VMware Cloud on AWSとAWS Managed Microsoft ADを連携させてユーザー権限管理してみた

# 1. はじめに
オンプレミス環境において、ユーザー権限の管理をActiveDirectryで実施するというのはよくあるケースかと思います。

ファイルやフォルダの閲覧権限の管理に利用したり、VMware仮想環境においてもvCenterへのアクセス権限やより細かいvSphereのアクセス許可(例えば管理者ユーザーAには仮想マシンの作成許可、一般ユーザーBは仮想マシン一覧の閲覧のみ許可、etc..）などを実現されているかと思います。

本ブログでは[VMware Cloud on AWS](https://aws.amazon.com/jp/vmware/)環境においてもオンプレミス同様に、
vCenterとActiveDirectoryと連携させてユーザー権限管理ができるという例をご紹介しようと思います。

> VMware Cloud コンソールとActive Directoryの連携については、[VMware Docs](https://docs.vmware.com/jp/VMware-Cloud-services/services/Using-VMware-Cloud-Services/GUID-358D70A6-DB33-4673-B2D6-43C73A1051FD.html)もご参考ください。

# 2. 全体アーキテクチャ概要

今回はVMware Cloud on AWSのvCenterと連携するActive Directoryとして、AWS Directory Serviceの１つである、[AWS Managed Microsoft AD](https://aws.amazon.com/jp/directoryservice/)を利用しています。

AWS Managed Microsoft ADは、ENI経由で接続するConnected VPC内にデプロイしていますが、要件に応じてVMware Cloud on AWS内部の仮想マシンとしてActiveDirectoryをセットアップするという構成も可能かと思います。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/f83b6d78-571b-e506-f550-8d8f8967c57e.png)

# 3. vCenterにログインした際のユーザー毎のアクセス権限の違い

まずデフォルトの管理者ユーザーでvCenterにログインした場合は下図のように見えます。管理者ユーザーなのでvCenterやNSXなど管理系(共通系)仮想マシンも閲覧できます。

今回はワークロード用に「VM_Folder01」「VM_Folder02」を作成し、その配下に仮想マシンを作成しています。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/4930b9f2-ac8c-4886-3430-505af1dfb247.png)

次に、異なるアクセス権限を持つ２つのユーザーを作成し、それらのユーザーからvCenterにログインした場合は下図のように見えます。
片方のユーザー「vmcuser01」は「VM_Folder01」配下の仮想マシンのみ閲覧および操作が可能となり、
もう片方のユーザー「vmcuser02」は「VM_Folder02」配下の仮想マシンのみ閲覧および操作が可能となっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/1ae990bd-6a3e-77c4-49d2-ca91d3eb29f8.png)

# 4. Active Directory設定およびvCenter連携

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/b86988f3-e31a-7c6c-56fb-9d95d2db3120.png)


今回セットアップしたActive Directoryの設定画面は次のようになっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/021b617d-f49a-0f90-4ed9-4b53fae513a5.png)
> 本環境ではAWS Managed Microsoft AD を利用

ActiveDirectoryとvCenterの連携自体はオンプレミス環境と差異はありませんが、次のように設定しています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/c99c759c-3db0-6528-4dac-9ad26c277e8a.png)
> vCenterから対象のドメインを追加

今回作成したユーザーおよびグループはvmcuser01,vmcgroup02などです。
Admin, Administrator, AwsDsDnsSvcAcct$などはAWS Managed Microsoft ADのサービス側で作成されたユーザーです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/5b3d80c2-15b6-a3ae-fadc-5883a7d84bbf.png)

VMware Cloud on AWSのSDDC側からも、vCenterからActiveDirectoryと疎通できるようにDNS設定をアップデートしておきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/5e606cba-5afb-c522-45bf-2a334f510949.png)


# 4. さいごに
VMware Cloud on AWS環境でも、オンプレミスVMware仮想環境と同様にActiveDirectoryと連携することができます。

今回はAWS Managed Microsoft ADを利用しましたが、利用するActiveDirectoryはVMware Cloud on AWS環境内の仮想マシンにセットアップすることも可能ですし、Amazon EC2にセットアップすることも可能です。
もしくは、オンプレミスのActiveDirectoryと連携させることも可能かと思います。

VMware仮想環境におけるユーザー権限管理については、次のVMware公式ガイド(VMware Docs)が詳しいのであわせてご参照ください。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/864151/dae4574d-ef50-8563-77dd-c7b3a91f2cef.png)


# 5. 参考資料

VMware Cloud on AWS での vSphere 管理 (VMware Docs)

https://docs.vmware.com/jp/VMware-Cloud-on-AWS/services/com.vmware.vsphere.vmc-aws-manage-data-center-vms.doc/GUID-8CB616ED-8DEF-452A-B823-6471E52816FE.html

vSphere のアクセス許可とユーザー管理タスク (VMware Docs)

https://docs.vmware.com/jp/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-5372F580-5C23-4E9C-8A4E-EF1B4DD9033E.html

vSphere での認可について (VMware Docs)

https://docs.vmware.com/jp/VMware-vSphere/7.0/com.vmware.vsphere.security.doc/GUID-74F53189-EF41-4AC1-A78E-D25621855800.html

[VMC on AWS] cloudadmin@ vmc.local 以外のユーザーが追加できない (82395) (VMware KB)

https://kb.vmware.com/s/article/82395?lang=ja