Info2softは、ウェブサイトでより快適で適切な閲覧体験を提供するためにCookieを使用しています。 プライバシーポリシー
Loading...
著者:
vCenter rootパスワードの有効期限切れ
vCenter Server 7.02を運用していますが、rootパスワードの有効期限が切れてしまいました。有効期限を無効に設定したつもりだったのですが、どうやら設定されていませんでした。
Photon OSのWebコンソールから再起動を実施し、rootパスワードリセットの手順を実行した場合、仮想マシンに対して問題やダウンタイムは発生しませんでしょうか。
– Redditより質問引用 Reddit
簡易回答: 現在のrootパスワードを覚えている場合、再起動不要でSSH経由で1分以内にパスワード変更が可能です。パスワードを忘れてもadministrator@vsphere.localのログインが有効であれば、再起動なしでリセットできます。GRUBを利用した再起動によるリセットは、すべての認証情報が利用できない最終手段の場合のみ実行してください。
VCSAのrootパスワードは通知なしで有効期限が切れます。vSphere Client上に警告は表示されず、標準で通知メールも送信されません。アカウントロックの起因はvSphere本体ではなく、アプライアンスのOSであるPhoton OS側の設定です。
実行可能な復旧手順は保持している認証情報に依存します。影響の小さい手順から順に実施してください。
rootパスワードは期限切れしているが、現在のパスワードを記憶している場合に使用します。
administrator@vsphere.localでhttps://<vcenter-fqdn>:5480のVAMIにログインし、GUI画面から直接rootパスワードをリセットすることも可能です。rootパスワードが期限切れまたは失念しているが、administrator@vsphere.localが利用可能な場合に使用します。再起動を伴わないため、本番環境で推奨される手順です。
administrator@vsphere.local（またはSSO Administratorsグループに所属するアカウント）を使用しVCSAへSSH接続します。shell.set --enable true
shell
sudo -i
pam_tally2 --user=root --reset
sudo faillock --reset --user root
/usr/sbin/faillock --user root --resetを実行するとパーミッション拒否エラーが発生する場合があります。sudo faillock --reset --user rootを使用してください。passwd
localaccounts.user.password.update --username root --password
プロンプトが表示されたら新しいパスワードを入力します。root bashシェルへ切り替えずに同等の結果が得られます。
rootパスワードとSSO管理者アクセスの両方が利用できない場合のみ使用します。VCSA仮想マシンへのコンソール直接アクセスが必要で、再起動を伴います。
linuxで始まる行を探し、行末に下記文字列を追記します：
rw init=/bin/bash
mount -o remount,rw /
passwd
reboot -f
umount /実行時に「target is busy」エラーが発生することが多いです。コマンドを省略し、直接reboot -fを実行して問題ありません。二つの状態は混同されやすく、一方のみ解消してもrootアカウントにアクセスできません。相違点は下記の通りです。
アプライアンスシェルから下記コマンドを実行しrootアカウントの状態を確認できます。
パスワードの経年情報および有効期限詳細確認：
chage -l root
ロック状況の確認（vCenterバージョンに合わせコマンドを使用）：
pam_tally2 --user=root
/usr/sbin/faillock --user root
リセット直後にrootアカウントが再びロックされる場合、古い認証情報を使用し再試行している外部スクリプトまたは監視ツールが存在する可能性が高いです。原因を特定するためSSH認証ログを確認してください：
cat /var/log/audit/sshinfo.log
cat /var/log/messages | grep sshd
rootアクセス復旧後、有効期限ポリシーを調整することで同様の事象の再発を防げます。VAMIインターフェースまたはCLIから設定可能です。
https://<vcenter-fqdn>:5480のVAMIにログインします。chage -I -1 -m 0 -M 99999 -E -1 root
chage -l root
セキュリティポリシー上で無期限パスワードが許可されない環境では、90日の代わりに365日を最大有効期間として設定してください。コンプライアンス要件を満たしつつ、予期せぬロックのリスクを低減できます。
期限切れパスワードの復旧手順は単純ですが、再発防止には計画が必要です。既存業務フローに組み込める簡単な施策を記載します。
最も信頼できる対策はHashiCorp VaultやCyberArkなどのエンタープライズ向けシークレットマネージャーにVCSA root資格情報を保管することです。ツールが資格情報の有効期間を管理し、期限到来前にチームへアラートを送信するため、手動での管理が不要になります。
シークレットマネージャーを使用していない環境では、カレンダーの繰り返しリマインダーが代替手段として有効です。パスワード変更の75日後にリマインドを設定すると、Photon OSの90日制限に達する前にパスワードローテーションを実施する十分な猶予が確保できます。
rootパスワードローテーションは標準の四半期VMメンテナンスチェックリストに含めてください。パッチ適用サイクルと併せて実施することで、個別のプロセスやリマインダーなしで確実に作業を実行できます。
VAMI画面の管理＞パスワード有効期限設定にてメール通知を設定します。期限到来の指定日前に自動警告を受信でき、手順の見落とし時の保険となります。
方法3のGRUB復旧手順ではVCSAの完全再起動が必要であり、起動パラメータ設定ミスによりアプライアンスが起動不能になるリスクが存在します。GRUBメニューを編集する、またはアプライアンスに対しシステムレベル変更を行う前に、VCSAの完全バックアップを取得し、安全な復旧先を確保してください。
i2Backupは、このような高リスク作業前のVMwareインフラ保護を目的に開発されています。
スケジュールバックアップを超えた継続的保護が必要な環境には、i2Availabilityが基幹システム向けにリアルタイムレプリケーションと自動フェイルオーバーを提供し、プライマリ環境がダウンした場合でもサービスを継続させます。
VCSA rootパスワードの有効期限切れは業務に支障をきたしますが、完全に回避可能な事象です。古いパスワードを把握している場合はSSHセッションから迅速にアクセスを復旧できます。rootパスワードを失念してもSSO管理者アカウントが利用できる場合、administrator@vsphere.localを使用し再起動不要のリセット手順が本番環境においてより高速かつ安全な選択肢となります。GRUBによる手順は、その他すべての認証情報が失われた場合の最終手段として残してください。
いずれの手順でアクセスを回復した場合でも、2つの後続作業が重要です。デフォルト90日のポリシーによる予期せぬ事象を再発させないためパスワード有効期限ポリシーを調整すること、次回計画メンテナンスの前にVCSAの最新バックアップを確保することです。Info2softのi2Backupは後者を実現し、エージェントレスのVMwareバックアップと即時リカバリ機能により、システムレベル変更の前に信頼できる復旧先を常に確保します。
vSphere環境全体の安定運用のため、vCenterのログディスク枯渇などアプライアンスの一般的な課題を監視することで、定例メンテナンスが緊急復旧作業に転じる連鎖的障害を事前に抑止できます。
