Utilizando vi-fastpass en vMA

Hola amigos, soy Florián Murillo y vamos a profundizar en el funcionamiento de vi-fastpass, una funcionalidad que proporciona vMA para facilitar la explotación de los host ESX.

Los administradores de ESX, cuando empiezan con ESXi, tienen que adaptar sus hábitos de determinación y resolución de problemas.

Uno de estos hábitos es que la ejecución remota de comandos requiere, lógicamente por ser remota, autenticación, es decir, que cuando en un ESX teclean:

$ esxcfg-nics -l

en ESXi han de teclear:

$ vicfg-nics -l –username root –password PWD –server esx1.domain.local

Observar el cambio de prefijo “esxcfg” por “vicfg”. Es una tónica habitual de vCLI.

Existen dos mecanismos para facilitarnos el trabajo: vi-fastpass y el parámetro sessionfile, hoy vamos a explicar cómo funciona vi-fastpass.

Consiste en guardar en un almacén de credenciales local de vMA los nombres, tipo de equipo y credenciales de autenticación del vCenter y los host ESX y ESXi. Cuando entramos en vMA consultamos el contenido actual del almacén de credenciales:

[vi-admin@vma ~]$ vifp listservers
Error: No targets have been defined for this vMA.

Como vemos, está vacío, vamos a añadir nuestro vCenter:

[vi-admin@vma ~]$ sudo vifp addserver vc.domain.local
Enter username for vc.domain.local: USER
USER@vc.domain.local’s password: PWD

Ahora entramos un par de hosts:

[vi-admin@vma ~]$ sudo vifp addserver host1.domain.local
root@host1.domain.local’s password: PWD
[vi-admin@vma ~]$ sudo vifp addserver host2.domain.local
root@host2.domain.local’s password: PWD

Vamos a verificar el contenido del almacén:

[vi-admin@vma ~]$ vifp listservers
vc.domain.local vCenter
host1.domain.local ESX
host2.domain.local ESXi

Observar que nos ha detectado que tipo de sistema es, si es un vCenter Server, un host ESX o un host ESXi. Esto es debido a que, para añadir el equipo al almacén de credenciales se conecta al sistema para verificar las credenciales que hemos entrado y, solo si la autenticación es correcta, los añade al almacén.

NOTA: Eso quiere decir que no podemos añadir equipos apagados al almacén de credenciales.

Ahora vamos a utilizar vi-fastpass. Utilizamos el comando vifpinit para autenticarnos de forma trasparente en un host:

[vi-admin@vma ~]$ vifpinit host1.domain.local
[vi-admin@vma ~][host1.domain.local]$ vicfg-nics -l

[vi-admin@vma ~]$ vifpinit host2.domain.local
[vi-admin@vma ~][host2.domain.local]$ vicfg-nics -l

Para eliminar un host del almacén de credenciales:

[vi-admin@vma ~]$ sudo vifp removeserver host2.domain.local
root@host2.domain.local’s password: PWD

Vamos a comprobar si lo ha eliminado del almacén:

[vi-admin@vma ~][host2.domain.local]$ vifp listservers
vc.domain.local vCenter
host1.domain.local ESX

vi-fastpass es una gran ayuda para simplificar los mecanismos de autenticación en comandos remotos. Pero, no podemos olvidar robustecer la seguridad de la vMA, para evitar que se transforme en un riesgo para la seguridad.