raccolti da VMware per migliorare l'esperienza dell'utente sulla base dei requisiti espressi. Se l'utente preferisce che i dati non vengano raccolti, deselezionare la casella di controllo. Nella casella di testo Nome host, immettere il nome dell'host da utilizzare. Se la casella viene lasciata vuota, la ricerca del nome dell'host viene effettuata mediante il DNS inverso. Per configurare l'indirizzo IP statico per il connettore, immettere l'indirizzo di ciascuno dei seguenti elementi: gateway predefinito, DNS, indirizzo IP e netmask. Importante: Se uno dei quattro campi relativi agli indirizzi viene lasciato vuoto, incluso Nome host, viene utilizzato il DHCP. Per configurare il DHCP, lasciare vuoti i campi relativi agli indirizzi. Completamento Rivedere le selezioni e fare clic su Fine. A seconda della velocità di rete, possono essere necessari alcuni minuti per la distribuzione. È possibile visualizzare l'avanzamento nella relativa finestra di dialogo. VMware, Inc. 79

80 3 Una volta completata la distribuzione, selezionare l'appliance del, fare clic con il pulsante destro del mouse e selezionare il pulsante di accensione > Accendi. L'appliance del viene inizializzata. È possibile andare nella scheda della console per visualizzare i dettagli. Una volta terminata l'inizializzazione dell'appliance virtuale, nello schermo della console vengono visualizzati la versione del e gli URL per accedere alla procedura guidata di impostazione del e completare la configurazione. Passi successivi Utilizzare la procedura guidata di impostazione per aggiungere il codice di attivazione e le password amministrative. Configurazione delle impostazioni di Connettore Una volta distribuito e installato il file OVA di connettore, eseguire la procedura guidata di impostazione per attivare l'appliance e configurare le password dell'amministratore. Prerequisiti Deve essere disponibile un codice di attivazione per il nuovo connettore. Vedere Generazione del codice di attivazione per il connettore. Assicurarsi che l'appliance di connettore sia accesa e di conoscere l'url di connettore. Raccogliere un elenco di password da utilizzare per l'amministratore del connettore, l'account root e l'account sshuser. Procedura 1 Per eseguire la procedura guidata di impostazione, immettere l'url del connettore visualizzato nella scheda della console dopo la distribuzione dell'ova. 2 Nella pagina di benvenuto, fare clic su Continua. 3 Creare password complesse per i seguenti account di amministratori dell'appliance virtuale del connettore. Le password complesse devono essere almeno di otto caratteri e comprendere lettere maiuscole e minuscole, nonché almeno un numero e un carattere speciale. Opzione Amministratore dell'appliance Descrizione Creare la password per l'amministratore dell'appliance. Il nome utente è admin e non può essere modificato. Questo account e questa password servono ad accedere ai servizi del connettore per gestire certificati, password dell'appliance e configurazione Syslog. Importante: La password dell'utente admin deve essere di almeno 6 caratteri. Account radice Account dell'utente SSH Per installare l'appliance del connettore, è stata utilizzata una password radice predefinita di VMware. Creare una nuova password radice. Creare la password da utilizzare per l'accesso remoto all'appliance del connettore. VMware, Inc. 80

81 4 Fare clic su Continua. 5 Nella pagina Attiva connettore, incollare il codice di attivazione e fare clic su Continua. Il codice di attivazione sarà verificato e sarà stabilita la comunicazione tra il servizio e l'istanza di connettore. La configurazione di connettore è completa. Passi successivi All'interno del servizio, impostare l'ambiente in base alle proprie esigenze. Ad esempio, se si desidera sincronizzare due directory Autenticazione integrata di Windows ed è stato aggiunto un ulteriore connettore, creare la directory e associarla al nuovo connettore. Configurare i certificati SSL per il connettore. Vedere Uso dei certificati SSL. VMware, Inc. 81

82 Utilizzo di KDC integrato 6 Per l'autenticazione SSO mobile per ios nei dispositivi ios gestiti da AirWatch, è possibile utilizzare KDC integrato. È sufficiente inizializzare manualmente Key Distribution Center (KDC) nell'appliance prima di abilitare il metodo di autenticazione dalla console di amministrazione. Nota: Quando si integra VMware Identity Manager con AirWatch in un ambiente Windows, utilizzare il servizio KDC ospitato nel cloud di VMware Identity Manager anziché KDC integrato. Se si utilizza KDC nel cloud, è necessario selezionare il nome dell'area di autenticazione appropriato nella pagina dell'adattatore di autenticazione di ios dalla console di amministrazione. Consultare la guida all'amministrazione di VMware Identity Manager. Prima di inizializzare KDC in VMware Identity Manager, è necessario determinare il nome dell'area di autenticazione per il server KDC, nonché definire se nella distribuzione sono presenti sottodomini e se utilizzare o meno il certificato predefinito del server KDC. Area di autenticazione L'area di autenticazione è un'entità amministrativa in cui sono presenti i dati di autenticazione. La selezione di un nome descrittivo per l'area di autenticazione Kerberos è molto importante. Il nome dell'area deve essere una parte di un dominio DNS che può essere configurato dall'azienda. Il nome dell'ambito e il nome di dominio completo (fully qualified domain name, FQDN) utilizzato per accedere al servizio VMware Identity Manager non sono correlati. L'azienda deve controllare i domini DNS sia per il nome dell'area di autorizzazione che per il nome di dominio completo. Di solito il nome dell'area di autorizzazione è uguale al nome di dominio ma in lettere maiuscole. A volte questi due nomi sono differenti. Ad esempio, il nome di un'area di autorizzazione è EXAMPLE.NET, mentre il nome di dominio completo di VMware Identity Manager è idm.example.com. In questo caso, è necessario definire le voci DNS sia per example.net che per example.com. Il nome dell'area di autorizzazione è utilizzato da un client Kerberos per generare i nomi DNS. Ad esempio, se il nome è example.com, il nome correlato a Kerberos per contattare il KDC mediante TCP è _kerberos._tcp.example.com. VMware, Inc. 82

83 Uso di sottodomini Il servizio VMware Identity Manager installato in un ambiente locale può utilizzare il sottodominio del nome di dominio completo di VMware Identity Manager. Se il sito di VMware Identity Manager accede a più domini DNS, configurare i domini come location1.example.com; location2.example.com; location3.example.com. Il valore del sottodominio in questo caso è example.com, specificato in minuscolo. Per configurare un sottodominio nel proprio ambiente consultare il team di supporto del servizio. Uso di certificati del server KDC Per impostazione predefinita, quando viene inizializzato KDC vengono generati un certificato del server KDC e un certificato root autofirmato. Il certificato è utilizzato per emettere il certificato del server KDC. Questo certificato root è inclso nel profilo del dispositivo in modo che il dispositivo possa considerare il KDC attendibile. Il certificato del server KDC può essere generato manualmente utilizzando un certificato root aziendale o un certificato intermedio. Contattare il team di supporto del servizio per maggiori dettagli su questa funzione. Scaricare il certificato root del server KDC dalla console di amministrazione di VMware Identity Manager per utilizzarlo nella configurazione di AirWatch del profilo di gestione del dispositivo ios. Questo capitolo include i seguenti argomenti: Inizializzazione del centro di distribuzione chiavi nell'appliance Creazione di voci DNS pubbliche per il KDC con Kerberos integrato Inizializzazione del centro di distribuzione chiavi nell'appliance Prima di poter utilizzare il metodo di autenticazione Mobile SSO per ios, è necessario utilizzare il centro di distribuzione chiavi (KDC, Key Distribution Center) nell'appliance di VMware Identity Manager. Per inizializzare KDC, assegnare il nome host di Identity Manager alle aree di autenticazione Kerberos. Il nome di dominio viene immesso in lettere maiuscole. Se si stanno configurando più aree di autenticazione Kerberos, per identificare un'area utilizzare nomi descrittivi che terminano con il nome di dominio di Identity Manager. Ad esempio, SALES.MY-IDENTITYMANAGER.EXAMPLE.COM. Se vengono configurati dei sottodomini, immetterne il nome in lettere minuscole. Prerequisiti VMware Identity Manager è stato installato e configurato. Il nome dell'area di autenticazione è stato identificato. Vedere Capitolo 6 Utilizzo di KDC integrato. VMware, Inc. 83

84 Procedura 1 Eseguire SSH sull'appliance di VMware Identity Manager come utente root. 2 Inizializzare il KDC. Immettere /etc/init.d/vmware-kdc init --realm {REALM.COM} -- subdomain {sva-name.subdomain}. Ad esempio /etc/init.d/vmware-kdc init --realm MY-IDM.EXAMPLE.COM --subdomain myidm.example.com Se si utilizza un bilanciamento del carico con più appliance di Identity Manager, utilizzare il nome del bilanciamento in entrambi i casi. 3 Riavviare il servizio VMWare Identity Manager. Immettere service horizon-workspace restart. 4 Avviare il servizio KDC. Immettere service vmware-kdc restart. Passi successivi Creare voci DNS pubbliche. I record DNS devono essere forniti per consentire ai client di trovare il KDC. Vedere Creazione di voci DNS pubbliche per il KDC con Kerberos integrato. Creazione di voci DNS pubbliche per il KDC con Kerberos integrato Dopo aver inizializzato il KDC in VMware Identity Manager, è necessario creare i record DNS pubblici per consentire ai client Kerberos di trovare il KDC quando è abilitata la funzione di autenticazione di Kerberos integrata. Il nome dell'area di autenticazione del KDC è utilizzato come parte del nome DNS per le voci dell'appliance di VMware Identity Manager utilizzate per individuare il servizio KDC. Per ogni sito di VMware Identity Manager sono necessari un record DNS SRV e due voci di indirizzo A. Nota: Il valore della voce AAAA è un indirizzo IPv6 che codifica un indirizzo IPv4. Se il KDC non è indirizzabile mediante IPv6 e viene utilizzato un indirizzo IPv4, può essere necessario specificare la voce AAAA nella notazione IPv6 strict come ::ffff:175c:e147 nel server DNS. È possibile utilizzare uno strumento di conversione da IPv4 a IPv6, come quello disponibile da Neustar.UltraTools, per convertire un indirizzo IPv4 alla notazione IPv6. VMware, Inc. 84

85 Esempio: Voci di record DNS per KDC In questo record DNS di esempio, l'area di autenticazione è EXAMPLE.COM, il nome di dominio completo di VMware Identity Manager è idm.example.com e l'indirizzo IP di VMware Identity Manager è idm.example.com IN AAAA ::ffff: idm.example.com IN A _kerberos._tcp.example.com IN SRV idm.example.com. _kerberos._udp.example.com IN SRV idm.example.com. VMware, Inc. 85

86 Utilizzo delle directory locali 7 La directory locale è uno dei tipi di directory che è possibile creare nel servizio VMware Identity Manager. Una directory locale consente di eseguire il provisioning degli utenti locali nel servizio e permettere loro di accedere ad applicazioni specifiche senza doverli aggiungere alla directory aziendale. La directory locale non è connessa ad alcuna directory aziendale e gli utenti e i gruppi non vengono sincronizzati da una directory aziendale. Gli utenti locali vengono infatti creati direttamente nella directory locale. Nel servizio è disponibile una directory locale predefinita denominata directory di sistema. È inoltre possibile creare più directory locali nuove. Directory di sistema La directory di sistema è una directory locale che viene creata automaticamente nel servizio quando viene configurato per la prima volta. Il dominio di questa directory è il dominio di sistema. Non è possibile modificare il nome o il dominio della directory di sistema o aggiungervi nuovi domini. La directory di sistema e il dominio di sistema non possono essere eliminati. L'utente amministratore locale creato durante la prima configurazione dell'appliance VMware Identity Manager viene creato nel dominio di sistema della directory di sistema. È possibile aggiungere altri utenti alla directory di sistema. La directory di sistema viene in genere utilizzata per configurare alcuni utenti amministratori locali per la gestione del servizio. Per eseguire il provisioning di utenti finali e amministratori aggiuntivi, nonché concedere loro i permessi per le applicazioni, è consigliabile creare una nuova directory locale. Directory locali È possibile creare più directory locali. Ogni directory locale può avere uno o più domini. Quando si crea un utente locale, è necessario specificare la directory e il dominio per tale utente. È inoltre possibile selezionare attributi per tutti gli utenti di una directory locale. Gli attributi utente, come username, lastname e firstname vengono specificati a livello globale nel servizio VMware Identity Manager. È disponibile un elenco di attributi predefinito a cui è possibile aggiungere attributi personalizzati. Gli attributi utente globali si applicano a tutte le directory del servizio, incluse le VMware, Inc. 86

87 directory locali. Al livello della directory locale, è possibile selezionare quali attributi sono obbligatori per la directory. In questo modo è possibile definire un insieme di attributi personalizzato per ogni directory locale. Si noti che gli attributi username, lastname, firstname e sono sempre obbligatori per le directory locali. Nota: La possibilità di personalizzare gli attributi utente a livello della directory è disponibile solo per le directory locali e non per Active Directory o le directory LDAP. La creazione delle directory locali risulta utile in scenari analoghi a quelli descritti di seguito. È possibile creare una directory locale per un tipo di utente specifico che non fa parte della directory aziendale. È ad esempio possibile creare una directory locale per i partner, che in genere non fanno parte della directory aziendale, e consentire loro di accedere solo alle applicazioni di cui necessitano. È consigliabile creare più directory locali se si desidera definire attributi utente o metodi di autenticazione diversi per set di utenti diversi. È ad esempio possibile creare una directory locale per i distributori con attributi utente come area e dimensioni del mercato e un'altra directory locale per i fornitori con attributi utente come categoria prodotto e tipo di fornitore. Provider di identità per la directory di sistema e le directory locali Per impostazione predefinita, la directory di sistema viene associata a un provider di identità denominato provider di identità del sistema. Per impostazione predefinita, in questo provider di identità è abilitato il metodo Password (directory Cloud), che si applica al criterio default_access_policy_set per l'intervallo di rete TUTTI GLI INTERVALLI e il tipo di dispositivo Browser Web. È possibile configurare metodi di autenticazione aggiuntivi e impostare criteri di autenticazione. Quando viene creata, una nuova directory locale non è associata ad alcun provider di identità. Dopo aver creato la directory, creare un nuovo provider di identità di tipo Embedded e associarvi la directory. Nel provider di identità, abilitare il metodo di autenticazione Password (directory Cloud). È possibile associare più directory locali allo stesso provider di identità. Il connettore VMware Identity Manager non è necessario per la directory di sistema e le directory locali create. Per ulteriori informazioni, vedere la sezione relativa alla configurazione dell'autenticazione degli utenti in VMware Identity Manager nella Guida all'amministrazione di VMware Identity Manager. Gestione delle password per gli utenti della directory locale Per impostazione predefinita, tutti gli utenti delle directory locali possono cambiare la propria password nell'app o nel portale Workspace ONE. È possibile impostare criteri per le password degli utenti locali. È inoltre possibile reimpostare le password degli utenti locali in base alle esigenze. VMware, Inc. 87

88 Quando sono connessi al portale Workspace ONE, gli utenti possono cambiare la propria password facendo clic sul proprio nome nell'angolo in alto a destra, selezionando Account nel menu a discesa e facendo clic sul collegamento Cambia password. Nell'app Workspace ONE, gli utenti possono cambiare la propria password facendo clic sull'icona del menu con tre barre e selezionando Password. Per informazioni sull'impostazione di criteri per le password e la reimpostazione delle password degli utenti locali, vedere la sezione relativa alla gestione di utenti e gruppi nella guida all'amministrazione di VMware Identity Manager. Questo capitolo include i seguenti argomenti: Creazione di una directory locale Modifica delle impostazioni della directory locale Eliminazione di una directory locale Creazione di una directory locale Per creare una directory locale, è sufficiente specificare gli attributi utente per la directory, creare la directory e identificarla con un provider di identità. 1 Impostazione degli attributi utente a livello globale Prima di creare una directory locale, verificare gli attributi utente globali nella pagina Attributi utente e aggiungere attributi personalizzati, se necessario. 2 Creazione di una directory locale Dopo aver esaminato e impostato attributi utente globali, creare la directory locale. 3 Associazione della directory locale a un provider di identità Associare la directory locale a un provider di identità in modo che sia possibile eseguire l'autenticazione degli utenti della directory. Creare un nuovo provider di identità di tipo Embedded e abilitare il metodo di autenticazione Password (directory locale) in tale provider. Impostazione degli attributi utente a livello globale Prima di creare una directory locale, verificare gli attributi utente globali nella pagina Attributi utente e aggiungere attributi personalizzati, se necessario. Gli attributi utente, come firstname, lastname, e domain, fanno parte del profilo di un utente. Nel servizio VMware Identity Manager gli attributi utente vengono definiti a livello globale e si applicano a tutte le directory del servizio, incluse le directory locali. A livello della directory locale è possibile ignorare il fatto che un attributo sia obbligatorio o facoltativo per gli utenti della directory, ma non è possibile aggiungere attributi personalizzati. Se un attributo è obbligatorio, è necessario specificare un valore per tale attributo quando si crea un utente. Quando si creano attributi personalizzati, non è possibile utilizzare le parole seguenti. VMware, Inc. 88

89 Tavola 7 1. Parole che non possono essere utilizzate come nomi di attributi personalizzati active addresses costcenter department displayname division s employeenumber entitlements externalid groups id ims locale manager meta name nickname organization password phonenumber photos preferredlanguage profileurl roles timezone title username usertype x509certificate Nota: La possibilità di ignorare gli attributi utente a livello della directory si applica solo alle directory locali e non alle directory di LDAP o Active Directory. Procedura 1 Nella console di amministrazione, fare clic sulla scheda Gestione identità e accessi. 2 Fare clic su Configura, quindi sulla scheda Attributi utente. 3 Esaminare l'elenco di attributi utente e aggiungere altri attributi, se necessario. Nota: Anche se in questa pagina è possibile scegliere quali attributi sono obbligatori, è consigliabile eseguire la selezione per le directory locali a livello delle directory locali stesse. Se un attributo viene contrassegnato come Obbligatorio in questa pagina, la condizione si applica a tutte le directory nel servizio, incluse le directory di Active Directory o LDAP. 4 Fare clic su Salva. Passi successivi Creare la directory locale. Creazione di una directory locale Dopo aver esaminato e impostato attributi utente globali, creare la directory locale. Procedura 1 Nella console di amministrazione, fare clic sulla scheda Gestione identità e accessi, quindi sulla scheda Directory. 2 Fare clic su Aggiungi directory e selezionare Aggiungi directory utente locale nel menu a discesa. VMware, Inc. 89

90 3 Nella pagina Aggiungi directory, immettere un nome di directory e specificare almeno un nome di dominio. Il nome del dominio deve essere univoco tra tutte le directory nel servizio. Ad esempio: 4 Fare clic su Salva. 5 Nella pagina Directory, fare clic sulla nuova directory. 6 Fare clic sulla scheda Attributi utente. Tutti gli attributi della pagina Gestione identità e accessi > Configura > Attributi utente verranno elencati per la directory locale. Gli attributi contrassegnati come obbligatori in tale pagina vengono elencati come obbligatori anche nella pagina della directory locale. VMware, Inc. 90

91 7 Personalizzare gli attributi per la directory locale. È possibile specificare gli attributi obbligatori e quelli facoltativi. È inoltre possibile modificare l'ordine di visualizzazione degli attributi. Importante: Gli attributi username, firstname, lastname e sono sempre obbligatori per le directory locali. Per rendere obbligatorio un attributo, selezionare la casella di controllo accanto al nome dell'attributo. Per rendere facoltativo un attributo, deselezionare la casella di controllo accanto al nome dell'attributo. Per modificare l'ordine degli attributi, fare clic e trascinare gli attributi nella nuova posizione. Se un attributo è obbligatorio, quando si crea un utente è necessario specificare un valore per tale attributo. Ad esempio: 8 Fare clic su Salva. Passi successivi Associare la directory locale al provider di identità che si desidera utilizzare per l'autenticazione degli utenti nella directory. VMware, Inc. 91