Vmware vim что это
Обновлено: 02.07.2024
Большинство операций с виртуальной инфраструктурой производятся из графического интерфейса клиента vSphere. Однако и командная строка может нам пригодиться:
- для некоторых операций, которые не возможны из графического интерфейса;
- для автоматизации действий с помощью сценариев;
- для диагностики и решения проблем;
У нас есть несколько способов для получения интерфейса командной строки к серверу ESX(i):
- локальная командная строка, доступная с локальной консоли или через iLO/IP KVM;
- сессия SSH к ESX(i);
- vSphere CLI;
Если на локальной консоли сервера ESX нажать Alt+F1, ввести имя пользователя root и пароль, то вы попадете в командную строку. Это командная строка Service Console, модифицированного Red Hat Enterprise Linux 5.Это означает, что в этой командной строке работают все или большинство стандартных команд Linux.Обратите внимание на то, что команды и ключи регистрозависимы.На своем компьютере запустите клиент SSH, например PuTTY. Подключитесь к серверу ESX. Вам будет необходимо войти в систему, но пользователем root сделать это по SSH нельзя – так по умолчанию настроен сервер SSH на ESX. Вариантов два:
- создать непривилегированного пользователя и входить в систему с его учетными данными;
- разрешить вход с учетными данными пользователя root;
Первый вариант более правилен с точки зрения безопасности, второй часто более удобен.
Дополнительного пользователя вы можете создать на этапе установки ESX;
Из клиента vSphere, подключенного напрямую к ESX. Home=>Inventory=>выделите сервер=>закладка Users and Groups в контекстном меню выберите Add. Чтобы пользователь мог заходить по SSH, установите флажок Grant shell access;
Ввести сервер в домен Active Directory и авторизовываться учетными записями AD;
Когда у вас есть дополнительный пользователь, вы можете входить под ним в систему при подключении по SSH. После этого выполните команду
и введите пароль пользователя root. В результате вы получаете привилегии root.Если же вы приняли решение просто разрешить пользователю root авторизацию по SSH, то потребуется отредактировать конфигурационный файл сервера SSH
PermitRootLogin no и поменяйте ее на PermitRootLogin yes.
В состав Service Console входят некоторые специфичные для ESX команды.Список большинства из них вы можете получить, набрав в командной строке
и два раза нажав Tab.Локальная командная строка ESXi, SSH
VMware не рекомендует открывать доступ к командной строке и SSH для ESXi – из общих соображений безопасности. Однако если вы приняли решение пренебречь этой рекомендацией, сделать это несложно.Для доступа в командную строку в локальной консоли ESXi эта возможность должна быть разрешена. В интерфейсе клиента vSphere сделать это можно, пройдя
Configuration=>Security Profile=>Properties=>Local Tech Support;
Через локальное БИОС-подобное меню также можно открыть доступ к локальной командной строке, пройдите Troubleshooting Options=>Enable Local Tech Support;
После нажатия Enter название пункта меню должно поменяться на Disable Local Tech Support – это значит, что локальная командная строка включена, а этим пунктом ее можно отключить обратно.
Так или иначе разрешив доступ к локальной командной строке, нажмите Alt+F1 и авторизуйтесь.
Включение SSH выполняется точно так же (в БИОС-подобном меню или в пункте настроек Security Profile), только теперь вас интересует пункт Remote Tech Support. Теперь вы можете подключаться по SSH.
В состав ESXi входит маленький дистрибутив Linux под названием Busybox. Основные команды Linux в нем работают.
В этой статье мы не будем углубляться в какие-либо технические подробности. Вместо этого разберёмся в терминологии VMware. Этот небольшой обзор будет полезен тем, кто хочет понять разницу между базовыми продуктами VMware. Почти все знают об ESXi. А как насчёт vSphere и vCenter? Люди часто путают эти термины, но на самом деле ничего сложного в них нет. Давайте разложим всё по полочкам.
Появившись на рынке в 2001 году, гипервизор VMware ESX (ранее известный как VMware ESX Server) положил начало виртуальной революции. Сегодня VMware — ведущий разработчик программных продуктов для виртуализации (сейчас является частью Dell). Каждые полтора года компания выпускает новое программное обеспечение с расширенными функциями, которое совместимо с большим количеством оборудования, в том числе с накопителями SSD NVMe, жёсткими дисками очень большой ёмкости и новейшими центральными процессорами Intel или AMD.
VMware ESXi
ESXi —— это гипервизор; крошечная частичка программного обеспечения, которая устанавливается на физический сервер и позволяет запускать несколько операционных систем на одном хост-компьютере. Эти ОС работают отдельно друг от друга, но могут взаимодействовать с окружающим миром через сеть. При этом остальные компьютеры подключены к локальной сети (Local Area Network, LAN). Операционные системы запускаются на виртуальных машинах (Virtual Machine, VM), у каждой из которых есть своё виртуальное оборудование.
Существуют платная и бесплатная версии VMware ESXi. У нас можно заказать установку бесплатной версии на выделенные серверы. Функционал бесплатной версии несколько ограничен. Она позволяет консолидировать на одном компьютере ограниченное количество ОС, и ею нельзя управлять через центральный сервер управления — vCenter. Тем не менее, Free ESXi (или VMware ESXi Hypervisor) подключается к удалённым хранилищам, где можно создавать, хранить и использовать виртуальные машины. То есть, это удалённое хранилище может быть разделено между несколькими ESXi-хостами, но не между виртуальными машинами. Виртуальные машины «принадлежат» каждому хосту, что делает невозможным центральное управление.
Работа с бесплатной версией ESXi очень проста и состоит из базовых процессов: обучения, тестирования производственных процессов, проверки систем аварийного восстановления, утверждения архитектурных решений. Используя снапшоты, вы можете проверить корректность работы патчей Windows. Как вариант, это может быть полезно, если вы решили клонировать свой производственный сервер с помощью VMware Converter или технологии P2V, и хотите протестировать пакет обновлений Microsoft перед его установкой.
VMware vCenter
VMware vCenter — это платформа централизованного управления виртуальной инфраструктурой VMware. С её помощью вы можете распоряжаться почти всеми процессами всего с одной консоли. Сервер vCenter можно установить на Windows или развернуть как предварительно настроенную виртуальную машину с помощью Photon OS — мощного дистрибутива на базе Linux. Раньше VMware использовали дистрибутив Suse Linux Enterprise Server (SUSE), но недавно перешли на Photon OS.
vCenter Server — это лицензированное программное обеспечение. Приобрести его можно двумя способами:
- vCenter Server Essentials как часть пакета vSphere Essentials. Эта версия vCenter справляется с управлением тремя хостами с двумя физическими процессорами на каждом. Если у вас небольшая компания, то вы будете оперировать примерно с 60 ВМ, и эта версия vCenter вам подойдёт. С базовым набором вы получаете лицензию не только на vCenter server, но и на ESXi (до трёх хостов с двумя ЦП на каждом).
- Standalone vCenter Server — полноценная самостоятельная версия vCenter server, способная управлять 2 000 хостами с 25 000 рабочих виртуальных машин. Это лицензия исключительно на vCenter. Сам по себе vCenter — только часть лицензионной головоломки. Чтобы управлять всеми хостами с одного устройства, вам нужна лицензия на каждый из них. Лицензии бывают трёх видов: standard, enterprise, enterprise Plus, и каждая распространяется на один процессор. Так что, если вы планируете создать хост с двумя физическими процессорами, то вам понадобится 2 лицензии только для одного этого хоста.
VMware vSphere
VMware vSphere — это коммерческое название всего пакета продуктов VMware. Как говорилось ранее, разные пакеты ПО стоят разных денег. Самые дешёвые — базовые пакеты vSphere essentials или Essentials Plus. Есть ли между ними разница? Да, но она состоит в количестве доступных функций, а не в самом программном наполнении.
В зависимости от типа лицензии, вы получаете доступ к определённому количеству функций, управлять которыми можно через vSphere Web client. Существует также программа vSphere HTML 5 client, но пока что она не пригодна для использования. Компания продолжает её разработку.
В пакете Essentials нет функции High Availability (автоматический перезапуск ВМ), vMotion, ПО для резервного копирования (VDP) и возможности использовать хранилище VSAN.
Пакет Essentials подходит для маленьких компаний, которым не нужно постоянно быть онлайн. С другой стороны, возможность переносить свои виртуальные машины на другой хост и выполнять техническое обслуживание или обновление хоста, оставаясь в сети, даёт вам реальное преимущество. Всё это можно сделать в течение рабочего дня, не перебивая работу пользователей.
Кроме того, в случае непредвиденного аппаратного сбоя, vSphere High Availability (HA) автоматически перезапустит виртуальные машины, которые перестали работать вместе с проблемным хостом. Эти виртуальные машины автоматически перезапускаются на других хостах из кластера VMware. Системе нужно немного времени, чтобы определить, какой компьютер дал сбой и какие хосты могут временно взять на себя его виртуальные машины. У этих хостов должно быть достаточно памяти и мощности ЦП, чтобы выдержать дополнительную нагрузку. Как только система заканчивает анализ, ВМ перезапускаются. Весь процесс автоматизирован и не требует вмешательства администратора.
Подведём итог
Как видите, терминологию VMware понять довольно просто, как и разницу между ESXi, vSphere и vCenter. Система лицензирования также ясна. Сам по себе гипервизор бесплатный, но его функционал ограничен, вследствие чего такое ПО не застраховано от потери данных. Поэтому ESXi предназначен для использования только в тестовых средах.
Привет, Хабр! Я Александр Воронцов, технический специалист Cloud4Y. В этой статье расскажу про vSphere Virtual Machine Encryption. Здесь не будет описания опыта внедрения. Это, скорее, обзор технологии и её неочевидных нюансов и особенностей, не описанных в документации. Я постараюсь дать ответы на вопросы, которые могут возникнуть у специалиста в процессе изучения.
Демонстрацию буду проводить на тестовом стенде vSphere 6.7 U3, Cloud Director 10.2
vSphere VM Encryption — механизм шифрования виртуальных машин, который впервые появился в VMware vSphere 6.5. Официальная документация по VM Encryption по ссылке. VM Encryption требует VMware vSphere 6.5 и новее и KMS (кластера KMS) с поддержкой протокола KMIP v1.1. VMware не предоставляет KMS, его требуется приобрести отдельно у другого вендора. В vSphere 7.0 U2 добавили Native Key Provider, который можно использовать вместо внешнего KMS для VM Encryption. В данной статье его не рассматриваю.
KMS — Key Management Server - Сервер управления ключами.
KMIP — Key Management Interoperability Protocol - протокол совместным управлением ключами. По этому протоколу происходит взаимодействие между vCenter и KMS сервером.
vTPM — Virtual Trusted Platform Module - виртуальный аналог TPM, криптографический модуль, предназначенный для хранения ключей. Может использоваться в паре с Windows Bitlocker.
Какие задачи решает VM Encryption
VM Encryption позволяет хранить файлы виртуальной машины (файл конфигурации, файлы виртуальных дисков, снапшоты и т. п.) в зашифрованном виде на СХД, не прибегая к средствам шифрования самой СХД.
VM Encryption позволяет облачному провайдеру дополнительно защитить свою инфраструктуру (напр. зашифровать служебные VM), а также предоставлять своим клиентам опциональную возможность шифрования клиентских VM с управлением шифрованием через VMware Cloud Director.
VM Encryption позволяет клиенту облачного провайдера зашифровать свои VM в облаке, а также использовать vTPM (Virtual Trusted Platfom Module) в связке, например c Windows BitLocker.
Как это работает
У VMware есть видео, которое демонстрирует работы механизма vSphere Virtual Machine Encryption.
В механизме VM Encryption используется два ключа симметричного шифрования:
1. Data Encryption Key (дал. DEK). Этот ключ генерирует ESXi хост. Таким ключом зашифрованы файлы конфигурации и файлы виртуальных дисков виртуальной машины. Для файлов конфигурации VM DEK хранится в *.vmx в зашифрованном виде, для файлов виртуальных дисков - в *.vmdk файле в зашифрованном виде.
Давайте рассмотрим процессы, который происходят при работе VM Encryption.
Этапы инициализации шифрования:
vCenter запрашивает KEK у KMS. KMS генерирует KEK, сохраняет его в своей базе данных, и передает его vCenter. vCenter передаёт KEK всем ESXi в vSphere High Avalibility кластере. ESXi хранят KEK в оперативной памяти и никогда не записывают его на диск.
ESXi, получив KEK, генерирует DEK, зашифровывает DEK с помощью KEK и записывает зашифрованный DEK в конфигурационный файл VM.
ESXi выполняет процесс шифрования файлов VM с помощью DEK.
Этапы включения зашифрованной VM:
ESXi получает команду на запуск зашифрованной VM, проверяет в своей ОЗУ наличие KEK для расшифровки VM. Если KEK нет в ОЗУ ESXi, KEK запрашивается у vCenter, а vCenter запрашивает KEK у KMS.
KMS передаёт KEK vCenter, а vCenter передаёт KEK ESXi хосту.
ESXi хост запускает VM.
Этапы миграции vMotion зашифрованной VM:
При миграции vMotion KMS сервер не используется. Encrypted vMotion можно использовать и без VM Encryption.
ESXi получает команду на миграцию VM на другой ESXi хост. Если миграция выполняется в другой ESXi кластер, то на этом шаге vCenter запросит KEK у KMS и передаст его на ESXi назначения.
ESXi источника запрашивает "одноразовый ключ" у vCenter. vCenter генерирует ключ и передаёт его хостам источника и назначения миграции.
ESXi источника зашифровывает "одноразовым ключом" ОЗУ виртуальной машины и расшифрованный DEK и передаёт их на хост назначения с помощью vMotion
ESXi назначения расшифровывает "одноразовым ключом" полученные данные и VM продолжает работу на ESXi назначения.
Как настроить VM Encryption
Поскольку есть множество KMS серверов с поддержкой KMIP (у VMware даже есть документ, описывающий "сертифицированные KMS"), я не буду рассматривать конкретную реализацию KMS, выбор и настройку также обойду стороной. В моей тестовой среде уже есть кластер KMS из трёх нод, в котором каждая нода реплицирует данные с другими нодами.
Если у вас нет KMS, можете взять любой из списка "сертифицированных". Бесплатных решений в этом списке нет, если требуется что-то такое, смотрите в сторону PyKMIP. Кластер на PyKMIP построить нельзя, но с vCenter он работает. Проверял.
Для кластера KMS не требуется Load Balancer. Все ноды кластера равнозначны, содержат одинаковую базу данных и vCenter может запросить ключ у любой ноды KMS, а KMS, который выдал ключ, реплицирует этот ключ на другие ноды.
Установка доверительных отношений между vCenter и KMS
Давайте подключим наши vCenter к кластеру KMS. Процедуру подключения необходимо повторить на каждом vCenter.
Создаём новый кластер, указываем адрес нашей первой ноды и порт 5696 (стандартный порт KMIP). В моем случае логин и пароль указывать не требуется, но это может зависеть от реализации KMS.
Говорим vCenter доверять KMS.
На следующем шаге нам нужно, чтобы KMS доверял vCenter. Нажимаем MAKE KMS TRUST VCENTER.
На выбор есть несколько вариантов установки доверия KMS к vCenter. В случае с нашим кластером используется способ загрузки в vCenter ключевой пары KMS.
Указываем пару публичного и приватного ключей, сгенерированных KMS сервером. Эта пара ключей генерируется специально для настройки доверительных отношений между KMS и KMIP клиентом.
После установки доверия KMS к vCenter, кластер KMS будет доверять этому vCenter. Добавляем в vCenter остальные ноды KMS (загрузка пары ключей этих нод не потребуется) и на этом настройка KMS завершена.
Создание Storage Policy с шифрованием
Следующим шагом будет создание Storage Policy, использующей шифрование.
VM Encryption позволяет хранить VM с шифрованием и без шифрования на одной СХД. У нас уже есть Storage Policy vcd-default-policy. Создадим аналогичную vcd-default-encrypted-policy и включим шифрование в параметрах Host based services.
Как управлять шифрованием из vSphere Client
Когда KMS и Storage Policy настроены, можно применить Storage Policy с шифрованием к VM. Включаем шифрование в настройках VM, выбирая vcd-default-encrypted-policy. На примере Linux машины это выглядит так.
Применяем настройки, и в Tasks виртуальной машины видим прогресс выполнения первичного шифрования.
Шифрование конфигурационных файлов VM без шифрования дисков
Мы можем зашифровать конфигурационные файлы VM, не шифруя файлы виртуальных дисков VM. Для этого нам нужно включить шифрование VM, а затем переопределить Storage Policy для виртуальных дисков. В результате такой настройки в vSphere Client мы увидим:
VM configuration files are encrypted.
No hard disks are encrypted.
Мы можем использовать такой сценарий для подключения vTPM и используя Bitlocker в Windows VM. Про vTPM и Bitlocker расскажу дальше.
Из vSphere невозможно выгрузить VM (в ova или ovf), использующую VM Encryption.
Дополнительные возможности для Windows
Virtualization Based Security
Для Windows 10, Windows Server 2016 и новее мы можем использовать Virtualization Based Security. Включение VBS принудительно установит механизм загрузки в UEFI и включит Secure Boot. Если VM использовала BIOS, она, скорее всего, не загрузится после включения.
Про VBS можно прочитать в документации Microsoft или блоге VMware. VBS недостаточно включить в настройках виртуальной машины, его необходимо настроить в гостевой ОС. Процедура настройки описана здесь и в документации Microsoft.
Virtual Trusted Platform Module
Для Windows 10 и Windows Server 2016 и новее, включив шифрование конфигурационных файлов VM и используя для загрузки UEFI (Secure boot можно не включать), в настройках VM становится доступна установка vTPM.
Данные vTPM хранятся в файле *.nvram в зашифрованном виде.
В гостевой ОС vTPM определяется как обычный физический TPM 2.0.
vTPM в Windows определяется как обычный TPM 2.0
Bitlocker
С vTPM мы можем использовать Windows Bitlocker без ввода пароля при загрузке Windows.
Windows будет загружаться автоматически и разблокировать диски с помощью ключей в vTPM. Если такую VM вынести за пределы площадки облачного провайдера, (или, если vTPM будет изменён, а такое происходит даже при восстановлении бэкапа VM, кроме восстановления поверх) то Bitlocker будет требовать ввести ключ восстановления Bitlocker. Перенести ключи из vTPM невозможно (такой кейс не описан в документации и простых способов извлечения ключей из vTPM я не вижу).
После ввода ключа восстановление Bitlocker диск останется зашифрован и начнёт использовать новый vTPM, т.е., в случае изменения vTPM, ключ восстановления Bitlocker нужно будет ввести только 1 раз.
Кейс использования vTPM + Bitlocker может быть компромиссом между удобством (VM включается автоматически без ввода пароля Bitlocker) и безопасностью данных (данные зашифрованы средствами гостевой ОС).
Как управлять шифрованием VM из VMware Cloud Director. Взгляд со стороны клиента облачного провайдера
Через панель управления VMware Cloud Director 10.1 и новее есть возможность выбрать Storage Policy, использующую шифрование.
Можно изменять как VM default policy, и в этом случае, изменится политика всех дисков VM, у которых Storage policy не задана явно (задана как VM default policy), а также изменится политика хранения конфигурационных файлов VM.
Также можно задавать Storage Policy индивидуально для каждого диска.
Необходимо придерживаться правила, чтоб все диски VM были или зашифрованы, или были без шифрования. При попытке использования дисков с шифрованием и без шифрования на одной виртуальной машине VMware Cloud Director не позволит это сделать.
При зашифрованных конфигурационных файлах виртуальной машины мы увидим напротив VM Storage Policy надпись (Encrypted). При зашифрованных дисках надпись (Encrypted) будет отображаться напротив каждого виртуального диска.
vTPM без шифрования диска средствами VM Encryption
Чтобы подключить vTPM, конфигурационные файлы VM нужно зашифровать (также, должен быть включен Secure Boot и использовать Windows в качестве гостевой ОС). Если использовать Bitlocker, то шифрование дисков VM средствами VM Encryption приведёт к двойному шифрованию и может негативно сказаться на производительности. Чтобы зашифровать конфигурационные файлы и не шифровать диски VM,необходимо назначить VM Storage Policy c шифрованием, а для дисков использовать Storage Policy без шифрования.
Подключить vTPM из интерфейса VMware Cloud Director нельзя, но это возможно сделать через vSphere Client силами инженеров облачного провайдера.
Через VMware Cloud Director невозможно выгрузить VM , использующую VM Encryption.
Недокументированная фича
vTPM для *nix систем
Существует недокументированный способ подключить vTPM для *nix, или для Windows, использующей BIOS. Этим способом можно подключить vTPM к любой виртуальной машине.
Для этого нужно подключить vTPM, используя PowerCLI. Установим PowerCLI и выполним скрипт через PowerShell.
Выполните через PowerShell Install-Module -Name VMware.PowerCLI
После выполнения скрипта мы увидим, что конфигурационные файлы VM зашифрованы, но диск использует Storage Policy без шифрования.
vTPM на Linux VM
Также отобразится подключенный vTPM.
vTPM на Linux VM
Проверим работу vTPM в Ubuntu 1804.
На Ubuntu установим пакеты:
apt install clevis clevis-tpm2
Проверим наличие TPM
test -c /dev/tpm0 && echo OK || echo FAIL
Проверим работу TPM
echo 'Test vTPM' | clevis encrypt tpm2 '<>' > test.jwe
cat test.jwe | clevis decrypt tpm2
vTPM работает. Теперь мы можем настроить шифрование диска, используя ключи из vTPM, например, по этой статье.
Это недокументированная фича. Используйте на свой страх и риск.
Как делать резервные копии зашифрованных VM
Я провёл тестирования резервного копирования и восстановления с помощью Veeam Backup & Replication 10. Использовал один сервер бэкапа и две виртуальные машины Veeam Proxy в режиме Virtual Appliance. Тестировал бэкап из vDC VMware Cloud Director.
Для того, чтобы Virtual Appliance прокси мог делать бэкап зашифрованной VM, он сам должен являться зашифрованной VM. Подробнее в документации VEEAM.
Провёл 35 тестов. Во всех тестах использовал Windows Server 2019 EN c 1 диском на 40ГБ.
Рассматривал 6 вариаций конфигурации VM:
VM с UEFI и включенным Secure Boot;
VM с UEFI, включенным Secure Boot и включенным Virtualization Based Security ;
VM с UEFI, включенным Secure Boot, включенным Virtualization Based Security, установленным vTPM и настроенным BitLocker в гостевой ОС;
VM с BIOS, бэкап которой выполнялся на Storage Policy без шифрования, затем было включено шифрования и бэкап выполнялся уже зашифрованной VM (Кейс, где шифрование будет включено на VM, бэкап которой уже выполнялся до включения шифрования).
Для каждой VM протестировал 2 варианта бэкапа и 3 варианта восстановления.
Справочный список полезных консольных команд VMWare ESXi (в том числе ESXCLI), которые часто используется при траблшутинге и тонкой настройке гипервизора. По мере необходимости список команд будет расширяться и обновляется.
Доступные команды консоли ESXi можно посмотреть в каталоге /usr/sbin.
Совет. Обратите внимание, что все команды esxi регистрозависимы.
Полный список команд esxcli можно вывести с помощью команды:
esxcli esxcli command list
Для начала команды ESXi, которые вы можете выполнять через ssh доступ.
- vmware –vl – и еще один способ узнать версию и релиз VMware ESXi
Команды для работы с виртуальными машинами:
- vim-cmd vmsvc/getallvms — вывод информации обо всех VM
- vim-cmd vmsvc/power.getstate 1 — включена/выключена VM с Vmid 1
- vim-cmd vmsvc/power.on 1 — включить VM с Vmid 1
- vim-cmd vmsvc/power.off 1 — выключить (по питанию) VM с Vmid 1
- vim-cmd vmsvc/power.reset 1 — перезагрузка (аналогично нажатию клавиши RESET на реальном сервере) VM с Vmid 1
- vim-cmd vmsvc/power.shutdown 1 — корректное выключение VM с Vmid 1. Действует только, если установлены VMware Tools!
- vim-cmd vmsvc/power.reboot 1 — перезагрузка VM с Vmid 1. Действует только, если установлены VMware Tools!
- vim-cmd vmsvc/get.summary 1 — получение полной информации о VM с Vmid 1.
- vim-cmd vmsvc/get.summary 1 | egrep ‘(name|power|ip)’ — получение отфильтрованной информации о VM с Vmid 1. Выводится имя, состояние питания, IP-адрес
Набрав эту команду, вы увидите все возможные варианты ее использования. Ниже список команд, которые мне показались полезными:
Читайте также: