Eerste ervaringen met de VMware Infrastructure Remote CLI

Met de komst van VMware ESX Server 3i lijkt VMware de weg naar 'thin virtualization' gevonden te hebben. Hoewel er een aantal voordelen te verzinnen zijn bij het gebruik van een thin hypervisor zoals minder vereiste diskruimte, een verminderde noodzaak voor patching en het niet meer hoeven beheren van een compleet linux-like systeem (de serviceconsole van ESX is gebaseerd op RedHat Enterprise Linux), zijn er ook nadelen.

Zo zullen veel bedrijven het configureren van hun ESX hosts voor een deel hebben geautomatiseerd door middel van scripting. Aangezien de tools die door deze scripten worden aangeroepen niet meer aanwezig zijn in ESX Server 3i heeft VMware een nieuwe management tool in het leven geroepen: VMware Infrastructure Remote CLI (versie 1.1.0 met experimentele ondersteuning voor ESX 3.5).

Deze software lijkt gebruik te maken van de VI Perl Toolkit en emuleert de werking van ESX configuratie commando's. Hierbij kan gelukkig wel voornamelijk dezelfde syntax worden gehanteerd. En doordat de commando's aan Virtual Center kunnen worden doorgegeven worden de wijzigingen als 'task' getoond in de Virtual Center client met de gebruikersnaam van de uitvoerende operator erbij.

Hoewel je een eind zult komen met de Remote CLI zijn er ook wat beperkingen. Het is bijvoorbeeld niet mogelijk om users te beheren op de ESX server, of de in ESX 3.5 geïntroduceerde instellingen voor CDP (Cisco Discovery Protocol) te wijzigen.

Verder was het in een ESX service console mogelijk om waar de esxcfg-* commando's tekort schoten, gebruik te maken van vimsh. Deze shell kon bijvoorbeeld het aantal poorten op een reeds aanwezige vSwitch aanpassen, een machine in maintenance mode zetten, of de Vmotion functie aanzetten op een VMkernel poort.

Kortom, het lijkt erop dat VMware iets te haastig is geweest bij het introduceren van de Remote CLI. Het is begrijpelijk dat ze ter compensatie voor het wegvallen van de service console in ESX 3i een nieuwe management interface wilden aanbieden. Maar deze schiet in de huidige vorm helaas tekort.

Het wachten is op een nieuwe, uitgebreidere versie. VMware werkt inmiddels ook aan een interface die kan worden aangeroepen via Windows PowerShell. Ontwikkelingen op dit gebied zijn te volgen op het VI PowerShell Blog.

Wijzigen password aging op ESX server

Standaard is password aging ingesteld op ESX server. Dit is niet altijd wenselijk, dus hierbij 2 commando's om dit weer uit te schakelen:

Het eerste commando past de aging aan van een enkele gebruiker:
passwd -x -1 -w 7 -n 0 gebruikersnaam

Het tweede commando zorgt dat de password policy wordt gewijzigd zodat er voor nieuwe gebruikers geen aging meer wordt toegepast:
esxcfg-auth --passmaxdays=0

Hoe stop ik een hangende virtuele machine?

Soms komt het voor dat een opdracht voor het stoppen of herstarten van een virtuele machine niet goed doorkomt op de ESX server die deze virtuele machine 'host'. Als deze opdracht meermalig wordt gegeven zal de volgende foutmelding worden getoond: "Operation failed since another task is in progress". Er zijn 2 methoden om de virtuele machine weer operationeel te krijgen.

ESX 3.0 methode
- Login in op de service console
- Het is mogelijk om de status van de VM te controlerem met het volgende commando: "vmware-cmd /<pad naar VM directory>/server.vmx getstate"
- Typ "ps xww | grep <virtualmachinename>". De tweede kolom is het PID van het vmkload_app proces van de virtuele machine.
- Typ "kill -9 "
- Controleer nogmaals de status van de VM. Deze zou nu uit moeten staan.
- Typ "vmware-cmd /<pad naar VM directory>/server.vmx start" om de VM weer aan te zetten.

ESX 3.0 Alternatieve methode
- Login in op de service console
- Vraag het VMID op van de virtuele machine met het commando "vm-support -x"
- Kill de virtuele machine en genereer core dumps en log bestanden door het commando "vm-support –X <vmid>" te gebruiken.
- Er zal gevraagd worden of je een screenshot van de Virtuele machine wilt bijsluiten en een NMI en een ABORT opdracht naar de VM wilt sturen. Antwoord "YES" op het verzoek de ABORT opdracht uit te voeren om de VM te stoppen. Dit proces zal 5 tot 10 minuten in beslag nemen en zal een tar archief aanmaken.
- Typ "vmware-cmd /<path to VM directory>/server.vmx start" om de VM weer aan te zetten.

Grootte VMDK bestand met bestaande snapshots aanpassen

Het is niet mogelijk om in VMware ESX de grootte van een VMDK bestand aan te passen zo lang er snapshots aanwezig zijn van de virtuele machine. Mocht je dit toch doen, dan zal de machine niet meer opstarten.

Gelukkig is er een manier om ESX te laten denken dat de aangepaste VMDK nog de oude grootte heeft. Controleer de originele grootte van een virtuele disk door het volgende commando uit te voeren op de command prompt van ESX:

grep -i rw test-000001.vmdk

De output van dit commando zal lijken op de volgende regel:

RW 2097152 VMFSSPARSE "test-000001-delta.vmdk"

Neem de waarde (in dit geval 2097152) over in de originele VMDK file, die hier test.vmdk heet.

Voer nu het volgende commando uit om de bestaande snapshots te verwijderen:

vmware-cmd /pathtovmx/test.vmx removesnapshots

Nu dient het commando voor het vergroten van de virtuele disk opnieuw uitgevoerd te worden:

vmkfstools -X 8G test.vmdk

Vanwege het verschil in grootte tussen de configuratie in test.vmdk en de ware grootte van het test-flat.vmdk bestand zal de volgende waarschuwing worden getoond:

DISKLIB-VMFS :Create: unexpected size diff: 0

Desondanks zal het nu mogelijk zijn om de virtuele machine weer op te starten met een vergrootte disk.

Update 06-01-2009: VMware heeft een soortgelijke procedure op hun knowledgebase gezet: http://kb.vmware.com/kb/1646892

Verwijderen van een vastgelopen DLT tape

Voor degenen die wel eens een DLT drive hebben weggegooid omdat er een tape in vast zat, heb ik vervelend nieuws. Op de website van HP staat namelijk een handig support document die beschrijft hoe je een vastgelopen DLT tape uit de drive kunt verwijderen. Voor een collega bij mijn huidige opdrachtgever bleek dit document zeer waardevol nadat een gemodde DLT cleaningtape vast kwam te zitten in de drive.

De vreugde was echter van korte duur aangezien de drive na het verwijderen van de cleaning tape niet meer functioneerde.

Versleutelen van ASP.NET configuratie bestanden

In de configuratie van een ASP.NET applicatie is het niet ongebruikelijk om informatie op nemen voor het aanmelden op een database. Deze informatie kan onversleuteld worden bewaard, maar dit meestal niet wenselijk.

Op de volgende pagina van de Microsoft MSDN website wordt stapsgewijs beschreven hoe de connectionStrings en machineKey secties van een configuratie te versleutelen zijn.

Walkthrough: Encrypting Configuration Information Using Protected Configuration

Automatisch uitloggen Windows console sessie

Vanuit het oogpunt van beveiliging is het nooit verstandig om een systeem onbewaakt achter te laten waar je eerder op ingelogd hebt met een admin account. Microsoft schijnt al vanaf de NT 4.0 periode een zogeheten 'Windows Exit Screen Saver Tool' te hebben (Winexit.scr). In de nieuwere versies van Windows heet deze de 'Logoff Sreen Saver'. Hiermee kun je na een vooraf ingestelde tijd automatisch een console sessie laten afloggen. Er is ook een optie aanwezig om draaiende applicaties geforceerd af te sluiten. Ik heb niet kunnen achterhalen of deze screensaver standaard in Windows aanwezig is, maar de Windows Server 2003 Resource Kit Utilities bevat ze zeker. Direct instellen met een group policy, zou ik zeggen!