VMware アイデンティティ管理サービス - AWS 規範ガイダンス
VMware Cloud Services ConsoleVMware vCenter Server

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

VMware アイデンティティ管理サービス

注意

2024 年 4 月 30 日現在、VMware Cloud on AWS は AWS またはそのチャネルパートナーによって再販されなくなりました。このサービスは、Broadcom を通じて引き続き利用できます。詳細については、 AWS 担当者にお問い合わせください。

VMware Cloud on を使用する場合 AWS、ID とアクセスを管理するための 2 つの主要なサービスとツールである VMware Cloud Services Consoleと がありますVMware vCenter Server。

VMware Cloud Services Console

VMware Cloud Services Console (VMware ドキュメント) は、VMware Cloud on を含む VMware Cloud Services ポートフォリオの管理に役立ちます AWS。このサービスでは次のことが行えます。

  • ユーザーやグループなどのエンティティの管理

  • VMware Live Cyber Recovery や VMware Aria Suite などの他のクラウドサービスへのアクセスを制御する組織を管理する

  • リソースやサービスへのロールの割り当て

  • 組織にアクセスできる OAuth アプリケーションの表示

  • 組織のエンタープライズフェデレーションの設定

  • VMware Aria や VMware Cloud on などの VMware Cloud サービスを有効にしてデプロイする AWS

  • 請求とサブスクリプションの管理

  • VMware サポートの利用

ID とアクセスの管理

VMware Cloud Services Console でユーザー、グループ、ロール、組織を適切に設定することにより、最小特権のアクセスポリシーを実装できます。

VMware Cloud Services Console へのアクセスを保護することは非常に重要です。このサービスの管理ユーザーは、VMware クラウドの環境全体でアクセス許可を変更したり、請求情報などの機密情報にアクセスしたりする可能性があるためです。すべてのコンソール機能 (請求やサポートなど) にアクセスするには、ユーザーを VMware Customer Connect プロファイル (正式名称は MyVMware) にリンクする必要があります。

VMware Cloud Services Console では、ユーザーとグループにアクセス許可を付与する際に次の種類のロールを使用します。

  • 組織ロール — VMware Cloud の組織に直接関係するロールで、VMware Cloud Services Console 内でアクセス許可を付与します。基本のロールは次の 2 つです。組織オーナーロールは、組織を管理するためのアクセス許可をすべて持っています。組織メンバーロールは、VMware Cloud Services Console に読み取りアクセスが行えます。詳細については、「What organization roles are available in VMware Cloud Services」(VMware ドキュメント) を参照してください。

  • サービスロール — 特定のサービスを使用するための、アクセス許可の割り当てを許可するロールです。例えば、DR 管理サービスロールを持つエンティティは、専用サービスコンソールで VMware Live Cyber Recovery を管理できます。組織内で利用可能なサービスはすべて、1 つ以上のサービスロールが関連付けられています。利用可能なサービスロールの詳細については、そのサービスの VMware ドキュメントを参照してください。

VMware Cloud Services Console は認証ポリシーをサポートしています。このポリシーでは、ユーザーはログイン時に 2 つ目の認証トークンを入力しなければならない、つまり多要素認証(MFA) が必須であると規定することが可能です。

このサービスにおける ID とアクセスの管理に関する詳細は、「Identity and Access Management」(VMware ドキュメント) を参照してください。

AWS レコメンデーション

AWS では、VMware Cloud on AWS向けに VMware Cloud Services Console を設定する際に 一般的なベストプラクティス に加えて以下のことを推奨しています。

  • 組織を作成するときは、VMware Customer Connect プロファイルと、vmwarecloudroot@example.com など、個人用ではない、会社用の電子メールアドレスを使用します。このアカウントはサービスあるいはルートアカウントとして取り扱います。また、使用状況を監査し、このメールアカウントへのアクセスは制限する必要があります。会社の ID プロバイダー (IdP) とのアカウントフェデレーションをすぐに設定し、ユーザーがこのアカウントを使用しなくても組織にアクセスできるようにします。このアカウントは、フェデレーション IdP で発生した問題に対処する、Break Glass の手順で使用するために確保しておきます。

  • 組織のフェデレーティッド ID を使用して、VMware Live Cyber Recovery などの他のクラウドサービスへのアクセスを許可します。複数のサービスで使用しているユーザーやフェデレーションは、個別には管理しません。これにより、ユーザーの入社時あるいは退職時などに、複数のサービスへのアクセス管理が容易になります。

  • 組織オーナーのロールは、むやみに割り当てないようにします。このロールを持つエンティティは、組織のあらゆる側面や関連するクラウドサービスへのフルアクセスを自らに付与できます。

VMware vCenter Server

VMware vCenter Server (VMware のウェブサイト) は、VMware vSphere 環境を管理するための管理プレーンです。vCenter Server では、仮想マシンなどの vSphere リソースにアクセスし、VMware HCX や VMware Live Site Recovery などのアドオンにアクセスできるエンティティを管理します。vCenter Server の管理は vSphere Client アプリケーションを使って行います。vCenter Server では次のことが行えます。

  • 仮想マシン、VMware ESXi ホスト、VMware vSAN ストレージの管理。

  • vCenter Single Sign-On の設定および管理。

オンプレミスのデータセンターを使用している場合、Hybrid Linked Mode を使用して、クラウドの vCenter Server インスタンスをオンプレミスの vCenter Single Sign-On ドメインに接続できます。vCenter Single Sign-On ドメインに、Enhanced Linked Mode を使用して接続された vCenter Server インスタンスが複数含まれている場合は、それらのインスタンスはすべてクラウドの SDDC にリンクされます。このモードを使用すると、オンプレミスとクラウドのデータセンターを単一の vSphere Client インターフェイスで表示、管理でき、オンプレミスのデータセンターとクラウドの SDDC の間でワークロードを移行することができます。詳細については、「Configuring Hybrid Linked Mode」(VMware ドキュメント) を参照してください。

ID とアクセスの管理

VMware Cloud on のソフトウェア定義データセンター (SDDCs) (VMware ウェブサイト) では AWS、vCenter Server の運用方法はオンプレミス SDDC と似ています。主な違いは、VMware Cloud on AWS がマネージドサービスであることです。そのため、ホスト、クラスター、仮想マシンの管理など、特定の管理タスクはVMware が担います。詳細については、「What's Different in the Cloud?」および「Global permissions」(VMware ドキュメント) を参照してください。

VMware が SDDC の一部の管理タスクを実行するため、クラウドの管理者に必要な権限は、オンプレミスデータセンターの管理者の権限よりも少なくて済みます。VMware Cloud on AWS SDDC を作成すると、cloudadmin ユーザーが自動的に作成され、CloudAdmin ロールが割り当てられます (VMware ドキュメント）。特権付与されたこのローカルユーザーアカウントを使用することで、vCenter Server と vCenter Single Sign-On にアクセスできます。VMware Cloud VMware Services Console で VMware Cloud on AWS Administrator または Administrator (Delete Restricted) サービスロールを持つユーザーは、cloudadmin ユーザーの認証情報を取得できます。CloudAdmin ロールには、VMware Cloud on AWS SDDC の vCenter Server で可能な最大のアクセス許可があります。このサービスロールの詳細については、「CloudAdmin Privileges 」(VMware のドキュメント) を参照してください。cloudadmin ユーザーは、VMware Cloud on AWSの vCenter Server で使用できる唯一のローカルユーザーです。他のユーザーにアクセス権限を付与するときは外部の ID ソースを使用します。

vCenter Single Sign-On は、セキュリティトークンの交換インフラストラクチャを提供する認証ブローカーです。ユーザーが vCenter Single Sign-On の認証を受けると、そのユーザーは、API 呼び出しを使用して vCenter Server やその他のアドオンサービスの認証に使用できるトークンを受け取ります。cloudadmin ユーザーは、vCenter Server の外部 ID ソースを設定することができます。詳細については、「Identity Sources for vCenter Server with vCenter Single Sign-On」(VMware ドキュメント) を参照してください。

vCenter Server では、ユーザーとグループにアクセス許可を付与する際に次の 3 つのタイプのロールを使用します。

  • システムロール — このロールは編集や削除は行えません。

  • サンプルロール — このロールは、頻繁に実行されるタスクの組み合わせとして機能します。こちらのロールはコピー、編集、削除が可能です。

  • カスタムロール — システムロールとサンプルロールで必要なアクセス制御を使用できない場合、vSphere Client でカスタムロールを作成できます。既存のロールを複製して変更することもできれば、新たにロールを作成することもできます。詳細については、「Create a vCenter Server Custom Role」(VMware ドキュメント) を参照してください。

SDDC インベントリ内の各オブジェクトでユーザーまたはグループに割り当てることのできるロールは 1 つのみです。1 つのオブジェクトで、ユーザーまたはグループが、組み込みのロールの組み合わせを必要とする場合、2 つの選択肢があります。1 つ目の方法は、必要なアクセス許可を持つカスタムロールを作成することです。もう 1 つの方法は、2 つのグループを作成し、それぞれに組み込みのロールを割り当て、両方のグループにユーザーを追加することです。

AWS レコメンデーション

AWS では、VMware Cloud on AWS向けに vCenter Server を設定する際に 一般的なベストプラクティス に加えて以下のことを推奨しています。

  • vCenter Single Sign-On で外部 ID ソースを設定するときは、cloudadmin のユーザーアカウントを使用する。外部 ID ソースから、管理目的で使用するための適切なユーザーを割り当てて、cloudadmin ユーザーの使用は中止します。vCenter Single Sign-On の設定に関するベストプラクティスについては、「Information Security and Access for vCenter Server」(VMware ドキュメント) を参照してください。

  • vSphere Client で、各 vCenter Server インスタンスの cloudadmin の認証情報を新しい値に更新し、それらを安全に保存します。この変更は、VMware Cloud Services Console には反映されません。例えば、Cloud Services Console で認証情報を表示すると更新前の値が表示されます。

    注記

    このアカウントの認証情報が失われると、VMware のサポートでそれらがリセットされます。

  • cloudadmin アカウントは、日常的なアクセスには使用しません。このアカウントは、Break Glass 手順の一環として使用できるように確保しておきます。

  • vCenter Server へのネットワークアクセスは、プライベートネットワークのみに制限します。