Le Guide Configuration et Hardening vSphere 8 est la référence en matière d’amélioration et d’audit de VMware vSphere.
Lancé il y a plus de quinze ans, il sert depuis longtemps de référence aux administrateurs de virtualisation qui cherchent à protéger leur infrastructure.
Le Guide de configuration et de renforcement de la sécurité est un kit qui comprend plusieurs artefacts :
VMware vSphere Security Configuration Guide 8 – Controls.xlsx (fichier Excel contenant les contrôles de base du renforcement de la sécurité et exemples d’automatisation PowerCLI pour l’audit et la correction des objets vSphere).
Dossier Tools avec des exemples de scripts d’audit vSphere, basés sur VMware PowerCLI et la documentation associée.
Téléchargement
Il s’agit du Guide de configuration et Hardening vSphere 8 version 802-20231005-01. Ce guide a été développé avec VMware vSphere 8 Update 2 (8.0.2) et remplace toutes les versions et instructions antérieures.
La surveillance et le dépannage sont essentiels pour préserver les performances, la disponibilité et la fiabilité d’une infrastructure vSAN.
En combinant les disques locaux de nombreux hôtes ESXi avec vSAN, vous pouvez créer une solution de stockage distribuée et évolutive en fonction des besoins.
Quand un vSAN est en production, sa gestion et son dépannage peuvent s’avérer difficiles, surtout si vous ne disposez pas des ressources, des compétences et des procédures appropriées.
Dans cet article, nous résumerons le « Guide de surveillance et de dépannage vSAN » officiel de VMware et passerons en revue certaines éléments, suggestions et ressources les plus importantes pour la surveillance et le dépannage de vSAN.
Présentation de la surveillance vSAN
Avant de commencer à surveiller et à dépanner vSAN, il est important de connaître quelques éléments et termes importants.
1. Cluster vSAN : ensemble d’hôtes ESXi liés entre eux et configurés pour utiliser le stockage vSAN.
2. Banque de données vSAN : stockage distribué qui s’étend sur tous les hôtes ESXi du cluster vSAN.
3. Objet vSAN : une représentation logique des données enregistrées et dupliquées sur plusieurs hôtes ESXi dans le cluster vSAN.
4. Composant vSAN : représentation physique d’un élément, tel qu’un groupe de disques, un disque ou une interface réseau, sur un hôte ESXi.
5. Service de santé vSAN : un service vSphere intégré qui assure le suivi de l’état de santé et de la configuration des composants vSAN.
6. vRealize Operations Manager : une application VMware appelée vRealize Operations Manager offre une planification, analyse et surveillance sophistiquées de la capacité pour vSAN et d’autres composants vSphere.
Fonctionnalités de surveillance vSAN :
1. Indicateurs de performances : détecter d’éventuels disfonctionnements et améliorer les performances de vSAN, vous pouvez garder un œil sur plusieurs indicateurs de performances, notamment les IOPS, la latence, le débit et la profondeur de la file d’attente.
2. Utilisation de la capacité : surveillance de l’utilisation de la capacité de la banque de données vSAN et du groupe de disques vous aidera à vous assurer que vous disposez de suffisamment d’espace pour vos machines virtuelles et vos applications.
3. Tolérance aux pannes : pour vous assurer que vous disposez d’une redondance et d’une tolérance aux pannes adéquates, vous pouvez surveiller l’état et la disponibilité des objets et composants vSAN, tels que les groupes de disques, les disques et les interfaces réseau.
4. Conformité : pour vous assurer que vous respectez les meilleures pratiques et éviter d’éventuels problèmes, vous pouvez vérifier la conformité des paramètres de configuration de vSAN, tels que les règles de stockage, les formats de disque et les paramètres réseau.
Dépannage avec vSAN
Fichiers journaux : pour rechercher d’éventuels problèmes et pannes, vous pouvez utiliser divers fichiers journaux, notamment les journaux de l’hôte ESXi, les journaux de vCenter Server et les journaux du service de santé vSAN.
Outils : pour collecter et analyser les données de performances et de dépannage, vous pouvez utiliser un certain nombre d’outils, notamment vSAN Observer, ESXTOP et vSphere Web Client.
Scénarios de test : pour vérifier la robustesse et la disponibilité de votre infrastructure vSAN, vous pouvez simuler plusieurs situations de test, notamment le réseau, la panne de disque et les pannes de courant.
Base de connaissances : vous pouvez accéder à des articles, des vidéos et des forums qui peuvent vous aider à résoudre certains problèmes liés à vSAN en utilisant la base de connaissances et les services d’assistance de VMware.
VMware vient d’annoncer la disponibilité de vSphere 8 Update 2.
vSphere 8 Update 2 est une mise à jour majeure de la plate-forme de virtualisation de VMware, publiée le 21 septembre 2023. Elle comprend un certain nombre de nouvelles fonctionnalités et améliorations qui sont conçues pour améliorer les performances, l’évolutivité et la sécurité des environnements virtualisés.
Cette mise à jour vise à renforcer l’efficacité opérationnelle des administrateurs, à optimiser les performances des charges de travail exigeantes et à accélérer le rythme de l’innovation pour les ingénieurs DevOps, les développeurs et toute personne souhaitant bénéficier d’un accès en libre-service aux prestations d’infrastructures.
Principales fonctionnalités de vSphere 8 Update 2
Mise à niveau de la planification des ressources distribuées (DRS) : DRS a été amélioré pour défragmenter automatiquement les machines virtuelles (VM) équipées de vGPU pour accueillir de nouvelles VM. Cela facilite le déploiement et la gestion des VM qui nécessitent des vGPU.
Installation simplifiée de l’appliance vCenter Server : Le processus d’installation de l’appliance vCenter Server a été simplifié, ce qui facilite le déploiement et la gestion de vCenter Server sur site ou dans le cloud.
Amélioration de la sécurité pour vSphere with Tanzu : vSphere with Tanzu a été amélioré avec de nouvelles fonctionnalités de sécurité, notamment la prise en charge du contrôle d’accès à base des rôles Kubernetes (RBAC) et des politiques de sécurité des pods (pod security policies).
Réduction du temps d’arrêt lors des mises à niveau de vCenter : Initialement introduite l’année dernière pour les clients vSphere+, VMware a étendu la disponibilité de cette fonctionnalité à toutes les éditions de vSphere. Lors d’une mise à niveau, le temps d’arrêt du vCenter est significativement réduit, passant généralement d’une heure à quelques minutes. Essentiellement, cette courte durée couvre le temps nécessaire pour arrêter les services sur l’ancien vCenter et démarrer les services sur le nouveau. Par conséquent, les fenêtres de maintenance planifiées sont bien plus courtes. Les mises à niveau peuvent être effectuées plus fréquemment en raison du processus simplifié, permettant aux organisations de bénéficier plus rapidement des dernières fonctionnalités de vCenter.
Support de la Fédération d’Identité Microsoft Entra ID (anciennement Azure AD) : au cours des dernières années, VMware a régulièrement étendu la prise en charge des fournisseurs d’identité tiers, incluant notamment Microsoft Active Directory Federation Service (ADFS) et plus récemment Okta Identity Service. Dans cette version, VMware annonce l’intégration de la prise en charge de Microsoft Entra ID (anciennement Azure AD).
Avantages de la mise à niveau vers vSphere 8 Update 2
Amélioration des performances : Les améliorations apportées à DRS et DKV (Distributed Key-Value Store) peuvent contribuer à améliorer les performances des charges de travail virtualisées.
Augmentation de l’évolutivité : vSphere 8 Update 2 peut prendre en charge plus de VM et d’hôtes que les versions précédentes.
Amélioration de la sécurité : Les nouvelles fonctionnalités de sécurité peuvent contribuer à protéger les environnements virtualisés des cyberattaques.
Mise à niveau vers vSphere 8 Update 2
Le processus de mise à niveau vers vSphere 8 Update 2 est relativement simple.
Je vous invite à vous référer à l’article vSphere 8 : Mise à niveau-Upgrade pour une gestion optimale de votre processus de mise à niveau.
VMware fournit un certain nombre de ressources pour aider au processus de mise à niveau, notamment de la documentation et du support.
VMware annonce la disponibilité de VMware Private AI, une approche architecturale pour les services d’intelligence artificielle (IA) qui permet aux entreprises de :
Conserver la confidentialité et le contrôle de leurs données d’entreprise
Choisir des solutions d’IA open source ou commerciales
Réaliser un retour sur investissement rapide
Bénéficier d’une sécurité et d’une gestion intégrées
VMware Private AI offre aux entreprises la flexibilité de déployer une gamme de solutions d’IA, notamment :
Les logiciels NVIDIA AI
Les référentiels communautaires open source
Les fournisseurs de logiciels indépendants
Les entreprises peuvent déployer Private AI en toute confiance, sachant que VMware a noué des partenariats avec les principaux fournisseurs d’IA.
VMware Private AI offre également des performances élevées grâce aux intégrations GPU vSphere et VMware Cloud Foundation.
VMware Private AI s’appuie sur un vaste réseau de partenaires, notamment :
Les leaders du secteur tels que NVIDIA et Intel.
Les fabricants OEM de serveurs majeurs tels que Dell Technologies, Hewlett Packard Enterprise (HPE) et Lenovo.
Les fournisseurs d’IA et de ML Ops tels que Anyscale, Run:ai et Domino Data Lab
Les intégrateurs de systèmes mondiaux tels que HCL et Wipro
Pour concrétiser l’architecture Private AI au sein des entreprises et stimuler une nouvelle génération d’applications basées sur l’IA, VMware a récemment annoncé deux initiatives majeures :
VMware Private AI Foundation avec NVIDIA : Cette collaboration étend le partenariat stratégique entre les deux entreprises. L’objectif est de préparer les entreprises qui utilisent l’infrastructure cloud de VMware à la prochaine ère de l’IA générative. Cette initiative vise à offrir une base solide pour la mise en œuvre de solutions d’IA avancées.
VMware Private AI Reference Architecture for Open Source : Cette architecture de référence a été conçue pour aider les clients à atteindre leurs objectifs en matière d’IA en prenant en charge les meilleures technologies de logiciels libres existantes et futures. Elle offre une approche pratique et évolutive pour l’intégration d’initiatives d’IA basées sur des solutions open source au sein des entreprises.
Ces deux annonces soulignent l’engagement de VMware à faciliter l’adoption et la mise en œuvre de solutions d’IA avancées au sein des entreprises, en exploitant des partenariats stratégiques et en fournissant des architectures de référence flexible
vSAN Max est une solution de stockage hyperconvergée (HCI) distribuée et évolutive pour les clusters vSphere.
Comparativement à vSAN, qui est intégré au cluster de serveurs exécutant les machines virtuelles, vSAN Max est utilisé pour former un cluster exclusivement dédié au stockage.
Pour augmenter la résilience vSAN Max prend en charge l’architecture de cluster étendue (Stretched Cluster) et même les domaines de pannes (Fault Domain) vSAN.
Son avantage financier réside dans sa capacité à étendre la quantité de disques à partir de serveurs moins puissants et donc plus abordables.
En résumé, vSAN avait été conçu pour permettre une extension aisée d’une plateforme de virtualisation en ajoutant au besoin des serveurs identiques, conformément au principe des infrastructures hyperconvergées.
De son côté, vSAN Max convient davantage aux scénarios où les applications consomment progressivement plus de données et stockage avec le temps, sans nécessiter une augmentation de leur puissance (CPU et Mémoire).
Il suffit d’ajouter des nœuds ou des périphériques de stockage à chaque nœud pour répondre aux exigences de capacité et de performance de votre entreprise. Vous pouvez ainsi faire évoluer vos ressources de stockage indépendamment de vos ressources de calcul.
En l’occurrence, vSAN Max peut gérer jusqu’à 8,6 Po de capacité. Optimisé pour les SSD NVMe (le système conserve la même base technique que vSAN 8), il est capable de supporter, selon VMware, 3,6 millions d’IOPS par cluster dédié au stockage.
Du point de vue commercial, vSAN Max n’est pas une extension de vSAN, mais un produit distinct.
Ainsi, vSAN est facturé en fonction du nombre de processeurs présents dans le cluster, tandis que vSAN Max est tarifé en fonction de la capacité de stockage qu’il gère.
John Gilmartin, directeur de VMware en charge du développement des produits de stockage, souligne : « Vous pourriez considérer que vSAN Max est finalement simplement une baie de stockage comme celles fournies par nos partenaires. Cependant, l’objectif de vSAN a toujours été de simplifier l’utilisation du stockage via notre console d’administration vCenter, qui gère également les machines virtuelles. C’est ce que nous continuons à faire avec la version Max ».
vSAN MAX est basé sur l’architecture de stockage express (ESA) de vSAN, qui offre une gamme d’avantages, notamment :
Évolutivité : peut être mis à l’échelle jusqu’à des pétaoctets de capacité de stockage en ajoutant des nœuds supplémentaires au cluster.
Performances : peut fournir des niveaux élevés de performances pour les machines virtuelles, même à l’échelle du pétaoctet.
Fiabilité : très résilient et peut résister à plusieurs pannes sans perte de données.
Coût-efficacité : une solution rentable pour le stockage partagé, car il peut être déployé sur du matériel standard.
vSAN Max est une solution de stockage partagé idéale pour tout environnement utilisant des clusters vSphere. Elle permet de répondre à tous les cas d’utilisation courants des baies de stockage, tout en offrant l’évolutivité, les performances et les capacités de gestion associées à l’architecture HCI.
vSphere Firewalling Helper a pour but d’aider les organisations à protéger leurs environnements, en leur permettant d’élaborer des règles de flux réseau granulaires pour l’accès aux interfaces de gestion vSphere.
Son objectif est d’aider à identifier et documenter les ouvertures de flux nécessaires à mettre en œuvre au niveau du pare-feu réseau, pour le déploiement VCF et/ou vSphere.
Les ports internes (ports visibles dans netstat, écoutant sur 127.0.0.1 ou ::1, ou non autorisés par iptables) se trouvent à l’intérieur du périmètre de support des appliances et sont listés ici afin de faciliter les efforts de conformité réglementaire des clients (NERC CIP, PCI DSS 4.0, etc.).
La modification des ports internes des composants et appliances vSphere n’est ni supportée ni recommandée.
Public visé
Ce document couvre VMware vSphere 6.5, 6.5, 7.0 et 8.0.
Les configurations ont été évaluées par rapport à vSphere 7 Update 3 et vSphere 8 Update 1.
Téléchargement
Il est disponible sous forme de fichier Excel et peut être téléchargé à partir de : vSphere Firewalling Helper
VMware Cloud Services est une suite de services Cloud Computing qui permet aux clients de VMware de déployer, gérer, optimiser et héberger leurs applications et leurs infrastructures dans le cloud.
Il s’agit d’une plateforme cohérente de gestion des applications sur plusieurs Cloud, notamment les cloud publics, privés et hybrides.
VMware Cloud Services comprend également une série d’outils et de services permettant d’optimiser les performances, la sécurité et la conformité.
Voici quelques principaux services de cloud computing de VMware :
VMware Cloud on AWS (Amazon Web Services) : Ce service permet aux organisations d’exécuter la pile de centre de données défini par logiciel (SDDC) de VMware directement sur le cloud AWS. Il permet l’intégration transparente des centres de données sur site avec le cloud AWS, fournissant un modèle opérationnel cohérent et familier.
VMware Cloud on Dell EMC : Ce service étend le Cloud VMware au bord du réseau en combinant la pile SDDC de VMware avec l’infrastructure hyperconvergée Dell EMC VxRail. Il est conçu pour les organisations ayant besoin d’exécuter des applications avec une latence faible et des performances élevées au bord du réseau.
VMware Cloud on Azure : Similaire à VMware Cloud on AWS, ce service permet aux organisations d’exécuter des charges de travail VMware sur Microsoft Azure. Il offre une infrastructure et un modèle opérationnel cohérents entre les centres de données sur site et le cloud Azure.
VMware Cloud Director : Il s’agit d’une plateforme de prestation de services cloud qui permet aux fournisseurs de cloud d’offrir des centres de données virtuels multi-locataires avec une gestion centralisée, cela permet aux organisations de construire et d’exploiter des environnements cloud sécurisés, évolutifs et efficaces.
VMware Cloud Foundation : Il s’agit d’une plateforme intégrée d’infrastructure cloud qui combine la virtualisation de l’informatique, du stockage et du réseau dans une seule pile intégrée, offre une base d’infrastructure cohérente pour les clouds privés et publics.
VMware Cloud Services est conçu pour aider les entreprises à :
Simplifier les opérations cloud : un tableau de bord unique pour la gestion des applications et des charges de travail, ce qui permet aux entreprises de réduire la complexité, d’améliorer l’efficacité et de réaliser des économies.
Accélérer le développement et la livraison d’applications : une variété d’outils et de services pour créer et déployer des applications plus rapidement et plus efficacement, aidant ainsi les entreprises à commercialiser plus rapidement leurs produits et services.
Améliorer les performances et la fiabilité des applications : une série de fonctionnalités permettant d’optimiser les performances des applications, telles que l’équilibrage de la charge, l’autoscaling et la reprise après sinistre, afin d’aider les entreprises à offrir une meilleure expérience à leurs clients.
Améliorer la sécurité et la conformité des applications : une variété de fonctionnalités de sécurité, telles que le cryptage, le contrôle d’accès et la détection des intrusions qui aident les entreprises à protéger leurs données et leurs applications contre les accès non autorisés et les attaques.
VMware Cloud Services est une bonne option à considérer, si vous recherchez une solution de cloud computing qui peut vous aider à simplifier les opérations cloud, accélérer le développement et la livraison d’applications, améliorer les performances et la fiabilité des applications, et améliorer le niveau sécurité et la conformité des applications.
Se connecter à la console Cloud Services
Procédure 1 Ouvrez une fenêtre de navigateur et accédez à https://console.cloud.vmware.com 2 Entrez l’adresse e-mail de votre compte, puis cliquez sur Suivant. 3 Tapez votre mot de passe, puis cliquez sur Se connecter. Résultats Une fois la connexion établie, la page d’accueil de VMware Cloud Services affiche les services disponibles dans l’organisation.
Le mot de passe root est quelque chose que chaque administrateur doit conserver dans un outil de gestion de mots de passe ou un coffre-fort numérique.
Un fichier texte n’est jamais un bon endroit pour enregistrer des mots de passe mais plutôt un risque pour la sécurité.
Un jour, vous risquez d’oublier le mot de passe root de votre vCenter Server Appliance ou le mot de passe expire.
La réinitialisation du mot de passe root de vCenter Server Appliance est une tâche relativement simple, mais nécessite le redémarrage de la VM vCenter Server, ce qui entraîne une perte temporaire de la couche de gestion via vCenter.
Le redémarrage de vCenter n’affecte pas les machines virtuelles car elles s’exécutent sur les hôtes ESXi, cependant, les fonctionnalités du cluster pilotées par vCenter telles que DRS, HA ou vMotion ne fonctionneront pas pendant la durée du redémarrage.
Réinitialisation mot de passe root vCenter
Je vais fournir les étapes détaillées pour réinitialiser un mot de passe root vCenter perdu, oublié ou expiré pour un vCenter Server Appliance 6.x, 7.x ou 8.x :
1. Prenez un snapshot de la VM et forcer un redémarrage, une fois l’écran de démarrage de Photon OS affiché, appuyez rapidement sur « e » pour révéler le menu de démarrage de Grub.
Ensuite, dans le menu GNU GRUB, tapez rw init=/bin/bash après $systemd_cmdline.
2. Une fois ajouté, appuyez sur F10 pour continuer le démarrage.
3. Tapez la commande suivante :
mount -o remount,rw /
Appuyez sur Entrée .
4. Pour modifier le mot de passe, tapez la commande suivante :
passwd
Et entrez le nouveau mot de passe root deux fois. Confirmez en appuyant sur Entrée .
4. Si le mot de passe a été mis à jour avec succès, il est temps de redémarrer le VCSA.
Tapez la commande suivante :
umount /
Appuyez sur Entrée .
Redémarrez ensuite l’appliance en exécutant la commande suivante :
reboot -f
Appuyez sur Entrée .
5. Une fois vCenter opérationnel, confirmez que le nouveau mot de passe root fonctionne en vous connectant à l’interface de gestion de vCenter Server Appliance (VAMI).
VMware vSAN ESA, il existe deux types de VMware VSAN : l’Original Storage Architecture (OSA) et l’Express Storage Architecture (ESA).
OSA (Original Storage Architecture)
vSAN OSA est la première architecture de VMware VSAN et il est conçu pour être installé sur des serveurs existants et utilise les ressources de stockage existantes pour créer un pool de stockage partagé.
L’OSA peut être implémenté en utilisant des serveurs standards, ce qui le rend facilement accessible pour les petites et moyennes entreprises qui n’ont pas les ressources pour investir dans une infrastructure de stockage dédiée.
Aussi, il est conçu pour être facile à utiliser et à gérer, afin d’offrir une solution de stockage simple et abordable pour les entreprises.
ESA (Express Storage Architecture)
vSAN ESA (Express Storage Architecture) de VMware VSAN offre plusieurs avantages par rapport à l’OSA dans le contexte de VMware VSAN :
Performances de stockage améliorées
L’ESA utilise des disques NVMe connus par leur performance élevée en matière de stockage.
Les disques NVMe offrent des temps de réponse ultra-rapides, une bande passante de stockage plus élevée et une latence réduite par rapport aux disques SATA et SAS utilisés dans l’OSA.
Cela permet d’améliorer les performances de stockage pour les charges de travail intensives en E/S, ce qui peut être particulièrement bénéfique pour les applications nécessitant des temps de réponse rapides, tels que les bases de données transactionnelles ou les environnements VDI (Virtual Desktop Infrastructure).
Protocoles de stockage avancés
ESA utilise des protocoles de stockage plus avancés, notamment le protocole RDMA (Remote Direct Memory Access).
Le RDMA permet une communication directe entre les nœuds de stockage sans passer par le CPU, ce qui réduit la latence et améliore les performances de stockage.
Cela permet de tirer pleinement parti des performances des disques NVMe et d’optimiser la communication entre les nœuds de stockage dans le cluster VSAN.
Mise en cache en mode écriture
ESA prend en charge la mise en cache en mode écriture (write-back caching) pour stocker les données temporairement en mémoire vive avant d’être écrites sur le disque.
Ce qui permet d’accélérer les performances d’écriture, car les données peuvent être rapidement enregistrées en mémoire vive avant d’être écrites sur le disque, évitant ainsi les goulots d’étranglement potentiels liés à l’écriture directe sur le disque.
L’OSA, en revanche, utilise la mise en cache en mode lecture seule (read-only caching) qui offre des performances de stockage moins optimisées en écriture.
Clusters all-flash
ESA prend en charge les clusters all-flash, ce qui signifie que tous les disques utilisés dans le cluster sont des disques SSD. Cela permet d’obtenir des performances de stockage extrêmement élevées, car les disques SSD offrent une latence réduite et une bande passante de stockage plus élevée par rapport aux disques magnétiques traditionnels utilisés dans l’OSA.
Les clusters all-flash sont idéaux pour les charges de travail gourmandes en performances, nécessitant un accès rapide et efficace aux données.
Évolutivité
ESA offre une meilleure évolutivité par rapport à l’OSA. Les disques NVMe et les protocoles de stockage avancés utilisés dans l’ESA permettent de gérer des charges de travail plus importantes et de mieux gérer les pics de demande de stockage. Cela offre une flexibilité accrue pour les entreprises en croissance ou ayant des besoins de stockage importants.
En résumé, vSAN ESA offre des performances de stockage plus rapides et plus efficaces grâce à l’utilisation de disques NVMe, de protocoles de stockage plus avancés et de la mise en cache en mode écriture. Cela en fait une solution de stockage plus adaptée pour les charges de travail intensives en E/S, telles que les bases de données, les applications transactionnelles et les environnements VDI. Cependant, l’OSA peut être une solution plus abordable et plus facile à déployer pour les entreprises qui ont des besoins de stockage moins intensifs.
En tant qu'Architecte et Expert Systèmes et Virtualisation, ce blog fait partie d'une approche de partage de connaissances «giving back» autour des technologies de virtualisation "en particulier VMware", Cloud et Hyper-convergence.Le but principal de ce blog est de partager les nouveautés, Tutoriels , conseils et apporter des solutions techniques.
