Prism Centralの認証を２要素認証にする（IdP連携）・その2

前回までに、EntraID側の設定を終えましたので、Prism Central側の設定を引き続きご紹介していきます。

今回、Prism Central 7.6で設定を確認しますが、動作はPrism Central 7.3以降で動作を確認しております。

まず、Prism Central に管理者でログインし、「Admin Center」→「IAM」→「IdP Configuration」から「Add Identity Provider」をクリックし「SAML Identity Provider」をクリックします。

「Import Metadata」をクリックし、「Configuration Name」に、わかりやすい名称をつけ、前回ダウンロードしたフェデレーションメタデーターXMLを読み込みます。XMLファイルを選択したら、Saveをクリックします。

SAMLプロバイダーが登録されたことを確認し、項目をチェックし、「Action」→「Edit」で再度編集画面に入ります。

前回EntraIDの控えたGroupのURLを、「Group Attribute Name」に入力し、「Save」をクリックします。

続いて認証ポリシーを設定します。「Authorization Policies」を選択し、「Crete Authorization Policy」をクリックします。

ツアーの画面が出てきたら、「Skip for now」をクリックします。

左上の鉛筆ボタンをクリックし、ポリシーの名称を設定します。
つづいて、「Select Role」のところで、今回Prism Centralデフォルトのロールである「Cluster Admin」を選択します。テキストボックスに「Cluster」と入力すると、その文字列のポリシーが自動検索・表示されますので、そのポリシーを選択し、「Next」をクリックします。

Define Scopeも、今回は、フルアクセスで設定しますが、実際にはユーザやグループに合わせて見えるオブジェクトを制限する必要がある場合もあると思います。このあたりは、RBAC設定の部分をご参考ください。

（参考）
Prism Centralの活用その4（RBACで操作と見える範囲の権限設定・その1）

続いて、EntraIDでログインできるユーザーおよびグループを指定します。
グループを指定する際は、グループの名称ではなくグループのオブジェクト IDを入力します。最後のSaveをクリックし、設定完了です。

では、別のブラウザでPrism Centralを開いてみましょう。

ログイン画面にEntra IDのボタンが増えていることがわかります。従来のローカルアカウントでログインする場合は、「Log in with your Nutanix Local Account」をクリックします。

Entra IDのボタンをクリックすると、Entra IDのログイン画面に移動します。Entra IDのログイン画面をカスタマイズしている場合は、その画面がそのまま表示されます。

Entra IDの設定で、Authenticatorと連携している場合、以下のようにAuthenticatorの追加認証画面が表示されます。

これで、Prism Centralでログインができるようになりました。

グループでのサインインを必要とする場合、EntraID側の設定とPrismCentral側もグループ参照用の設定が必要になりますので、注意して下さい。

（参考）KB16526 / Configuration Steps for Entra ID (formerly Azure ADFS) Integration with Prism Central