VMware [Lab 5]: Thêm nguồn định danh và phân quyền trong vCenter

Tổng quan​

Sau khi hoàn thành việc triển khai vCenter Server, thêm license và tổ chức inventory, bước tiếp theo để hoàn thiện môi trường quản trị là xây dựng cơ chế xác thực và phân quyền cho người dùng. Đây là nội dung chính của Lab 5, tập trung vào việc tích hợp Identity Source, nhận diện Users và Groups, sau đó gán Roles/Permissions để kiểm soát quyền truy cập vào vCenter.

Trong một hệ thống thực tế, việc sử dụng duy nhất tài khoản administrator@vsphere.local cho mọi thao tác là không phù hợp về mặt quản trị và bảo mật. Mỗi người dùng hoặc nhóm người dùng cần có phạm vi thao tác riêng, tùy theo vai trò công việc. Vì vậy, tích hợp nguồn định danh tập trung như LDAP hoặc Active Directory là bước quan trọng giúp vCenter có thể xác thực người dùng từ hệ thống bên ngoài, đồng thời áp dụng cơ chế phân quyền linh hoạt và rõ ràng hơn.

Nội dung chính​

1. Mục tiêu ​

Mục tiêu của bài lab là:

• Thêm Identity Source vào vCenter Single Sign-On
• Cho phép vCenter nhận diện người dùng từ hệ thống thư mục tập trung
• Làm việc với Users và Groups đến từ domain ngoài
• Gán Permissions cho user hoặc group trên các object trong inventory
• Tạo tiền đề cho việc kiểm soát truy cập theo vai trò trong môi trường vSphere

Sau khi hoàn tất bài lab, hệ thống sẽ không còn phụ thuộc hoàn toàn vào các tài khoản nội bộ của vCenter, mà có thể sử dụng người dùng từ domain để đăng nhập và thao tác theo quyền được cấp.

2. Identity Source là gì ?​

Identity Source là nguồn xác thực mà vCenter Single Sign-On sử dụng để tra cứu người dùng và nhóm. Có thể hiểu đây là nơi vCenter kết nối đến để biết:

• Người dùng nào tồn tại
• Người dùng đó thuộc nhóm nào
• User nào có thể được dùng để đăng nhập vào hệ thống

Trong môi trường lab, identity source thường là:

• LDAP
• Active Directory
• hoặc LDAP over LDAPS

Việc thêm identity source giúp vCenter tích hợp với hệ thống xác thực tập trung thay vì chỉ dùng tài khoản nội bộ trong vsphere.local. Đây là bước rất quan trọng vì nó giúp mô hình quản trị trở nên gần hơn với môi trường doanh nghiệp thực tế.

3. Thêm Identity Source vào vCenter​

Sau khi đăng nhập bằng tài khoản administrator@vsphere.local, người quản trị vào phần Administration của vSphere Client, sau đó truy cập cấu hình Single Sign-On. Tại đây có thể thêm một identity source mới bằng cách khai báo:

• Tên domain hoặc tên nguồn xác thực
• Địa chỉ máy chủ LDAP/AD
• Thông tin bind hoặc tài khoản tra cứu
• Base DN cho user và group nếu dùng LDAP
• Certificate nếu dùng giao thức bảo mật như LDAPS

Sau khi thêm thành công, vCenter sẽ có khả năng tra cứu danh sách người dùng và nhóm từ nguồn này. Đây là điều kiện bắt buộc trước khi có thể dùng user domain để đăng nhập hoặc gán quyền.

Truy cập tab Administration:

Join vào AD:

Nhập thông tin domain và user của AD (sau đó thực hiện reboot):

Sau khi reboot tiến hành kiểm tra:
Thêm Identiy Source:
Nhập tên Domain vừa join vào:

Kiểm tra đã thêm thành công:

Kiểm tra các user và group của AD đã có:

4. Gán quyền cho người dùng hoặc nhóm​

- Gán quyền Global truy cập vào Content Library cho user cladmin:​

Vào tab Access Control > Global Permissions và nhấn ADD:

Chọn user của AD có tên cladmin với role Content library administrator (sample) - có quyền truy cập Content library:
Lưu ý: Nhớ tick vào Propagate to children để user có thể đăng nhập được

Kiểm tra role đã được gán cho user chưa:

Thực hiện đăng nhập để kiểm tra:

Truy cập Content libraries thành công:

- Gán quyền tạo VM cho user studentadmin:​

Vào Permissions ở cấp nhỏ hơn và nhấn ADD:

Tiến hành kiểm tra role có thể tạo máy ảo:

Thực hiện gán role cho user studentadmin:

Kiểm tra role đã được gán:

Đăng nhập bằng user studentadmin:

Thực hiện tạo máy ảo:

5. Ý nghĩa thực tế​

Lab 5 giúp hình thành tư duy quản trị rất quan trọng trong môi trường ảo hóa: xác thực và phân quyền phải đi cùng nhau. Chỉ khi người dùng được xác thực từ một nguồn tin cậy và được cấp đúng quyền trên đúng phạm vi tài nguyên, hệ thống mới có thể vận hành an toàn và hiệu quả.

Từ góc nhìn vận hành, đây là bước giúp môi trường vSphere tiến gần hơn tới mô hình doanh nghiệp thực tế, nơi mỗi người dùng có một vai trò riêng và quyền truy cập không còn bị dồn toàn bộ vào một tài khoản quản trị duy nhất. Điều này không chỉ giúp tăng tính bảo mật mà còn làm cho việc kiểm soát thay đổi và truy vết thao tác trở nên rõ ràng hơn.

Kết luận​

Lab 5 là bước chuyển quan trọng từ giai đoạn xây dựng hạ tầng sang giai đoạn tổ chức quản trị người dùng trong vSphere. Khi Identity Source được tích hợp thành công, vCenter có thể sử dụng người dùng và nhóm từ hệ thống xác thực tập trung để triển khai mô hình phân quyền rõ ràng, linh hoạt và phù hợp với từng nhu cầu vận hành cụ thể.

Giá trị lớn nhất của bài lab không chỉ nằm ở việc thêm được user từ domain vào vCenter, mà ở việc hiểu rõ mối liên hệ giữa xác thực, vai trò và quyền hạn trong một hệ thống quản trị tập trung. Khi những yếu tố này được thiết lập đúng, môi trường vSphere sẽ trở nên an toàn hơn, chuyên nghiệp hơn và sẵn sàng cho các bước quản trị sâu hơn trong thực tế.