vSphere VCSA5.5加入AD域环境问题记录
实验目的:
搭建一套vSphere VCSA5.5,并加入新搭建的AD域,并使用一个域用户登录VC,赋予对VC的只读权限。
实验环境:
使用VMWare Workstation创建两台虚拟机,一台Win2008R2,新建AD域控,域名zhufeng.com,虚拟网卡使用NAT方式,分配静态IP:192.168.216.199。创建两个域用户user01和user02。
另一台部署VCSA,使用VMware-vCenter-Server-Appliance-5.5.0.30500-4180648_OVF10(U03e).ova来部署,虚拟网卡同样使用NAT方式,分配静态IP:192.168.216.200,主机名为vcsa55。
一、 搭建全新域控并创建两个域用户。
1、 安装一个全新的win server 2008R2。
2、 开始菜单运行dcpromo,开始创建新的域控环境。具体创建域控步骤可以参考这篇文章: https://jingyan.baidu.com/article/ab69b270a3b9222ca7189f2b.html
。
3、 取消密码复杂度策略。
服务器管理器->功能->组策略管理->林:zhufeng.com->Default Domain Policy右边的“设置选项卡”,点“全部显示”,然后在“计算机配置(已启用)”的黄色背景条上点右键,选择“编辑”,会弹出域的组策略管理编辑器。选择计算机配置->策略->Windows设置->安全设置->帐户策略->密码策略,把”密码必须符合复杂性要求“改为已禁用,”密码长度最小值“从7改为1。
然后开始菜单运行cmd,使用命令:gpupdate /force 使组策略马上生效。
需要说明的是,取消密码复杂度是方便我们做测试,因为在下面创建两个用户user01/user02,我们想把密码设为跟用户名一样,所以需要把密码复杂度的强制要求取消掉。而在生产环境,出于安全考虑,不要取消密码复杂度策略。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
4、 创建两个域用户。
在服务器管理器->角色->Active Directory域服务->Active Directory用户和计算机->zhufeng.com->Users上点右键,选择“新建->用户“。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
5、 修改user01和user02的用户组。之所以要修改新创建的user01和user02的组,是因为默认策略下,新建的用户的默认组Domain Users是无法直接登录系统,登录时会提示”您无法登录,因为您使用的登录方法在此计算机上不被允许。请咨询网络管理员了解详细信息“。
在刚创建用户的地方,即Users目录下,右边找到user01和user02,选择一个用户并右键选择属性,在属性对话框中选择“隶属于“选项卡,点”添加“,在选择组对话框里,选中Domain Admins组并确定,这样user01就会隶属于Domain Admins组了。对user02作同样的操作。添加了组之后,尝试使用user01或02登录系统,应该可以正常登录了。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
二、 将VCSA5.5和AD域集成。
1、 从VMware-vCenter-Server-Appliance-5.5.0.30500-4180648_OVF10(U03e).ova部署出一台VCSA的虚拟机,将虚拟网卡改为NAT方式并开机。
2、 开机后默认应该会分配到一个IP,如下图,使用浏览器按提示的网址开始进行VCSA初始化配置。VCSA5.5的默认口令是root/vmware。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
3、 具体的VCSA5.5和AD集成的配置,可以参考此文档: https://wenku.baidu.com/view/3535335d7375a417866f8f71.html
。下面的步骤将针对我配置过程中遇到的问题进行记录。
4、 修改VCSA的IP地址。
在网页的配置界面,选择Network->Address,将eth0的IPv4 Address Type从DHCP改成static,并按如下修改,将主机名也修改了。按右边的Save Settings按钮。因为改了IP,所以配置网页的地址也要用新IP重新打开。如果出现打不开的情况,直接到虚拟机里面把VCSA的虚拟机重启一下。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
5、 重新生成SSL证书。因为修改了主机名,所以需要把SSL证书重新生成,不然登录的时候会把SSL错误。上一步重启了VCSA虚拟机之后,重新进入网页的配置界面,点Admin,把下方的Certifacate regeneration enabled由No选成Yes,并点击Submit,之后再重启VCSA虚拟机,注意观察虚拟机启动打印的日志信息,应该能看到certificate在重新生成,也会重新注册lookup service。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
6、 添加AD域。在VCSA的配置网页,选择vCenter Server -> Authentication,输入域信息保存之后报错,提示invalid hostname,需要FQDN。
在配置网络的地方将主机名改为vcsa55.zhufeng.com,然后要重新生成SSL证书,并重启一下VCSA虚拟机。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
7、 重启完VCSA虚拟机之后,再次添加域,发现还是失败。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
8、 使用命令行添加域。登录VCSA虚拟机控制台,选择Login,输入用户名密码登录。
# cd /opt/likewise/bin
# ./domainjoin-cli setname vcsa55
# ./domainjoin-cli join zhufeng.com administrator
这里zhufeng.com是AD域,administrator是域管理员。
最后看到success之后就是成功了,然后重启VCSA虚拟机。
如果有报错:Error DNS_ERROR_BAD_PACKET,需要把VCSA的DNS设为AD域的IP。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
9、VCSA重启完后,在域控08R2上查看,已经有一个vcsa55的计算机了,查看属性,操作系统为SLES11,即可以确认是刚添加的VCSA。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
10、在web client添加AD域的标识源。
用浏览器登录到web client,https://192.168.216.200:9443 ,注意要用[email protected] 用户登录,这个帐户的密码就是SSO的密码,如果在VCSA初始化的时候选择了使用默认配置,那密码应该是vmware,如果初始化时候是自定义设置,应该会在配置SSO密码那里会要求修改的。
选择web client左侧的“系统管理”->Single Sign-On->配置->标识源,点绿色的加号。
标识源类型,选择Active Directory 作为LDAP服务器,名称自己填,用户基本DN,就是域名分开写,组的基本DN也一样,然后主服务器URL,就是AD默认的3268商品,最后就是填上域管理员的用户名和密码。点下面的测试连接,成功建立连接之后,确定即可。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
11、给user01分配一个只读的权限。
使用vsphere client连接到VCSA,root用户或vsphere.local均可,在权限选项卡里面点右键,选择“添加权限”,用户和组那里点添加,在弹出的对话框里,域选上刚添加的zhufeng.com,然后就可以看到用户里面有user01和user02了,选中user01点添加,并确定。然后在分配权限对话框里面,分配角色部分,选只读,就是配置这个user01的用户不能进行任何的操作,只具有只读权限。最后点确定。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
12、测试user01用户。退出vsphere client的root身份,并使用[email protected]用户登录,在左边的树形列表最高层的VCSA上点右键,发现菜单里面新建文件夹、新建数据中心、重命名、移除这些都是灰色不可选的,这也就达到了将user01设为只读的测试目的。
![vSphere <wbr>VCSA5.5加入AD域环境问题记录 vSphere <wbr>VCSA5.5加入AD域环境问题记录](http://img.e-com-net.com/image/product/81c56edbb6ee41769243cc4d4229b754.gif)
总结:
这个实验整体来看还是比较容易做的,VCSA5.5的部署应该说是后面这几个版本里面最简单的了,直接双击ova就可以部署出一个虚拟机了,简单方便。VCSA6.0则需要一个windows的机器安装一个插件,它必须要通过这个插件,将VCSA的虚拟机直接部署到ESXi主机上去。而VCSA6.5则省去了安装插件这个过程,它是直接将VCSA虚拟机直接部署到ESXi主机上。从测试的角度来讲,6.0和6.5的部署毫无疑问是非常不方便的,但从生产环境的部署来看,这又是一种很合理的方式。
而针对VCSA本身来说,传统上的理解就是它会比windows版的vcenter省一个windows的系统授权,但从实际的整个VC的架构来看,个人觉得VCSA其实是更好的,先不说linux相对于windows公认的更稳定,在windows版vcenter第一次部署完成之后,如果后续再要有涉及到修改IP,重新加域,修改密码这些需求,那需要做的操作会非常多非常繁琐,甚至管理员会直接选择重新安装一套vcenter,而VCSA就没有这些问题了,从上面的步骤来看,先后加域也好,修改IP也好,修改主机名也好,这些操作都非常简单,最多就是把VCSA重启一下的事情。
所以说针对vcenter这个产品来说,我认为从发布之初,就不应该发布windows版的,这样倒省去了很多事。至于很多人提到的,windows版的vcenter安装组件简单之类,确实是优点,但是从生产环境的稳定性角度来看,无疑VCSA是最佳选择。这样来看的话,后续VCSA的使用率应该会逐渐上升,就像vsphere client和web client一样,这样类比可能不太恰当,毕竟,web client真的非常的难用,这个锅可能要flash来背了,6.5的web client据说是开始支持html5了,实际使用感受如何,就留到以后用过了再写吧。