サイバー攻撃が当たり前となる中、Nutanixクラスターは、データが保存されている大事な箱なので、当然ながら攻撃者から狙われるシステムの一つとなります。
クラスターロックダウンによるCVMの保護など、まずやるべきことはありますが、巧妙な攻撃手法で、管理ネットワークに侵入し盗用したあたかも正規のオペレーションで仮想マシンやスナップショットを削除する可能性もあります。
Prism Centralの認証はデフォルトユーザーIDとパスワードでの認証となりますが、このご時世、パスワードだけの保護では、セキュリティ面で十分といえない時代になってきました。
前回は、Prism Element / Centralにおいて、証明書認証の手法をお伝えしましたが、Prism Centralにおいては、SAML連携ができるためIdPとの連携が可能です。
今回は、最も普及しているといっても過言ではない、MicrosoftのEntra IDとの連携方法をご紹介いたします。
あらかじめ、EntraIDが利用できるテナントがあり、ユーザーなども作成済みの前提となります。
なお、EntraIDは、無料テナントであっても連携が可能です。（2026年9月現在Authenticatorによる２要素認証含め利用可能です）ただし、無料テナントでは、グループによる設定ができない点にご注意ください。
まずは、EntraID側の設定を行います。
https://aad.portal.azure.com/
を開き、EntraID管理センターに管理者権限でサインインします。
「エンタープライズアプリ」→「すべてのアプリケーション」→「新しいアプリケーション」で、新しいアプリケーションを作成します。
「独自のアプリケーションの作成」をクリックします。
アプリケーションの名前は、わかりやすいものにします。また「ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)」を選択し、さくせいをくりっくします。
作成が完了すると、自動的に作成したアプリケーションの概要ページに行きますので、「1.ユーザーとグループの割り当て」をクリックします。
「ユーザーまたはグループの追加」をクリックします。
ユーザーまたは、グループを選択し、「割り当て」をクリックします。
続いて、SAML連携の設定を行います。「シングル サインオン」をクリックし、続いて「SAML」をクリックします。
基本的な SAML 構成の「編集」をクリックします。
識別子と応答URLをそれぞれ追加します。
以下のように識別子・応答URL・サインオンURLを入力します。
それぞれのパラメーターは以下のルールに従って入力します
識別子 (エンティティ ID)
https://<PrismCentralのFQDN or IPアドレス>:9440/api/iam/authn
応答 URL (Assertion Consumer Service URL)
https://<PrismCentralのFQDN or IPアドレス>:9440/api/iam/authn/callback
サインオン URL (省略可能)
https://<PrismCentralのFQDN or IPアドレス>/api/iam/au
※PrismCentralのアドレスは、プライベートのIPアドレスもしくはFQDNで構いません。
ブラウザで実際に利用するユーザーがアクセスできる内部のFQDNやプライベートIPアドレスで構いません。
続いて、「属性とクレーム」項目の「編集」をクリックします。
「グループ要求を追加する」をクリックし、詳細設定画面を表示させます。
「すべてのグループ」を選択し、ソース属性を「グループID」を選択し、保存ボタンをクリックし、設定を保存します。
user.groups [All」が追加されていることを確認します。
このグループのクレーム名のURLをコピーして控えておきます。
これで、EntraID側の設定は完了です。PrismCentral側で読み込むためのフェデレーション用メタデータXMLをダウンロードしておきます。
最後に、Prism Centralにログインできるユーザーをグループで指定する場合、グループのオブジェクトIDを取得しておく必要があります。
EntraIDのグループから、先ほど指定したグループを開きオブジェクトIDを控えておきます。
ここまでで大枠Entra IDの設定が完了しました。
次回は、Prism Central側の設定を行います。
0 件のコメント:
コメントを投稿