5、VMware vSphere安全配置与管理全解析

VMware vSphere安全配置与管理全解析

1. VMware vCenter认证方法

SSO（单点登录）作为认证代理和安全令牌交换基础设施，在vSphere 5.1和5.5中是特定角色，从vSphere 6.0开始成为PSC（平台服务控制器）角色的一部分。SSO支持多种身份源，如外部目录服务AD（Active Directory）。使用AD进行用户认证可简化权限管理、确保密码复杂度，并采用相同安全策略降低未授权访问风险。

为提升认证安全性，多因素认证（MFA）优于简单的用户名/密码方法。从vSphere 6.0 Update 2开始，可使用双因素认证（2FA），具体方式如下：
- 智能卡（基于UPN的通用访问卡（CAC））
- RSA SecurID令牌

需注意，vCenter SSO仅支持原生SecurID，不支持RADIUS认证。

2. 多站点PSC安装

多站点PSC仅适用于外部PSC部署，在此配置中，一个SSO域可跨多个站点。为确保PSC的高可用性，建议每个站点至少部署两个PSC，并使用第三方负载均衡器。站点成员资格可在PSC安装的第二阶段指定。

3. 身份源配置与管理

若要为AD用户或组分配vCenter权限，需先将PSC加入AD域，使AD用户能使用Windows会话认证（SSPI）登录vCenter Server。加入过程取决于vCenter和PSC的部署方式：
- 嵌入式PSC：将vCenter加入AD域
- 外部PSC：将PSC加入AD域

仅可使用可写的域控制器加入AD域，只读域控制器（RODC）不支持。对于基于