Prismのパスワード履歴の消去方法

Prism ElementやPrism Centralのadminユーザは、60日でパスワードの有効期限が切れるようにデフォルトで設定されています。期限後には、当然ながらパスワードを変更しなければいけませんが、同じパスワードがそのまま設定ができないようになっています。

設定するパスワードには以下の条件があります。

1. 少なくとも8文字以上
2. 少なくとも1つの小文字
3. 少なくとも1文字の大文字
4. 少なくとも1つの数字
5. 少なくとも1人の特殊キャラクター（記号）
6. 以前のパスワードと少なくとも4文字異なる
7. 過去10件のパスワードに含まれていないこと

過去10件の履歴を保持されているため、同じパスワードが利用できないという事情が発生します。サードパーティー製品との接続なので、パスワードを継続して同じものをどうしても利用したい場合（可能な限り、サードパーティ連携やそれ用のアカウントを個別で作成されることをお勧めします）、パスワードを違うものに10回変更したうえで、元のパスワードに戻すのは、なかなか手間のかかる話です。

今回は、nutanixユーザのパスワード履歴の削除方法について、ご紹介します。

CVM（PrismCentralのadminユーザーのパスワード履歴を削除したい場合は、PCVM）に接続します。

パスワード履歴を削除します。

allssh sudo rm /etc/security/opasswd && allssh sudo touch /etc/security/opasswd

続いて、パスワードを変更します。

ncli user reset-password user-name=admin password=XXXXXXX

また、adminユーザーのパスワード変更期限を変更する方法もご紹介しておきます。

sudo chage -M <最大有効期限日数> admin

なるべく、パスワードの使いまわしなどは避けるべきかと思いますが、運用上どうしても同じパスワードの継続利用が必要な場合、定期的なパスワード変更ができない場合における対処方法をご紹介させていただきました。

（参考）
KB4960:How to delete the password history of the Prism admin user

Logging Into Prism Central

 

AOS5.18の新機能（その3）：右クリックメニューの登場

 AOS5.18になって変わったのは、ストレージ機能だけではありません。UIについても一部変更が入っています。

今日は、Prismに入った改善点の「右クリックメニュー」について紹介します。

従来Prismは。全ての操作が左クリックのみの操作で、非常にシンプルを売りにしていました。一方でPrism Centralを筆頭にPrismで操作する機能が増え、操作に対してわざわざアクションボタンまでマウスポインターを移動して操作を実行すると点に煩わしいという声も出ていました。

そのため、従来のアクションボタンからのメニューは残しつつも、対象のオブジェクトを選択して、右クリックを行うとActionボタンをクリックしたときと同様のメニューを出すことが出来るようになりました。

▼Prism Centralでの右クリックメニュー

▼出てくるメニューはActionからのメニューと同じ内容となります

右クリックメニューはPrism Elementでも搭載されています。

▼Prism Elementの場合リストしたのアクションメニューと同様の物が表示されます

このため、マウスの右ボタンがないと操作出来ないと言うことはありませんので、従来通りタブレット端末からタップでの操作も可能です。

他の管理ツールにおいては右クリックというのはあって当たり前になっており、何を今更感がありますが、NutanixにおいてはPrismのシンプルさを実現するために右クリックでの操作は、Prismの登場以来搭載されていませんでした。

AOS 518になって搭載されても、右クリックしないと出来ないアクションはなく、従来の方法のまま操作することが出来るという点は押さえておくべき点だと思います。

AOS 5.18の新機能を紹介

 AOS5.17がリリースされたまだ日が浅いですが、STSは3ヶ月おきのリリースがベースとなっているため、8月末にAOS 5.18がリリースされました。

AOS5.18にも多くの新機能が搭載されています。

• Leap機能利用時のSelf Service Restore(SSR)のサポート
  Asycn DRでなくLeap機能を利用したスナップショット取得時に、SSRをサポートします。なお、NearSyncは未対応ですが、
  
  
• ストレージコンテナのインライン圧縮のデフォルト有効化
  今まではストレージコンテナを新規作成すると、自動的に、Compression（圧縮）のチェックが有効でDelayが60でデフォルト値で表示されます。Compressionは、AOS Starterエディションすなわちどのエディションでも利用が可能ですが、Delayが0より大きい値の設定がなされると、ポストプロセス圧縮となりAOS Proライセンス以上が必要となります。そのため、AOS Starterライセンスでデフォルト値のままストレージコンテナを作成すると、ポストプロセス圧縮の設定となってしまいライセンスに抵触しているというアラートが出ていましたが、今回変更によりAOS Starterでデフォルトのコンテナ作成時に謝ってライセンスに抵触してしまうようなことは無くなりました。
  既に作成しているストレージコンテナに対して設定が変わることはありません。
  なおNutanixでは、パフォーマンスに影響がないため圧縮を有効にすることを推奨しています。
  
  
• クロスハイパーバイザーDR（ESXi → AHV）でのNearSyncをサポート
  クロスハイパーバイザーDRにおいては、今までAsync DRでのサポートとなり最短のRPOは1時間でした。今回の変更により、NearSyncでのレプリケーションをサポートしました。
  
  
• Nutanix Objectsでイレイジャーコーディングをサポート
  アーカイブデーターなど長期保存を目的とする利用の場合、Nutanix ObjectsによるS3互換のオブジェクトストレージ機能を利用も検討すると良いと思います。データーの長期保管となると、必要とするストレージ容量も多くなるためストレージ容量の効率的な利用が求められます。Nutanixには圧縮・重複排除の他にイレイジャーコーディング機能を保有しています。今回Nutanix Objects利用時において、ストレージコンテナにイレージャーコーディングが利用できる用になりました。
  
  
• ゲストVM削除時の復元機能
  仮想マシンを誤って削除した場合24時間以内であれば復元する「ゴミ箱」機能が搭載されました。なお、現バージョンでは仮想マシンのリストアはNutanixサポートに依頼をする必要があります。本機能は次回に詳細にお伝えしたいと思います。
  
  
• ストレージコンテナにおける仮想ディスク単位の消費情報表示
  いままでは、ストレージコンテナレベルでの空き容量や使用容量はわかりましたが、どの仮想マシンやVolumeGroupがどれぐらいの容量を消費しているのかを確認するには、仮想マシン一覧からそれぞれの容量を確認するしかありませんでした。
  今回PrimsのStorage画面から、ストレージコンテナごとにどの仮想ディスクがどれぐらいの容量を消費しているのかを確認が出来るようになりました。
  
  ▼仮想ディスクファイルごとの割当・消費容量一覧
  
  
  
  
• ログタイムスタンプの変更
  通常利用時には気にする必要は無い機能ですが、NutanixのログはCVMのタイムゾーンで出力されるものが一部ありましたが、今回の変更で全てログはUTCタイムゾーンで記録されるようになりました。
  
  
• NVMeドライブの活性交換時の動作改善
  AOS5.18からNVMeドライブ交換時にCVMが再起動するという仕様が変更となり、CVM再起動せずにNVMeドライブが交換できるようになりました。（CVMが再起動するのは、ディスクドライブが見えなくなった際にディスクを再度検知するためOSレベルで再起動する仕様であり、その際仮想マシンは他のCVMのI/Oパスを利用して継続稼動するため、稼動している仮想マシンにはCVMが再起動しても動作に影響はありませんでした）
  なお、本機能は、AHVのみのサポートとなります。
  
  
• UEFIサポートの強化
  ハードウェアUEFIセキュアブートが有効になっているホストで、ESXiのセキュアブートがサポートされました。
  
  
• NGTの下位互換サポート
  ゲストVMよりもCVMのNGTバージョンが低い場合でも、NGTを引き続き利用することができます。
  
  
• NGTにおけるPython2からPython3への変更
  こちらも、ユーザーサイドとしては特に変わりは無いのですが、NGTのバイナリがPython3対応となりました。
  
  
• OVAのサポート
  PrismCentaralを介して、AHV仮想マシンにおけるOVAエクスポート機能及ぶ、OVAインポートが可能となりました。
  AHV環境の場合仮想マシンを一時的に、ファイルとして保存したい場合などにエクスポートする機能が無く、サードパーティーのバックアップソフトを利用する等を行う必要がありましたが、今回の機能追加により、OVAでの吐き出しが可能となりました。

AOS 5.18には様々な機能が追加されていることが分ります。

次回以降では機能絞って特徴を見ていきたいと思います。

PrismCentalの使いどころ（その５） Analysis（分析）の利用方法

※今回紹介の機能は、PrismStarterでもPrismProでも利用可能です。

特に注視して見ておきたい仮想マシンの状態や、パフォーマンス状態をいつも見れるようにしておきたいというのが、管理監視を行っている方のニーズだと思います。
そんな方に利用をお勧めするのが、分析機能です。

分析機能は各コンポーネントの性能情報をグラフ等で見ることができます。
ログは最大で２年間の保持が可能です（PrismElementは９０日の保存期間です）

チャートは自分でお好みに合わせて作成することができます。
▼チャート作成メニュー

チャートには２種類のチャートがあります。

メトリックチャート	１つの値（メトリック）を複数の対象(例えばホストなど)で表示 例）HOST A/HOST B/HOST CのそれぞれのCPU利用率
エンティティチャート	複数の値（メトリック）を１つの対象で表示 例）HOST AのCPU/RAMの利用率

実際にメトリックチャートを作成してみましょう

ハイパーバイザーのCPU負荷率を出すものを作ってみたいと思います。

▼最初にチャート名を入力し、メトリックを選択します。

▼エンティティの対象を選び、ENTITIYで対象の名称を入力するか、検索で出てきたものをクリックすると下側の対象エリアに表示されます。選択時にShiftキーをクリックして対象を選択すると、複数の選択も可能です。

▼作成したチャートが表示されました

このチャートの右上の←ボタンを押すと、このグラフデーターをJSONまたはCSV５分単位の結果で取得することができます。

下側のChart Linkは、このチャートをいったん消した後に、もう一度追加したいときにこの表示されるURLを保存しておけばすぐにチャートを追加できるというものです。

▼チャート保存用のリンク

チャートは一見複雑に見えてしまいますが、なれると非常にわかりやすくかつ簡単に利用することができます。

PrismCentalの使いどころ（その４） Explorerを使いこなす

※今回紹介の機能は、PrismStarterでもPrismProでも利用可能です。

PrismCentralは様々な設定が可能ですが、まずは集中管理ができるExplorer（探索）を利用できるようになることが大事です。

早速探索画面で、仮想マシンを選んでみましょう。
クラスターをまたいですべての仮想マシンが表示されていることがわかります。

ここで、クラスターをまたいで仮想マシンの電源オンや再起動ができます。

PrismElementでは、複数の仮想マシンに対して一気に処理命令を出すことができませんが、PrismCentralであれば、仮想マシンの一斉再起動などが可能となります。

また、エクスプローラ画面は、さまざまな表現やグルーピング可能です。
カラーで仮想CPU数を選択すると仮想マシンの割り当てられたvCPUに併せて、違う色で表示されています。

フォーカスをパフォーマンスに変更すると、表の一覧が仮想マシンパフォーマンスに変わります。

グループを変えると、グルーピングごとの表示に変更することもできます。

表示形式を変えることで、様々な見方をすることもできます。

設定したフィルターは上部のクリアで元に戻すことができます。

フィルターボタンを押すと、さらに細かなフィルターを行い、よりほしい情報だけに絞って表示することができます。

仮想マシンをクリックすると、パフォーマンスの情報やコンソールなどをまとめて見ることができます。

仮想マシンの作成などもこの画面から可能です。
いわゆるオペレーションといわれる運用作業はこのExplorer（探索）から行います。

ほかにもクラスタやホスト、ストレージもこのExplorerからオペレーションが可能です。

この機能だけでも、無償で利用できるのはかなりうれしい機能だと思います。

PrismCentalの使いどころ（その３） PrismCentralの登録

Nutanix上にPrismCentralをワンクリックデプロイでデプロイした場合、自動的にPrismCentralが起動しているNutanixクラスターがPrismCentralに登録されます。
登録されていないNutanixクラスターは、手動で登録する必要があります。
（1クラスターでPrismCentralを利用する場合で、OneClick Deployを行っている場合はこの作業は必要ありません）

今回は登録方法を確認していきます。

1.登録したNutanixクラスターのPrismに管理者権限でログインします。
2.右上のPrism Centralの「Register or create new」をクリックします

3.すでにPrismCentralはDeployされている環境がありますので、下側のConnectをクリックします。

4.PrismCentralの登録解除はコマンドでしかできないことを確認し、Nextをクリックします。

5.PrismCentralのIPアドレスとログインユーザー名、パスワードを入力し、Connectをクリックします。

6.登録が完了すると、ステータスがOKに変わります

これだけで登録は完了です。

PrismCentralを見ると先ほど登録したNutanixクラスターが見えていることがわかります。

これでPrismCentralを使う準備ができました。
次回からは具体的な使い方を見ていきたいと思います。

PrismCentalの使いどころ（その２） PrismProとPrismStarterの機能の違いを知る

Prism Centralには、無償で使えるPrism Starterと、機械学習機能が利用できるPrism Proの２つのライセンス体系があります。
もともとは、PrismCentralは、PrismStarterに相当するものしかなく無償で提供されるものでしたが、昨今の高機能なものは、PrismProの別ライセンスとして提供されています。

PrismCentaralのライセンス別の利用できる機能

	Starter	PRO
クラスター管理
単一サイト管理	○	○
マルチサイト管理	○	○
仮想マシン管理	○	○
ストレージ管理	○	○
マルチハイパーバイザー管理	○	○
ネットワーク可視化	○	○
セルフサービスポータル	○	○
1Click 集中アップデート	○	○
ワンクリックプランニング
ジャストインタイム予測		○
利用継続によるリソース枯渇の予測		○
仮想マシンのサイジング推奨提示		○
ワンクリックパフォーマンスモニタリング
アラート分析	○	○
ボトルネックの検出		○
異常検出		○
ワンクリックでの運用上の洞察
Prism高度な検索		○
カスタマイズ可能なダッシュボード		○
スケジュールされたレポート		○

従来からある、マルチクラスター管理は無償で利用できますが、アラートの設定やセルフサービスポータルも無償で利用することができます。

また、PrismCentralは、Deploy後60日間Prism Proの機能を利用することができます。

意図的にPrismProの機能を無効にすることもできます。

無効化する場合、以下の手順を行います。

1.Prism Centralにログインし、歯車メニューから「ライセンス」をクリックします。

2.ライセンス画面からPrismライセンスのアイコンをクリックします。

3.すべての機能を有効のチェックを外す

これで、PrismStarterの機能だけを利用することができます。


次回はPrismCentralに登録する方法と各種機能を見ていきたいと思います。

PrismCentalの使いどころ（その１）Deploy編

PrismCentralとは、Nutanixで標準搭載されているPrismUIを踏襲し、複数のNutanixクラスターを管理したり、X-Fitによるより高度な監視ができます。
両方ともPrismというUIの名称で呼ばれるため、分けて表現をする際には、CentralとElementという表現を使うことがあります。

Prism Element	CVMで提供されるNutanixを持っていればすぐに利用することのできるUI （Nutanixクラスター単位）
Prism Central	仮想アプライアンスを展開することで利用できるUI 複数クラスターをまとめて管理することが可能

PrismCentralはNutanixの中であっても外であってもどちらに展開してもかまいません。
また、仮想アプライアンスは、AHV、ESXi、HyperVと各ハイパーバイザーごとに提供されているため、どのハイパーバイザーの上にでもPrismCentralを稼働させることができます。

PrismCentralのスペック

Small	4vCPU / 16GB RAM / 500 GiB HDD
Big	8vCPU / 32GB RAM / 2500 GiB HDD

PrismCentralをNutanix上に展開する場合、AOS5.1以上では、PrismElementの右上にある、Centralの項目で「Register or create new」でPrism CentralをDeployすることができます。

▼Prism ElenetからRegisterをクリック

▼Deployを選択

▼利用したいバージョンを選択

▼Deployタイプを選択します

また、PrismCentralは、冗長構成である3VMのDeployモデルが選択できることも特徴です。

あとは、サイズとIPアドレスなどを入れてDeployボタンを押すだけです

わずかこれだけで展開が可能です。

なお、手動でPrismCentralをDeployした場合は、CVMに対して以下のアクションを行います。

1. OVF等でDeploy後のPrismCentalVMに、SSHで（ユーザー:nutanix パスワード:nutanix/4u）で接続
2. vi /etc/sysconfig/network-script/ifcfg-eth0　を開き、IPアドレスを以下のように設定します
   
   DEVICE=eth0
   NM_CONTROLLED=no
   ONBOOT=no
   BOOTPROTO="none"
   BROADCAST=192.168.XXX.255
   NETMASK=255.255.255.0
   IPADDR=192.168.XXX.YYY
   GATEWAY=192.168.XXX.254


3. CVMを再起動します
4. 再度SSHでログインし、以下のコマンドを入力します


cluster --cluster_function_list="multicluster" -s static_ip_address create


5. 完成

では、次回からPrismCentralの機能を見てみましょう

PrismのパスワードポリシーとAD連携の方法

Prismのパスワードポリシーは昔は結構緩かったのですが、AOS5.8現在では、以下のようなパスワードポリシーがデフォルトで設定されております。（おそらくこれを緩くすることはできない気がします）

• 8文字以上入力
• 少なくとも1つの小文字を含む
• 少なくとも1つの大文字を含む
• 少なくとも1桁の数字を含む
• 少なくとも1つの特殊文字を含む
• 以前のパスワードと少なくとも4文字異なる
• 最新の5つのパスワードと同じでないこと
• 2つ以上の連続する文字が同じではないこと
• 次の4つの文字条件のうち少なくとも4つを含むこと
  （大文字、小文字、数字、および特殊文字）
• 簡単な言葉でも、辞書で登録されていない単語であること

かなり制約が多いです。

この制約を無視してアカウントを管理する方法の1つとしてAD連携の方法があります。
AD連携によるアカウント管理は簡単にできます。

まずは、AdminユーザーでPrismにログインし歯車メニューから「Authentication」を選択します。

ADを登録するので、「New Directory」 をクリックします。

ADの登録情報を入力します。ADの参照のため、あらかじめCVMが参照するDNSもADのDNSに向けておく必要があります。

これでADの登録ができました。

ちなみに、Authentication Typeを選択すると、ローカルユーザーかDirectory Serviceかの認証方法を制限することができます。

あとは、ユーザーやOUごとにPrism側の権限設定を行っていきます。
Prismの歯車メニューから「Role Mapping」を選択します。

新たにロールを追加しまので、「New Mapping」をクリックします。

ユーザーの登録を行います。

ユーザーやOUなどの入力は手入力となりますので間違えないように注意が必要です。

登録すれば、これで設定は終わりです。

実際にログインをしてみましょう。
ログイン時は、ユーザー名＠ドメイン名というUPN形式で入力をします。

これで普通にPrismにログインができます。

AD連携をすると、パスワードポリシーをADに委ねることができますので、難しいパスーワード管理が不要になることと1つのパスワード管理でよくなるという点は非常に便利です。