Двухфакторная аутентификация для VMware vCenter Server

Последнее обновление 17 сентября 2026Копировать как MarkdownОткрыть как Markdown

Описание

vCenter Server проверяет доменные учётные данные через источник учётных записей типа «Active Directory over LDAP». Если в качестве сервера каталога указать локальный инстанс Simple2FA, вход в vSphere Client получит второй фактор: пользователь подтверждает вход на своём устройстве, и только после этого консоль открывается.

Метод подключения — LDAP-прокси. Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает vSphere Client и вводит доменные логин и пароль.
2. vCenter Server обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и vCenter Server открывает сессию.

Перед началом работы

• В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — шаги 1 и 2 общей инструкции.
• С сервера vCenter открыт доступ к инстансу по порту LDAP (1389) или LDAPS (1636).
• Время на сервере vCenter синхронизировано — иначе возможны ошибки при работе с TLS и доменными учётными записями.
• DN сервисной учётной записи добавлен в список сервисных в глобальных настройках Simple2FA.
• Сохранена учётная запись локального администратора vCenter (administrator@vsphere.local) — она не зависит от источника учётных записей.

Подготовка в Simple2FA

В панели администратора создайте ресурс:

Поле	Значение
Название	VMware vCenter
Протокол	LDAP
CIDR клиентов LDAP	IP-адрес vCenter Server, например 10.0.0.30/32
Проверять первый фактор	Включить
Поставщики учётных записей	Каталог, в котором проверяется пароль

Добавьте ресурс в группу пользователей, которым разрешён вход в vCenter.

Настройка vCenter Server

Источник учётных записей

1. Войдите в vSphere Client под учётной записью administrator@vsphere.local.
2. Откройте Administration → Single Sign On → Configuration, вкладка Identity Sources.

3. Нажмите Add и выберите тип Active Directory over LDAP:

   • Name — произвольное имя источника, например Simple2FA;
   • Base distinguished name for users — база поиска пользователей в вашем каталоге, например DC=example,DC=local;
   • Base distinguished name for groups — база поиска групп;
   • Domain name — имя домена, например example.local;
   • Username — DN сервисной учётной записи, например CN=ldapbind,CN=Users,DC=example,DC=local;
   • Password — её пароль из каталога;
   • Connect To — Specific domain controllers;
   • Primary Server URL — адрес инстанса Simple2FA: ldap://simple2fa.example.local:1389 или ldaps://simple2fa.example.local:1636;
   • SSL Certificates — сертификат инстанса, если используется LDAPS.

4. Нажмите Add и убедитесь, что источник появился в списке.

Для LDAPS нужен сертификат инстанса

vCenter проверяет сертификат сервера каталога, поэтому его нужно передать в поле SSL Certificates. Скачайте сертификат в блоке «LDAP-прокси» глобальных настроек Simple2FA — или загрузите туда свой, выпущенный вашим удостоверяющим центром на имя инстанса, и используйте его.

Права доступа

1. Откройте Administration → Access Control → Global Permissions.

2. Нажмите + (Add Permission):

   • User — выберите добавленный домен из списка;
   • Search — найдите доменную группу или конкретного пользователя;
   • Role — назначьте роль.

3. Нажмите OK. Права можно назначать и на уровне отдельных хостов — в разделе Permissions нужного объекта.

Проверка работы

1. Откройте vSphere Client в приватном окне браузера, не закрывая текущую сессию администратора.
2. Войдите доменными логином и паролем тестового пользователя.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что консоль открылась, а в журнале «Попытки авторизации» появилась успешная попытка на ресурсе vCenter.

Если vCenter сообщает об ошибке входа раньше, чем приходит запрос подтверждения, уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA.

Смотрите также

• Приложения с входом по LDAP — общая часть настройки и диагностика
• VMware Horizon — подключение VDI по RADIUS
• Ресурсы