# Двухфакторная аутентификация для VMware vCenter Server

## Описание

vCenter Server проверяет доменные учётные данные через источник учётных записей типа «Active Directory over LDAP». Если в качестве сервера каталога указать локальный инстанс Simple2FA, вход в vSphere Client получит второй фактор: пользователь подтверждает вход на своём устройстве, и только после этого консоль открывается.

Метод подключения — [LDAP-прокси](index.md). Второй фактор подтверждается push-уведомлением в мобильном приложении, в Telegram или в MAX.

Схема работы:

1. Пользователь открывает vSphere Client и вводит доменные логин и пароль.
2. vCenter Server обращается по LDAP к локальному инстансу Simple2FA.
3. Инстанс проверяет логин и пароль в каталоге организации.
4. Инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход, и vCenter Server открывает сессию.

## Перед началом работы

- В глобальных настройках инстанса включён LDAP-прокси, порты опубликованы на хосте — [шаги 1 и 2 общей инструкции](index.md#шаг-1-включить-ldap-прокси).
- С сервера vCenter открыт доступ к инстансу по порту LDAP (`1389`) или LDAPS (`1636`).
- Время на сервере vCenter синхронизировано — иначе возможны ошибки при работе с TLS и доменными учётными записями.
- DN сервисной учётной записи добавлен в список сервисных в глобальных настройках Simple2FA.
- Сохранена учётная запись локального администратора vCenter (`administrator@vsphere.local`) — она не зависит от источника учётных записей.

## Подготовка в Simple2FA

В панели администратора создайте [ресурс](../../admin/resources.md):

| Поле | Значение |
| --- | --- |
| Название | VMware vCenter |
| Протокол | LDAP |
| CIDR клиентов LDAP | IP-адрес vCenter Server, например `10.0.0.30/32` |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Каталог, в котором проверяется пароль |

Добавьте ресурс в группу пользователей, которым разрешён вход в vCenter.

## Настройка vCenter Server

### Источник учётных записей

1. Войдите в vSphere Client под учётной записью `administrator@vsphere.local`.
2. Откройте **Administration → Single Sign On → Configuration**, вкладка **Identity Sources**.
3. Нажмите **Add** и выберите тип **Active Directory over LDAP**:

    - **Name** — произвольное имя источника, например `Simple2FA`;
    - **Base distinguished name for users** — база поиска пользователей в вашем каталоге, например `DC=example,DC=local`;
    - **Base distinguished name for groups** — база поиска групп;
    - **Domain name** — имя домена, например `example.local`;
    - **Username** — DN сервисной учётной записи, например `CN=ldapbind,CN=Users,DC=example,DC=local`;
    - **Password** — её пароль из каталога;
    - **Connect To** — **Specific domain controllers**;
    - **Primary Server URL** — адрес инстанса Simple2FA: `ldap://simple2fa.example.local:1389` или `ldaps://simple2fa.example.local:1636`;
    - **SSL Certificates** — сертификат инстанса, если используется LDAPS.

4. Нажмите **Add** и убедитесь, что источник появился в списке.

!!! note "Для LDAPS нужен сертификат инстанса"
    vCenter проверяет сертификат сервера каталога, поэтому его нужно передать в поле SSL Certificates. Скачайте сертификат в блоке «LDAP-прокси» глобальных настроек Simple2FA — или загрузите туда свой, выпущенный вашим удостоверяющим центром на имя инстанса, и используйте его.

### Права доступа

1. Откройте **Administration → Access Control → Global Permissions**.
2. Нажмите **+** (Add Permission):

    - **User** — выберите добавленный домен из списка;
    - **Search** — найдите доменную группу или конкретного пользователя;
    - **Role** — назначьте роль.

3. Нажмите **OK**. Права можно назначать и на уровне отдельных хостов — в разделе **Permissions** нужного объекта.

## Проверка работы

1. Откройте vSphere Client в приватном окне браузера, не закрывая текущую сессию администратора.
2. Войдите доменными логином и паролем тестового пользователя.
3. Дождитесь запроса подтверждения и подтвердите вход.
4. Убедитесь, что консоль открылась, а в журнале [«Попытки авторизации»](../../admin/auth-attempts.md) появилась успешная попытка на ресурсе vCenter.

Если vCenter сообщает об ошибке входа раньше, чем приходит запрос подтверждения, уменьшите «Таймаут ожидания подтверждения» в глобальных настройках Simple2FA.

## Смотрите также

- [Приложения с входом по LDAP](index.md) — общая часть настройки и диагностика
- [VMware Horizon](../windows/vmware-horizon.md) — подключение VDI по RADIUS
- [Ресурсы](../../admin/resources.md)