Host Profile
הגדרת ESXi אחד
כתקן הרצוי והמושלם

תמלול ההרצאה: Host Profile הגדרת ESXi אחד כתקן הרצוי והמושלם

הטקסט המלא של הדקות הראשונות בהרצאה «Host Profile הגדרת ESXi אחד כתקן הרצוי והמושלם» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאות הקרובות אנחנו רוצים ללמוד על הוסט פרופייל פרופיל של אי סיקס הפיזי של ההוסט הפיזי זה למעשה אוסף של כל ההגדרות שאנחנו רוצים לקבל כל מה שמבחינתנו נחשב למצב רצוי למצב אידיאלי בהגדרות של אי סיקס הפיזי כל ההגדרות שאני רוצה באי סיקס במצב המושלם שלהם אני שם בהוסט פרופייל ואז אני בודק את כל האי סיקסים בארגון שלי האם הם תואמים לפרופיל המושלם

2. 00:31

   ואם לא, לוחץ כפתור אחד של Remediate והוא מתקן את הכל אוטומט. יותר מזה, את ה-Check Compliance, את הבדיקה האם ESX עומד בתקן, הוא יבצע נניח כל שעה וישלח לי דוח ל-E-Mail איזה ESXים לא עומדים בתקן.

3. 00:49

   הרעיון של כל זה דומה ל-Active Directory ל-GPO שבו מנהלים הרבה תחנות עבודה מסט אחד של הגדרות. פוליסה אחת חלה על הכל. עוד דבר כאן, אנחנו נייצר פרופיל מושלם ואז נעשה צ'ק קומפליינס על כל שירותי ASXI הפיזיים שלנו ומי שלא יעמוד בתקן נעשה לו רימדיאט ואחרי זה נגדיר פעם בשעה לעשות עוד פעם בדיקה של קומפליינס, של תאימות

4. 01:14

   ואם יש משהו לא טוב ישר אני מקבל מעין ככה אני יודע שכל ה-ASXים מוגדרים כמו שצריך ופעם בשעה זה נבדק ואם יש בעיה גם מתקנים את זה אוטומט השאלה היא איך עושים את כל זה דבר ראשון, אנחנו מגדירים ESX אחד למצב המושלם שלו, ואז נצלם אותו, נקסטם אותו.

5. 01:34

   האמת שה-ESX היה הראשון שלי, הוא כבר במצב המושלם. בסרוויסים, אני מגדיר לו SSH שיהיה בסטופ, שלא יהיה לו SSH מרחוק, וה-SSH הזה צריך להיות במצב של סטארט-אפ, של ריסטארט של ESX, במצב מנואל, במצב ידני.

6. 01:52

   זאת אומרת, אם צריך נדליק אותו, אבל שלא יהיה דלוק אוטומט. רק אם צריך מדליקים את ה-SSH באופן ידני. אני עכשיו הולך להגדיר את מה שאני מאמין שזה המצב המושלם בשבילי.

7. 02:04

   דרך אגב, יש best practices של VMware, המלצות של VMware איך להגדיר את המערכת. זאת אחת ההמלצות שלהם, שהסרוויס לא יעלה אוטומט עם ההוסט הפיזי, אלא לפי הצורך.

8. 02:16

   ESXI של זה אלטף אחד הזה, אני גם עוצר אותו, וגם אותו אני מגדיר לעלות לפי הצורך. זוכרים שם בחלון שהיינו עושים Enable Disabled ב-F2 בחלון הצהוב?

9. 02:28

   זה אותו דבר כמו להפעיל ולעצור כאן. החלון הצהוב ההוא נקרא Direct Console UI, אותו אני דווקא רוצה להשאיר, שתהיה לי אפשרות ללחוץ F2 ולהיכנס בלוגין אם ה-V-Center לא יעבוד, אז דווקא אותו אני משאיר ב-Start and Stop with Host, שיעלה אוטומטית עם ה-ESX הפיזי, ושני אלו, אם אני אצטרך אותם להיכנס למערכת ההפעלה, אני אכנס דרך F2,

10. 02:53

    דרך החלון הצהוב ואני אפעיל אותם מה עוד מבחינת אבטחה חשוב לי שהמחשב יהיה בתוך הדומיין ואני רואה ש-eSX הזה הוא חלק מדומיין מצוין ובסקיוריטי פרופיילס חשוב לי שהוא יהיה נעול לחיבור מרחוק לוקדאון במצב נורמל המשמעות של לוקדאון הזה כשהוא מופעל של eSX הזה להוסט הפיזי הזה אפשר להתחבר מרחוק רק דרך vCenter כל השירותים האחרים כמו SSH או אפילו גישה וובית ישירה

11. 03:25

    לתוך ה-ESX סגורים פרט ליוזר רוט. אתם יודעים מה? בואו נגדיר עוד יוזר פה באקספצ'נס שגם רוט 2 יצליח להתחבר. זוכרים? יש לנו רוט ורוט 2 מקומיים בתוך ה-ESX.

12. 03:40

    AD אדמיניסטרטור לא ייכנס, למרות שיש לו הרשאות אדמיניסטרטור על התחנה. למה? כי הוא נעול. זה בדיוק המשמעות של ה-Lockdown mode, שהוא נועל את כולם חוץ מרוט ורוט 2.

13. 03:52

    ואני רוצה להראות לכם ש-root 2 זה יוזר מיקומי בתוך ה-ESX. זאת אומרת, בתוך ה-host הפיזי, ב-manage שלו, ב-users, אנחנו רואים שיש לנו יוזר root 2 שיצרנו איתכם, ואחרי שיצרנו אותו, באנו ל-host פה למעלה, עשינו right-click, permissions, ונתנו לו הרשאה של אדמיניסטרטור.

14. 04:14

    בקיצור, גם root וגם root 2 הם אדמיניסטרטורים על ESX, ואני משתמש בהם במקרה חירום של נתק מ-VCenter. חוץ משני אלו, אף אחד לא יכול להיכנס ישירות לתוך ה-ESX, גם אם הם אדמיניסטרטורים.

15. 04:28

    זאת אומרת, פה בפרמישנס של ESX כתוב ש-AD אדמיניסטרטור הוא אדמיניסטרטור על-ASX, וכל הדומיין אדמינס הם אדמיניסטרטורים. באמת, אני רואה שכתוב פה שגם דומיין יוזרס הם אדמיניסטרטורים.

16. 04:40

    זה לא תקין, בואו נעיף את זה. נלך לאדמיניסטריישן, כנראה שזה אחד הבדיקות שעשיתי ושכחתי להעיף את זה משם. בגלובל פרמישנס בהרשאות על כל המערכת אני מעיף את הדומיין יוזרס delete אני מעיף את האדמיניסטרטור delete ואני משאיר רק דומיין האדמינס נהדר אז עכשיו אנחנו רואים שדומיין האדמינס נשארו על asx אבל הם לא יוכלו להיכנס פנימה מרחוק למרות

17. 05:06

    שיש להם הרשאות אדמיניסטרטור כי asx נעול בלוג דאון מוד רק root וroot 2 יוכלו להיכנס כי הם באקספצ'ן והם יכולים להיכנס גם מרחוק וגם פיזית מתוך התחנה.

18. 05:19

    טוב, אני רוצה את כל ההגדרות המושלמות האלו שיחולו על כל המחשבים ברשת. זה מבחינתי המצב המושלם, שהוא נעול, יש לי שני יוזרים, כולל יוזר מקומי.

19. 05:30

    עכשיו, מה הבעיה? שבכל האחרים אין את כל זה. תסתכלו, ב-e6i השני לוקדאון מוד דיסייבלד ואין בכלל את היוזר רוט 2, ב-e6i השלישי גם אין לוקדאון מוד ואין יוזר 2. ואתם יודעים מה נעשה?