Phần 6: Triển khai đăng nhập 1 lần SSO theo cơ chế Multi-site trên VMware vCenter Appliance 5.5


I. Mô hình tổ chức quản lý tên miền AD-DC:

Xuất phát từ quan điểm tổ chức tên miền nhiều cấp, nhiều vùng, nhiều phòng ban, thậm trí nhiều vùng / thị trường của Doanh nghiệp (tập đoàn, tổng công ty…)

các Doanh nghiệp sẽ tổ chức hệ thống quản trị tên miền theo nhiều máy chủ AD server.

Tham khảo link: https://letonphat.wordpress.com/2010/10/03/active-directory-windows-server-2008/

Trees:

– Trees là một nhóm các domain được tổ chức theo cấu trúc hình cây với mô hình parent-child ánh xạ từ thực tế tổ chức của doanh nghiệp, tổ chức. Một domain có 1 họăc nhiều child domain nhưng 1 child domain chỉ có 1 parent-domain mà thôi.

image

Forests:

– Forest là một thuật ngữ được đặt ra nhằm định nghĩa 1 mô hình tổ chức của AD, 1 forest gồm nhiều domain trees có quan hệ với nhau, các domain trees trong forest là độc lập với nhau về tổ chức, nghe ra có vẻ mâu thuẫn trong mối quan hệ nhưng ta sẽ dễ hiểu hơn khi mối quan hệ giữa các domain trees là quan hệ Trust 2 chiều như các partners với nhau.

– Một forest phải đảm bảo thoả các đặc tính sau:

· Toàn bộ domain trong forest phải có 1 schema chia sẻ chung

· Các domain trong forest phải có 1 global catalog chia sẻ chung

· Các domain trong forest phải có mối quan hệ trust 2 chiều với nhau

· Các tree trong 1 forest phải có cấu trúc tên(domain name) khác nhau

· Các domain trong forest hoạt động độc lập với nhau, tuy nhiên hoạt động của forest là hoạt động của toàn bộ hệ thống tổ chức doanh nghiệp.

image

 

II. Cơ chế hoạt động vật lý của AD cho vấn đề Multi-site / Multi Domain:

(Kerberos Authentication Process Over Forest Trusts)

image

Google translate dịch kinh khủng đọc không hiểu phiền các bạn bỏ qua, chỉ cần hiểu concept thôi.

  1. User1 đăng nhập vào Workstation1 bằng các thông tin từ các miền europe.corp.tailspintoys.com. Sau đó người dùng cố gắng truy cập vào một nguồn tài nguyên chia sẻ trên FileServer1 nằm trong forests usa.corp.wingtiptoys.com.
  2. Liên lạc Workstation1 Trung tâm phân phối khóa Kerberos (KDC) trên một bộ điều khiển miền trong phạm vi của nó (ChildDC1) và yêu cầu thẻ dịch vụ cho FileServer1 SPN.
  3. ChildDC1 không tìm thấy trong cơ sở dữ liệu SPN phạm vi của nó và truy vấn các tên miền global để xem nếu bất kỳ lĩnh vực trong tailspintoys.com chứa SPN này.Bởi vì một danh mục global được giới hạn ở forests riêng của nó, là SPN không được tìm thấy. Các tên miền global sau đó sẽ kiểm tra cơ sở dữ liệu của nó cho thông tin về bất kỳ tín thác forests được thành lập với forests của mình, và nếu tìm thấy, nó sẽ so sánh các hậu tố tên được liệt kê trong các đối tượng tin tưởng forests miền tin cậy (TDO) để các hậu tố của mục tiêu SPN tìm một trận đấu. Khi một hợp được tìm thấy, các tên miền global cung cấp một gợi ý định tuyến trỏ tới ChildDC1. Gợi ý giúp định tuyến yêu cầu chứng thực trực tiếp đối với các khu forests đích, và chỉ được sử dụng khi tất cả các kênh truyền thống xác thực (bộ điều khiển miền địa phương và sau đó tên miền toàn cầu) không để định vị một SPN.
  4. ChildDC1 gửi giấy giới thiệu cho miền cha của nó trở lại Workstation1.
  5. Liên lạc Workstation1 một bộ điều khiển miền trong ForestRootDC1 (domain cha của nó) được giới thiệu đến một bộ điều khiển miền (ForestRootDC2) trong tên miền gốc forests của forests wingtiptoys.com.
  6. Liên lạc Workstation1 ForestRootDC2 trong forests của wingtiptoys.com cho một token dịch vụ đáp ứng các dịch vụ yêu cầu.
  7. ForestRootDC2 liên hệ Global của nó để tìm ra SPN, và các Global tìm thấy một trận đấu cho SPN và gửi nó trở lại ForestRootDC2.
  8. ForestRootDC2 sau đó gửi giấy giới thiệu để usa.corp.wingtiptoys.com lại Workstation1.
  9. Liên lạc Workstation1 các KDC trên ChildDC2 và thương lượng vé cho User1 để đạt được quyền truy cập vào FileServer1.
  10. Khi Workstation1 có một vé dịch vụ, nó sẽ gửi thẻ dịch vụ để FileServer1, mà đọc thông tin bảo mật của User1 và xây dựng một access token cho phù hợp.

 

Cổng cần thiết cho Trusts

Công việc Cổng Outbound Cổng Inbound Từ-To

Thiết lập các quỹ trên cả hai bên từ rừng nội

LDAP (389 UDP và TCP)

Microsoft SMB (445 TCP)

Kerberos (88 UDP)

Endpoint độ phân giải – portmapper (135 TCP) cổng Net Logon cố định

N / A

Internal miền domain controller-External domain controller miền (tất cả các cổng)

Xác nhận sự tin tưởng từ các bộ điều khiển miền rừng bên trong đến các bộ điều khiển miền rừng bên ngoài (tin tưởng đi chỉ)

LDAP (389 UDP)

Microsoft SMB (445 TCP)

Endpoint độ phân giải – portmapper (135 TCP) cổng Net Logon cố định

N / A

Internal miền domain controller-External domain controller miền (tất cả các cổng)

Sử dụng Object chọn vào rừng bên ngoài để thêm các đối tượng đó đang ở trong một rừng các nhóm nội bộ và DACLs

N / A

LDAP (389 UDP và TCP)

Cổng Windows NT Server 4.0 dịch vụ thư mục cố định

Net Logon cổng cố định

Kerberos (88 UDP)

Endpoint độ phân giải portmapper (135 TCP)

PDC miền máy chủ nội bộ bên ngoài (Kerberos)

Miền domain controller-Internal External miền domain controller (Logon Net)

Thiết lập sự tin tưởng vào rừng bên ngoài từ rừng bên ngoài

N / A

LDAP (389 UDP và TCP)

Microsoft SMB (445 TCP)

Kerberos (88 UDP)

Miền domain controller-Internal External miền domain controller (tất cả các cổng)

Sử dụng Kerberos xác thực (client rừng bên rừng bên ngoài)

Kerberos (88 UDP)

N / A

Client-External bộ điều khiển miền domain nội bộ (tất cả các cổng)

Sử dụng xác thực NTLM (khách hàng nội bộ rừng để rừng bên ngoài)

N / A

Endpoint độ phân giải – portmapper (135 TCP) cổng Net Logon cố định

Miền domain controller-Internal External miền domain controller (tất cả các cổng)

Tham gia một tên miền từ một máy tính trong mạng nội bộ đến một miền ngoài

LDAP (389 UDP và TCP)

Microsoft SMB (445 TCP)

Kerberos (88 UDP)

Endpoint độ phân giải – portmapper (135 TCP) cổng Net Logon cố định

Cổng Windows NT Server 4.0 dịch vụ thư mục cố định

N / A

Client-External bộ điều khiển miền domain nội bộ (tất cả các cổng)

chú ýChú ý
Cổng 445 và có khả năng TCP port 139 là cần thiết cho khả năng tương thích ngược.

 

III. Cấu hình Domain Forests và Trusts:

Bước 1:

image

Bước 2: mở DNS Server và cấu hình

image

Bước 3: Cấu hình DNS Fordward

image

 

Bước 4: Tương tự trên con máy chủ AD2

image

Bước 5: Tiếp theo vẫn trên máy chủ AD2  mở Active Directory Domain and Trusts

image

Bước 6: Nhập tên miền của AD1 vào

image

Bước 7: Chọn Forest trust

image

Bước 8: Chọn Two-way

image

Bước 8: Chọn Both this domain and the specified domain

image

Bước 9: Nhập user name và mật khẩu domain admin của AD1

image

Bước 10: Chọn xác thực Forest-wide cho Outgoing

image

Bước 11: Chọn xác thực Forest-wide

image

image

image

image

image

image

Bước 12: Kiểm tra kết quả cấu hình Forest trust

image

 

Sau khi cấu hình cả 2 máy chủ phần AD Domain and trust:

image

 

V. Các bước thử nghiệm sử dụng Forest Domain Trusts trên RDP:

Để sử dụng được 1 dịch vụ như RDP mà khi đăng nhập bạn có thể dùng tài khoản từ AD1 hoặc AD2 đều truy xuất được hệ thống RDP/RDSH …

  1. Tạo một nhóm bảo mật mới trên DomainA (Domain với RDS)
  2. Thay đổi Nhóm Phạm vi  Group scope thành “Domain local”
  3. Thêm các thành viên từ DomainB đến nhóm kiểu bảo mật “Group type = Security” mới trong DomainA
  4. RDS Mở trên DomainA và thêm các nhóm bảo mật mới để Phân quyền truy cập RemoteApp.

image

Sau đó hãy thêm nhóm đó vào RDP configuration:

image

Bây giờ bạn có thể thử nghiệm đăng nhập từ tài khoản thuộc nhóm thành viên trên.

 

VI. Cấu hình SSO trên VMware vCenter Appliance:

Các bạn vẫn thực hiện các phương pháp SSO như phần 4,5:

Tham khảo link:

Phần 4: Triển khai đăng nhập 1 lần SSO giữa AD và VMware vCenter Appliance 5.5

Phần 5: Triển khai đăng nhập 1 lần SSO giữa AD-DS và VMware vCenter Appliance 5.5

 

Chúc các bạn thành công !

About thangletoan

Hallo Aloha

Posted on 17/03/2015, in Active Directory, Active Directory AD, AD, AD developer, AD Sync, ADDS, ADFS, ADFS 2.0, ADFS Proxy, authentication, authorization, Ảo hoá, Ảo hoá VMware, Microsoft Active Directory, Microsoft CA, Microsoft Certificate Authenticate, Microsoft Certificate Authentication, Single Sign On, vCenter, vCenter Server Appliance, VMware, VMware ESXi, VMware ESXi 5, VMware ESXi host, vSphere and tagged , , . Bookmark the permalink. Để lại bình luận.

Gửi phản hồi

Mời bạn điền thông tin vào ô dưới đây hoặc kích vào một biểu tượng để đăng nhập:

WordPress.com Logo

Bạn đang bình luận bằng tài khoản WordPress.com Log Out / Thay đổi )

Twitter picture

Bạn đang bình luận bằng tài khoản Twitter Log Out / Thay đổi )

Facebook photo

Bạn đang bình luận bằng tài khoản Facebook Log Out / Thay đổi )

Google+ photo

Bạn đang bình luận bằng tài khoản Google+ Log Out / Thay đổi )

Connecting to %s

%d bloggers like this: