restricted accessによるCVMへのBashシェルアクセス廃止について

前回までにBashシェルアクセスの廃止におけるロードマップと新しいNuService Menuについて紹介しました。

今回はおそらくAOS7.6 の次のバージョンでデフォルト（強制）されるであろうBashシェルの完全廃止について紹介したいと思います。

AOS 7.6においては、Bashシェルで「configure_restricted_access」コマンドを実行することで、Bashシェルを無効化し、Nutanixサポートからのトークンをもらわない限りBashシェルアクセスが許可されないモードにすることができます。

※configure_restricted_accessを実行し、Bashシェルを無効化すると、再度Bashシェルを有効化することはできませんので、ご注意ください。

ここでは、「configure_restricted_access」を有効化し、その後の動きを見てみたいと思います。

nutanix@NTNX-WKJ951XPCX-A-CVM:10.187.67.223:~$ configure_restricted_access

#############################################################
Configuring restricted bash access will put your system in
a STIG compliant state by enabling support-only-login-mode
wherein, you will be required to open a support ticket with
Nutanix in order to gain temporary access to the full bash
shell. This action cannot be reversed.
#############################################################
Type YES to confirm and proceed, or anything else to cancel: YES
#############################################################
Configuring restricted access state in ZK...
Waiting 10s for all nodes to apply changes...
Verifying restricted access configuration... [1/2]
Verifying restricted access configuration... [2/2]
Verification done. Successfully configured restricted access.じ

実行自体は、1分もかからない程度で終わります。

その後、SSHで、nutanixユーザで接続してみましょう。

>ssh nutanix@10.187.67.223
The authenticity of host '10.187.67.223 (10.187.67.223)' can't be established.
ECDSA key fingerprint is SHA256:zsJ+7xxxxxxxxxxCL6wlqrxNzHsSY7cEXP61401kqho.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '10.187.67.223' (ECDSA) to the list of known hosts.
Nutanix Controller VM
nutanix@10.187.67.223's password:
** SSH to CVM via 'nutanix' user is restricted. Please use the 'admin' user. **
Connection to 10.187.67.223 closed.

adminユーザ以外の接続は拒否されたことがわかります。

それでは、adminユーザでログインし、Bashシェルアクセスを実行してみます。

============================
NuService  Menu:
============================
Option 1: Execute Commands
Option 2: Log Viewer
Option 3: Launch Admin Shell
Option 4: Configure Settings
Option 5: Help
Option X: Exit
============================
Choice: 3

========================================= New Full Access Session ==========================================
Enter Salesforce Case Number: XXXXXXXXXXX
[2026-09-26 12:43:14] Please share the following request token with the Nutanix Support (valid for 30 mins).
============================================================================================================
bread industry market duty bag reform ivory major brain world trash open
============================================================================================================
[2026-09-26 12:43:14] Attempt 1/3: Enter the response token received from the Nutanix Support: XXXX

シェルアクセスを実行しようとすると、Case番号を要求されます。Case番号を入れると、サポートからもらったトークンを入力するとBashシェルがアクセスできるようになります。

サポートからのトークンがなければ、Bashシェルへのアクセスはできなくなります。

サイバー攻撃において、Bashシェルはその自由度から攻撃の温床になりやすいため、Bashシェルの制限は、昨今において必要な機能実装であると考えられます。

一方でオペレーションの自由度は下がる点や今までのシェルに依存した運用は変更を行う必要があります。

（参考）Activating Support-only Login on a Cluster
https://portal.nutanix.com/page/documents/details?targetId=Nutanix-Security-Guide-v7_6:sec-secure-access-support-only-login-activation-t.html