虛擬雲網路

網路虛擬化NSX 技術文章系列一百三十 : NSX-T Data Center:基於角色的權限控制以及與vIDM的整合(一)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與SD-WAN方案的介紹與推廣。

在一個中大型的IT生產環境內,管理者能夠基於不同的群組或角色,賦予不同的設備或是應用系統管理權限是很重要的。比如說防火牆管理者可以進行安全政策的配置,但是不應該去進行邏輯交換器、邏輯路由器等的配置作業。稽核人員可以對於環境內的不同網路與安全狀態進行檢視,但不應該對環境進行任何異動。一般來說這樣的機制叫做RBAC (Role-Based Access Control)。在NSX-T Data Center內當然也需要有這樣的功能。

此外,針對不同管理者的帳號管理與登入方式,企業通常也會希望有下列的運作機制:

 

  • 可以和企業的目錄系統,比如說Active Directory結合,達成帳號與密碼政策的集中管理

 

  • 能夠搭配進階的安全認證機制,像是雙因素認證比如說RSA Token / Smart Card / One-Time-Password等等不同的認證防護方式

 

  • 可以達成Single-Sign-On,在完成認證後,不用每個應用或業務系統都各自獨立去再進行認證作業。

 

上面這些要求,在企業不同的資訊系統與業務應用環境可以說是共通的,因此當然NSX-T不應該也不需要自己去寫一套,而應該要能與具備上述功能的系統進行結合。NSX-T在這邊與之前NSX for vSphere的機制有大幅的不同:之前NSX for vSphere是與vCenter內PSC (Platform Service Controller) 內的身份識別機制做結合,但在NSX-T內,整個AAA (Authentication / Authorization / Accounting or Auditing) 與 RBAC 的功能,改成與VMware Identity Manager (vIDM) 來進行整合。

 

下圖內,當我們建置完成NSX-T與vIDM的整合後,從瀏覽器要登入NSX-T的畫面會變成下面這樣:預設是Remote User。如果你想要原先的本地管理者帳號admin登入的話,要改為Node-Local User。

選擇Remote User並在下面按Log In後,接著大家會發現,Workspace ONE的登入畫面跳出來了。咦我們不是在用Horizon View或Airwatch或Remote App啊?VMware Identity Manager是VMware Workspace ONE整體方案的一部分,而且會作為所有VMware產品共通的用戶登入 / 目錄整合 / 安全方案結合的統合入口。因此各位在下圖內看到的就是vIDM的用戶登入畫面。在此展示畫面內,我們選擇登入的AD目錄域是zodemo.com,然後登入的用戶是colin-auditor,並且輸入對應到這個帳號的AD密碼。

然後畫面會跳轉回NSX-T的管理介面去。這個用戶帳號在NSX-T環境內,我們已經配置了對應的角色授權僅有auditor的權限。因此四處轉轉,在交換器的管理介面內,下圖內大家可以看到我們沒法新增 / 刪除 / 編輯交換器,也就是說,這個帳號沒有管理網路配置的權限,只能看配置。

同時在防火牆的管理介面內,相同的,可以點開看到規則,但是我們無論是段落或是單一規則的新增或任何異動,都無法進行

後續的網誌我們要繼續討論NSX-T的角色權限控制以及與Identity Manager結合的配置方式。在本文寫作時NSX-T版本是2.3版,可能大家看到本網誌時最新的NSX-T Data Center版本已經又更新了,但在這邊的配置方式與權限控管概念基本上都是接近的。

 

另外,如果各位有在NSX-T方案內要採用到與vIDM整合的相關功能,不用擔心說是否需要找錢找額外的預算來買vIDM。就如同Log Insight一樣,對於NSX-T Data Center產品來說VMware Identity Manager算是方案內的必要功能之一,因此只要您有購置NSX Data Center的授權,就可以直接於My VMware內下載vIDM。但當然,在這邊的vIDM授權也應僅限於對應到NSX-T管理者登入權限的相關使用。

相关文章

评论

发表评论

电子邮件地址不会被公开。 必填项已用*标注