VMware vSphere: Automatisiert User in der SSO-Domain vsphere.local anlegen

Nutzt man vSphere mit der internen SSO-Domain „vsphere.local“ kann man im vSphere Web-Client unter dem Menü „Administration->Single Sign On->Users and Groups“ die Benutzer(gruppen) verwalten. Allerdings kommt der Weg über das UI nicht infrage, wenn die Benutzerverwaltung automatisiert erfolgen soll. Dies ist z.B. der Fall, wenn man mithilfe von Skripten eine neue vSphere-Infrastruktur deployen möchte oder man aktives Konfigurationsmanagement mit Ansible betreibt.

Methode 1: PowerCLI 

Seit Oktober 2020 gibt es ein separates PowerCLI-Modul, um die interne SSO-Domäne zu verwalten. Das Modul steht in der PowerShell Gallery zur Verfügung und kann mit Install-Module VMware.vSphere.SsoAdmin installiert werden.
Hiermit erhält man Zugriff auf die folgenden cmdlets: 

• Add-ActiveDirectoryIdentitySource 
• Add-LDAPIdentitySource 
• Connect-SsoAdminServer 
• Disconnect-SsoAdminServer 

• Get-IdentitySource 
• Get-SsoGroup 
• Get-SsoLockoutPolicy 
• Get-SsoPasswordPolicy 
• Get-SsoPersonUser 

• Get-SsoTokenLifetime 
• New-SsoPersonUser 
• Remove-IdentitySource 
• Remove-SsoPersonUser 
• Set-LDAPIdentitySource 

• Set-SsoLockoutPolicy 
• Set-SsoPasswordPolicy 
• Set-SsoPersonUser 
• Set-SsoSelfPersonUserPassword 
• Set-SsoTokenLifetime 

Beispiel einen neuen User anzulegen: 

New-SsoPersonUser -UserName "Evoila" -Description "Dies ist ein Evoila Account" -EmailAddress "info@evoila.de" -Password "Password1!"

Methode 2: govc 

Bereits seit 2018 stellt das CLI-Tool govc Befehle für die Benutzerverwaltung bereit. Um govc zu installieren, muss man lediglich die passende Binary für sein System herunterladen und ausführbar machen. Folgende Befehle dienen der SSO Verwaltung: 

govc  

•   sso.group.create 
•   sso.group.ls 

•   sso.group.rm 
•   sso.group.update 
•   sso.service.ls 
•   sso.user.create 
•   sso.user.id 

•   sso.user.ls 
•   sso.user.rm 
•   sso.user.update 

Nützliche Flags sind hierbei “-json” oder “-xml” zum Formatieren der Ausgabe, um diese weiterverarbeiten zu können. 

Beispiel einen neuen User anzulegen: 

govc sso.user.create -p 'Password1!' -d='Dies ist ein Evoila Account' -m='info@evoila.de' Evoila

Fazit 

Sowohl das PowerCLI Modul VMware. vSphere.SsoAdmin als auch die govc CLI können auf einfache Weise Benutzer und Gruppen in der SSO-Domain vsphere.local verwalten. Diese Tools lassen sich weiterhin mit wenig Aufwand in bestehende Automatisierungsprozesse einbinden, da auf Wunsch alle Ausgaben in Standardformaten wie JSON oder XML erfolgen können.