La plate-forme Workspace ONE est composée de VMware Identity Manager (vIDM) et de Workspace ONE UEM (anciennement VMware AirWatch).

Aujourd’hui, nous allons nous intéresser à VMware Identity Manager (vIDM) qui est un composant essentiel, car il permet la gestion de l’identité de vos utilisateurs en leur permettant d’avoir accès à l’aide d’un portail unique à la quasi-totalité des applications de votre entreprise à partir de n’importe quel périphérique.

Dans cet article, nous allons voir comment mettre en place VMware Identity Manager (vIDM).

ARCHITECTURE

Nous allons dans un premier temps mettre en place l’appliance vIDM (1), par la suite nous installerons le connecteur vIDM (2).

L’appliance vIDM se trouvera dans une DMZ dans mon cas ça sera dans mon VLAN INTERNET.

Le connecteur vIDM doit être installé dans le réseau d’entreprise dans mon cas VLAN MANAGEMENT pour qu’il puisse avoir accès à l’annuaire Active Directory ainsi qu’a d’autres services que nous aborderons dans d’autres articles.

PRÉREQUIS

• Avoir un domaine Active Directory
• Préparer une machine sous Windows Server 2012 R2/2016 qui accueillera le connecteur vIDM (la machine doit être intégrée au domaine AD)
• Ouvrir les flux nécessaires entre les deux machines du tableau ci-dessous
• Télécharger vIDM sur le site de VMware (identity-manager-19.03.0.0-13322314_OVF10.ova)
• Télécharger le connecteur vDIM sur le site de VMware (VMware_Identity_Manager Connector_19.03.0.0_Installer.exe)

1 – Déploiement de l’Appliance vIDM

1.1 Déploiement de l’OVA

Depuis le vCenter, faire un clic droit sur votre Cluster/Hôte, cliquez ensuite sur “Deploy OVF Template”

Dans Local File, sélectionnez le fichier OVA identity-manager-19.03.0.0-13322314_OVF10.ova

Donnez un nom à la machine virtuelle, cliquez ensuite sur NEXT.

Sélectionnez votre Cluster/Hôte, cliquez sur NEXT.

Acceptez le contrat de licence, cliquez ensuite sur NEXT.

Sélectionnez le Datastore dans lequel l’appliance sera déployée, cliquez ensuite sur NEXT.

Sélectionnez le réseau DMZ, dans mon cas c’est le VLAN INTERNET, cliquez sur NEXT.

Complétez les différents champs avec les paramètres réseau de l’appliance vIDM 1/2

Complétez les différents champs avec les paramètres réseau de l’appliance vIDM 2/2, cliquez ensuite sur NEXT.

Patientez le temps du démarrage complet de l’appliance (environs 15min) jusqu’à l’apparition de l’écran Bleu.

Complétez l’assistant en choisissant 3 mots de passe pour le compte admin, root et sshuser. Cliquez ensuite sur Continue.

Laissez la base de données intégrée à l’appliance, cliquez ensuite sur Continue.

La configuration commence.

L’appliance est maintenant configurée et prête à être utilisée. Cliquez sur “Identity Manager Admin Console”.

Avant d’aller plus loin, il est nécessaire de renseigner la licence. Pour cela, allez dans Appliance Settings > License. Renseignez ensuite la clef et confirmer en cliquant sur Save.

1.2 Déclaration d’un connecteur

Avant d’installer le connecteur, il est nécessaire de le déclarer dans vIDM. Pour cela, allez dans Identity & Access Management > Setup > Add Connector.

Donnez un nom au connecteur, cliquez ensuite sur Generate Activation Code.

Sauvegardez l’activation code, nous l’utiliserons par la suite. Cliquez ensuite sur OK.

2 – Déploiement du connecteur vIDM

2.1 Création du compte de service sur l’AD

Le connecteur vIDM a besoin d’un compte de service du domaine pour pouvoir authentifier les utilisateurs et les différentes applications à l’aide de l’authentification intégrée. Pour cela, créez un utilisateur svc-vidmconnector et affectez-lui les droits admin nécessaires pour qu’il puisse aussi lancer le service vidm-connector à chaque démarrage de la machine. Dans mon cas, l’utilisateur VEXPERTsvc-vidmconnector fait partie du groupe administrateur local de la machine vidm-connector

2.2 Installation du connecteur vIDM

Si le .NET Framework 4.6 n’est pas installé, l’assistant vous propose de le faire pour vous, cliquez sur Install.

Cliquez sur Oui pour lancer l’installation de la dernière version de Java JRE.

Cochez la case “Would you like to run the Connector service as a domain user account”, renseignez les informations d’authentifications du compte svc-vidmconnector. Cliquez ensuite sur Next.

Une fenêtre vous propose d’ouvrir la page de configuration du connecteur. Cliquez sur Oui. Il est nécessaire de patienter (environs 5min) le temps du démarrage complet du service vidm-connector.

Choisissez un mot de passe pour le compte admin du connecteur. Cliquez ensuite sur Suivant.

Renseignez le code d’activation récupéré à l’étape 1.2 Déclaration d’un connecteur. Cliquez ensuite sur Continuer.

Patientez le temps du décryptage du code d’activation et la tentative de communication avec l’appliance vIDM.

Sachant que nous avons déployé l’appliance ainsi que le connecteur avec des certificats auto générés par VMware, il est nécessaire de récupérer la CA Racine de l’appliance vIDM et la renseigner au connecteur pour qu’il puisse accepter les connexions. Pour cela, allez sur l’adresse de l’appliance vIDM http://vidm.mchelgham.lab:443/horizon_workspace_rootca.pem téléchargez le fichier .pem et copiez ensuite son contenu.

3 – Configurations finales

3.1 Ajout de l’annuaire AD

Sur la console d’administration de l’appliance vIDM allez dans Identity & Access Management > Manage > Directories > Add Directory.

Renseignez les informations nécessaires comme dans l’image ci-dessous. Cliquez ensuite sur Save & Next.

Spécifiez le DN qui contient tous les groupes que vous voulez synchroniser avec vIDM. Dans mon cas, j’ai renseigné le DN de base pour récupérer tous les groupes.

Cochez ensuite la case Select all, pour sélectionner tous les groupes que l’assistant trouvera. Cliquez sur Next.

Spécifiez le DN qui contient vos utilisateurs et que vIDM synchronisera. Cliquez sur Next.

L’assistant affiche un récapitulatif des groupes/utilisateurs trouvés. Le message d’information en rouge indique que les utilisateurs mentionnés ne disposent pas des champs nécessaires par vIDM. Vous pouvez cliquer sur Sync Directory.

Le domaine a bien été ajouté et synchronisé avec vIDM.

3.3 Lier le connecteur vIDM avec le provider intégré

Jusqu’ici nous avons configuré le domaine pour qu’il puisse être utilisé par vIDM, mais nous devons finaliser la configuration pour que le domaine ajouté puisse être utilisé avec le provider intégré de vIDM et ainsi éviter une redirection des utilisateurs (au moment où ils sélectionnent le domaine au niveau de l’écran de connexion) vers le connecteur qui lui se trouve dans le réseau de management. L’appliance vIDM prendra donc le relais des requêtes et les transmettra directement au connecteur en interne. Pour cela, allez dans Identity & Access Management > Setup > Identity Providers > Built-in

Configurer le provider comme dans l’image ci-dessous. N’oubliez pas de décocher Password (Local Directory). Cliquez sue SAVE

Le provider intégré est maintenant configuré.

3.4 Configuration des policy

Pour pouvoir utiliser le domaine Active Directory depuis n’importe quel équipement, il est nécessaire de modifier la politique d’accès par défaut. Pour cela, allez dans Identity & Access Management > Policies > default_access_policy_set > Edit

Supprimez les règles existantes, puis configurez une nouvelle règle comme dans la capture ci-dessous 1/2.

Supprimez les règles existantes, puis configurez une nouvelle règle comme dans la capture ci-dessous 2/2. Cliquez sur SAVE.

3.2 Configurer l’administrateur vIDM

Maintenant que vIDM est configuré avec un domaine Active Directory, nous allons renseignez l’utilisateur Super Admin depuis l’annuaire pour ne plus utiliser le compte admin local de l’appliance. Pour cela, allez dans Roles > Super Admin > ASSIGN.

Choisissez votre utilisateur Super Admin, cliquez ensuite sur SAVE.

Test 

C’est le moment de tester tout ça

Choix du domaine vexpert.lab

Renseignement des informations d’authentifications. 

Affichage du portail d’applications

Possibilité pour l’utilisateur Super Admin d’aller sur la console d’administration

Affichage du Dashboard de la console d’administration

Voilà, vous venez d’installer VMware Identity Manager ainsi qu’un connecteur qui gère l’authentification des utilisateurs qui se trouvent dans votre domaine.

Dans le prochain article, nous utiliserons ce même connecteur pour nous connecter à un environnement horizon View, et ainsi offrir à un utilisateur l’accès à son bureau virtuel ainsi qu’aux applications RDSH directement depuis le portail Workspace ONE.

L’article Mise en place de VMware Workspace ONE – vIDM (VMware Identity Manager) est apparu en premier sur MCHELGHAM.

Dans cet article nous allons voir comment configurer vRealize Automation avec l’Active Directory, pour par la suite pouvoir exploiter l’authentification centralisée basée sur les groupes.

PRÉREQUIS

• Avoir installé vRealize Automation

1 – Création des groupes nécessaires

Lors d’un déploiement de vRA, il est nécessaire d’avoir un annuaire d’authentification centralisée qui facilitera énormément la gestion des différents droits pour les utilisateurs de la solution et des différents tenants qui composent vRealize Automation.

Les différents droits seront basés principalement sur des groupes, par la suite à vous de choisir lesquels de vos utilisateurs auront accès à telle ou telle fonctionnalité et avec quels droits.

Dans les prochains articles nous allons commencer à mettre en place les différents endpoint, fabric group, réservation et business group, tout cela dans le tenant par défaut (vsphere.local).

Dans mon exemple, je vais créer un business group (groupe de travail) développeurs, qui utilisera la première fabric que je créerai, le tout dans le tenant par défaut. 

Le business group Dev contiendra plusieurs types de personnes, les managers du groupe, les équipes supports, les utilisateurs finaux (users) qui feront les demandes et un autres type bien particulier celui des utilisateurs qui auront droit de voir les déploiements des autres utilisateurs du même business group (sharedacc).

Ce qui nous donne les groupes ci-dessous:

• grp-vra-default-fabric01administrator : Contiendra tous les utilisateurs autorisés à administrer la fabric01 du tenant default.
• grp-vra-default-iaasadministrator : Contiendra tous les utilisateurs autorisés à administrer toute l’infrastructure du tenant default.
• grp-vra-default-dev-manager : Contiendra tous les managers du business groupes Dev du tenant default.
• grp-vra-default-dev-sharedacc : Contiendra tous les utilisateurs autorisés à voir les déploiements des autres utilisateurs du business groupes Dev du tenant default.
• grp-vra-default-dev-support : Contiendra tout les utilisateurs qui feront du support aux utilisateurs du business groupes Dev du tenant default.
• grp-vra-default-dev-users : Contiendra tous les utilisateurs finaux du business groupes Dev du tenant default.

2 – Configuration de vRealize Automation

Dans un premier temps, connectez-vous sur le tenant par défaut (https://vra-app01.vexpert.lab/vcac/) avec le compte administrator

Une fois connecté, allez dans Tenants -> vsphere.local ensuite cliquer sur Edit.

Dans l’onglet Local users, si vous n’avez aucun utilisateur c’est parce que vous avez déployé vRA sans le contenu initial. Dans ce cas, aller à l’étape suivante pour créer l’utilisateur.

Si vous avez déployé vRA avec le contenu initial, l’utilisateur configurationadmin est normalement présent. Si ce n’est pas le cas, vous devez le créer comme dans l’image ci-dessous.

Une fois que l’utilisateur est créé, vérifiez qu’il est bien présent en tant que Tenant administrator & IaaS administrator, si ce n’est pas le cas, rajoutez-le.

Une fois terminé, déconnecter-vous et reconnectez-vous avec l’utilisateur configurationadmin

Une fois connecté, allez dans Administration -> Directories Management -> Directories. Cliquez sur Add Directory ensuite sur Add Active Direcotry over LDAP/IWA

Complétez les informations de votre Active Directory comme dans l’image ci-dessous. En (1) vous devez renseigner le domaine. En (2) laissez le connecteur par défaut. En (3) renseignez le Base DN depuis lequel les recherches dans l’annuaire commencent, dans Bind DN le compte de service qui sera utilisé pour parcourir l’Active Directory et rechercher les utilisateurs (cet utilisateur doit avoir une délégation sur l’AD pour lires les informations des utilisateurs), en Bind User Password le mot de passe du compte Bind. En (4) n’oubliez pas de tester la connexion. Une fois la connexion réussie vous pouvez cliquez sur Save & Next (5).

Dans mon cas, je dispose que d’un seul domaine, laissez par défaut et cliquez sur Next.

Laissez par défaut et cliquez sur Next.

Ici (1), vous devez renseignez le chemin de vos différents groupes, dans mon cas j’ai classé tous mes groupes dans une OU qui se trouve à la racine et s’appelle “Groupes”.  En (2) vous devez cliquer pour sélectionner les groupes que vous voulez synchroniser.

La liste des groupes trouvés par vRA s’affiche, sélectionnez les groupes que vous voulez synchroniser. Dans mon cas je sélectionne tous les groupes (1). Cliquez sur Save (2).

Cliquez ensuite sur Next (1).

Ici (1), vous devez renseigner le chemin (DN) dans lequel se trouvent vos utilisateurs. Cliquez sur Next (2).

Tout est prêt, cliquez sur Sync Directory (1).

Attendez que la synchronisation se termine.

Une fois la synchronisation terminée, déconnectez-vous et reconnectez-vous avec l’utilisateur administrator.

Dans Tenants (1), sélectionnez le tenant par défaut, allez ensuite dans l’onglet Local users (2), supprimez ensuite l’utilisateur configurationadmin (3)(4).

Dans l’onglet Administrators, mettez le groupe grp-vra-default-iaasadministrator en tant Tenant et IaaS administrator (1)(2)(3)(4).

Maintenant, allez dans votre AD et rajouter votre utilisateur dans le groupe grp-vra-default-iaasadministrator

Revenez sur vRA, dans l’écran d’authentification cliquez sur Change to a différent domain (1)

Sélectionnez votre domaine (2), cliquez ensuite sur Next (3).

Renseignez les informations d’authentification de votre utilisateur (1), cliquez ensuite sur Sign In (2).

Voilà, vous êtes maintenant connecté avec vos informations d’authentification AD et vous avez les rôles Tenant & IaaS administrator du tenant vsphere.local.

Nous venons de voir comment utiliser un annuaire d’authentification centralisé de type Active Directory avec vRA, dans les prochains articles nous verrons comment affecter des droits et créer des rôles personnalisés pour les utilisateurs de notre tenant vsphere.local.

L’article [vRA 7] Intégration avec l’Active Directory est apparu en premier sur MCHELGHAM.

Dans cet article nous allons voir ensemble comment installer VMware vRealize Automation 7.6 en déploiement minimal, à utiliser uniquement dans le cadre de LAB ou de POC.

PRÉREQUIS LAB

• Télécharger l’OVA de l’appliance vRA depuis le site de VMware
• Préparer les IP/hostname pour les Machines ci-dessous.

1 – Installation de l’Active Directory

Suivre l’article Installation d’un Domaine Active Directory [Video]

2 – Installation de Microsoft SQL Server 2017

Suivre l’article Installation de Microsoft SQL Server 2017

Une fois l’installation terminée, il est nécessaire d’activer le service DTC (Distributed Transaction Coordinator). Pour cela, Dans la barre de recherche Windows, cherchez et lancez comexp.msc 

Allez dans Services de composants => Ordinateurs => Poste de travail => Coordinateur de transactions distribuées => DTC local

Faire un clic droit, ensuite Propriétés.

Activez les fonctionnalités de l’onglet Sécurité comme dans l’image ci-dessous.

3 – Déploiement de l’appliance vRealize Automation 

Déployer VMware-vR-Appliance-7.6.Y.YYY-XXXXXXX_OVF10.ova depuis le vCenter

Sélectionnez un Host/Cluster/RP dans lequel la VM sera déployée.

Cliquez sur NEXT.

Acceptez le contrat de licence.

Sélectionnez un Datastore pour la VM

Sélectionnez le réseau depuis lequel la VM sera joignable. Dans mon cas c’est mon réseau de Management des ESXi + vCenter …

Complétez les informations comme dans l’image ci-dessous, en choisissant un mot de passe pour le compte root de l’appliance et en adaptant avec vos IP/Hostname/Domaine/DNS/GW

Faire la même chose que précédemment.

Cliquez sur Finish pour lancer le déploiement.

Le déploiement se lance…

Une fois le déploiement terminé, lancez l’appliance vra-app01 (erreur sur le screenshot).

Patientez quelques instants (20/30min) le premier démarrage n’est pas rapide, car l’appliance se configure. Attendez l’apparition de l’écran ci-dessous avant de continuer.

5 – Installation du Management Agent (IAAS)

Nous allons maintenant nous occuper de la préparation de la VM vra-iaas01 en lui installant l’agent vCAC-IaaSManagementAgent-Setup.msi qui communiquera avec l’appliance vRA.

Cet agent sert uniquement pendant l’installation et s’occupe à travers différents scripts powershell d’installer tous les prérequis nécessaires à Windows Server pour qu’il puisse participer en tant que serveur IaaS.

Pour télécharger l’agent, depuis la VM vra-iaas01, allez sur l’IP de l’appliance, dans mon cas https://10.10.10.101 ou https://vra-app01.vexpert.lab, ensuite cliquer sur vRealize Automation component installation page

Cliquez sur Management Agent Installer.

Cliquez sur Exécuter.

L’assistant d’installation s’ouvre, cliquez sur Next

Acceptez le contrat de licence.

Laissez par défaut cliquer ensuite sur NEXT.

Renseignez les informations de l’appliance vra-app01 comme dans l’image ci-dessous.

Renseignez les informations d’un compte administrateur de la VM vra-iaas01

Cliquez sur Install lancer l’installation.

L’installation démarre.

Une fois terminée, cliquez sur Finish.

La VM vra-iaas01 est maintenant prête à être utilisée par l’appliance vRA vra-app01.

4 – Lancement de l’installation de vRA 7.6

Connectez-vous avec le mot de passe du compte root à l’interface de management de l’appliance à l’adresse https://10.10.10.101:5480 ou https://fqdn:5480

L’assistant d’installation se lance automatiquement, cliquez sur NEXT.

Acceptez le contrat de licence et cliquez sur NEXT.

Laissez le type de déploiement par défaut à savoir Minimal Deployement + Install infrastructure as a Service. Cliquez sur NEXT.

Si à l’étape 3 l’installation du Management agent s’est bien déroulée vous devriez le voir apparaître comme dans la capture ci-dessous. Cliquez sur NEXT.

L’assistant d’installation doit vérifier le contenu de vra-iaas01, cliquez sur RUN pour lancer le check. Une fois terminé, le message “Some prerequisties are not met” apparaît, cliquez FIX pour laisser l’agent installer les composants manquants et configurer proprement le serveur.

Une fois que l’agent a terminé et que le serveur est prêt, cliquez sur NEXT

Cliquez sur “Resolve Automatically”

Choisissez un mot de passe pour le compte administrator@vsphere.local du tenant par défaut.

Renseignez les informations du serveur vra-iaas01 comme dans l’image ci-dessous. Choisissez aussi un mot de passe de cryptage de la BDD.

Renseignez les informations du serveur MS SQL SERVER (vra-db01)comme dans l’image ci-dessous.

Laisser la configuration par défaut.

Laissez la configuration par défaut, mais retenez bien le nom de l’agent, car il sera redemandé plus tard lors de l’ajout d’un vCenter à vRA.

Renseigner les champs du certificat qui sera généré automatiquement par l’assistant, si vous avez vos propres certificats issus de votre PKI c’est ici que ça se passe.

Une fois généré, cliquez sur Keep Existing et cliquer sur NEXT. (Un bug apparaît parfois avec l’assistant 7.6 qui ne détecte pas le certificat généré, vous devez ressayer plusieurs fois jusqu’à l’apparition du NEXT)

Cliquez sur VALIDATE

Une fois la validation terminée, cliquez sur NEXT

Cette étape est très importante ! Je vous recommande vivement de faire un snapshot des VM (vra-iaas01, vra-app01, vra-db01), en cas d’échec de l’installation, vous pourriez revenir et corriger les informations erronées et ne pas refaire la préparation des différentes VM.

Cliquez sur INSTALL

L’installation commence doucement, patientez cette phase est très longue.

Une fois l’installation terminée, vous devriez avoir du VERT de partout Cliquez sur NEXT.

Renseignez la clé de licence vRA

Activez ou non le CEIP.

Si c’est la première fois que vous réalisez l’installation de vRA, vous pouvez installer le contenu par défaut qui contient quelques blueprint en exemple.

Même chose que précédemment, dans le tenant par défaut un utilisateur qui a le rôle ” Tenant / IaaS administrator” du tenant par défaut est créé avec quelques contenus de bases. Renseignez un mot de passe pour l’utilisateur configurationadmin, cliquez sur “Create Initial Content” ensuite sur NEXT.

Bravo ! l’installation est maintenant terminée ! Cliquez sur Finish pour fermer l’assistant.

6 – Tests de connexion

Pour pouvoir commencer à exploiter VMware vRealize Automation, vous devez connaitre un login qui est très important qui est administrator@vsphere.local qui vous permettra de créer les futurs tenant depuis l’adresse du tenant par défaut https://vra-app01.vexpert.lab/vcac/ 

Une fois connecté, vous devriez avoir l’interface ci-dessous.

Le deuxième login qui est important, car il vous permettra de commencer à jouer avec vRA est configurationadmin@vsphere.local à l’adresse https://vra-app01.vexpert.lab/vcac/ 

Dans le cas ou pendant l’installation vous aviez fait le choix de ne pas générer cet utilisateur, ce dernier ne fonctionnera pas. Vous devez le créer avec le compte administrator et le mettre en tant que “Tenant / IaaS Administrator” du tenant vsphere.local

PS : Vos futurs tenants auront pour adresse https://vra-app01.vexpert.lab/vcac/org/TENANT 

Voilà c’est terminé dans les prochains articles nous verrons en profondeur comment exploiter VMware vRealize Automation en créant des blueprint avec différents scénarios de déploiements.

L’article Installation de vRealize Automation 7.6 [Minimal Deployement] est apparu en premier sur MCHELGHAM.

EN VIDÉO:

INTRODUCTION

PRÉREQUIS

• Windows Serveur 2016 installé
• lui attribuer une IP fixe
• Changer le nom du serveur (en ad-srv01 par exemple)

1) INSTALLATION du rôle AD

Ouvrir le “Gestionnaire de serveur”

Aller dans Gérer -> Ajouter des rôles et fonctionnalités

Cliquer sur Suivant

Laisser le choix par défaut “Installation basée sur un rôle ou une fonctionnalité”, ensuite cliquer sur Suivant

Sélectionner le serveur (ad-srv01 dans notre cas) sur lequel on va installer l’Active Directory

Cocher “Serveur DNS” et “Service AD DS”, et cliquer sur Suivant

Ne rien cocher dans cette partie, cliquer directement sur Suivant

Cliquer encore sur Suivant

lancer le début de l’installation en cliquant sur Suivant

L’installation commence….

Une fois l’installation est terminée, on clique sur Fermer

Promotion de notre AD

Maintenant que notre rôle AD DS est installé, nous allons le configurer, pour cela dans le Gestionnaire de serveur, aller dans le menu des notifications et cliquer sur “Promouvoir ce serveur en contrôleur de domaine”

A cette étape choisir “Ajouter une nouvelle forêt”, et donner lui un nom de domaine 

Laisser les options par défaut, et choisir un mot de passe de restauration

Sachant qu’aucun rôle DNS n’est installé, laissons l’assistant en installer et en configurer un pour nous en cliquant sur Suivant.

On laisse le nom NetBIOS généré par l’assistant et on clique sur Suivant

On laisse les réglages par défaut et on clique sur Suivant

Cliquer sur Suivant pour lancer la vérification de la configuration requise.

Une fois la vérification de la configuration requise terminée, on lance l’installation on cliquant sur Installer

L’installation commence

Pendant l’installation, notre Windows Serveur 2016 redémarre

Une fois le redémarrage terminé, on arrive sur notre écran de connexion. Le compte administrateur local du Windows serveur devient le compte administrateur de notre AD.

Voilà, maintenant vous avez un serveur Active Directory fonctionnel. Facile non ?

L’article Installation d’un domaine Active Directory [VIDEO] est apparu en premier sur MCHELGHAM.