Autoren-Archiv: admin

Unter vmware vSphere 5.1/5.5 nutzt der schnelle Admin in kleineren Umgebungen gerne das root-Kennwort oder die lokale Benutzerstruktur des vCenter Servers, respektive der vCenter Server Appliance (vCSA). Das Single-Sign On (SSO) System ist zwar recht nett, aber für kleine und übesichgtlinbe Netze oft etwas überdimensioniert. Beim Upgrade (oder der SSO-Verbindung) wird das Kennwort aber zwingend benötigt.

Administrator-Kennwort der vCenter Server Appliance (VCSA) zurücksetzen

1. SSH-Verbindung zur vCenter Server Appliance öffnen
2. Ausführen:
   vcenter55:~ # /usr/lib/vmware-vmdir/bin/vdcadmintool
3. Im Admin-Tool „3“ drücken („Reset account password“)
4. Den DN oder UPN des administrators (je nach Aufforderung) eingeben. In der Standardeinstellung lautet der DN:
   cn=administrator,cn=users,dc=vSphere,dc=local
   Der UPN lautet natürlich einfach nur „[email protected]“
5. Fertig, es wurde ein neues Kennwort generiert.

Achtung! Wenn das generierte Kennwort ein Ausrufezeichen enthalten sollte („!“), funktioniet die Kennwortänderung in der Weboberfläche nicht mehr. Die Admins raten dazu, einfach ein neues zu generieren, bis kein ausrufezeichen mehr drin ist …

Administrator-Kennwort unter vCenter Server (Windows) zurücksetzen

Auf dem vCenter SSO-Server anmelden (RDP oder Console). Meistens sind vCenter und SSO auf einer Maschine installier.

1. CMD als Administrator (!) öffnen
2. Ausführen:
   c:\> CD "%ProgramFiles%\VMware\Infrastructure\VMware\CIS\vmdird"
C:\Program Files\VMware\Infrastructure\VMware\CIS\vmdird> vdcadmintool.exe
3. … ab hier den Anweisungen oben unter der VCSA ab Punkt 3 folgen 🙂

Achtung! Auch unter Windows dringend Ausrufezeichen und Emojies in Kennwörtern vermeiden. Dinge explodieren sonst später mit absurden Fehlermeldungen.

Die Einrichtung des vCenter Servers mit dem Active Directory als Identitätsquelle ist etwas umständlich zu erledigen als unter 4.x/5, aber der Aufwand lohnt sich. Das SSO-Backend unter vSphere 5.5 ist praktisch komplett neu geschrieben und daher deutlich gradliniger als das SSO-Gebastel von früher. Leider ist dabei einiges an Adminfreundlichkeit auf der Strecke geblieben.

Ziel dieses Artikels: Ein vCenter Server soll gegen ein Active Directory („Windows Sitzungs-Anmeldedaten verwenden“) authentifizieren. Netzwerkdaten, DNS, Hostnamen und so weiter sind korrekt eingerichtet und der vCenter Server läuft soweit.

1. vCenter zum Active Directory hinzufügen

vCenter Verwaltungs-Weboberfläche (https://vcenter55:5480) öffnen.

1. Als root anmelden
2. Tab vCenter Server -> Authentication den Haken bei „Active Directory Enabled“ setzen und passende Domänenanmeldedaten eingeben
3. „Save Config“
4. Unter „SSO“ den Usernamen für den SSO-Login merken und ein Kennwort konfigurieren
   
5. vCenter Server neu starten: System -> Reboot

2. Identitäsquelle hinzufügen

1. In den vSphere Webclient als der (oben gemerkte) SSO-Administrator einloggen (https://vcenter55.wittgastec.de:9443/vsphere-client)
2. Verwaltung -> Konfiguration
3. Oben links auf das grüne Plus, die Identitätsquelle hinzufügen und das Fenster ausfüllen
4. Domäne auswählen und „Als Standarddomäne festlegen“
   

3. Rechte für Domänen-Benutzer oder Domänen-Gruppen hinzufügen

Der Einfachheit halber nutze ich jetzt den guten alten vSphere (C#-) Client. Flash ist für die Weboberfläche ja ein dermaßen üble Wahl, das ich soweit möglich beim Client leiben werde. Aus Abwärtskompatibilitätsgrünen kann man als Admin darauf ja eh nicht wirklich verzichten. Also Client auf und als root am vCenter anmelden.

1. Den vCenter Server auswählen -> Berechtigungen -> unten rechte MT und „Berechtigungen hinzufügen“
2. Einen neuen Benutzer „Hinzufügen“ und in dem Hinzufügen-Fenster oben die Domäne auswählen
3. Gewünschte Rechte vergeben
   

Schon fertig 🙂

Problem

Nach dem Update von vSphere 5.x auf 6.0 funktioniert das coole neue Webbaierte Host-UI nicht. Stattdessen erscheint die Fehlermeldung:

503 Service Unavailable (Failed to connect to endpoint: [N7Vmacore4Http16LocalServiceSpecE:0xffa014e8] _serverNamespace = /ui _isRedirect = false _port = 8308)

Lösung

1. SSH auf dem betroffenen Host aktivieren, einloggen
2. ein Backup der Reverse-Proxy Config endpoints.conf erstellen

   # cp /etc/vmware/rhttpproxy/endpoints.conf /etc/vmware/rhttpproxy/endpoints.conf.backup

3. die Datei /etc/vmware/rhttpproxy/endpoints.conf bearbeiten

   # vi /etc/vmware/rhttpproxy/endpoints.conf

4. Diese Zeile entfernen (in vi durch drücken von d+d in der Zeile):

   /ui    local    8308    redirect    allow

5. Die rhttpproxy-Dienste neu starten:

   # /etc/init.d/rhttpproxy restart

6. Fertig. Jetzt klappt der Zugang über https://<ip>/ui wieder.