הגדרת חשבון root נוסף
בתוך ESXi

בלי כתוביותעם כתוביות

מילון מושגים:

root - משתמש העל במערכות Linux, בעל הרשאות מלאות לכל פעולה. גם הרמה העליונה בעץ של תיקיות או נתונים.

ESXi - מערכת ההפעלה (היפרווייזר) של VMware שמותקנת ישירות על השרת ומריצה עליו מכונות וירטואליות.

הרשאה - קביעה אילו פעולות ומשאבים מותרים למשתמש או לתהליך לאחר שזהותו אומתה. שולטת במי רשאי לעשות מה.

Active Directory - שירות מדריך של מיקרוסופט לניהול מרכזי של משתמשים, מחשבים והרשאות ברשת ארגונית מבוססת דומיין.

מעטפת - תוכנה שמפרשת פקודות של המשתמש ומעבירה אותן למערכת ההפעלה, למשל Bash או PowerShell.

vCenter - כלי ניהול מרכזי של VMware לניהול מספר שרתי ESXi והמכונות הווירטואליות שעליהם ממקום אחד.

SSH - פרוטוקול לחיבור מרוחק ומוצפן למחשב, בעיקר לשרתי Linux, לצורך ניהול דרך שורת הפקודה.

אדמיניסטרטור - משתמש בעל הרשאות הניהול הגבוהות ביותר במערכת, שיכול לשנות הגדרות, להתקין תוכנות ולנהל משתמשים אחרים.

הגדרת חשבון root נוסף בתוך ESXi

ה-Direct Console (DCUI), המסך הצהוב שמופיע ב-F2 כשעומדים ליד ה-ESXi, מקבל רק יוזרים מקומיים. ההרצאה מראה איך מוסיפים יוזר מקומי נוסף עם הרשאות מנהל, ולמה זה שימושי כגיבוי.

איך זה עובד

ה-DCUI לא יודע לאמת יוזרים מ-Active Directory, ולכן ad\david לא יעבוד שם בשום מצב. רק יוזר שנוצר בתוך ה-ESXi עצמו, כמו תחנת עבודה בלי דומיין, יכול להיכנס. גם Alt+F1 (ESXi Shell) מקבל כניסה כזו כשעומדים ליד השרת.

השלבים העיקריים

1. יצירת יוזר מקומי: נכנסים ישירות ל-ESXi (לא דרך vCenter), בניהול ההוסט ב-Users מוסיפים יוזר חדש בשם root2 עם סיסמה, ומאפשרים לו גם SSH.

2. מתן הרשאה: כפתור ימני על ההוסט, Permissions, Add User, ובוחרים root2 עם התפקיד Administrator. הרשימה כבר כוללת את קבוצת ה-ESX Admins מה-AD, את root, את dcui ואת vpxuser, שהוא היוזר ש-vCenter מתחבר איתו.

3. בדיקה ב-F2: ad\administrator נדחה עם Invalid login or password, ו-root2 נכנס.

4. גם הרשאה לא עוזרת לדומיין: הוספת David מהדומיין כ-Administrator ב-Permissions של ההוסט לא עוזרת, והוא עדיין נכשל ב-DCUI.

שימו לב

מומלץ ליצור יוזר מקומי סודי כזה עם סיסמה ארוכה מאוד, כגיבוי למקרה ש-root נעול, נשכח או שהסיסמה שלו הוחלפה, לגישה ישירה.

אחרי ההרצאה אפשר להקים יוזר מקומי ל-DCUI ולהבין למה כניסות מהדומיין לא פועלות שם. ההרצאה הבאה ממשיכה לשיטות נוספות של כניסה ל-ESXi.

השיעור הבא בקורס: כל השיטות להיכנס ל-ESXi

פרקי ההרצאה: הגדרת חשבון root נוסף בתוך ESXi

00:00
שיטות הכניסה ל-ESXi
00:37
ממשק Direct Console User Interface
01:13
יצירת יוזר root נוסף
01:47
הרשאות על ההוסט הפיזי
02:21
הקצאת root2 כאדמיניסטרטור

תמלול ההרצאה: הגדרת חשבון root נוסף בתוך ESXi

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת חשבון root נוסף בתוך ESXi» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה זו אנחנו רוצים לדבר על לוג דאון מוד, מצב נעילה של ESX והמטרה שלנו זה לאפתח את ה-ESX מכניסה ישירה אליו או דרך Web, מה שנקרא ESXI Host Client או דרך גישה ישירה לתוך ESX ולחיצת F2, מה שנקרא Direct Console, קונסול ישיר כשאני נמצא לידו או Alt F1 שנקרא ESX I-Shell
00:29
כשאני נמצא ליד ESX אני יכול ללחוץ Alt F1 ולעשות לוגין פנימה. אז השאלה באיזה שיטות אני מרשה לגשת ולנהל את ה-ESX. אז עוד הפעם אני לוחץ על F2 מגיע לחלון הצהוב הזה כשאני פיזית ליד המחשב וזה נקרא Direct Console User Interface.
00:49
ודרך אגב ל-F2 הזה ללוגין הפיזי הזה מותר אפשר לעשות רק עם יוזרים מקומיים בתוך אי.סיקס אקטיב דירקטורי סלאש דוד לא יעבוד פה בחיים כי טכנית זה בלתי אפשרי המערכת הזאת של דירקט קונסול לא יודעת לעשות אוטוטיקציה מהדומיין היא חייבת יוזר מקומי בתוך אי.סיקס אם אני אכנס ישירות לאי.סיקס ולא דרך vCenter פה בניהול
01:16
של ההוסט הפיזי יש לי יוזרים והיוזרים המקומיים בתוך אי.סיקס כרגע יש לי רוט אחד בלבד. אני יכול לעשות לעצמי עוד יוזר, ושימו לב, זה לא vCenter, זה רק בתוך אי סיק ספציפי.
01:31
נקרא לי יוזר הזה נניח רוט 2, ניתן לו איזושהי סיסמה, נאפשר לו גם SSH. עכשיו כדי לשייך את הרול של אדמיניסטרטור, את התפקיד של אדמיניסטרטור ליוזר ספציפי, נלחץ כפתור ימני על הוסט פה למעלה, רייט קליק, ויש לנו Permissions הרשאות על ההוסט הפיזי, ואנחנו רואים פה את הקבוצה Active Directory 6-Admins שהם אדמיניסטרטורים,
01:56
זוכרים מההרצאות הקודמות? גם Domain Admins חילקנו ב-VCenter שיהיו אדמיניסטרטורים על כל ה-VCenter ועל כל האובייקטים מתחתיו, גם Root, גם DCUI, Direct Console הזה זה F2 הזה, הוא גם אדמיניסטרטור ו-VPX User, זה היוזר של VCenter עצמו,
02:16
ככה VCenter מתחבר אלינו. זה האדמיניסטרטורים שיש עכשיו, אני במנג' פרמישנס של הוסט מסוים, של ESX מסוים, אני עושה אד יוזר ומוסיף כאן רוט שתיים שיהיה אדמיניסטרטור.
02:30
כמובן שיכלתי לתת לו read-only או כל מיני הרשאות אחרות ולעשות רולים משלי בתוך ESX ספציפי. אני נותן לו אדמיניסטרטור, זה נותן לו את כל ההרשאות האלו ונעשה אד יוזר.