Осенью 2018 года мы писали об утилите True SSO Diagnostic Utility, с помощью которой можно проводить диагностику сертификатов Horizon View Enrollment Server (ES), настроек Active Directory PKI и свойств служб сертификации Enterprise Certificate Authorities (CA).
На днях же VMware на сайте Labs выпустила еще одно средство - True SSO Configuration Utility, предназначенное уже не только для диагностики, но и настройки сертификатов True SSO для использования с View Connection Server, Enrollment Server и вашим центром сертификации (Certificate Authoriry) и Active Directory.
Для корректной работы утилиты вам понадобятся следующие компоненты инфраструктуры:
VMware Horizon Connection Server
VMware Horizon Enrollment Server
Microsoft Certificate Authority
Workspace One Access
Чтобы начать использовать True SSO Configuration Utility нужно лишь запустить ее на Horizon Connection Server.
Видео установки и первоначальной настройки можно скачать по этой ссылке, а само средство True SSO Configuration Utility доступно для загрузки здесь.
Таги: VMware, Labs, Security, Horizon, SSO, Workspace ONE
На сайте проекта VMware Labs появилась очередная полезность - утилита True SSO Diagnostic Utility. С ее помощью можно проводить диагностику сертификатов Horizon View Enrollment Server (ES), настроек Active Directory PKI и свойств служб сертификации Enterprise Certificate Authorities (CA).
Horizon View True SSO использует серверы Microsoft Enterprise Certificate Servers для выпуска сертификатов, которые используются при логине пользователя в гостевую ОС виртуального ПК. Horizon View Enrollment Server ответственен за то, чтобы послать запрос на серверы сертификации, а также за мониторинг конфигурационных настроек PKI в инфраструктуре Active Directory.
Утилита True SSO Diagnostic Utility поможет вам найти причину проблем с выпуском и использованием сертификатов:
Для того, чтобы сервер ES мог выпускать сертификаты для пользователей, нужно чтобы было соблюдено несколько требований:
ES должен быть установлен в системе, которая является членом домена, где есть пользователь, либо из домена с двусторонним трастом к этому домену. Также он не может быть установлен на контроллер домена или Connection Server, но может быть установлен совместно со службой CA.
Должна быть сделана настройка шаблона сертификата со службой Smartcard Logon, а ES должно быть выдано разрешение Enroll на этот шаблон.
Для нужного шаблона должна быть настроена служба Enterprise CA для выпуска сертификатов.
Сертфикат Enrollment Certificate, который генерируется Enterprise CA из леса, где находятся пользователи, должен быть установлен в хранилище сертификатов на ES.
Сервер (или View Pod) Horizon View Connection должен быть слинкован в ES.
Утилиту True SSO Diagnostic Utility нужно скопировать на Horizon 7 Enrollment Server и запускать ее там. Руководство по ее использованию можно скачать тут, а саму утилиту здесь.
Как знают все администраторы vSphere, в инфраструктуре виртуализации есть основной пароль компонента Single Sign-On (SSO), являющегося частью служб Platform Service Controller (PSC). SSO отвечает за предоставление токена авторизации пользователю, который соединяется с vCenter и использует остальные решения, которые с ним интегрированы.
Если вы забыли пароль SSO, то никак не сможете администрировать основные службы PSC и vCenter. Также вы не сможете никаким способом повысить одного из пользователей с любой ролью до администратора SSO.
Но есть способ восстановить/сбросить пароль Single Sign-On, если вы используете vCenter Server Appliance (vCSA). Для этого нужно зайти на vCSA под пользователем root (его же вы не забыли, правда?):
После чего ввести команду для доступа к шеллу:
shell.set --enabled true
После этого напишите shell и нажмите Enter:
Далее запустите VDC админ-тул, и вы увидите вот такой результат:
Нажмите клавишу <3>, после чего у вас попросят ввести аккаунт (Account UPN), для которого будет сгенерирован временный пароль. Введите administrator@vsphere.local:
После этого с данным паролем войдите в vCenter Single Sign-On:
Ну а там уже перейдите в Administration>Single Sign On > Users и выберите Edit для пользователя Administrator. Там можно сменить пароль:
Это, кстати, говорит о том, что пароль root для vCenter Server Appliance нужно хранить особенно внимательно и не забывать.
Как многие из вас знают, в последней версии решения VMware Horizon 7 появился механизм аутентификации True SSO. Эта штука связывает средство единой аутентификации VMware Identity Manager с решением VMware Horizon 7 для решения задач одноразовой аутентификации пользователя различными методами (пароль, смарт-карта и т.п.), чтобы после этого он получал доступ к своему виртуальному ПК и приложениям без дополнительной аутентификации в Active Directory.
Задача эта важна, поскольку, например, VMware Horizon View используется в медицинских учереждениях, а там важно, чтобы врач получал мгновенный доступ к своему ПК, который может быть виртуальным. С помощью True SSO он теперь может просто приложить смарт-карту, после чего получит доступ к своим виртуальным ресурсам, на которые даны разрешения в инфраструктуре VMware View.
VMware Identity Manager Standard включен в издания VMware Horizon 7 Advanced и Enterprise, поэтому вы сразу можете приступать к работе через механизм True SSO. Суть работы этого механизма такова - сначала пользователь авторизуется через принятый в компании метод авторизации. Это может быть один из следующих (то, что поддерживает Identity Manager):
RSA SecurID
Kerberos
RADIUS authentication
RSA Adaptive Authentication
Сторонние провайдеры аутентификации, например, биометрические системы.
Далее пользователь уже может запустить любой десктоп или hosted-приложение уже без необходимости ввода своих паролей в Active Directory или какой-либо другой аутентификации. True SSO использует механизм SAML (Security Assertion Markup Language) для того чтобы передать User Principal Name (например, jdoe@example.com) к службе аутентификации, чтобы получить доступ к учетной записи AD. Затем Horizon 7 генерирует краткосрочные сертификаты для логина в гостевую ОС Windows виртуального ПК.
Преимущества этого метода таковы:
Отделение процесса аутентификации от непосредственно доступа к виртуальному ПК и приложениям (пользователь точно знает, что аутентифицироваться он будет лишь однажды - как подошел к компьютеру).
Повышенная безопасность - весь обмен идет на базе сертификатов, и пароли не гуляют по датацентру.
Поддержка большого набора методов аутентификации, приведенных выше. Если мы захотим поменять используемый метод - это не затронет инфраструктуру в целом.
Вот как работает True SSO:
1. Пользователь аутентифицируется в VMware Identify Manager одним из способов описанных выше. После этого пользователь выбирает десктоп или приложение из доступных ему, которое он хочет запустить, в консоли VMware Identity Manager.
2. Запускается Horizon Client под учетными данными пользователя, а его креды перенаправляются на View Connection Server.
3. View Connection Server валидирует идентификацию пользователя в Identify Manager путем отсылки SAML-запроса.
4. За счет использования службы Enrollment Service, Horizon 7 просит службу Microsoft Certificate Authority (CA) сгенерировать временный сертификат от имени пользователя.
5. Horizon 7 показывает этот сертификат ОС Windows виртуального ПК.
6. Windows аутентифицирует через этот сертификат пользователя в службе Active Directory.
7. Пользователь логинится в Windows-десктоп или приложение, а удаленная сессия обслуживается через Horizon Client.
Для работы механизма True SSO вам понадобится отдельная служба Enrollment Service, которая может быть развернута на машине с ОС Windows Server 2008 R2 или Windows Server 2012 R2 (4 ГБ оперативной памяти будет достаточно). Сам True SSO поддерживается для всех клиентских Windows-систем, а также протоколов доступа к виртуальным ПК, включая Blast Extreme и HTML Access.
Среди анонсов VMworld 2013, о которых мы писали вот тут, помимо обновленной платформы виртуализации VMware vSphere 5.5, было также объявлено о выпуске средства единой аутентификации в виртуальной инфраструктуре - VMware vCenter Single Sign-On 5.5 (SSO).
На самом деле это всего лишь версия 2.0 компонента SSO, но она уже была полностью переписана по сравнению с первой версией, у которой наблюдались серьезные проблемы, а именно:
Ограниченная интеграция с Active Directory
Сложность управления инфраструктурой SSL-сертификатов
Отсутствие четких инструкций и рекомендаций по развертыванию продукта
Сложность развертывания решения, особенно для администраторов небольшой инфраструктуры
Надо отметить, что SSO версии 1.0 компания VMware оеэмила у сторонних разработчиков, но ввиду его неудобства решила написать его для себя с нуля.
Теперь Single Sign-On 5.5 лишен перечисленных проблем, архитектурно он стал проще - нет нужды в сторонней базе данных, все построено на базе внутренней модели хранения LDAP. Мастер установки стал очень простым и позволяет без труда развернуть SSO не несколько узлов vCenter 5.5:
Теперь архитектура построена на модели multi-master, что предполагает наличие идентичной конфигурации на каждом узле, между которыми происходит встроенная в решение репликация. Теперь можно создавать логические группировки зарегистрированных ресурсов, например, по географическому признаку.
Обновилась и утилита vCenter Certificate Automation tool, которая теперь позволяет простым образом обновлять сертификаты компонентов средств управления виртуальной инфраструктурой vCenter Server 5.5.
Помимо прочего, теперь нет и заморочек с master password, которые вводили в недоумение многих пользователей.
VMware рекомендует устанавливать SSO вместе с сервером vCenter, а один экземпляр SSO может работать в инфраструктуре до 1000 хостов ESXi и 10 000 виртуальных машин.
Из остальных функций Single Sign-On 5.5 можно отметить следующие:
Поддержка односторонних и двусторонних AD-трастов
Поддержка нескольких лесов
Можно использовать локальную аутентификацию без домена, если это необходимо
Появилось множество средств для траблшутинга и диагностики решения
VMware vCenter Single Sign-On 5.5 можно будет скачать в составе инфраструктуры VMware vSphere.
Заметка навеяна письмом Владимира, который потерял пароль (master password) на VMware vCenter SSO из состава vSphere 5.1. Как многие знают, при установке служб единой аутентификации vCenter Single Sign-On (SSO) требуется задать master password для аккаунта admin@System-Domain, который нельзя забывать. Под учетной записью admin@System-Domain происходит аутентификация SSO для доступа к службам VMware vCenter.
Даже если вы впоследствии поменяете пароль для аккаунта admin@System-Domain, то пароль, задаваемый при установке (master password), потребуется, чтобы восстановить доступ к этому аккаунту.
Итак, случай 1 - вы помните master password, но забыли актуальный пароль к admin@System-Domain.
Для решения этой проблемы есть статья KB 2034608. Приведем краткое ее содержание:
Залогиньтесь как администратор на машину, где установлен SSO Server.
Запустите cmd.exe и перейдите в папку \Program Files\VMware\Infrastructure\SSOServer\utils
Выполните следующую команду:
rsautil reset-admin-password
введите свой master password, который вы задали при установке SSO.
введите аккаунт SSO, для которого вы хотите сбросить пароль (например, admin).
в случае успеха вы получите сообщение Password reset successfully
Если вы используете VMware vCenter Appliance, то процедура та же, за исключением того, что нужно выполнить команду:
./rsautil reset-admin-password
В следующей директории:
/usr/lib/vmware-sso/utils
Итак, случай 2 - вы забыли заданный при установке master password и ищете в гугле: vCenter SSO master password reset for admin@System-Domain
Сразу отметим, что способ описанный ниже не поддерживается со стороны VMware, а значит никто не несет ответственности за то, что будет сделано. А вот что надо сделать:
Надо поставить еще одну временную копию базы данных SSO и служб.
При установке обязательно запомнить и записать master password!
С помощью SQL-запроса получить хэш пароля этого master password.
Остановить продуктивные сервисы VMware vCenter и vCenter SSO.
С помощью SQL-запроса заменить хэш пароля на продуктивной БД SSO.
Перезапустить все окружение VMware vCenter и SSO.
Войти с заданным для временной базы vCenter SSO.
Как узнать хэш пароля из временной базы:
SELECT [PASSWORD] FROM [Dbo]. [IMS_PRINCIPAL] WHERE LOGINUID = 'admin' AND PRINCIPAL_IS_DESCRIPTION = 'admin'
Как заменить хэш пароля в продуктивной базе:
UPDATE [Dbo]. [IMS_PRINCIPAL] SET [PASSWORD] = 'ваш хэш пароля' WHERE LOGINUID = 'admin' AND PRINCIPAL_IS_DESCRIPTION = 'admin'
Как знают все администраторы VMware vSphere, версией 5.1 этой платформы виртуализации и виртуальными машинами можно управлять как через традиционный "толстый" клиент vSphere Client, так и через обновленный полнофункциональный "тонкий" vSphere Web Client.
При этом, как мы уже писали вот тут, версия толстого клиента VMware vSphere Client 5.1 - последняя и больше обновляться не будет, а дальше все администрирование инфраструктуры виртуализации будет полностью построено на базе веб-сервисов.
Однако, не все знают, что большинство новых возможностей vSphere 5.1 доступны только через Web Client, поэтому не стоит удивляться, не обнаружив их в стандартном клиенте. Основные возможности у обоих клиентов одинаковы, а ниже приведены различия в этих двух средствах управления виртуальной инфраструктурой VMware vSphere 5.1:
Функции, доступные только в vSphere 5.1 Web Client
Функции, доступные только в vSphere 5.1 (Desktop) Client
vCenter Single Sign-On - единый вход в сервисы виртуальной инфраструктуры (замена и расширение Linked Mode), включая аутентификацию и администрирование
VMware Desktop Plug-ins (Update Manager, SRM и т.п.) - возможность подключения плагинов различных продуктов VMware.
Навигация через списки Inventory Lists
Возможность подключения плагинов сторонних производителей
Добавление тэгов к объектам (Inventory Tagging) и их поддержка в поиске
Возможность постановки выполняемых задач на паузу (тут)
Возможность изменить вид гостевой ОС для существующей машины
Предлагаемые варианты при поиске объектов
Функции vCenter Server Maps (карты хостов, хранилищ, vMotion)
Сохранение вариантов поиска (Save Searches)
Возможность задания и изменения custom attributes для объектов
Улучшенная производительность при выводе списка объектов
Возможность соединения с хостом ESXi напрямую
Функции репликации виртуальных машин vSphere Replication (но не для VMware SRM)
Возможность раздувания тонкого диска (Inflate thin disk) до полного размера через Datastore Browser
Функции продукта Virtual Infrastructure Navigator (подробнее тут)
Функции Enhanced vMotion для горячей миграции виртуальных машин без общего хранилища (подробнее тут)
Интеграция с продуктом vCenter Orchestrator (vCO) в части рабочих процессов (расширенные меню)
Новые функции Virtual Distributed Switch (vDS)
Health Check
Export/Restore Configuration
Diagram filtering
Плагин для просмотра логов (Log Browser Plugin)
Резервное копирование средствами vSphere Data Protection (VDP)
Как мы видим, возможность прямого соединения с хостом и управления им есть на данный момент только у толстого клиента vSphere, поэтому без него трудно обойтись в случае недоступности сервисов vCenter.
Что касается функционала списков объектов (Inventory Lists), поиска по этим спискам, а также тэгирования объектов в vSphere Web Client, то на эту тему есть следующее видео:
RSS
