VMware Identity Manager Connector (Windows) installeren. OKTOBER 2018 VMware Identity Manager VMware Identity Manager 3.

Transcriptie

1 VMware Identity Manager Connector (Windows) installeren OKTOBER 2018 VMware Identity Manager VMware Identity Manager 3.3

2 U vindt de recentste technische documentatie op de website van VMware: Op de VMware-website vindt u tevens de nieuwste productupdates. Als u opmerkingen over deze documentatie heeft, kunt u uw feedback sturen naar: docfeedback@vmware.com VMware, Inc Hillview Ave. Palo Alto, CA VMware Nederland B.V. Key Office Papendorp 3e verdieping Orteliuslaan 850 Utrecht Nederland Tel: +31 (0) Fax: +31 (0) Copyright 2018 VMware, Inc. Alle rechten voorbehouden. Informatie over copyright en handelsmerken. VMware, Inc. 2

3 Inhoud VMware Identity Manager Connector (Windows) installeren 5 1 Over de VMware Identity Manager Connector 6 2 Het installeren van de VMware Identity Manager Connector in Windows voorbereiden 8 Systeemvereisten voor de VMware Identity Manager Connector (Windows) 8 Controlelijst voor de implementatie van de VMware Identity Manager Connector (Windows) 13 3 De VMware Identity Manager Connector in Windows installeren 15 Een activeringscode voor de VMware Identity Manager Connector genereren 15 Het installatieprogramma voor de VMware Identity Manager Connector uitvoeren 16 De wizard voor het instellen van de VMware Identity Manager Connector uitvoeren 22 Proxyinstellingen voor de VMware Identity Manager Connector configureren 24 4 De VMware Identity Manager Connector configureren 26 Een directory instellen 26 Verificatieadapters op de VMware Identity Manager Connector inschakelen 27 Uitgaande modus voor de VMware Identity Manager Connector inschakelen 29 5 Hoge beschikbaarheid voor de VMware Identity Manager -connector configureren 33 Extra instanties van de VMware Identity Manager Connector installeren en configureren 34 Hoge beschikbaarheid configureren voor verificatie 35 Synchronisatie van directory's inschakelen op een andere connector in geval van een fout 36 6 Ondersteuning voor Kerberos-verificatie toevoegen aan uw implementatie van de VMware Identity Manager Connector 37 Kerberos-verificatieadapter configureren en inschakelen 38 Hoge beschikbaarheid voor Kerberos-verificatie configureren 40 7 Aanvullende instellingen voor de VMware Identity Manager Connector 45 SSL-certificaten voor de VMware Identity Manager Connector gebruiken 46 Een syslog-server voor de VMware Identity Manager Connector configureren 49 Uw Connector-wachtwoorden voor VMware Identity Manager beheren 49 Proxyinstellingen voor de VMware Identity Manager Connector configureren 50 Logboeken voor de VMware Identity Manager Connector -logboekbestanden weergeven en downloaden 50 VMware, Inc. 3

4 8 VMware Identity Manager Connector upgraden 53 9 Java op de server van de VMware Identity Manager Connector upgraden Instantie van de VMware Identity Manager Connector verwijderen Directorymigratie van ACC naar de VMware Identity Manager Connector 56 Een andere directory naar Active Directory via LDAP of Active Directory via geïntegreerde Windows-verificatie converteren 57 Het synchroniseren van de directory van Workspace ONE UEM naar VMware Identity Manager stoppen Problemen met VMware Identity Manager Connector oplossen 61 Beheerderswachtwoord voor de VMware Identity Manager Connector opnieuw instellen 61 Fout bij Kerberos-initialisatie 61 VMware, Inc. 4

5 VMware Identity Manager Connector (Windows) installeren In VMware Identity Manager Connector (Windows) installeren en configureren vindt u informatie over het installeren en configureren van de Windows-versie van de VMware Identity Manager Connector, een onderdeel op locatie van VMware Identity Manager. Opmerking Zie, voor informatie over het implementeren van de Linux-versie van de VMware Identity Manager Connector, VMware Identity Manager-cloudimplementatie voor implementaties in de cloud en VMware Identity Manager implementeren in de DMZ voor implementaties op locatie. Doelgroep Deze informatie is geschreven voor ervaren Windows-systeembeheerders die bekend zijn met de technologie van virtual machines en de acties in datacenters. Woordenlijst technische publicatie VMware De technische publicatie van VMware bevat een woordenlijst met termen waarmee u wellicht niet bekend bent. Ga naar voor definities van termen zoals deze worden gebruikt in de technische documentatie van VMware. VMware, Inc. 5

6 Over de VMware Identity 1 Manager Connector De VMware Identity Manager Connector is een onderdeel op locatie van VMware Identity Manager dat zorgt voor integratie van directory's, gebruikersverificatie en integratie met resources zoals Horizon 7. De connector wordt in de uitgaande verbindingsmodus geïmplementeerd en daarom hoeft de ingaande poort 443 niet te worden geopend. Deze communiceert met de VMware Identity Manager-service via een communicatiekanaal op basis van een websocket. Figuur 1 1. Implementatie van de VMware Identity Manager Connector Op locatie 1 1 VMware Identity Manager-tenant 2 3 Websocket Kanaal aanvragen reactie HTTPS 443 (alleen uitgaand) VMware Identity Manager Connector Active Directory/ LDAP Optionele services RSA RSA Adaptieve verificatiesecurid RADIUS Server View Verbindingsservers Integration Broker Citrix Farms Opmerking De VMware Identity Manager-tenant in het diagram kan in de cloud of op locatie worden geïmplementeerd. VMware, Inc. 6

7 Ondersteunde verificatiemethoden De VMware Identity Manager Connector ondersteunt de volgende verificatiemethoden. Wachtwoord RSA adaptieve verificatie RSA SecurID RADIUS Kerberos-verificatie voor interne gebruikers Opmerking Naast deze verificatiemethoden op basis van een connector zijn er ook verificatiemethoden op basis van de VMware Identity Manager-service beschikbaar. Daarenboven is inkomende SAML via een externe identiteitsprovider beschikbaar. Ondersteunde directory-integraties De VMware Identity Manager Connector ondersteunt integratie met de volgende typen bedrijfsdirectory's. Active Directory via LDAP Active Directory via geïntegreerde Windows-verificatie LDAP-directory Opmerking U kunt ook Just-in-Time-inrichting gebruiken om gebruikers dynamisch bij aanmelding in de VMware Identity Manager-service te maken en daarbij gebruikt u SAML-asserties die door een externe identiteitsprovider zijn verzonden. Ondersteunde bronnen De VMware Identity Manager Connector ondersteunt integratie met de volgende typen bronnen. Pools van VMware Horizon 7-, Horizon 6- of View-desktops en -applicaties VMware Horizon Cloud Service met gehoste en lokale infrastructuur Gepubliceerde Citrix-bronnen Opmerking Daarnaast ondersteunt VMware Identity Manager webapps en systeemeigen mobiele apps. VMware, Inc. 7

8 Het installeren van de VMware Identity Manager Connector in Windows voorbereiden 2 Voordat u de VMware Identity Manager Connector implementeert, controleert u de systeemvereisten en bereidt u uw omgeving voor. Dit hoofdstuk omvat de volgende onderwerpen: Systeemvereisten voor de VMware Identity Manager Connector (Windows) Controlelijst voor de implementatie van de VMware Identity Manager Connector (Windows) Systeemvereisten voor de VMware Identity Manager Connector (Windows) Als u de VMware Identity Manager Connector wilt implementeren, moet u ervoor zorgen dat uw systeem aan de betreffende vereisten voldoet. Hardwarevereisten Zorg ervoor dat uw Windows-server aan de volgende hardwarevereisten voldoet. Tabel 2 1. Vereisten voor de VMware Identity Manager Connector Aantal gebruikers Tot 1000 Van 1000 tot Van tot Van tot Van tot CPU 2 2 load-balanced servers, elk met 4 CPU's 2 load-balanced servers, elk met 4 CPU's 2 load-balanced servers, elk met 4 CPU's 2 load-balanced servers, elk met 4 CPU's RAM (GB) per server 6 Elk 6 Elk 8 Elk 16 Elk 16 Schijfruimte (GB) 50 Elk 50 Elk 50 Elk 50 Elk 50 Opmerking CPU-kernen moeten elk 2,0 GHz of hoger zijn. Een Intel-processor is vereist. De vereisten voor de schijfruimte zijn onder meer: 1 GB schijfruimte voor de applicatie VMware Identity Manager Connector, het Windows-besturingssysteem en.net Runtime. Er wordt extra schijfruimte toegewezen voor logboeken. VMware, Inc. 8

9 Softwarevereisten Zorg ervoor dat uw Windows-server aan de volgende softwarevereisten voldoet. Statuscontrolelijst Vereiste Opmerkingen Windows Server 2008 R2 of Windows Server 2012 of Windows Server 2012 R2 of Windows Server 2016 Installeer PowerShell op de server Opmerking PowerShell versie 4.0 is vereist als u de installatie in Windows Server 2008 R2 uitvoert. Installeer.NET Framework Netwerkvereisten Voor het configureren van de onderstaande poorten wordt ervan uitgegaan dat alle verkeer één richting uitgaat (uitgaand) van het brononderdeel naar het doelonderdeel. Een uitgaande proxy of andere software of hardware voor het beheer van verbindingen mag de uitgaande verbinding van VMware Identity Manager Connector niet beëindigen of weigeren. De uitgaande verbinding die voor VMware Identity Manager Connector is vereist, moet altijd open blijven. Tabel 2 2. Poortvereisten voor de VMware Identity Manager Connector Source Bestemming Poort Protocol Opmerkingen VMware Identity Manager Connector VMware Identity Manager Connector Browsers Browsers Browsers VMware Identity Managerservice VMware Identity Managerservicehost (installaties op locatie) VMware Identity Managerload balancer van service (installaties op locatie) VMware Identity Manager Connector VMware Identity Manager Connector VMware Identity Manager Connector 443 HTTPS Standaardpoort Vereist 443 HTTPS 8443 HTTPS Beheerpoort Vereist 80 HTTP Vereist 443 HTTPS Deze poort is alleen vereist voor een connector die in de inkomende modus wordt gebruikt. Als Kerberos-verificatie is geconfigureerd op de connector, is deze poort vereist. VMware, Inc. 9

10 Tabel 2 2. Poortvereisten voor de VMware Identity Manager Connector (Vervolgd) Source Bestemming Poort Protocol Opmerkingen VMware Identity Manager Connector Active Directory 389, 636, 3268, 3269 Standaardpoorten. Deze poorten kunnen worden geconfigureerd. VMware Identity Manager Connector VMware Identity Manager Connector VMware Identity Manager Connector VMware Identity Manager Connector DNS-server 53 TCP/UDP Elke instantie moet toegang hebben tot de DNS-server op poort 53 en inkomend SSHverkeer moet zijn ingeschakeld op poort 22. Domeincontroller 88, 464, 135, 445 TCP/UDP Voor Kerberos-verificatie RSA SecurID-systeem 5500 Standaardpoort. Deze poort kan worden geconfigureerd. Horizon-verbindingsserver 389, 443 Toegang tot Horizon Connection Server voor integraties van Horizon VMware, Inc. 10

11 Tabel 2 2. Poortvereisten voor de VMware Identity Manager Connector (Vervolgd) Source Bestemming Poort Protocol Opmerkingen VMware Identity Manager Connector Integration Broker 80, 443 Toegang tot Integration Broker voor integratie met door Citrix gepubliceerde bronnen. Belangrijk Als u Integration Broker installeert op dezelfde Windows-server als de VMware Identity Manager Connector, moet u ervoor zorgen dat de standaardverbindingen voor websites van IISserver, de HTTP- en HTTPS-bindingpoorten niet in conflict zijn met de poorten die door de VMware Identity Manager Connector worden gebruikt. De VMware Identity Manager Connector gebruikt poorten 80, 443 en Het wordt afgeraden Integration Broker op de server van de VMware Identity Manager Connector te installeren. VMware Identity Manager Connector syslog-server 514 UDP Voor externe Syslogserver, indien geconfigureerd In de cloud gehoste IP-adressen voor VMware Identity Manager (Cloudimplementaties) Zie Knowledge Base-artikel voor de lijst met IP-adressen van de VMware Identity Manager-service waartoe de VMware Identity Manager Connector toegang moet hebben. Vereisten voor DNS-records en IP-adressen Een DNS-vermelding en een statisch IP-adres moeten beschikbaar zijn voor de connector. Voordat u aan de installatie begint, moet u het DNS-record en de IP-adressen voor het gebruiken en configureren van de netwerkinstellingen van de Windows-server ophalen. VMware, Inc. 11

12 Zorg ervoor dat u een geschikte, gebruikersvriendelijke hostnaam voor de connector selecteert als u van plan bent om Kerberos-verificatie te configureren. De hostnaam van de VMware Identity Manager Connector is zichtbaar voor eindgebruikers wanneer Kerberos is geconfigureerd. Reverse lookup configureren is optioneel. Wanneer u reverse lookup implementeert, moet u een PTRrecord definiëren op de DNS-server, zodat de connector de juiste netwerkconfiguratie gebruikt. U kunt de volgende lijst met voorbeelden van DNS-records gebruiken. Vervang de voorbeeldinformatie door informatie uit uw omgeving. Dit voorbeeld toont forward DNS-records en IP-adressen. Tabel 2 3. Voorbeeld van Forward DNS-records en IP-adressen Domeinnaam Brontype IP-adres myconnector.company.com De Dit voorbeeld toont reverse DNS-records en IP-adressen. Tabel 2 4. Voorbeeld van Reverse DNS-records en IP-adressen IP-adres Brontype Hostnaam PTR myconnector.company.com Nadat u de configuratie van DNS hebt voltooid, controleert u of de reverse DNS-lookup goed is geconfigureerd. De opdracht host IPaddress moet bijvoorbeeld leiden tot het opzoeken van de DNSnaam. Opmerking Als u een load balancer hebt met een Virtual IP-adres (VIP) vóór de DNS-servers, houd er dan rekening mee dat VMware Identity Manager het gebruik van een VIP niet ondersteunt. U kunt meerdere DNS-servers specificeren die door een komma worden gescheiden. Opmerking Als u een op Unix of Linux gebaseerde DNS-server gebruikt en van plan bent om de connector toe te voegen aan het domein van Active Directory, zorgt u ervoor dat de juiste servicebronrecords (SRV) voor elke domeincontroller van Active Directory worden gemaakt. Ondersteunde Active Directory-versies Een Active Directory-omgeving die bestaat uit één domein van Active Directory, meerdere domeinen in één forest van Active Directory of meerdere domeinen verdeeld over meerdere forests van Active Directory. VMware Identity Manager ondersteunt Active Directory in Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 en Windows Server 2016 met het functionaliteitsniveau domein en het functionaliteitsniveau forest voor Windows 2003 en hoger. Opmerking Voor bepaalde functies is mogelijk een hoger functioneel niveau vereist. Bijvoorbeeld: als u wilt dat gebruikers de Active Directory-wachtwoorden kunnen wijzigen via Workspace ONE, moet het functionaliteitsniveau Domein Windows 2008 of hoger zijn. VMware, Inc. 12

13 Controlelijst voor de implementatie van de VMware Identity Manager Connector (Windows) U kunt de controlelijst voor de implementatie gebruiken om de nodige informatie te verzamelen zodat u de VMware Identity Manager Connector in Windows kunt installeren en configureren. Informatie over de volledig gekwalificeerde domeinnaam Informatie om te verzamelen Vermeld de informatie FQDN van de VMware Identity Manager Connector Netwerkinformatie Informatie om te verzamelen IP-adres Vermeld de informatie Opmerking U moet een statisch IP-adres gebruiken en dit moet een PTR hebben, evenals een A-record die is gedefinieerd in de DNS. DNS-hostnaam Standaard gateway-adres Netmask of prefix Directory-informatie VMware Identity Manager ondersteunt de integratie met Active Directory of LDAP-directory's. Tabel 2 5. Controlelijst van domeincontroller van Active Directory Informatie om te verzamelen Vermeld de informatie Servernaam van Active Directory Domeinnaam van Active Directory Basis-DN Voor Active Directory over LDAP: de Bind-DN-gebruikersnaam en het wachtwoord Voor Active Directory via de geïntegreerde Windows-verificatie: de gebruikersnaam en het wachtwoord van een domeingebruiker die ook lid is van de beheerdersgroep op de Windows-server waarop u de installatie uitvoert Tabel 2 6. Informatiecontrolelijst van LDAP-directoryserver Informatie om te verzamelen Vermeld de informatie Naam of IP-adres van LDAP-directoryserver Poortnummer van LDAP-directoryserver VMware, Inc. 13

14 Tabel 2 6. Informatiecontrolelijst van LDAP-directoryserver (Vervolgd) Informatie om te verzamelen Vermeld de informatie Basis-DN Bind-DN-gebruikersnaam en wachtwoord LDAP-zoekfilters voor Bind-gebruikersobjecten, groepsobjecten en gebruikersobjecten LDAP-kenmerknamen voor lidmaatschap, object-uuid en kenmerkende naam (DN) SSL-certificaten U kunt een SSL-certificaat van een certificaatautoriteit toevoegen nadat u de VMware Identity Manager Connector heeft geïmplementeerd. Tabel 2 7. Informatiecontrolelijst SSL-certificaat Informatie om te verzamelen Vermeld de informatie SSL-certificaat Privésleutel Opmerking Voor Kerberos-verificatie moet de connector een vertrouwd SSL-certificaat hebben. U kunt het certificaat verkrijgen van uw interne certificaatautoriteit. Kerberos-verificatie werkt niet met automatisch ondertekende certificaten. VMware, Inc. 14

15 De VMware Identity Manager Connector in Windows installeren 3 Het installeren van de VMware Identity Manager Connector omvat verschillende taken. 1 Genereer een activeringscode in de VMware Identity Manager-console. 2 Download het installatieprogramma voor de VMware Identity Manager Connector op een Windowsserver die aan alle vereisten voldoet 3 Voer de wizard voor het instellen van de connector in om de connector te activeren en wachtwoorden in te stellen 4 Configureer zo nodig de proxyinstellingen voor de connector. Dit hoofdstuk omvat de volgende onderwerpen: Een activeringscode voor de VMware Identity Manager Connector genereren Het installatieprogramma voor de VMware Identity Manager Connector uitvoeren De wizard voor het instellen van de VMware Identity Manager Connector uitvoeren Proxyinstellingen voor de VMware Identity Manager Connector configureren Een activeringscode voor de VMware Identity Manager Connector genereren Voordat u de VMware Identity Manager Connector installeert, meldt u zich bij de VMware Identity Manager-console aan als lokale beheerder en genereert u een activeringscode voor de connector. De activeringscode wordt gebruikt om de communicatie tussen de VMware Identity Managerservice en de instantie van de VMware Identity Manager Connector tot stand te brengen. Voorwaarden U heeft de URL van de VMware Identity Manager-service en de aanmeldgegevens voor de domeinbeheerder van het systeem. In de cloudimplementaties is de domeinbeheerder van het systeem de beheerder van wie u de aanmeldgegevens ontvangt wanneer u uw VMware Identity Manager-tenant krijgt. In implementaties op locatie is de systeembeheerder van het domein de beheerder die is gemaakt tijdens het installeren van VMware Identity Manager. Procedure 1 Meld u aan bij de VMware Identity Manager-console als de systeembeheerder van het domein. VMware, Inc. 15

16 2 Klik op de tab Identiteits- en toegangsbeheer. 3 Klik op Instellen. 4 Op de pagina Connectoren klikt u op Connectoren toevoegen. 5 Voer een naam voor de connector in. 6 Klik op Activeringscode genereren. De activeringscode wordt op de pagina weergegeven. 7 Kopieer de activeringscode en sla deze op. Later, nadat u de connector heeft geïnstalleerd, voert u de activeringscode in de wizard voor het instellen van de connector in. Wat nu te doen Download en installeer de VMware Identity Manager Connector. Het installatieprogramma voor de VMware Identity Manager Connector uitvoeren Voer het installatieprogramma voor de VMware Identity Manager Connector uit op een Windows-server die aan alle vereisten voldoet. Voorwaarden De poorten 80, 443 en 8443 moeten beschikbaar zijn op de Windows-server. Als deze poorten worden gebruikt door andere services, kunt u de VMware Identity Manager Connector niet installeren. VMware, Inc. 16

17 In de volgende gevallen moet de Windows-server worden toegevoegd aan het Active Directorydomein en moet u de VMware Identity Manager Connector installeren als domeingebruiker die ook lid is van de beheerdersgroep op de Windows-server waarop u installeert: Als u van plan bent verbinding te maken met Active Directory via geïntegreerde Windowsverificatie Als u van plan bent gebruik te maken van Kerberos-verificatie Als u van plan bent Horizon View te integreren met VMware Identity Manager en gebruik wilt maken van de opties Directorysynchronisatie uitvoeren of 5.x-verbindingsserver configureren In deze gevallen moet u er ook voor kiezen om de service IDM Connector als domeingebruiker uit te voeren. Deze optie wordt weergegeven in de installatiewizard. Aan de volgende vereisten moet worden voldaan om ervoor te zorgen dat de installer kan bladeren naar domeinen en gebruikers en deze kan valideren tijdens de installatie. De Windows-server moet aan het domein zijn toegevoegd. Opmerking Dit is alleen vereist als u een domeingebruiker moet selecteren om de IDM Connector-service uit te voeren. Zie het vorige item in de lijst voor de scenario's waarop de vereiste van toepassing is. De service Computer Browser moet zijn ingeschakeld en deze service moet worden uitgevoerd. De configuratie van de firewall moet een uitzondering maken voor de service Computer Browser. NetBIOS via TCP/IP moet zijn ingeschakeld. Op het netwerk moet een masterbrowsersysteem zijn geconfigureerd. Broadcastverkeer moet zijn ingeschakeld op het netwerk. Procedure 1 Download het installatieprogramma voor de VMware Identity Manager Connector voor Windows. U kunt het installatieprogramma downloaden vanaf de VMware Identity Manager-productpagina op My VMware, of vanaf My Workspace ONE. 2 Dubbelklik op het installatiebestand om de installatiewizard voor de VMware Identity Manager Connector uit te voeren. VMware, Inc. 17

18 3 Klik op de welkomstpagina op Volgende. De installer controleert de vereisten op de server. Als.NET Framework niet is geïnstalleerd, wordt u verzocht om dit onderdeel te installeren en de server opnieuw op te starten. Nadat de server opnieuw is opgestart, voert u het installatieprogramma opnieuw uit om het installatieproces te hervatten. Als er een vorige versie is geïnstalleerd, wordt deze door de installer gedetecteerd en krijgt u de optie om een upgrade uit te voeren naar de nieuwste versie. 4 Lees en accepteer de VMware Licentieovereenkomst voor eindgebruikers en klik vervolgens op Volgende. 5 Selecteer de map waarin u de VMware Identity Manager Connector wilt installeren. C:\VMware is standaard geselecteerd. VMware, Inc. 18

19 6 Als de laatste primaire versie van de Java Runtime Environment (JRE ) nog niet op de Windowsserver is geïnstalleerd, wordt het volgende pop-upvenster weergegeven. Klik op Ja om JRE te installeren. De installatie neemt een paar minuten in beslag. Bestaande JREversies worden niet verwijderd wanneer de vereiste versie is geïnstalleerd. 7 Voer een hostnaam en poort voor de connector in op de pagina Configuratie van VMware Identity Manager. Geef de hostnaam op als volledig gekwalificeerde domeinnaam (FQDN). Bijvoorbeeld: connector.example.com. Opmerking De naam moet overeenkomen met het domein waaraan de server wordt toegevoegd, indien van toepassing. De standaardpoort is 443. Alleen 443 wordt ondersteund voor de VMware Identity Manager Connector. VMware, Inc. 19

20 8 Als u de connectorservice als domeingebruikersaccount wilt uitvoeren, selecteert u de optie op de pagina Serviceaccount van de VMware Identity Manager Connector en voert u de gebruikersnaam en het wachtwoord van het domeingebruikersaccount in. In de volgende gevallen moet u de service uitvoeren als domeingebruiker: Als u van plan bent verbinding te maken met Active Directory via geïntegreerde Windowsverificatie Als u van plan bent gebruik te maken van Kerberos-verificatie Als u van plan bent Horizon View te integreren met VMware Identity Manager en gebruik wilt maken van de opties Directorysynchronisatie uitvoeren of 5.x-verbindingsserver configureren VMware, Inc. 20

21 Opmerking Controleer of u aan alle vereisten heeft voldaan als u geen domeinen of gebruikers kunt vinden wanneer u op Bladeren klikt. 9 Klik op Volgende. 10 Klik op Installeren op de pagina Gereed om het programma te installeren. De installatie neemt een paar minuten in beslag. 11 Wanneer de pagina De installatiewizard is voltooid wordt weergegeven, klikt u op Voltooien. VMware, Inc. 21

22 Het volgende pop-upvenster wordt weergegeven met de URL om de wizard voor het instellen van de connector te voltooien. De URL verwijst naar de beheerpagina's van de connector op Wat nu te doen Ga naar de weergegeven URL en voltooi de wizard voor het instellen van de connector. De wizard voor het instellen van de VMware Identity Manager Connector uitvoeren Nadat u de VMware Identity Manager Connector heeft geïnstalleerd, gaat u naar de URL die wordt weergegeven op de bevestigingspagina van de installatiewizard, en voltooit u de wizard voor het instellen van de connector. In de instelwizard voert u de connectoractiveringscode in en stelt u wachtwoorden in. Voorwaarden U heeft een activeringscode voor de connector die u in de VMware Identity Manager-console heeft gegenereerd. Zie Een activeringscode voor de VMware Identity Manager Connector genereren. Gebruik Internet Explorer niet in de modus voor verhoogde beveiliging om de instelwizard uit te voeren. Uitvoeren van scripts moet worden ingeschakeld in de browser. VMware, Inc. 22

23 Procedure 1 Open een browservenster en ga naar de URL Bijvoorbeeld: De welkomstpagina wordt geopend. 2 Klik op Doorgaan. 3 Maak op de pagina Wachtwoorden instellen een wachtwoord voor de beheerder van de connector, waarmee toegang wordt verkregen tot de beheerpagina's van de connector. Klik vervolgens op Doorgaan. 4 Voer op de pagina Connector activeren de connectoractiveringscode in en klik vervolgens op Doorgaan. VMware, Inc. 23

24 Het bericht Het instellen is voltooid wordt weergegeven wanneer de connector is geactiveerd. De installatie van VMware Identity Manager Connector is nu voltooid. Wat nu te doen Configureer zo nodig de proxyinstellingen voor de VMware Identity Manager Connector. Meld u aan bij de VMware Identity Manager-console om de connector te configureren. Proxyinstellingen voor de VMware Identity Manager Connector configureren De VMware Identity Manager Connector heeft toegang tot webservices op internet. Als uw netwerkconfiguratie internettoegang biedt via een HTTP-proxy, moet u uw proxyinstellingen op de VMware Identity Manager Connector aanpassen. Opmerking Schakel uw proxy in om alleen internetverkeer te verwerken. Als u er zeker van wilt zijn dat de proxy goed is ingesteld, moet u de parameter voor intern verkeer binnen het domein instellen op Geen proxy. Procedure 1 Gebruik een browser om naar de beheerpagina's van de VMware Identity Manager Connector te gaan op 2 Meld u met het gebruikerswachtwoord van de beheerder aan. 3 Klik op Proxyconfiguratie. 4 Selecteer Inschakelen. 5 Voer de hostnaam en poort van de proxyserver in het tekstvak Proxyhost met poort in. Bijvoorbeeld: proxy.example.com:3128 VMware, Inc. 24

25 6 Voer in het veld Hosts zonder proxy de hosts in die de connector kan bereiken zonder gebruik te maken van de proxyserver. Gebruik een komma om een lijst met hostnamen te scheiden. 7 Klik op Opslaan. VMware, Inc. 25

26 De VMware Identity Manager 4 Connector configureren Nadat de VMware Identity Manager Connector is geïnstalleerd, meldt u zich aan bij de VMware Identity Manager-console en voltooit u de configuratie. Dit omvat het instellen van een directory om gebruikers en groepen met de VMware Identity Manager-service te synchroniseren, het configureren van de verificatiemethoden die u wilt gebruiken en het inschakelen van de uitgaande modus voor de VMware Identity Manager Connector. Dit hoofdstuk omvat de volgende onderwerpen: Een directory instellen Verificatieadapters op de VMware Identity Manager Connector inschakelen Uitgaande modus voor de VMware Identity Manager Connector inschakelen Een directory instellen Nadat u de VMware Identity Manager Connector heeft geïnstalleerd en geactiveerd, voegt u een directory toe in de VMware Identity Manager-console en maakt u de verbinding met uw bedrijfsdirectory om gebruikers en groepen te synchroniseren met de service. VMware Identity Manager biedt ondersteuning voor de integratie van de volgende directorytypen. Active Directory via LDAP Active Directory via geïntegreerde Windows-verificatie LDAP-directory Zie Integratie van directory's met VMware Identity Manager voor meer informatie voordat u de directory instelt. De taken op een hoog niveau worden hier vermeld. Voorwaarden De vereisten zijn afhankelijk van het type directory dat u integreert. Zie Integratie van directory's met VMware Identity Manager voor meer informatie. VMware, Inc. 26

27 Procedure 1 Meld u aan bij de VMware Identity Manager-console. Tip U kunt ook naar de beheerconsole gaan door te klikken op de koppeling Meld u aan op de beheerconsole. op de pagina Het instellen is voltooid, die wordt weergegeven nadat u de connector hebt geactiveerd. 2 Selecteer de gebruikerskenmerken om de directory te synchroniseren. a b Klik op de tab Identiteits- en toegangsbeheer en klik vervolgens op Instellen. Selecteer op het tabblad Gebruikerskenmerken welke kenmerken vereist zijn en welke extra kenmerken mogelijk zijn. Als een kenmerk als vereist wordt gemarkeerd, worden alleen gebruikers met dat kenmerk naar de service gesynchroniseerd. Belangrijk Wees attent op de volgende beperkingen. Nadat de directory is gemaakt, kunt u geen kenmerk meer wijzigen van optioneel in vereist. U moet nu die selectie doen. De instellingen op de pagina Gebruikerskenmerken gelden voor alle directory's in de service. Wanneer u een kenmerk markeert als vereist, moet u het gevolg ervan op de andere directory's overwegen. 3 Klik op Beheren. 4 Klik op Directory toevoegen en selecteer het directorytype dat u wilt toevoegen. 5 Volg de wizard om de configuratiegegevens van de directory in te voeren, selecteer de groepen en gebruikers die u wilt synchroniseren en synchroniseer gebruikers met de VMware Identity Managerservice. Zie Integratie van directory's met VMware Identity Manager voor meer informatie. Wat nu te doen Klik op het tabblad Gebruikers en groepen en controleer of gebruikers zijn gesynchroniseerd. Verificatieadapters op de VMware Identity Manager Connector inschakelen Er zijn diverse verificatieadapters beschikbaar voor VMware Identity Manager Connector in de uitgaande modus, zoals PasswordIdpAdapter, RSAAIdpAdapter, SecurIDAdapter en RadiusAuthAdapter. Configureer de adapters die u wilt gebruiken en schakel deze in. Als u al een directory heeft gemaakt, is de verificatiemethode Wachtwoord automatisch ingeschakeld. PasswordIdpAdapter is geconfigureerd met de informatie die u voor de directory hebt opgegeven. VMware, Inc. 27

28 Procedure 1 Klik in de VMware Identity Manager-console op het tabblad Identiteits- en toegangsbeheer. 2 Klik op Installatie en klik dan op het tabblad Connectoren. De connector die u heeft geïmplementeerd, wordt vermeld. 3 Klik op de koppeling in de kolom Werker. 4 Klik op het tabblad Verificatieadapters. Alle beschikbare verificatieadapters voor de connector worden vermeld. Wanneer u al een directory hebt ingesteld, is de PasswordIdpAdapter al geconfigureerd en ingeschakeld met de configuratie-informatie die u heeft gespecificeerd toen u de directory maakte. 5 Configureer de verificatieadapters die u wilt gebruiken en schakel deze in door op de koppeling voor elke verificatieadapter te klikken en de configuratie-informatie in te voeren. U moet minimaal één verificatieadapter inschakelen. Raadpleeg de Handleiding VMware Identity Manager-beheer voor informatie over het configureren van specifieke verificatieadapters. Bijvoorbeeld: VMware, Inc. 28

29 Uitgaande modus voor de VMware Identity Manager Connector inschakelen Om de verbindingsmodus alleen uitgaand voor VMware Identity Manager Connector in te schakelen, koppelt u de connector aan de ingebouwde identiteitsprovider. VMware, Inc. 29

30 De ingebouwde identiteitsprovider is standaard beschikbaar in de VMware Identity Manager-service en biedt aanvullende ingebouwde verificatiemethoden, zoals VMware Verify. Zie de Handleiding VMware Identity Manager-beheer voor informatie over de ingebouwde identiteitsprovider. Opmerking De connector kan tegelijk worden gebruikt in de uitgaande en de reguliere modus. Zelfs als u de uitgaande modus inschakelt, kunt u nog steeds Kerberos-verificatie voor interne gebruikers configureren met verificatiemethoden en beleid. Procedure 1 Selecteer in de VMware Identity Manager-console het tabblad Identiteits- en toegangsbeheer en klik vervolgens op Beheren. 2 Klik op het tabblad Identiteitsproviders. 3 Klik op de koppeling Ingebouwd. 4 Geef de volgende informatie op. Optie Gebruikers Netwerk Connector(en) Beschrijving Selecteer de directory of de domeinen die de ingebouwde identiteitsprovider gaan gebruiken. Selecteer de netwerkbereiken die de ingebouwde identiteitsprovider gaan gebruiken. Selecteer de connector die u heeft ingesteld en klik op Connector toevoegen. Opmerking Op een later moment, wanneer u extra connectoren voor hoge beschikbaarheid toevoegt, selecteert u deze en voegt u deze hier allemaal toe om ze te koppelen aan de ingebouwde identiteitsprovider. VMware Identity Manager verdeelt het verkeer automatisch tussen alle connectoren die aan de ingebouwde identiteitsprovider gekoppeld zijn. Een load balancer is niet vereist. Verificatiemethoden voor connector De verificatiemethoden die u voor de connector heeft ingeschakeld, worden weergegeven. Selecteer de verificatiemethoden die u wilt gebruiken. De PasswordIdpAdapter, die automatisch is geconfigureerd en ingeschakeld tijdens het maken van een directory, wordt op deze pagina weergegeven als Wachtwoord (cloudimplementatie). Dit geeft aan dat deze wordt gebruikt met de connector in de uitgaande modus. Bijvoorbeeld: VMware, Inc. 30

31 5 Klik op Opslaan om de configuratie van de ingebouwde identiteitsprovider op te slaan. 6 Bewerk beleidsregels om de verificatiemethoden die u heeft ingeschakeld te gebruiken. a b c Klik in het tabblad Identiteits- en toegangsbeheer op Beheren. Klik op het tabblad Beleid en klik op het beleid dat u wilt bewerken. Klik op Bewerken. VMware, Inc. 31

32 d e Bewerk de regels op de pagina Configuratie van de wizard. Selecteer de verificatiemethoden die u voor elke regel wilt gebruiken. Sla uw wijzigingen op. Raadpleeg de Handleiding VMware Identity Manager-beheer voor meer informatie over het configureren van beleid. De uitgaande modus van de connector is nu ingeschakeld. Wanneer een gebruiker zich aanmeldt via een van de verificatiemethoden die u heeft ingeschakeld voor de connector op de pagina van de ingebouwde identiteitsprovider, is een HTTP-omleiding naar de connector niet vereist. VMware, Inc. 32

33 Hoge beschikbaarheid voor de VMware Identity Manager - connector configureren 5 U kunt VMware Identity Manager Connector instellen voor hoge beschikbaarheid en failover door meerdere connectorinstanties in een cluster toe te voegen. Als een van de connectorinstanties om wat voor reden dan ook niet beschikbaar is, zijn andere instanties wel beschikbaar. Als u een cluster wilt maken, installeert u een nieuwe connectorinstantie en configureert u deze op exact dezelfde wijze als de eerste connector. U koppelt dan alle connectorinstanties aan de ingebouwde identiteitsprovider. De VMware Identity Manager-service verdeelt het verkeer automatisch tussen alle connectoren die aan de ingebouwde identiteitsprovider gekoppeld zijn. Een load balancer is niet vereist. Als een van de connectoren door een netwerkprobleem niet beschikbaar is, leidt de service er geen verkeer naar toe. Wanneer de verbinding is hersteld, leidt de service weer verkeer naar de connector. Wanneer u de connectorcluster heeft ingesteld, zijn de verificatiemethoden die u op de connector heeft ingesteld, hoog zichtbaar. Als een van de connectorinstanties niet beschikbaar is, is verificatie nog steeds beschikbaar. Voor het synchroniseren van de directory moet u echter, in geval van een fout van de connectorinstantie, handmatig een andere connectorinstantie selecteren als de synchronisatieconnector. Directorysynchronisatie kan slechts voor één connector tegelijk worden ingeschakeld. Opmerking Dit gedeelte geldt niet voor hoge beschikbaarheid van Kerberos-verificatie. Zie Hoofdstuk6Ondersteuning voor Kerberos-verificatie toevoegen aan uw implementatie van de VMware Identity Manager Connector. Dit hoofdstuk omvat de volgende onderwerpen: Extra instanties van de VMware Identity Manager Connector installeren en configureren Hoge beschikbaarheid configureren voor verificatie Synchronisatie van directory's inschakelen op een andere connector in geval van een fout VMware, Inc. 33

34 Extra instanties van de VMware Identity Manager Connector installeren en configureren Wanneer u de eerste instantie van VMware Identity Manager Connector hebt geïnstalleerd en geconfigureerd, kunt u voor hoge beschikbaarheid extra connectoren toevoegen door nieuwe connectorvirtual appliances te installeren en deze op precies dezelfde manier te configureren als de eerste connectorinstantie. Belangrijk De nieuwe connectorinstanties moeten worden geactiveerd voor dezelfde VMware Identity Manager-service als de eerste connectorinstantie. Voorwaarden U heeft de eerste instantie van de connector geïnstalleerd en geconfigureerd. Procedure 1 Installeer en configureer een nieuwe instantie van de VMware Identity Manager Connector zoals beschreven in Hoofdstuk3De VMware Identity Manager Connector in Windows installeren. 2 Koppel de nieuwe VMware Identity Manager Connector aan de WorkspaceIDP van de eerste connectorinstantie. a b c d e In de beheerconsole van VMware Identity Manager selecteert u het tabblad Identiteits- en toegangsbeheer en selecteert u vervolgens het tabblad Identiteitsproviders. Zoek op de pagina Identiteitsprovider de WorkspaceIDP van de eerste connectorinstantie en klik op de koppeling. Selecteer de nieuwe connector in het veld Connector(s). Voer het Bind DN-wachtwoord in en klik op Connector toevoegen. Klik op Opslaan. 3 Configureer de verificatieadapters op de nieuwe connector en schakel deze in. Belangrijk Verificatieadapters op alle connectoren in uw cluster moeten identiek zijn geconfigureerd. Op alle connectoren moeten dezelfde verificatiemethoden ingeschakeld zijn. a b Klik in het tabblad Identiteits- en toegangsbeheer op Instellen en klik vervolgens op de tab Connectoren. Klik op de koppeling in de kolom Werker van de nieuwe connector. VMware, Inc. 34

35 c Klik op het tabblad Verificatieadapters. Alle beschikbare verificatieadapters voor de connector worden vermeld. De PasswordIdpAdapter is al geconfigureerd en ingeschakeld omdat u de nieuwe connector heeft gekoppeld aan de directory die is gekoppeld is aan de eerste connector. d Configureer de andere verificatieadapters op dezelfde manier als de eerste connector en schakel deze op dezelfde manier in. Zorg ervoor dat de configuratie-informatie identiek is. Raadpleeg de Handleiding VMware Identity Manager-beheer voor informatie over het configureren van verificatieadapters. Wat nu te doen Hoge beschikbaarheid configureren voor verificatie Hoge beschikbaarheid configureren voor verificatie Nadat de nieuwe VMware Identity Manager Connector-instanties zijn geïmplementeerd en geconfigureerd, configureert u hoge beschikbaarheid voor de verificatie door de nieuwe instanties toe te voegen aan de ingebouwde identiteitsprovider en dezelfde verificatiemethoden in te schakelen als op de eerste instantie van de connector. VMware Identity Manager verdeelt het verkeer automatisch tussen alle connectoren die aan de ingebouwde identiteitsprovider gekoppeld zijn. Procedure 1 Klik in de beheerconsole voor VMware Identity Manager op het tabblad Identiteits- en toegangsbeheer op Beheren. 2 Klik op het tabblad Identiteitsproviders. 3 Klik op de koppeling Ingebouwd. 4 Selecteer in het veld Connector(s) de nieuwe connector in het vervolgkeuzemenu en klik op Connector toevoegen. 5 Schakel in het gedeelte Verificatiemethoden voor connector dezelfde verificatiemethoden in als die u voor de eerste connector ingeschakeld hebt. De verificatiemethode Wachtwoord (cloudimplementatie) wordt automatisch geconfigureerd en ingeschakeld. U moet de andere verificatiemethoden inschakelen. Belangrijk Verificatieadapters op alle connectoren in uw cluster moeten identiek zijn geconfigureerd. Op alle connectoren moeten dezelfde verificatiemethoden ingeschakeld zijn. Zie Beheer VMware Identity Manager voor informatie over het configureren van specifieke verificatieadapters. 6 Klik op Opslaan om de configuratie van de ingebouwde identiteitsprovider op te slaan. VMware, Inc. 35

36 Synchronisatie van directory's inschakelen op een andere connector in geval van een fout In het geval dat er fouten optreden met een connectorinstantie, wordt de verificatie automatisch afgehandeld door een andere connectorinstantie. Voor het synchroniseren van directory's moet u de directory-instellingen in de VMware Identity Manager-service wijzigen om een andere connectorinstantie te kunnen gebruiken, in plaats van de oorspronkelijke connectorinstantie. De synchronisatie van directory's kan slechts voor één connector per keer worden ingeschakeld. Procedure 1 Meld u aan op de beheerconsole van VMware Identity Manager. 2 Klik op het tabblad Identiteits- en toegangsbeheer en klik vervolgens op Directory's. 3 Klik op de directory die is gekoppeld aan de oorspronkelijke connectorinstantie. Tip U kunt deze informatie bekijken op de pagina Installatie > Connectoren. 4 In het gedeelte Directorysynchronisatie en -verificatie van de pagina met directory's selecteert u in het vervolgkeuzemenu Synchronisatieconnector een andere connectorinstantie. 5 In het veld Wachtwoord Bind-DN geeft u het wachtwoord van uw Active Directory-bindingsaccount op. 6 Klik op Opslaan. VMware, Inc. 36

37 Ondersteuning voor Kerberosverificatie toevoegen aan uw implementatie van de VMware Identity Manager Connector 6 U kunt Kerberos-verificatie voor interne gebruikers, waarvoor een inkomende verbindingsmodus is vereist, toevoegen aan uw implementatie van connectoren met een uitgaande verbindingsmodus. Dezelfde connectoren kunnen worden geconfigureerd om gebruik te maken van Kerberos-verificatie voor gebruikers die vanuit het interne netwerk komen, en van een andere verificatiemethode voor gebruikers van het externe netwerk. Dit kan worden bereikt door verificatiebeleidsregels te definiëren op basis van netwerkbereiken. In het volgende diagram ziet u Kerberos-verificatie in een VMware Identity Manager-implementatie op locatie. Figuur 6 1. Kerberos-verificatie Op locatie DMZ Bedrijfsnetwerk VMware Identity Manager -connector 1 VMware Identity Manager -server Loadbalancer 443 VMware Identity Manager -connector 2 Vereisten en overwegingen voor Kerberos-verificatie omvatten het volgende: Kerberos-verificatie kan worden geconfigureerd ongeacht het type directory dat u in VMware Identity Manager, Active Directory via LDAP of Active Directory via geïntegreerde Windows-verificatie instelt. De Windows-computer waarop de VMware Identity Manager Connector is geïnstalleerd, moet aan het Active Directory-domein worden toegevoegd. U moet de VMware Identity Manager Connector hebben geïnstalleerd als domeingebruiker die lid is van de beheerdersgroep op de Windows-computer waarop de connector is geïnstalleerd en u moet de VMware IDM Connector-service als Windows-domeingebruiker uitvoeren. VMware, Inc. 37

38 Zorg ervoor dat u een geschikte, gebruikersvriendelijke hostnaam voor de connector selecteert. De hostnaam van de VMware Identity Manager Connector is zichtbaar voor eindgebruikers wanneer Kerberos-verificatie is geconfigureerd. Elke connector waarop Kerberos-verificatie is geconfigureerd, moet een vertrouwd SSL-certificaat hebben. U kunt het certificaat verkrijgen van uw interne certificaatautoriteit. Kerberos-verificatie werkt niet met automatisch ondertekende certificaten. Vertrouwde SSL-certificaten zijn vereist, ongeacht of u Kerberos inschakelt op een afzonderlijke connector of op meerdere connectoren voor hoge beschikbaarheid. Om hoge beschikbaarheid voor Kerberos-verificatie in te stellen, is een load balancer vereist. Dit hoofdstuk omvat de volgende onderwerpen: Kerberos-verificatieadapter configureren en inschakelen Hoge beschikbaarheid voor Kerberos-verificatie configureren Kerberos-verificatieadapter configureren en inschakelen Configureer KerberosIdpAdapter op VMware Identity Manager Connector en schakel deze in. Wanneer u een cluster voor hoge beschikbaarheid hebt geïmplementeerd, configureert u de adapter en schakelt u deze in op alle connectoren in uw cluster. Belangrijk Verificatieadapters op alle connectoren in uw cluster moeten identiek zijn geconfigureerd. Op alle connectoren moeten dezelfde verificatiemethoden worden geconfigureerd. Wanneer u de Kerberos-verificatieadapter configureert, probeert de VMware Identity Manager Connector om Kerberos automatisch te initialiseren. Als de service VMware IDM Connector niet wordt uitgevoerd met voldoende rechten om Kerberos te initialiseren, wordt een foutbericht weergegeven. In dat geval volgt u de instructies in op om een script uit te voeren waarmee Kerberos wordt geïnitialiseerd. Raadpleeg de Handleiding VMware Identity Manager-beheer voor informatie over het configureren van Kerberos-verificatie. Voorwaarden De Windows-computer waarop de VMware Identity Manager Connector is geïnstalleerd moet deel uitmaken van het domein. U moet de VMware Identity Manager Connector hebben geïnstalleerd als domeingebruiker die lid is van de beheerdersgroep op de Windows-computer waarop de connector is geïnstalleerd en u moet de VMware IDM Connector-service als Windows-domeingebruiker uitvoeren. Procedure 1 Klik in de VMware Identity Manager-beheerconsole op het tabblad Identiteits- en toegangsbeheer. 2 Klik op Installatie en klik dan op het tabblad Connectoren. Alle connectoren die u heeft geïmplementeerd worden weergegeven. VMware, Inc. 38

39 3 Klik op de koppeling in de kolom Werker van een van de connectoren. 4 Klik op het tabblad Verificatieadapters. 5 Klik op de koppeling KerberosIdpAdapter en configureer de adapter en schakel deze in. Optie Naam Directory-UID-kenmerk Windows-verificatie inschakelen Omleiden inschakelen Hostnaam doorverwijzen Beschrijving De standaardnaam van de adapter is KerberosIdpAdapter. U kunt deze naam wijzigen. Het accountkenmerk dat de gebruikersnaam bevat. Selecteer deze optie. Selecteer deze optie en geef een waarde op voor Hostnaam omleiden wanneer u meerdere connectoren in een cluster hebt en van plan bent om Kerberos-hoge beschikbaarheid in te stellen met behulp van een load balancer. Wanneer uw implementatie slechts één connector heeft, hoeft u de opties Omleiden inschakelen en Hostnaam omleiden niet te gebruiken. Wanneer de optie Omleiden inschakelen is geselecteerd, is een waarde vereist. Voer de eigen hostnaam van de connector in. Wanneer de hostnaam van de connector bijvoorbeeld connector1.voorbeeld.com is, voert u connector1.voorbeeld.com in het tekstvak in. Bijvoorbeeld: Raadpleeg de Handleiding VMware Identity Manager-beheer voor informatie over het configureren van de KerberosIdPAdapter. 6 Klik op Opslaan. Opmerking Zie Fout bij Kerberos-initialisatie als in een foutbericht wordt gemeld dat de initialisatie van Kerberos is mislukt. Nadat u het script heeft uitgevoerd, gaat u terug naar deze pagina en configureert u de adapter. 7 Wanneer u een cluster hebt geïmplementeerd, configureert u de KerberosIdPAdapter op alle connectoren in uw cluster. Zorg ervoor dat u de adapter identiek configureert op alle connectoren, met uitzondering van de waarde voor Hostnaam doorverwijzen, die specifiek moet zijn voor elke connector. VMware, Inc. 39

40 Wat nu te doen Zorg ervoor dat elke connector waarop de KerberosIdpAdapter is ingeschakeld, een vertrouwd SSLcertificaat heeft. U kunt het certificaat verkrijgen van uw interne certificaatautoriteit. Kerberosverificatie werkt niet met automatisch ondertekende certificaten. Vertrouwde SSL-certificaten zijn vereist, ongeacht of u Kerberos inschakelt op een afzonderlijke connector of op meerdere connectoren voor hoge beschikbaarheid. Stel indien nodig hoge beschikbaarheid in voor Kerberos-verificatie. Kerberos-verificatie is niet maximaal beschikbaar zonder een load balancer. Hoge beschikbaarheid voor Kerberos-verificatie configureren Om hoge beschikbaarheid voor Kerberos-verificatie te configureren, installeert u een load-balancer in uw interne netwerk binnen de firewall en voegt u VMware Identity Manager Connector-instanties hieraan toe. U moet ook bepaalde instellingen op de load-balancer configureren, SSL-vertrouwen tot stand brengen tussen de load-balancer en de connector, en de URL voor connectorverificatie wijzigen zodat de hostnaam van de load-balancer wordt gebruikt. Load balancer-instellingen configureren U moet bepaalde instellingen op de load balancer configureren, zoals de time-out van de load balancer juist instellen en sticky-sessies inschakelen. Configureer deze instellingen. Time-out van load-balancer Voor een juiste werking van de VMware Identity Manager Connector moet u de standaardtime-out voor load-balancer-verzoeken verhogen. De waarde is ingesteld in minuten. Als de time-out te kort is ingesteld, wordt wellicht de volgende fout weergegeven. 502-fout: De service is momenteel niet beschikbaar Sticky-sessies inschakelen U moet de instelling voor sticky-sessies inschakelen op de load-balancer als uw implementatie meerdere connectorinstanties heeft. De load-balancer bindt vervolgens de sessie van een gebruiker aan een specifieke connectorinstantie. Het rootcertificaat van de VMware Identity Manager Connector op de load balancer toepassen Wanneer VMware Identity Manager Connector is geconfigureerd achter een load balancer, moet u SSLvertrouwen tot stand brengen tussen de load balancer en de connector. Het basiscertificaat van Connector moet worden gekopieerd naar de load balancer als een vertrouwd basiscertificaat. VMware, Inc. 40

41 Het certificaat van VMware Identity Manager Connector kan worden gedownload vanaf de beheerpagina's van de connector op Wanneer de domeinnaam van de connector naar de load balancer wijst, kan het SSL-certificaat uitsluitend worden toegepast op de load balancer. Procedure 1 Meld u aan bij de beheerpagina's van de connector via als de admingebruiker. 2 Selecteer SSL-certificaten installeren. 3 Klik in het tabblad Servercertificaat op de koppeling in het veld Automatisch ondertekende root- CA-certificaten van appliance. 4 Kopieer alles tussen en inclusief de regels -----BEGIN CERTIFICATE----- en -----END CERTIFICATE----- en plak het basiscertificaat op de juiste locatie op elk van uw load balancers. Raadpleeg de documentatie over de load balancer. Wat nu te doen Kopieer het basiscertificaat van de load balancer en plak dit in VMware Identity Manager Connector. Het rootcertificaat van de load balancer op de VMware Identity Manager Connector toepassen Wanneer VMware Identity Manager Connector is geconfigureerd achter een load balancer, moet u vertrouwen tot stand brengen tussen de load balancer en de connector. Naast het kopiëren van het rootcertificaat van de connector naar de load balancer, moet u het rootcertificaat van de load balancer kopiëren naar de connector. VMware, Inc. 41

42 Procedure 1 Basiscertificaat van load balancer verkrijgen 2 Ga naar de beheerpagina's van VMware Identity Manager Connector via /cfg/login en meld u aan als de admingebruiker. 3 Selecteer het tabblad SSL-certificaten installeren > Vertrouwde CA's. 4 Plak de tekst van het certificaat van de load balancer in het tekstvak Root- of tussencertificaat. 5 Klik op Toevoegen. IdP-hostnaam van de connector wijzigen in de hostnaam van de load balancer Nadat u de instanties van VMware Identity Manager Connector aan de load-balancer hebt toegevoegd, moet u de IdP-hostnaam op de Workspace IdP van elke connector wijzigen in de hostnaam van de loadbalancer. Voorwaarden De connectorinstanties zijn geconfigureerd achter een load-balancer. Zorg ervoor dat de poort van de load-balancer 443 is. Gebruik niet het poortnummer 8443 omdat dit het nummer van de beheerspoort is. Procedure 1 Meld u aan op de beheerconsole van VMware Identity Manager. 2 Klik op het tabblad Identiteits- en toegangsbeheer. 3 Klik op het tabblad Identiteitsproviders. 4 Klik in de pagina Identiteitsproviders op de koppeling Workspace IdP voor de connectorinstantie. VMware, Inc. 42

43 5 Wijzig in het tekstvak IdP-hostnaam de hostnaam van de connector in de hostnaam van de loadbalancer. Wanneer bijvoorbeeld de hostnaam van uw connector myconnector is en de hostnaam van uw loadbalancer mylb is, wijzigt u de URLmyconnector.mycompany.com:poort VMware, Inc. 43

44 als volgt: mylb.mycompany.com:poort VMware, Inc. 44