仮想マシンのDドライブ以降がオフラインになるのを回避する方法

Nutanixには、仮想マシンを迅速にリカバリまたはクローンする機能としてストレージベースの高速スナップショット機能を持っています。

NGTのSSR機能利用や、Active DirectoryのNTDSデーターなどがDドライブにある場合や、アプリケーションがCドライブ以外にインストールされている場合、OSやアプリケーションが正常に起動しない可能性があります。

このようなことを防ぐため、あらかじめ後から取り付けられたディスク自動的にオンラインにする設定を行うことで、このような事象を回避することができます。

コマンドプロンプトを管理者で開き以下を実行します。

Microsoft Windows [Version 10.0.26100.33296]
(c) Microsoft Corporation. All rights reserved.

C:\Users\Administrator>diskpart

Microsoft DiskPart バージョン 10.0.26100.1150
Copyright (C) Microsoft Corporation.
コンピューター: WINSVTEST118

DISKPART> san
SAN ポリシー  : オフライン共有

DISKPART> san policy=onlineall ★重要！
DiskPart は、現在のオペレーティング システムに対する SAN ポリシーを変更しました。

DISKPART> san
SAN ポリシー  : すべてをオンライン

DISKPART> exit
DiskPart を終了しています...

C:\Users\Administrator>

diskpartコマンドで、SANポリシーをOnlineAllに変更しています。
その後、SANコマンドで、ポリシーが変更されたことも併せて確認をしています。

diskpart → san policy=onlineall → exit

で、設定可能ですので、Windowsマシンは、あらかじめ設定していただくことをお勧めします。

もしくは、PowerShellですと以下の１行で対応可能です。

Set-StorageSetting -NewDiskPolicy OnlineAll

こちらは、Nutanix Moveなどで移行する際にもあらかじめ実行しておいたほうがよいコマンドとなります。

Prism Centralの認証を２要素認証にする（IdP連携）・その2

前回までに、EntraID側の設定を終えましたので、Prism Central側の設定を引き続きご紹介していきます。

今回、Prism Central 7.6で設定を確認しますが、動作はPrism Central 7.3以降で動作を確認しております。

まず、Prism Central に管理者でログインし、「Admin Center」→「IAM」→「IdP Configuration」から「Add Identity Provider」をクリックし「SAML Identity Provider」をクリックします。

「Import Metadata」をクリックし、「Configuration Name」に、わかりやすい名称をつけ、前回ダウンロードしたフェデレーションメタデーターXMLを読み込みます。XMLファイルを選択したら、Saveをクリックします。

SAMLプロバイダーが登録されたことを確認し、項目をチェックし、「Action」→「Edit」で再度編集画面に入ります。

前回EntraIDの控えたGroupのURLを、「Group Attribute Name」に入力し、「Save」をクリックします。

続いて認証ポリシーを設定します。「Authorization Policies」を選択し、「Crete Authorization Policy」をクリックします。

ツアーの画面が出てきたら、「Skip for now」をクリックします。

左上の鉛筆ボタンをクリックし、ポリシーの名称を設定します。
つづいて、「Select Role」のところで、今回Prism Centralデフォルトのロールである「Cluster Admin」を選択します。テキストボックスに「Cluster」と入力すると、その文字列のポリシーが自動検索・表示されますので、そのポリシーを選択し、「Next」をクリックします。

Define Scopeも、今回は、フルアクセスで設定しますが、実際にはユーザやグループに合わせて見えるオブジェクトを制限する必要がある場合もあると思います。このあたりは、RBAC設定の部分をご参考ください。

（参考）
Prism Centralの活用その4（RBACで操作と見える範囲の権限設定・その1）

続いて、EntraIDでログインできるユーザーおよびグループを指定します。
グループを指定する際は、グループの名称ではなくグループのオブジェクト IDを入力します。最後のSaveをクリックし、設定完了です。

では、別のブラウザでPrism Centralを開いてみましょう。

ログイン画面にEntra IDのボタンが増えていることがわかります。従来のローカルアカウントでログインする場合は、「Log in with your Nutanix Local Account」をクリックします。

Entra IDのボタンをクリックすると、Entra IDのログイン画面に移動します。Entra IDのログイン画面をカスタマイズしている場合は、その画面がそのまま表示されます。

Entra IDの設定で、Authenticatorと連携している場合、以下のようにAuthenticatorの追加認証画面が表示されます。

これで、Prism Centralでログインができるようになりました。

グループでのサインインを必要とする場合、EntraID側の設定とPrismCentral側もグループ参照用の設定が必要になりますので、注意して下さい。

（参考）KB16526 / Configuration Steps for Entra ID (formerly Azure ADFS) Integration with Prism Central

 

Prism Centralの認証を２要素認証にする（IdP連携）・その1

サイバー攻撃が当たり前となる中、Nutanixクラスターは、データが保存されている大事な箱なので、当然ながら攻撃者から狙われるシステムの一つとなります。

クラスターロックダウンによるCVMの保護など、まずやるべきことはありますが、巧妙な攻撃手法で、管理ネットワークに侵入し盗用したあたかも正規のオペレーションで仮想マシンやスナップショットを削除する可能性もあります。

Prism Centralの認証はデフォルトユーザーIDとパスワードでの認証となりますが、このご時世、パスワードだけの保護では、セキュリティ面で十分といえない時代になってきました。

前回は、Prism Element / Centralにおいて、証明書認証の手法をお伝えしましたが、Prism Centralにおいては、SAML連携ができるためIdPとの連携が可能です。

今回は、最も普及しているといっても過言ではない、MicrosoftのEntra IDとの連携方法をご紹介いたします。

あらかじめ、EntraIDが利用できるテナントがあり、ユーザーなども作成済みの前提となります。
なお、EntraIDは、無料テナントであっても連携が可能です。（2026年9月現在Authenticatorによる２要素認証含め利用可能です）ただし、無料テナントでは、グループによる設定ができない点にご注意ください。

まずは、EntraID側の設定を行います。

https://aad.portal.azure.com/

を開き、EntraID管理センターに管理者権限でサインインします。

「エンタープライズアプリ」→「すべてのアプリケーション」→「新しいアプリケーション」で、新しいアプリケーションを作成します。

「独自のアプリケーションの作成」をクリックします。

アプリケーションの名前は、わかりやすいものにします。また「ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)」を選択し、さくせいをくりっくします。

作成が完了すると、自動的に作成したアプリケーションの概要ページに行きますので、「1.ユーザーとグループの割り当て」をクリックします。

「ユーザーまたはグループの追加」をクリックします。

ユーザーまたは、グループを選択し、「割り当て」をクリックします。

続いて、SAML連携の設定を行います。「シングル サインオン」をクリックし、続いて「SAML」をクリックします。

基本的な SAML 構成の「編集」をクリックします。

識別子と応答URLをそれぞれ追加します。

以下のように識別子・応答URL・サインオンURLを入力します。

それぞれのパラメーターは以下のルールに従って入力します

識別子 (エンティティ ID)
https://<PrismCentralのFQDN or IPアドレス>:9440/api/iam/authn

応答 URL (Assertion Consumer Service URL)
https://<PrismCentralのFQDN or IPアドレス>:9440/api/iam/authn/callback

サインオン URL (省略可能)
https://<PrismCentralのFQDN or IPアドレス>/api/iam/au

※PrismCentralのアドレスは、プライベートのIPアドレスもしくはFQDNで構いません。
ブラウザで実際に利用するユーザーがアクセスできる内部のFQDNやプライベートIPアドレスで構いません。

続いて、「属性とクレーム」項目の「編集」をクリックします。

「グループ要求を追加する」をクリックし、詳細設定画面を表示させます。
「すべてのグループ」を選択し、ソース属性を「グループID」を選択し、保存ボタンをクリックし、設定を保存します。

user.groups [All」が追加されていることを確認します。
このグループのクレーム名のURLをコピーして控えておきます。

これで、EntraID側の設定は完了です。PrismCentral側で読み込むためのフェデレーション用メタデータXMLをダウンロードしておきます。

最後に、Prism Centralにログインできるユーザーをグループで指定する場合、グループのオブジェクトIDを取得しておく必要があります。

EntraIDのグループから、先ほど指定したグループを開きオブジェクトIDを控えておきます。

ここまでで大枠Entra IDの設定が完了しました。
次回は、Prism Central側の設定を行います。

アカウントがロックされた場合の対応方法

PrismやSSHで、CVMにログインする際、数回ログインを間違えるとアカウントがロックされる仕様となっております。

構築作業中でパスワードを変更したばかりで、前のパスワードを間違えて入れたとか、コンソール画面のキーボードが101キーボードマッピングのため記号をうまく入力できずに、アカウントがロックされたなど、正常なオペレーションでアカウントがロックされることもあります。

今回は、アカウントロックされた場合の会場方法についてご紹介します。

SSHで、「 nutanix 」ユーザがロックされた場合

CVMのnutanixユーザーのロックは、各CVM単体で行われます。そのため、仮に1台目のCVMにて、nutanixユーザーのアカウントロックがなされた場合も、2台目のCVMには、nutanixユーザーでログインができる仕様となります。

この場合、ログインができるCVMにnutanixユーザーでログインするか、Prismの「admin」ユーザでログインをしてください。

その後、以下のコマンドを実行します。

sudo su - nutanix

allssh "sudo faillock --user nutanix --reset"

これで、アカウントがロック解除されたはずです。

Prismのadminユーザーがロックされた場合

Prismのログイン画面で「Account locked due to too many failed attempts.」と表示されログインができなくなった場合は、アカウントがロックされている状態となります。

CVMへnutanixユーザーでログインし、以下のコマンドを実行します。

allssh 'sudo faillock --user admin --reset'

これで、アカウントロックは、解除されたと思います。

パスワードの有効期限切れとアカウントのロック状態は異なります。

パスワードの取り扱いに注意していただきつつ、オペレーションによりアカウントがロックされた場合は、こちらの方法で対応してください。

KB18411 / SSH login fails for the nutanix user due to Account Locked on CVMs

KB8130 / Prism admin account locked with "Account locked due to too many failed attempts."

Prism Element/Prism Centralのログインを証明書認証にする

昨今は、サイバー攻撃による被害が増えておりセキュリティという側面に目が向けられることが多くなっています。

Nutanixは、仮想マシン、すなわち攻撃者が狙うデータが入っている場所になるため、攻撃者からすると狙うターゲットとして見られることもあります。

ネットワーク面でのセキュリティ対策は言うまでもありませんが、相手は脆弱性をついた裏口の侵入以外に、正攻法で盗んだユーザ名やパスワードで正規のユーザに成りすましてログインし、悪意のある行動を行うことも考えられます。

CVMへのSSHアクセスは、クラスターロックダウンやそのほかBashシェルの廃止など様々な方面で対策がとられております。Prism Centralは、SAMLによるIdPとの連携で二要素認証なども行うことができますが、Prism Elementの画面自体は、ユーザー名・パスワードの認証がデフォルトとなっており、昨今のセキュリティ事情からみると少し弱いようにも見受けられます。

しかし、Prism Element自体は、オペレーションで必要な画面となりますので、無効化することができません。

そのため今日は、Prism Elementのセキュリティ強化として、証明書認証の手法をお伝えします。

まず、この証明書認証にあたって用意いただくのは、WindowsのActive Directory Domain Controllerと証明書サーバーです。

Prismの証明書認証は、証明書のユーザ情報とADのユーザ情報をマッチさせ、ログインの許可を行います。

では、実際の手順をご紹介します。

1.CAの証明書を登録

WindowsのCAからCAの証明書を取得します。Web証明書サービスをインストールしている場合は、「https://CAサーバー/certsrv」から、取得が可能です。

BASE64形式で取得した証明書を、Prism ElementのSettings→Authentication→Clientタブを開き、Clinet Chain Certificateに先ほどダウンロードしたCAのルート証明書をインポートします。

証明書をインポートするPrismサービスが再起動し、Prism Elementへ再ログインが要求されることを確認し、Yesをクリックします。

2.ドメインコントローラーの登録

再度、Prism Elementにログイン後、Settings→Authenticationから「Directory List]タブを開き、「+New Directory」で、ドメインコントローラーを指定します。

以下のようにドメイントローラーを指定します。

ここで注意が必要なこととしては、Windows Server 2025から、LDAPSでの通信のみがデフォルト許可される形となりましたので、Prism ElementであらかじめDNSサーバーをドメインコントローラーの名前引きができる状態にし、こちらのドメインコントローラーの登録時もい、IPアドレスでの入力ではなく、FQDNで指定をすることで、あらかじめインポートしたルート証明書で承認された形で、LDAPSの通信ができるようになります。

※そのため、手順的に先にCAのルート証明書をインポートする作業を先に行っています。

3.ロールの設定

証明書の登録が終わりましたら、Prism Elementにログインできるグループを指定します。

Settings → Role Mappingから、Create Role Mappingで、ここでは、ActiveDrectoryのグループで「野比家」をCluster Adminを指定します。

AD上では、以下のように作成されています。

4.サービスアカウントの登録と証明書認証の有効化

続いて、Settings → Authenticationから「Client」タブを開き再度、証明書設定行います。

「Configure Service Account」をチェックを入れ、APIコール用に利用するユーザをしています。その設定ののち、「Enable Client Authentication」にチェックを入れ、証明書認証を有効化します。

再度、Prismサービスが再起動する旨が表示されますので、Yesをクリックします。
（Primsサービスを再起度しても仮想マシンの動作には影響ありません）

5.証明書認証のみに設定を行う

再度、Prism Elementにログインし、同じく、Settings → Authenticaionから「Clieint」タブを開き、今度は「Enable CAC Authentication」にチェックを入れます。

再度、Prismサービスの再起動が要求されますので、Yesをクリックします。

ブラウザで、Prism Elementを開こうとすると、ドメインに適合した証明書を保持している場合、証明書の確認画面が表示されます。

この後、ログイン画面をスキップし、Prism Elementの画面が表示されます。

ブラウザの証明書確認画面をキャンセルすると、adminユーザのみログインができりるようになりそれ以外のローカルユーザーやActive Directoryのユーザーは、ログインが許可されません。

従来のID/パスワードだけの認証ですと、セキュリティ面での懸念がある場合、証明書認証との組み合わせでご利用いただくことで、セキュリティ強化を行うことができます。

本設定は、Prism Elementだけではなく、Prism Centralでも同様に設定が可能です。

（参考）

KB10894 / CAC Authentication implementation

KB1825 / How to Fix or Disable Incorrect or Misconfigured CAC Authentication Settings

Common Access Card Authentication with Client Chain Certificate in Prism Element

AOS 7.6で実装された画面コンソールのコピー＆ペーストについて

Prism Central 7.6とAHV 11.2以降で画面コンソールへのコピー＆ペーストができるようになりました。

今回はこの機能の紹介と注意点を紹介いたします。

まず、Prism Centralから仮想マシンコンソールを開くと上部に「Paste to Console」というボタンが増えていることがわかります。

このボタンが、操作端末から仮想マシンへのクリップボードコピーになります。

このコピー＆ペーストは、適用できるのが「テキスト」のみとなります。ファイルや画像などは、コンソールへ送ることができません。

画像など送れないものをクリップボードに入れた場合は、「Paste to Console」ボタンがDisable状態になり、コンソールに送ることができない状態になります。

実際にテキストを送ってみましょう。

今回は、操作元PCのメモ帳で以下の文字列を送ってみたいと思います。

Paste to Consoleをクリックすると、コンソール画面上に文字列を送っている情報が表示されます。この画面を見てお察しですが、どうもキーボードエミュレーションで文字列と同じキーを１文字ずつ入力しているように見受けられます。

では、コピーされた後の文字を見てみましょう。

キーボードエミュレーションで、キーを１文字ずつ入力することでコンソールに情報を送っているため、アルファベットは正常に送られていますが、日本語の情報や絵文字は、キーボードのキーだけでは入力ができないためすべてスキップされています。

また、注目してほしいことは、記号部分です。

コピー元は「 #$%:;* 」であったにもかかわらず
コピー先は「 #$%+;( 」と一部の記号が異なって入力されていることがわかります。

これは、キーボードエミュレーション時におけるキーボードレイアウトの違いが影響しています。このゲストOSは、Windows Server 2025で、109キーボードとして設定されています。

一方で、コンソール画面の右上を見てもらうと「Keyboard Layout」設定があり、こちらが「English (US)」　になっています。すなわち、101/104キーボードレイアウトになっていることがわります。そのためキーボードレイアウトが異なっていることから、一部の記号が正常に送れていないことがわかります。

ただ、キーボードレイアウトには、現行106/109キーボード（すなわち日本語レイアウト）が、搭載されていません...。

日本語の対応は、今後のバージョンで期待ということになりますが、デフォルトのEnglish(en-us)を利用する場合、記号を送る場合、注意が必要です。（特にパスワードで記号を使っている場合などは、注意して下さい）

 

AOS 7.6以降のライセンス未適用クラスターの挙動について

AOS 7.6以降、ライセンスが適用されていないクラスターに対する挙動が変わりました。

従来まで、Foundaionでイメージングを行ったのち、Prism Centralからポートフォリオ2.0ライセンスを適用しない状態であっても、Prism Elmentからの操作が可能になっていました。この仕様がAOS7.6以降異なります。

ライセンス未適用60日経過

• Nutanix Insightsは使用できません。
• クラスターを拡張することはできません。
• 新しいストレージコンテナを作成したり、既存のストレージコンテナの設定を更新したりすることはできません。
• 各ストレージコンテナは、クラスタ内の残りの空き領域を均等に分配され、この分配量を超えることはできません。

ライセンス未適用90日経過

• Prism Elementにログインできません。
• Prism CentralのWebコンソールでは、クラスタページにアクセスできません。
  このページにアクセスすると、ライセンス更新ページにリダイレクトされます。
• AOSソフトウェアのバージョンアップはできません。
• セキュリティパッチを適用できません。

ちゃんとライセンスを買っているから大丈夫！と思っている方は、ご心配ないかもしれませんが、NXクラスターを利用している方は１点注意をしてください。

NXモデルについては、従来のLODモデルの背景から、ノードをイメージングした時点からCBL時代のStarterライセンスが自動適用される仕様になっていました。そのため、Portfolio 2.0ライセンスを保有しておきながらも、Prism Centralからライセンスを適用しないまま利用しているユーザーを時々見受けます。

このCBLライセンスは、レガシーポートフォリオと言われており、サポートが終了しライセンスの更新も終了（既存保持ユーザはポートフォリオ2.0へコンバージョンを行い継続利用可能）となったことから、AOS 7.6以降にアップグレードをした場合、レガシーポートフォリオライセンスが適用されているクラスターは、NoLicense状態になります。

▼NXモデルでイメージング直後のライセンス状況（AOS 6.10の場合）

▼AOS 7.6にアップグレードしたNXクラスタ（LOD/CBLライセンス適用時）

ProLiant DL for Nutanix or ProLiant DXないしは、DELL XC CoreやCisco UCSのようなサードパーティープラットフォームは最初からライセンス未適用時は、NO Licenseになるため、ライセンスが適用されていないことに気づきますが、NXモデルは、デフォルトでレガシー来世寸が適用されているため、ポートフォリオライセンス2.0が未適用な場合、アップグレードすることにより、上記のような運用制限が入る可能性がありますので、注意が必要です。

 

AOS 7.6リリースによる新機能と仕様変更について

AOS 7.6が、2026/7/27にリリースされました。

今回のAOS 7.6については、従来機能に比べ様々仕様変更が入っていおります。今後AOS 7.6へアップグレードする方のために、今回アップデートの内容をピックアップしてご紹介いたします。

1ノードあたりの最大容量数の変更（24時間のRPO対応）

• オーフラッシュNVMe：307TB
• ハイブリッド：270TB

AHV利用の2ノードクラスターを3ノードへの拡張サポート

従来まで、1ノード及び2ノードのクラスターを活性のまま3ノードへの拡張がサポートされていませんでしたが、今回のアップデートでサポートされました。

1ノード障害+1ディスク障害の対応範囲拡張

従来クラスター構築時の3ノードのみで適用可能だった、1ノードの障害と他のノードのディスク同時障害への対応が、拡張され、3ノードからクラスターの最大ノード数までのwサポートするようになりました。

CVMのBashシェルの段階廃止

従来よりCVMのBashシェル廃止の実装が進んでおりますが、AOS 7.6では、adminユーザに対して、BashシェルではなくNuService Modeといわれる独自シェルが実行されるようになりました。本バージョンでは、nutanixユーザーは、Bashシェルを継続利用できますが、将来のバージョンで廃止される予定です。

実際にCVMにSSHで接続した画面

シェル自体は、adminユーザのシェルが「/usr/local/nutanix/secure/bin/shim」が実行されていることがわかります。CVMのシェルを開きタブキーをクリックすると、以下のコマンドが出てきます。clusterコマンドやacliもこちらから実行ができるようです。

外部ストレージ機能として、PureStorageの変更ブロックの管理方法変更
昨年機能実装された外部ストレージの対応として、PureStorageがサポートされました。こちら機能実装の都合で、１仮想ディスクに対してデータを管理するLUNと変更データを管理するLUNの2つのLUNが1仮想ディスクに対してストレージ側に作成される仕様でしたが、今回のアップデートで、変更ブロック管理用のLUN（CBT用LUN)が不要になったことで、作成できる仮想ディスクの最大数が従来の最大2倍まで増えました。こちらは、AOS 7.6+Purity 6.11.7以降でサポートされます。

混合メディアのノード拡張ブロック機能

SSD＋HDDのクラスターに、オールNVMeノードの追加など、サポートされないメディア形式のノードを拡張できないように事前チェックされるようになりました。

AOS 6.7以降の仮想マシンをライブ移行サポート
AOS 6.7(vTPMを必要とする場合は、6.8)以降の移行元環境から、AOS 7.6の新しいNutanixクラスターに、移行元から移行先への一方方向のクロスクラスターライブマイグレーションがサポートされます。

Prism Centralの画面コンソールでのコピー＆ペースト
従来より要望の多い機能でしたが、AOS7.6+AHV 11.2以降の攻勢でサポートされるようになりました。

ディザスタリカバリ機能の強化

• 制的付与IPのNICでデフォルトゲートウェイとDNSのIPが付与できるようになりました
• MST構成における、DRデプロイのRUｎBookが可能になりました
• リカバリポイント管理のUI工場
• 複数のMSTインスタンスの展開をサポート

Prism Centralの同時ログイン数セッション数の増加

• X-Small or Small　・・・ 10セッション
• Large　・・・ 25セッション
• X-Large ・・・ 50セッション

プロジェクト機能のリリース
マルチテナントを実装する上でのワークロードとアクセス制限分離機能が実装されました。
Prism Central 7.6以降、すべてのエンティティに対してプロジェクトに属すことが必須となりました。前バージョンからの以降の場合、自動的にデフォルトプロジェクトに属す形に自動移行されます。

CDROMドライブなしで、NGTを直接構成可能
AOS 7.6以降およびNGTバージョン4.5以降がインストールされている仮想マシンの場合、CDROMドライブを必要とせず、NGTのアップグレードが可能です

AHVホストへの外部SSHアクセスはデフォルトで無効
AHVホストへの接続はコンソール直接か、CVM経由でのアクセスになります。

メモリー利用量表示の可視化
AHV 11.2+Prism Central 7.6以降、ゲストVMのメモリー使用量とバルーニングされたもメモリー消費を分離して表示できるようになりました。

ライセンス未適用環境の制限

従来、Foundation後ライセンス未適用な状態であっても、PrismElementの操作が可能でしたが、操作制限が適用されます。詳細は、別の機会に紹介させていただきますが、ライセンスを未適用のまま利用されていた場合は注意が必要です。

今回のバージョンアップは、個人的には例年よりもユーザー側にいろいろと影響が大きい（利便性や運用の変更含め）ところが多いともいます。アップグレード前には、是非リリースノートを確認の上アップデートを行ってください。

AOS 7.5のリリースノート

https://portal.nutanix.com/page/documents/details?targetId=Release-Notes-AOS-v7_6:Release-Notes-AOS-v7_6

AHV11.2のリリースノート
https://portal.nutanix.com/page/documents/details?targetId=Release-Notes-AHV-v11_2:Release-Notes-AHV-v11_2

Prism Central 7.6リリースノート
https://portal.nutanix.com/page/documents/details?targetId=Release-Notes-Prism-Central-vpc_7_6:Release-Notes-Prism-Central-vpc_7_6