Новости Статьи VMware Veeam StarWind Microsoft ИТ-ГРАД Citrix Symantec 5nine События Релизы Видео Контакты Авторы RSS
Виртуализация и виртуальные машины

Виртуализация vSphere, Hyper-V, XenServer и Red Hat

Более 4810 заметок о виртуализации и виртуальных машинах VMware, Microsoft, Citrix, Red Hat

VM Guru / Articles / Безопасность Service Console для VMware ESX 4 от vSphere: как войти пользователем root и использовать sudo.

Безопасность Service Console для VMware ESX 4 от vSphere: как войти пользователем root и использовать sudo.

Безопасность Service Console для VMware ESX 4 от vSphere: как войти пользователем root и использовать sudo.

Автор: Александр Самойленко
Дата: 23/12/2009

Реклама:



Статья:

После установки сервера VMware ESX 4 из состава vSphere 4 многие пользователи сталкиваются с первой проблемой: невозможно удаленно войти пользователем root в Service Console по протоколу SSH. Решив эту проблему, пользователи задумываются о том, достаточно ли безопасно всегда входить в сервисную консоль пользователем root и какие права необходимо назначать пользователям в Service Console для работы с сервером VMware ESX. Сегодня мы рассмотрим обе этих проблемы в контексте безопасности и покажем некоторые практические приемы работы с командами su и sudo.

Итак, вы установили сервер VMware ESX 4 и начинаете им управлять с помощью VMware vSphere Client. Но его функционала для выполнения каких-либо операций вам недостаточно, и вы хотите исполнять команды в консольной ОС (Service Console), чтобы контролировать все аспекты администрирования платформы виртуализации и виртуальных машин. Вы устанавливаете SSH Client (например, Putty - но я рекомендую Putty Connection Manager) и пробуете войти в Service Console пользователем root. Не получается - пишут access denied. Причина проста - по протоколу SSH по умолчанию логин пользователя root в сервисную консоль отключен. Чтобы включить его - надо отредактировать файл sshd_config пользователем root. Как это сделать?

Очень просто: открываете VMware vSphere Client и соединяетесь с сервером VMware ESX 4. Переходите на вкладку Users & Groups, нажимаете правой кнопкой в любом месте списка пользователей и выбираете пункт Add... Далее вводите параметры новой учетной записи и обязательно отмечаете галку Grant shell access to this user.

Далее открываете Putty и соединяетесь созданным пользователем VMware ESX с сервером по SSH.

Теперь нужно повысить привилегии пользователя до root. Это делается командой su (Substitute user, а не Switch User, как полагают многие). В качестве аргумента команды необходимо указать - (тире), чтобы переменные окружения остались не от старого пользователя, а взялись от root. Мы получим вот такую картину в Putty:

Теперь мы в системе как root и можем редактировать настройки SSH. Открываем файл sshd_config с помощью удобного редактора Nano (можно использовать также редактор vi) командой:

nano /etc/ssh/sshd_config

Затем исправляем строчку:

PermitRootLogin no

на строчку:

PermitRootLogin yes

После этого сохраняем файл sshd_config (Ctrl+X) и перезапускаем сервис SSH командой:

service sshd restart

Теперь мы можем полноценно залогиниться в Service Console пользователем root. Но безопасно ли так делать? Ведь работа под пользователем root несет в себе потенциальные угрозы безопасности всей виртуальной инфраструктуре в случае работы пользователя даже лишь на одном сервере ESX. Все хранилища VMFS видны одним сервером ESX кластера, и, соответственно, пользователь, обладающий неограниченными полномочиями может всю виртуальную инфраструктуру поломать, скомпрометировав все виртуальные машины.

Чтобы этого не происходило, можно отключить возможность использования команды su (повышение привилегий) и заставить пользователей (администраторов) применять команду sudo для выполнения действий административного характера с сервером VMware ESX 4.

Команда sudo была разработана специально для делегирования полномочий адмнистратора пользователям, при этом можно указывать список разрешенных к использованию администратором команд, редактируемых файлов и многое другое. Аналог этой команды в Microsoft Windows - это "run as", но у sudo - более широкий спектр настроек.

Все права пользователей, использующих sudo, настраиваются в файле:

/etc/sudoers

Для отключения возможности выполнять команду su пользователям сервисной консоли, нужно внести изменения в файл /etc/pam.d/su.
В файле /etc/pam.d/su должна быть раскомментирована запись:

auth required /lib/security/$ISA/pam_wheel.so use_uid

Теперь, когда повышение привилегий с помощью su отключено, необходимо добавить пользователя в файл sudoers для использования им команды sudo. Открываем пользователем root файл /etc/sudoers командой:

nano /etc/sudoers

И добавляем туда строчку такую строчку, если мы хотим дать пользователю возможность выполнить команду esxcfg-vswif:

<имя пользователя> ALL=/usr/sbin/esxcfg-vswif

чтобы выполнить команду от имени root, пользователю нужно будет напечатать следующее в Service Console:

sudo <команда, разрешенная в sudoers>

Например:

sudo /usr/sbin/esxcfg-vswif -l

После ввода пароля пользователя команда будет выполнена и мы увидим результат работы команды esxcfg-vswif -l, при этом, если попытаться выполнить другую команду (например, esxcfg-vmknic -l), консоль сообщит нам, что это не разрешено:

Таким образом, с помощью команды sudo и файла sudoers можно разграничивать права пользователей на выполнение административных команд на VMware ESX. Практику повышения привилегий командой su лучше не использовать - зачем давать отдельному пользователю полный контроль над всей виртуальной инфраструктурой VMware vSphere?



Комментариев: 3
gadfly (23/12/2009)
"Теперь, когда повышение привилегий с помощью su отключено, необходимо добавить пользователя в файл sudoers для использования им команды sudo. Открываем пользователем root файл /etc/sudoers командой: nano /etc/sudoers" Крайне не рекомендуется редактировать файл sudoers напрямую. Более правильно использовать команду: # visudo (откроется в редакторе vi) или # EDITOR=nano visudo (если открывать в nano)
areconster (23/12/2009)
Да, спасибо. Забыл упомянуть об этом. Просто мне как-то сподручней nano.
areconster (23/12/2009)
А вот есть и для nano. Спасибо!
Реклама







Зал Славы Рекламодателя
Ближайшие события в области виртуализации:

29/05/2019:  IT&SECURITY FORUM 2019
05/06/2019:  IT Management Forum 2019
06/06/2019:  VeeamON Forum 2019

Быстрый переход:
VMware IT-Grad Veeam StarWind PowerCLI Offtopic Gartner Citrix VSAN GDPR 5nine Hardware VeeamON Nutanix vSphere RVTools Enterprise Security Code Cisco vGate Microsoft Cloud SDRS Parallels IaaS HP VMFS VM Guru Oracle Red Hat Azure KVM VeeamOn 1cloud Docker Storage NVIDIA Partnership Dell Virtual SAN Virtualization VMTurbo vRealize VirtualBox Symantec Softline EMC Login VSI Xen Teradici Amazon NetApp VDI Linux Hyper-V IBM Google VSI Security Windows vCenter VMachines Webinar View VKernel Events Windows 7 Caravan Apple TPS Hyper9 Nicira Blogs Sun VMC Xtravirt Novell IntelVT Сравнение VirtualIron XenServer CitrixXen ESXi ESX ThinApp Books P2V Labs SRM vSAN HCI App Volumes Tools Video vROPs Workspace ONE Backup Horizon VMUG vCloud NSX vRNI HA Update Manager VCP VVols Workstation Update UEM DR Networking Cache Storage DRS VMworld Workspace DRS Fusion Lifecycle Visio Log Insight Operations Manager SDDC Virtual Appliance OpenStack Forum PowerShell LSFS Client vCSA Datacenter Intel Agent esxtop Book Photon Cloud Computing SSD Comparison Blast Performance Nested AWS XenDesktop VSA vNetwork SSO Host Client VMDK VTL iSCSI Whitepaper Appliance VUM V2V Support Обучение Web Client Mobile Automation Replication Desktop Fault Tolerance Vanguard SaaS Connector Event Free SQL Sponsorship Finance FT Containers Converter XenApp Snapshots vGPU Auto Deploy SMB RDM Mirage XenClient MP SC VMM Certification VDP Partners PCoIP RHEV vMA Award Network USB Licensing Logs Server Demo vCHS Calculator Бесплатно vExpert Beta SAN Exchange MAP ONE DaaS Monitoring VPLEX UCS SDK Poster VSPP Receiver vMotion VDI-in-a-Box Deduplication Reporter vShield ACE Go nworks iPad XCP Data Recovery Documentation Sizing Pricing VMotion Snapshot FlexPod VMsafe Enteprise Monitor vStorage Essentials Live Migration SCVMM TCO Studio AMD-V VirtualCenter NFS ThinPrint CLI Helpdesk Troubleshooting VIC Upgrade VDS Bug Migration Director Stencils Memory API Android Graphics Diagram Air Plugin DPM SIOC Flex Mac Open Source SSH VAAI Chargeback Heartbeat MSCS Ports SVMotion Bugs Composer
Интересные плакаты:

Постер VMware vSphere PowerCLI 6.3:

Постер VMware ESXi 5.1:

Постер VMware Hands-on Labs 2015:

Постер VMware Platform Services Controller 6.0:

Постер VMware vCloud Networking:

Постер VMware NSX (референсный):

Постер VMware vCloud SDK:

Постер VMware vCloud Suite:

Постер VMware vCenter Server Appliance:

Порты и соединения VMware vSphere 6:

Порты и соединения VMware Horizon 7:

Порты и соединения VMware NSX:

Управление памятью в VMware vSphere 5:

Как работает кластер VMware High Availability:

Постер VMware vSphere 5.5 ESXTOP (обзорный):

Постер Veeam Backup & Replication v8 for VMware:

Постер Microsoft Windows Server 2012 Hyper-V R2:

 

Популярные статьи:
Как установить VMware ESXi. Инструкция по установке сервера ESXi 4 из состава vSphere.

Включение поддержки технологии Intel VT на ноутбуках Sony VAIO, Toshiba, Lenovo и других.

Как настроить запуск виртуальных машин VMware Workstation и Server при старте Windows

Как работают виртуальные сети VLAN на хостах VMware ESX / ESXi.

Что такое и как работает виртуальная машина Windows XP Mode в Windows 7.

Типы виртуальных дисков vmdk виртуальных машин на VMware vSphere / ESX 4.

Сравнение Oracle VirtualBox и VMware Workstation.

Инфраструктура виртуальных десктопов VMware View 3 (VDI)

Бесплатные утилиты для виртуальных машин на базе VMware ESX / ESXi.

Как использовать возможности VMware vSphere Management Assistant (vMA).

Проектирование инфраструктуры виртуализации VMware vSphere 4.

Как поднять программный iSCSI Target на Windows 2003 Server для ESX

Работа с дисками виртуальных машин VMware.

Бесплатные программы для VMware ESX / ESXi в среде Virtual Infrastructure / vSphere (часть 2).

Новые возможности VMware vSphere 5.0 - официально.

Все ресурсы о виртуализации:
Интервью:

Alessandro Perilli
virtualization.info
Основатель

Ратмир Тимашев
Veeam Software
Президент


Купить:

VMware vSphere 6.5


Veeam Backup 9.5


Полезные ресурсы:


Видео компании VMware

Видео про Citrix Xen

Видео о виртуализации Microsoft

Утилиты для виртуальных машин Microsoft.

Книги на английском языке

Блоги на английском языке

Блоги на русском языке

Агрегация статей в твиттере VMC:


Copyright VM Guru 2006 - 2019, Александр Самойленко. Правила перепечатки материалов.