Microsoft Active DirectoryおよびOpenLDAPとの統合

HP vPVは、Microsoft Active DirectoryおよびOpenLDAPを使用したユーザー認証をサポートします。したがって、LDAPサーバーによって実装されるパスワードポリシーがHP vPVユーザーに適用されます。

Microsoft Active DirectoryサーバーまたはOpenLDAPを使用するようにHP vPVを設定するには、次の手順を実行します。

1. <data_dir>/conf/perfディレクトリにあるPVconfig.iniファイルを開きます。

2. サンプル行からコメント記号「;」を削除し、各自のインストール内容に合わせた値に情報を置き換えることで、PVconfig.iniファイルの[LDAP]セクションに情報を追加します。

   Microsoft Active Directoryの場合

   PVGROUP=<PVのユーザーグループ> (Active Directoryユーザーグループ)。
   
   PVADMIN=<PV_Adminなどの、Active Directoryに存在しPV管理者として使用されるユーザーアカウント。このユーザーには、HP vPVの管理権限が付与されます。このユーザーはPVGROUPに属す場合があります>。

   注:複数の管理者およびグループを、PVADMINおよびPVGROUPパラメーター内でカンマ (,) 区切りで追加できます。
   

   LDAPHOST=<Active Directory ServerのIP/FQDN。例: Sample.abc.com>:<ポート番号>

   注:<ポート番号>を指定して、LDAPサーバーをデフォルト以外のポート番号に設定できます。例: LDAPHOST=sample.abc.com:383.<ポート番号>を指定しない場合、デフォルトのポート番号が想定されます。LDAPおよびLDAPサーバーのデフォルトポート番号は、それぞれ389および636です。
   
   SEARCHBASE=<HP vPVでユーザー検索が行われるサーバールート>。たとえば、ドメイン名がabc.def.comの場合、SEARCHBASEは「DC=<abc>,DC=<def>,DC=<com>」になります。
   
   USERSEARCHQUERY=(&(objectclass=user)(SAMAccountName=$USERID$))
   
   DOMAIN=<abc.def.com>
   
   SSL_KEYSTORE=<キーストアファイルの絶対パス> (有効な場合)。
   
   USE_SSL=true/false。ユーザーの認証のSSL ONとOFFを切り替えます。これはHP vPVコンテキストの場合のみです。CSAユーザーの場合、LDAP認証でのSSLの使用はCSA設定に基づきます。
   

   OpenLDAPのシンプルな設定の場合

   このシナリオでは、すべてのHP vPVユーザーが同じ組織 (OU) に属します。
   
   PVADMIN=<PV_ManagerなどのPV管理者として使用されるユーザーアカウント。このユーザーには、HP vPVの管理権限が付与されます>。
   
   LDAPHOST=<OpenLDAP ServerのIP/FQDN。例: Sample.abc.com>:<ポート番号>
   
   注:<ポート番号>を指定して、LDAPサーバーをデフォルト以外のポート番号に設定できます。例: LDAPHOST=sample.abc.com:383.<ポート番号>を指定しない場合、デフォルトのポート番号が想定されます。LDAPおよびLDAPサーバーのデフォルトポート番号は、それぞれ389および636です。
   
   SEARCHBASE=<HP vPVでユーザー検索が行われるサーバールート>。たとえば、ドメイン名がmy-domain.comである場合、SEARCHBASE=OU=MyOrganization,DC=my-domain,DC=comになります。MyOrganizationはOpenLDAPで作成された組織です。
   
   USERSEARCHQUERY=CN=$USERID$。このフィールドでは、ユーザーを識別する属性を指定します。たとえば「CN」が属性の場合、USERSEARCHQUERY=CN=$USEERID$になります。これがUIDである場合、USERSEARCHQUERY=UID=$USERID$になります。
   
   DOMAIN=<my-domain.com>
   
   LDAPTYPE=OpenLDAP。デフォルト値はADです。
   
   SSL_KEYSTORE=<キーストアファイルの絶対パス> (有効な場合)。
   
   USE_SSL=true/false。ユーザーの認証のSSL ONとOFFを切り替えます。
   OpenLDAPグループ設定の例

   このシナリオでは、HP vPVユーザーはLDAPの異なる組織に属します。
   
   PVGROUP=<PVのユーザーグループ> (OpenLDAPユーザーグループ)。
   
   PVADMIN=<PV_ManagerなどのPV管理者として使用されるユーザーアカウント。このユーザーはPVGROUPに属している必要があります。HP vPVの管理権限が付与されます>。
   

   注:複数の管理者およびグループを、PVADMINおよびPVGROUPパラメーター内でカンマ (,) 区切りで追加できます。

   LDAPHOST=<OpenLDAP ServerのIP/FQDN。例: Sample.abc.com>:<ポート番号>

   注:<ポート番号>を指定して、LDAPサーバーをデフォルト以外のポート番号に設定できます。例: LDAPHOST=sample.abc.com:383.<ポート番号>を指定しない場合、デフォルトのポート番号が想定されます。LDAPおよびLDAPサーバーのデフォルトポート番号は、それぞれ389および636です。
   
   SEARCHBASE=<HP vPVでユーザー検索が行われるサーバールート>。たとえば、ドメイン名がmy-domain.comである場合、SEARCHBASE=DC=my-domain,DC=comになります。
   
   USERSEARCHQUERY=CN=$USERID$。このフィールドでは、ユーザーを識別する属性を指定します。たとえば「CN」が属性の場合、USERSEARCHQUERY=CN=$USEERID$になります。これがUIDである場合、USERSEARCHQUERY=UID=$USERID$になります。
   
   DOMAIN=<my-domain.com>
   
   LDAPTYPE=OpenLDAP。デフォルト値はADです。
   
   BIND_DN=CN=user1, OU=test,DC=my-domain,DC=com。このユーザーにはSERACHBASE,PVGROUPおよび属性への読み取りアクセス権が付与されている必要があります。
   
   BIND_DN_PASSWORD=上記DNの暗号化パスワード (注:XPLを使用して暗号化パスワードを取得します)。
   
   SSL_KEYSTORE=<キーストアファイルの絶対パス> (有効な場合)。
   
   USE_SSL=true/false。ユーザーの認証のSSL ONとOFFを切り替えます。
   

   注 :暗号化パスワードを生成するには、次の手順を実行します。
   
   1.コマンド#/opt/OV/bin/pvconfigを使用します。
   構文:/opt/OV/bin/pvconfig –en <Any password>
   例:# /opt/OV/bin/pvconfig -en password
   暗号化パスワードの例 - dAGZEfcZEPiQxXNilr85Cxc81jsomV8v
   
   2.[LDAP] 名前空間の下の/var/opt/OV/conf/perf/PVconfig.iniにパスワードをBIND_DN_PASSWORDとしてコピーします。

3. コマンド# /opt/OV/bin/ovc -restart ovtomcatBを使用してovtomcatBを再起動します。

SSLを介したLDAP接続の設定

HP vPVサーバーとLDAPサーバー間でセキュリティ保護された接続を必要とする場合は、SSLを介してLDAP接続を設定できます。

SSLを介してLDAP接続 (LDAPS) を設定するには、次の手順を実行します。

1. <data_dir>/conf/perfディレクトリにあるPVconfig.iniファイルを開きます。

2. コメント記号「;」を削除し、各自のインストール内容に合わせた値に情報を置き換えることで、PVconfig.iniファイルの [LDAP] セクションに情報を追加します。

   SSL_KEYSTORE=<data_dir>\conf\perf\jssecacerts。これは、LDAPサーバー証明書を保管するキーストアの場所です。

   USE_SSL=trueを設定

   これにより、LDAPSを介したLDAPとHP vPV間の通信が有効化されます。以上の操作を行わないと、通信にLDAPが使用されます。

3. 次のコマンドを使用してHP vPVを再起動します。

   pv restart

サーバー証明書の取得

Microsoft Active DirectoryサーバーのSSL証明書を、HP vPVサーバーで使用される承認済み証明書のリストに追加する必要があります。証明書を追加するには、Microsoft Active Directoryサーバーで次のコマンドを実行して証明書をエクスポートします。

certutil -ca.cert <sample.crt>。sample.crtは、HP vPVサーバーにエクスポートするSSL証明書の名前です。

サーバー証明書のインポート

とMicrosoft Active Directory間でSSL対応の通信を行うには、Microsoft Active Directoryサーバーの証明書をキーストアにインポートする必要があります。

jssecacertsなどのキーストアファイルは、<data_dir>/conf/perfディレクトリにあります。

サーバー証明書をインポートするには、次の手順を実行します。

1. <data_dir>/conf/perfディレクトリに移動します。

2. エクスポートされたMicrosoft Active DirectoryサーバーのSSL証明書をコピーして、ディレクトリに貼り付けます。

3. 次のコマンドを実行します。

   /opt/OV/nonOV/jre/b/bin/keytool -importcert -keystore jssecacerts -file /root/cacert.pem。

   keytoolにより、パスワードの入力を求めるプロンプトが表示されます。デフォルトのパスワードはchangeitです。

4. 次のプロンプトが表示されたら、yesを選択してキーのインポートを確定します。Trust this Certificate?[no]: yes

HP vPVユーザーインターフェイスへのアクセス

Microsoft Active Directory対応のHP vPVを起動するには、次のURLを使用します。

http://<システム>:<ポート>/PVまたはhttps://<システム>:<ポート>/PV

URL http://<システム>:<ポート>/PVを使用してMicrosoft Active Directory対応のHP vPVを起動すると、URL https://<システム>:<ポート>/PVを使用してログインページにリダイレクトされます。

ログインページで、ユーザー名とパスワードを入力します。たとえば、PV_Adminとpasswordのように入力します。

ユーザー名とパスワードの検証要求が、Microsoft Active Directoryサーバーに送信されます。検証に成功すると、HP Virtualization Performance Viewerのホームページが表示され、URLがhttp://<システム>:<ポート>/PVに戻ります。SSLを介して資格情報をHP vPVサーバーに送信するため、HTTPからHTTPSにプロトコルがリダイレクトされます。ただし、HP vPVをURLhttps://<システム>:<ポート>/PVを使用して起動すると、HP vPVは引き続きセキュアモードで動作します。