Некоторые из вас знают, что у VMware есть решение для организации доступа конечных пользователей к ресурсам виртуальной инфраструктуры Workspace ONE. Одним из компонентов этого решения является средство Workspace ONE Access (бывший продукт VMware Identity Manager), позволяющее организовать идентификацию и авторизацию пользователей и их устройств в инфраструктурах vSphere и Horizon.
В мае 2018 компании VMware и Octa анонсировали партнерство в области создания единой инфраструктуры по управлению интегрированной аутентификацией и авторизацией пользователей и их устройств (Unified Endpoint Management). Ну а на VMworld 2019 было рассказано о прогрессе в развитии совместных инициатив обеих компаний.
Цель сотрудничества компаний VMware и Okta - создать единую среду универсального SSO-доступа для мобильных устройств и установить доверие к ним для различных платформ на уровне виртуального датацентра.
VMware приносит здесь экспертизу по управлению мобильными устройствами и комплаенса в контексте самих устройств (на базе решений купленной когда-то компании AirWatch), а Octa берет на себя контекст управления идентификацией на уровне пользователя и SSO-интеграцию с различными системами датацентра.
Вторая важная вещь, анонсированная на VMworld 2019 - это интеграции VMware и Octa при работе со службами каталога. Теперь решение Okta Integration Network может быть добавлено в Workspace ONE Intelligent Hub, чтобы создать единую точку управления идентификацией для всех приложений и платформ.
Также функционал для работы с восстановлением идентификации без пароля (повторная авторизация с мобильного) был перенесен со стороны Octa на Workspace ONE во избежание дублирования функционала.
Помимо этого, был убран следующий дублирующийся функционал за счет его перенесения в среду Octa: мобильный SSO и политики доверия на уровне устройств (device trust policies). Теперь пользователи и назначения им прав на ресурсы централизованы в консоли Okta (только те юзеры, которые используют Octa и VMware одновременно). Там же сосредоточены политики и действия (actions).
Еще одна возможность, анонсированная на VMworld - это Workspace ONE Okta Universal Directory Integration. Теперь пользователи получат интеграцию между Workspace ONE Access (бывший VMware Identity Manager) и Okta Universal Directory (UD). Функции UD теперь позволяют могут использовать в качестве источника идентификации не только службы каталога Active Directory, но и любые другие службы, такие как HR-системы со списками сотрудников.
Это хорошо для пользователей, которые часто не включаются в состав Active Directory (сезонные или контрактные рабочие), либо нужно для тех компаний, которые по тем или иным причинам отказываются от AD.
Теперь такие пользователи являются полноценными участниками экосистемы VMware Workspace ONE, а также защищаются в рамках концепции VMware Zero Trust.
UD и Workspace ONE Access коммуницируют за счет SCIM-интеграции, а пользовательская информация передается в Workspace ONE UEM через специальный UEM API.
Кстати, об этих всех моментах написала не только VMware, на и сама Octa.
Продолжаем рассказывать о новостях конференции VMworld 2019, которая прошла в конце августа в Сан-Франциско. Среди анонсов новых версий продуктов и технологий, компания VMware рассказала о скором выпуске продукта vRealize Suite Lifecycle Manager 8.0 (vRSLCM), предназначенного для обслуживания жизненного цикла компонентов продуктовой линейки vRealize Suite. Напомним, что в апреле этого года мы писали о версии vRSLCM 2.1, теперь же версия продукта была приведена в соответствие с версией vRealize Automation 8.0.
Давайте посмотрим, что нового появилось в vRealize Suite Lifecycle Manager 8.0:
1. Обновленный интерфейс.
Теперь главный и остальные дэшборды выглядят поприятнее:
2. Переработанное представление Lifecycle Management.
Теперь на этой странице представлены быстрые действия, последние сделанные запросы и нарисована красивая карта ваших датацентров:
3. Измененная процедура установки.
Теперь, чтобы развернуть vRealize Automation (vRA), вам предварительно потребуется установить Lifecycle Manager. Это позволит упростить процесс развертывания vRA (для этого есть Easy Installer) и выбрать конфигурацию HA для узлов, если требуется. Также перед установкой vRA потребуется развернуть и Workspace ONE Access (ранее он назывался VMware Identity Manager), который поддерживает все продукты пакета vRealize Suite в рамках единого рабочего процесса управления идентификацией пользователей.
4. Функция Locker для управления сертификатами.
Теперь на главном дэшборде vRSLCM есть иконка Locker, при клике на которую откроется функциональность управления сертификатами. Отсюда же можно управлять лицензиями и паролями:
5. Улучшенный интерфейс для Directory Management.
Теперь здесь привели в порядок мастер добавления новых служб каталога:
О доступности для загрузки vRealize Suite Lifecycle Manager 8.0 будет объявлено в этом году.
На прошедшей конференции VMworld 2019 компания VMware анонсировала новую (юбилейную) версию интегрированной платформы для сервис-провайдеров, предоставляющих виртуальные машины в аренду - VMware vCloud Director 10 (vCD). Напомним, что версия vCloud Director 9.5 была анонсирована ровно год назад на VMworld 2018, с тех пор был выпущен еще vCloud Director 9.7.
Daniel Paluszek сделал 2 интересных поста о новых возможностях VMware vCloud Director 10 (раз и два), основные моменты из которых мы приводим ниже.
vCloud Director - это главное средство для партнеров VMware Cloud Providers, которые работают с множеством клиентов, потребляющих услуги виртуальных датацентра из облаков в целях создания единой гибридной среды для своего предприятия.
Новый релиз vCD 10 сфокусирован на 3 основных аспектах:
Улучшения механизмов для доставки виртуальных сервисов и обслуживания клиентов облака.
Многопрофильные нагрузки. Теперь vCloud Director - это не только про виртуальные машины, он поддерживает интеграцию с такими сервисами, как PKS, чтобы обеспечить клиентам наиболее удобный способ использования приложений в виртуальном датацентре.
Улучшения рабочих процессов в интерфейсе и их упрощение для клиентов.
Давайте посмотрим, что нового появилось в VMware vCloud Director 10:
1. Полный переход на интерфейс Clarity.
Теперь vCD 10 полностью работает на базе HTML5-фреймворка Clarity, который представляет интерфейс просто и четко, в рамках общей концепции остальных продуктов VMware (vSphere, Horizon, NSX).
Интерфейс Flex еще сохранился как резервный, но он будет отсутствовать в следующей версии, да и сейчас он остался лишь на всякий случай.
2. Переработаны мастера создания новых объектов.
VMware уделила большое внимание тому, как именно сервис-провайдеры создают сущности и дала пояснения к ним:
Создание пула выглядит понятнее:
В менюшке есть удобная справка по ресурсам как для самого vCD, так и для платформы vSphere:
3. Поддержка VMware NSX-T.
Новый релиз vCD 10 сфокусирован на создании функциональных сетевых сервисов в среде NSX-T. Пока работа еще не закончена (как это было сделано с NSX-V), но движение вперед уже есть.
Creation Workflow теперь выглядит проще и понятнее:
При добавлении нового oVDC мы можем видеть наш NSX-T Overlay pool:
Недавно на сайте проекта VMware Labs обновилась одна из самых полезных утилит для администраторов хранилищ VMware vSphere – IOBlazer. Она позволяет сгенерировать нагрузку на хранилища с любых платформ - Linux, Windows и Mac OS, при этом администратор может задавать паттерн нагрузки с высокой степенью кастомизации, что очень важно для реального тестирования подсистемы хранения для виртуальных машин.
Недавно мы писали про интересную штуку - утилиту Machine Learning on VMware Cloud Foundation, которая предоставляет инженерам по работе с данными инструменты в области Data Science в рамках виртуальной инфраструктуры. К сожалению, она пока не поддерживает использование GPU хостов, а работает только с CPU. Но заслуживает внимание сам факт такого решения - VMware начинает плотно прорабатывать тему машинного обучения.
Еще один элемент этой концепции - выпущенный на днях документ "Learning Guide – GPUs for Machine Learning on vSphere". В нем VMware рассказывает о том, как правильно строить системы, заточенные под алгоритмы машинного обучения, на платформе VMware vSphere.
Документ позволит архитекторам ИТ-инфраструктур и командам DevOps ответить на следующие вопросы:
Зачем нужны серверы с GPU для задач machine learning (ML) на платформах high performance computing (HPC).
Как именно используется модуль GPU.
Как на платформе vSphere строить ML-системы.
Как транслировать модуль GPU в рабочую нагрузку ML в виртуальной машине.
Как наладить взаимодействие между командой data scientists и администраторов виртуальной инфраструктуры.
Задачи машинного обучения с использованием GPU можно решать тремя способами:
Эти способы реализуют соответствующие технологии:
Об остальном читайте в интереснейшем документе на 43 страницах. В конце вайтпэйпера приведена огромная коллекция полезных ссылок на документы и статьи по практическому применению задач машинного обучения в виртуальных средах.
Как многие из вас знают, с 25 по 29 августа в Сан-Франциско пройдет главная конференция года в области виртуализации - VMworld 2019. На конференции будут представлены сотни докладов, практических семинаров и лабораторных работ, поэтому планировать свое время нужно заранее.
Напомним, что конференцию можно посетить не только лично, но и посмотреть онлайн. Чтобы найти подходящую вам сессию, нужно воспользоваться вот этим порталом поиска. На данный момент там представлено 1032 материала:
Extreme Performance Series - это маст си о производительности платформы VMware vSphere, где нам покажут новые максимумы платформы и достижения в сфере высокой производительности.
Мы часто пишем об облачной платформе VMware vCloud on AWS (VMConAWS), которая позволяет разместить виртуальные машины на базе VMware vSphere в облаке Amazon AWS, а также построить гибридную среду, сочетающую в себе онпремизные и облачные ресурсы виртуальной инфраструктуры.
Сегодня мы поговорим об основном инструменте VMC, который позволяет управлять гибридной облачной средой. Сначала отметим, что управление такой структурой основывается на механизме Linked Mode, который объединяет серверы vCenter и позволяет использовать единое пространство объектов в географически распределенных датацентрах. Сейчас он называется Enhanced Linked Mode или Embedded Linked Mode (когда Platform Services Controller и vCenter Server Appliance находятся вместе на одном сервере).
Если вы разворачиваете Linked Mode на собственной инфраструктуре, то все серверы vCenter должны быть в одном домене SSO и иметь одну и ту же версию (включая номер билда). Когда же вы используете общий режим vCenter в гибридной среде (Hybrid Linked Mode), то ситуация, когда в облаке развернута более новая версия vCenter, считается нормальной.
Есть 2 способа использовать гибридный режим управления vCenter. Первый - это развернуть виртуальный модуль (virtual appliance) Cloud Gateway в своей инфраструктуре и соединить его с облачной инфраструктурой SDDC. Второй - это зайти с помощью vSphere Client на облачный SDDC и управлять объединенными ресурсами частного и публичного облака оттуда.
Во втором случае вы можете подключить только один домен онпремизной инфраструктуры, поэтому если у вас сложная доменная инфраструктура, то необходимо использовать первый метод.
Чтобы начать работу по созданию единой управляющей среды гибридного облака, нужно скачать установщик Cloud Gateway installer. Для этого надо зайти в консоль VMware Cloud on AWS и перейти на вкладку Tools. Там можно скачать этот виртуальный модуль:
Скачиваем ISO-образ Cloud Gateway и монтируем его к вашей рабочей станции. Запускаем его из папки /ui-installer и проходим по шагам мастера. На одном из них задаем параметры сервера онпремизного vCenter, где будет установлен шлюз:
В процессе установки вас попросят указать пароль root, целевой датастор, конфигурацию сети, NTP и SSO, также будет возможность присоединить шлюз к домену Active Directory.
Далее нужно переходить ко второму этапу - настройке гибридного режима Hybrid Linked Mode. Не забудьте свериться с требованиями к этому режиму в документации.
Далее нужно будет указать IP-адрес облачного сервера vCenter и параметры учетной записи cloudadmin@vmc.local.
Эту информацию можно получить в консоли VMware Cloud on AWS, выбрав ваш SDDC, затем Settings и развернуть поле Default vCenter User Account:
В качестве Identity Source нужно указать ваш онпремизный домен AD, для которого вы хотите настроить доступ.
После этого все будет настроено, и вы можете начинать управлять своей гибридной инфраструктурой через vSphere Client:
Вчера мы рассказали о новых возможностях платформы для виртуализации и доставки настольных ПК предприятия VMware Horizon 7.9, а сегодня поговорим о том, что нового появилось в клиентах.
Как обычно, VMware обновляет все клиенты для всех платформ (в этот раз - это Horizon Clients 5.1), в каждом из которых свой набор нововведений. Напомним, что о функционале vSphere Clients 5.0 мы писали в марте этого года вот тут.
Давайте посмотрим, что нового появилось в клиентах для различных платформ:
VMware Horizon Client 5.1 for Windows
Улучшенная функциональность Drag and Drop.
Пользователи могут перетаскивать текст, rich text, HTML, картинки и файловые объекты между клиентской системой и десктопом или опубликованным приложением. Эта функция требует Horizon Agent 7.9. Администратор может использовать настройки групповых политик или умные политики (Smart Policies) для настройки этого поведения. Более подробно об этом написано вот тут.
Установка ярлыков для десктопа и приложений при запуске Horizon Client.
Новая опция командной строки -installShortcutsThenQuit позволяет установить ярлыки десктопов и приложений, которые настроены на сервере, при запуске Horizon Client. При использовании этого параметра Horizon Client бесшумно соединяется с сервером, устанавливает ярлыки, после чего завершает работу. Подробнее об этом рассказано здесь.
Поддержка Windows 10 Education.
Можно установить Horizon Client for Windows на клиентскую систему Windows 10 с изданием Education edition.
Перенаправление COM-портов в режиме вложенной виртуализации (nested mode).
Теперь последовательный порт можно перенаправить при работе в nested mode. Как этим пользоваться указано в KB 67248.
Фильтрация устройств и папок на стороне клиента.
Администратор может принудительно включить или исключить папки или отдельные устройства на базе полей vendor и product ID из перенаправления через групповую политику. Шаблон VMware Horizon Client Drive Redirection ADMX (vdm_agent_cdr.admx) содержит две новых настройки групповых политик - Exclude Vid/Pid Device и Include Vid/Pid Device. Подробнее об этом написано вот тут.
Изменение поддержки для нескольких мониторов.
Обновленные спецификации дисплеев Windows требуют Windows 10 версии 1803 или более поздней для поддержки 6 мониторов. Подробнее об этом написано вот тут.
VMware Horizon Client 5.1 for Linux
Возможность VMware Integrated Printing feature .
Пользователи теперь могут применять функцию VMware Integrated Printing, чтобы печатать документы на сетевых принтерах или на привязанных локально устройствах. Эта возможность требует Horizon Agent 7.9.
Улучшенная производительность с Lightweight Protocol Client.
Horizon Client теперь использует драйвер Lightweight Protocol Client driver для рендеринга и прочей обработки данных. Этот драйвер имеет лучшую произодительность, чем драйвер протокола RMKS, использовавшийся в прошлых версиях Horizon Client. Лог-файлы, которые раньше содержали записи "RMKS" теперь содержат строчки "VIEWCLIENT".
Поддержка аутентификации RSA SecurID и RADIUS в интерфейсе командной строки.
Теперь интерфейс поддерживает логин с помощью аутентификации RSA SecurID и RADIUS без необходимости взаимодействия пользователя с клиентом Horizon Client. Пользователи могут ввести их учетные данные RSA SecurID или RADIUS, вызвав параметры командной строки --tokenUserName и --passcode.
Выбор конкретных мониторов для отдельных приложений.
В многомониторной конфигурации клиентов для нужных опубликованных приложений можно выбрать мониторы, где они будут отображаться.
Expanded support for serial port redirection
Теперь последовательный порт можно перенаправить для десктопов с ОС Windows 7 и Windows 10, на которых установлен Horizon Agent 7.9 с опцией Serial Port Redirection. Также протокол PCoIP был полностью валидирован и поддерживается для этой возможности.
Поддержка HTML5 Multimedia Redirection.
Horizon Client for Linux теперь поддерживает перенаправление мультимедиа-контента на клиентскую систему из браузеров Google Chrome и Microsoft Edge, которые работают в удаленном десктопе. Эта функция снижает нагрузку на хосты ESXi и улучшает производительность аудио и видео для пользователя за счет локальной обработки потока.
VMware Horizon Client 5.1 for Android
Поддержка 64-битной архитектуры Android.
Теперь можно установить Horizon Client for Android на устройства Android с архитектурой ARM64 и x86_64.
Функция Derived credentials для устройств Chromebook.
Теперь можно создать виртуальную смарт-карту для логина на сервер и соединения со своим десктопом из устройства Chromebook. Более подробно об этом рассказано здесь.
Поддержка IPv6 для Chromebook. Начиная с Horizon 7.9, вы можете использовать Horizon Client 5.1 for Android на устройствах Chromebook в окружениях с IPv6.
VMware Horizon Client 5.1 for Mac
Фильтрация устройств и папок на стороне клиента.
Администратор может принудительно включить или исключить папки или отдельные устройства на базе полей vendor и product ID из перенаправления через групповую политику. Шаблон VMware Horizon Client Drive Redirection ADMX (vdm_agent_cdr.admx) содержит две новых настройки групповых политик - Exclude Vid/Pid Device и Include Vid/Pid Device. Подробнее об этом написано вот тут.
Поддержка драйверов смарт-карт CryptoTokenKit
Для карт CAC и PIV Horizon Client for Mac теперь использует драйвер CryptoTokenKit по умолчанию, поэтому дополительно вам устанавливать ничего не нужно. Подробнее об этом рассказано здесь.
Улучшенная функциональность Drag and Drop.
Пользователи могут перетаскивать текст, rich text, HTML, картинки и файловые объекты между клиентской системой и десктопом или опубликованным приложением. Эта функция требует Horizon Agent 7.9. Администратор может использовать настройки групповых политик или умные политики (Smart Policies) для настройки этого поведения. Более подробно об этом написано вот тут.
Возможность VMware Integrated Printing feature .
Пользователи теперь могут применять функцию VMware Integrated Printing, чтобы печатать документы на сетевых принтерах или на привязанных локально устройствах. Эта возможность требует Horizon Agent 7.9. Подробнее об этом написано тут.
Выбор конкретных мониторов для отдельных приложений.
В многомониторной конфигурации клиентов для нужных опубликованных приложений можно выбрать мониторы, где они будут отображаться. Подробнее об этом тут.
Поддержка Metal
Horizon Client for Mac теперь использует фреймворк Metal вместо OpenGL для рендеринга десктопов и опубликованных приложений.
VMware Horizon Client 5.1 for Chrome
Поддержка Workspace ONE.
Пользователи могут запускать приложения через Horizon Client for Chrome напрямую из VMware Workspace ONE.
Поддержка бесшовных окон (Seamless Windows).
Теперь можно использовать удаленный десктоп и опубликованные приложения так, как будто они запущены локально (то есть без сайдбара и верхнего меню).
Управление настройками монитора через консоль Google Admin.
Администраторы могут теперь использовать Google Admin console для включения и отключения возможности нескольких мониторов и режима High Resolution Mode для определенных серверов Connection Server. Подробнее об этом тут.
VMware Horizon Client 5.1 for Windows 10 UWP
Изменение доменной безопасности.
Когда пользователь логинится в Horizon 7.8 или более поздней версии из Horizon Client 5.1 for Windows 10 UWP, ему может потребоваться ввести домен в поле User name (domain\username или username@domain.com). В зависимости от конфигурации сервера, комбобокс выбора домена может быть спрятан в целях безопасности (либо там может отображаться *DefaultDomain*). Подробнее об этом здесь.
Интересно, что в рамках этого релиза клиенты VMware Horizon Client 5.1 for iOS и VMware Horizon HTML Access 5.1 не получили никаких новых возможностей.
Скачать все клиенты VMware Horizon Client 5.1 можно будет скоро по этой ссылке.
В марте этого года компания VMware выпустила обновленную версию платформы для виртуализации и доставки настольных ПК предприятия VMware Horizon 7.8 (также мы писали о новых клиентах версии 5.0), а на днях вышло еще одно обновление этого решения - VMware Horizon 7.9. Давайте посмотрим, что интересного появилось в этом продукте...
На днях компания VMware выпустила третий пакет обновления для предыдущего поколения своей главной платформы виртуализации - VMware vSphere 6.5 Update 3. Напомним, что Update 2 вышел в мае прошлого года, так что давно было уже пора выпускать апдейт, так как версия 6.5 по-прежнему широко используется, особенно в крупных предприятиях.
Давайте посмотрим, что нового в vSphere 6.5 U3.
Новые функции vCenter 6.5 Update 3:
События о добавлении, удалении и модификации пользовательских ролей содержат информацию о пользователе, который производит изменения.
Улучшения возможностей аудита в компоненте VMware vCenter Single Sign-On - теперь появились события для следующих операций: управление пользователями, логин, создание групп, изменение источника идентификации, управление политиками. Доступна эта фича только для виртуального модуля vCSA с интегрированным Platform Services Controller. Поддерживаемые источники идентификации: vsphere.local, Integrated Windows Authentication (IWA) и Active Directory over LDAP.
Поддержка новых внешних баз данных - добавлена поддержка Microsoft SQL Server 2014 SP3.
Драйвер ixgben добавляет функцию queue pairing для оптимизации эффективности CPU.
С помощью ESXi 6.5 Update 3 вы можете отслеживать использование лицензий и обновлять топологию коммутаторов. Также улучшения можно увидеть в Developer Center клиента vSphere Client.
Поддержка устаревших серверов AMD Zen 2.
Множество обновлений драйверов устройств: lsi-msgpt2, lsi-msgpt35, lsi-mr3, lpfc/brcmfcoe, qlnativefc, smartpqi, nvme, nenic, ixgben, i40en и bnxtnet.
Поддержка Windows Server Failover Clustering и Windows Server 2019.
Добавлено свойство com.vmware.etherswitch.ipfixbehavior в распределенные виртуальные коммутаторы, чтобы позволить пользователям выбирать способ трекинга входящего и исходящего трафика. Значение 1 включает сэмплирование для входящего и исходящего трафика, значение 0 включает его только для исходящего (значение по умолчанию).
Если вы ожидали среди возможностей чего-то действительно нового - увы, этого не бывает. VMware надо развивать ветку vSphere 6.7 и следующие версии платформы. Скачать VMware vSphere 6.5 Update 3 можно по этой ссылке.
Какие еще продукты VMware были обновлены параллельно с этим релизом:
Многие администраторы платформы VMware vSphere очень часто интересуются вопросом замены сертификатов для серверов ESXi в целях обеспечения безопасности. Как правило, это просто инструкции, которые не дают понимания - а зачем именно нужно менять эти сертификаты.
Недавно VMware выпустила интересную статью на тему сертификатов в vSphere и других продуктах, приведем ниже основные выдержки из нее.
1. Сертификаты - это вопрос доверия и шифрования.
При соединении с различными веб-консолями компонентов инфраструктуры VMware vSphere используется протокол HTTPS, где S означает "Secure". Инфраструктура SSL, а точнее ее последователь Transport Layer Security (TLS), использует известный в криптографии принцип открытого и закрытого ключей, который позволяет узлам, доверяющим друг другу безопасно обмениться информацией по шифрованному каналу.
TLS развивается по следующему пути:
Версия 1.0 имеет уязвимости, он небезопасен и больше не должен использоваться.
Версия 1.1 не имеет таких уязвимостей, как 1.0, но использует такие алгоритмы шифрования, как MD5 и SHA-1, которые больше не считаются безопасными.
Версия 1.2 добавляет шифрование AES, которое работает быстро и не использует небезопасные методы, сам же алгоритм использует SHA-256. На текущий момент это стандарт TLS.
Версия 1.3 не содержит слабых точек и добавляет возможности увеличения скорости соединения, этот стандарт скоро будет использоваться.
Если вы используете сертификаты vSphere, то независимо от того, какие они (самоподписанные или выданные центром сертификации) - общение между компонентами виртуальной инфраструктуры будет вестись посредством TLS с надежным шифрованием. Вопрос сертификатов тут - это всего лишь вопрос доверия: какому объекту, выпустившему сертификат, вы доверяете - это и есть Центр сертификации (он же Certificate Authority, CA).
Многие крупные компании, имеющие определенный вес (например, Microsoft) сами являются Центрами сертификации, а некоторые компании используют службы Microsoft Active Directory Certificate Services, чтобы встроить собственные CA в операционную систему и браузеры (импортируют корневые сертификаты), чтобы "научить" их доверять этим CA.
2. В VMware vSphere сертификаты используются повсеместно.
Как правило, они используются для трех целей:
Сертификаты серверов ESXi, которые выпускаются для управляющих интерфейсов на всех хост-серверах.
"Машинные" сертификаты SSL для защиты консолей, с которыми работает человек - веб-консоль vSphere Client, страница логина SSO или Platform Service Controllers (PSCs).
"Solution"-сертификаты, используемые для защиты коммуникаций со сторонними к платформе vSphere продуктам, таким как vRealize Operations Manager, vSphere Replication и другим.
Полный список компонентов, где vSphere использует сертификаты, приведен вот тут.
3. vSphere имеет собственный Центр сертификации.
Платформа vSphere из коробки поставляется с собственным CA, который используется для коммуникации между компонентами. Называется он VMware Certificate Authority (VMCA) и полностью поддерживается для vSphere как с внешним PSC, так и для vCenter Server Appliance (vCSA) со встроенным PSC.
Как только вы добавляете хост ESXi в окружение vCenter, то VMCA, работающий на уровне vCenter, выпускает новый сертификат на этот ESXi и добавляет его в хранилище сертификатов. Такая же штука происходит, когда вы настраиваете интеграцию, например, с решениями vRealize Operations Manager или VMware AppDefense.
Надо понимать, что CA от VMware - это всего лишь решение для защищенной коммуникации между серверами, которое поставляется из коробки. Ваше право - доверять этой модели или нет.
4. Есть 4 способа внедрить инфраструктуру сертификатов на платформе vSphere.
Вот они:
Использовать самоподписанные сертификаты VMCA. Вы можете просто скачать корневые сертификаты с веб-консоли vCenter, импортировать их в операционную систему клиентских машин. В этом случае при доступе к веб-консоли, например, vSphere Client у вас будет отображаться зеленый замочек.
VMCA можно сделать подчиненным или промежуточным (subordinate/ intermediate) центром сертификации, поставив его посередине между CA и конечными хостами, что даст дополнительный уровень сложности и повысит вероятность ошибки в настройке. VMware не рекомендует так делать.
Отключить VMCA и использовать собственные сертификаты для любых коммуникаций. Ваш ответственный за сертификаты должен нагенерировать запросы Certificate Signing Requests (CSR) для всех компонентов. Эти CSR-запросы вы отсылаете с CA, которому вы доверяете, получаете их подписанными, после чего устанавливаете их в ручном режиме. Это отнимает время и чревато ошибками.
Использовать гибридный подход - для хостов ESXi в их коммуникации с vCenter использовать самоподписанные VMCA сертификаты, а для веб-консолей vSphere Client и прочих использовать перевыпущенные сертификаты, которые надо установить на сервере vCenter и хостах, с которых будет управляться инфраструктура через браузер (тогда в нем появится зеленый замочек). Это самый рекомендуемый VMware вариант использования сертификатов.
5. Enterprise-сертификаты - тоже самоподписанные.
Подумайте - самоподписанными являются не только сертификаты VMCA, но и ваши корпоративные сертификаты. Если вы выпускаете эти сертификаты только на уровне своей компании, то у вас 2 точки потенциального недоверия - сторона, выпустившая сертификаты у вас в компании, а также, собственно, сам VMCA. Такая схема создает дополнительный уровень сложности администрирования, а также нарушения безопасности.
6. Не создавайте промежуточный Центр сертификации.
Если вы создаете intermediate CA (он же subordinate CA) для VMCA, превращая его в посредника, вы создаете потенциальную опасность для виртуальной инфраструктуры - если кто-то получает доступ к корпоративному центру сертификации и его парам ключей, то он может навыпускать любых сертификатов от имени VMCA и перехватывать потом любые коммуникации.
7. Можно изменять информацию для самоподписанных сертификатов CA.
С помощью утилиты Certificate Manager utility вы можете сгенерировать новый VMCA с необходимой информацией о вашей организации внутри него. Эта утилита перевыпустит все сертификаты и заменит их на всех хостах виртуальной инфраструктуры. Это хорошая опция для гибридной модели. Кстати, вы можете менять даты устаревания сертификатов, если дефолтные вас не устраивают.
8. Тестируйте инфраструктуру сертификатов перед внедрением.
Вы можете развернуть виртуальную инфраструктуру и провести все эксперименты с сертификатами в виртуальной среде, где вы можете использовать виртуальные (nested) серверы ESXi. Приятная штука в том, что вы можете создавать снапшоты виртуальных машин, а значит в случае чего - быстро откатитесь на рабочий вариант. Еще одна среда для экспериментов - это облачная инфраструктура VMware Hands-on Labs, где можно безопасно ставить любые эксперименты.
Делайте резервную копию вашего vCenter и PSC на уровне файлов через веб-консоль VAMI. Также утилитой Certificate Manager можно скопировать старый набор сертификатов перед развертыванием новых (но только один набор сертификатов, учитывайте это). Также эта процедура полностью поддерживается со стороны VMware Global Support Services.
10. Понимайте, зачем вы заморачиваетесь с заменой сертификатов.
Ответьте для себя на несколько вопросов:
Стоит ли иконка зеленого замочка в браузере всех этих заморочек?
Нужно ли всем видеть этот замочек или только команде администрирования vSphere?
Почему вы доверяете vCenter для управления всем в виртуальной инфраструктуре, но не доверяете VMCA?
В чем отличие самоподисанного сертификата вашего предприятия от самоподписанного сертификата VMCA?
Действительно ли комплаенс требует от вас кастомных CA-сертификатов?
Какова будет цена процедур по замене сертификатов в инфраструктуре vSphere во времени и деньгах?
Увеличивает или уменьшает риск итоговое решение и почему конкретно?
Это гостевой пост компании ИТ-ГРАД, предоставляющей виртуальные машины из облака в аренду. VMware обновили свой гипервизор ESXi. Теперь скорость работы виртуальных графических процессоров под его управлением сопоставима с возможностями их bare metal реализаций — разница составляет всего 3%. Рассказываем, как компании удалось этого добиться...
В августе прошлого года мы сделали статью о новом виде памяти Persistent memory (PMEM) в VMware vSphere, которая находится на уровне между DRAM и Flash SSD с точки зрения производительности:
Надо сказать, что устройства с Persistent Memory (они же, например, девайсы с Intel Optane Memory) уже начинают рассматривать некоторые пользователи для внедрения в своей виртуальной инфраструктуре, поэтому надо помнить об их ограничениях, которые раскрыл Дункан Эппинг.
С точки зрения предоставления памяти PMEM виртуальной машине, на платформе vSphere есть 3 способа:
vPMEMDisk - vSphere представляет PMEM как обычный диск, подключенный к виртуальной машине через контроллер SCSI. В этом случае ничего не нужно менять для гостевой ОС или приложений. В таком режиме работают любые системы, включая старые ОС и приложения.
vPMEM - vSphere представляет PMEM как устройство NVDIMM для виртуальной машины. Большинство последних версий операционных систем (например, Windows Server 2016 и CentOS 7.4) поддерживают устройства NVDIMM и могут предоставлять их приложениям как блочные или байт-адресуемые устройства. Приложения могут использовать vPMEM как устройство хранения через тонкий слой файловой системы direct-access (DAX), либо замапить регион с устройства и получать к нему прямой доступ через байтовую адресацию. Такой режим может быть использован старыми или новыми приложениями, но работающими в новых версиях ОС, при этом версия Virtual Hardware должна быть не ниже 14.
vPMEM-aware - это то же самое, что и vPMEM, но только с дополнительными возможностями приложения понимать, что машина использует такое устройство, и пользоваться его преимуществами.
Если виртуальная машина использует такие устройства, то она имеет очень существенные ограничения, которые на данный момент препятствуют их использованию в производственной среде. Они приведены в документе "vSphere Resource Management Guide" на странице 47 внизу. А именно:
vSphere HA - полностью не поддерживается для машин с включенными vPMEM устройствами, вне зависимости от режима использования.
vSphere DRS - полностью не поддерживается для машин с включенными vPMEM устройствами (машины не включаются в рекомендации и не мигрируют через vMotion), вне зависимости от режима использования.
Миграция vMotion для машин с устройствами vPMEM / vPMEM-aware доступна только на хосты с устройствами PMEM.
Миграция vMotion машин с устройством vPMEMDISK возможна на хост без устройства PMEM.
Будем надеяться, что эта ситуация в будущем изменится.
Таги: VMware, vSphere, Memory, PMEM, Intel, VMachines, HA, DRS
Начиная с VMware vSphere 6.7, компания VMware поддерживает технологию защищенной виртуализации Virtualization-Based Security (VBS). Это один из механизмов, который позволяет предоставлять пользователям более защищенные рабочие Windows-среды средствами технологий Device Guard и Credential Guard (последняя предназначена для изоляции пространства хранения учетных записей от потенциальной кражи вредоносным ПО). Эти функции очень важны для защиты, например, таких компонентов инфраструктуры, как серверы Active Directory.
Между тем, с виртуальными машинами, работающими с поддержкой данной технологии, была найдена серьезная проблема - они зависают или выпадают в синий экран смерти (BSOD) при загрузке. Баг проявляется при включенной технологии VBS (на скриншоте vSphere Client на базе HTML5 с Hardware Version 14):
Также этот баг актуален и для включенной поддержки технологии I/O MMU:
Возможность VBS доступна в Microsoft Windows 10/2016/2019, сам же баг стал проявляться, начиная с версии Windows Insider Build 18362. VMware говорит, что проблема находится на стороне Microsoft, но оба вендора совместно работают над выпуском патча для ОС.
Статья базы знаний VMware KB 68043 содержит вопросы, которые позволят вам определить, затрагивает ли вас проблема.
Помимо проверки настроек в интерфейсе vSphere Client, которые вы видите на скриншотах выше, можно использовать вот такой PowerCLI-скрипт для определения машин, которые затрагивает проблема:
После того, как вы найдете у себя такие ВМ, то выхода у вас два:
Не использовать VBS и I/O MMU для виртуальных машин.
Использовать workaround, который приведен в статье KB 68043.
Workaround заключается в следующем:
Выключаем машину и отключаем VBS и I/O MMU для нее.
Устанавливаем ОС на ВМ или обновляем ее до самых последних апдейтов.
Выключаем ВМ, выбираем в настройках "Expose hardware assisted virtualization to guest".
Включаем ВМ, в настройках включаем функцию (feature) "Hyper-V" в гостевой ОС, после чего перезагружаем машину.
Опять выключаем ВМ и включаем VBS и/или I/O MMU, после чего она уже будет нормально работать.
Помните, что такой Workaround не вечен для свежих установок, например, из образов 1903 & 19H1 DVD/ISO, так как следующее обновление потенциально может вернуть баг, который еще не пофикшен со стороны Microsoft. Имейте это в виду, когда создаете шаблоны виртуальных машин для массового развертывания. Поэтому сначала все обновляем до самой последней версии, потом уже используем Workaround выше.
Кстати, все могло бы быть и хуже) Например, уязвимость Remote Desktop Services vulnerability (CVE-2019-0708), требующая немедленного обновления не затрагивает системы с описанной проблемой выпадения в BSOD. Уязвимость с удаленным рабочим столом актуальна только для систем Windows XP, 7, Windows Server 2003, 2008 (+ R2), а баг с зависанием актуален только для более поздних Windows.
Ждем пока сделают нормальный фикс, и не надо будет плясать с Workaround'ом. А пока можете на всякий случай отключить VBS, если позволяют корпоративные политики.
Сайт частных объявлений «Авито» не нуждается в представлении. Сегодня сложно найти человека, который бы ни разу не воспользовался этой популярной площадкой, чтобы купить какую-то вещь, продать или приобрести автомобиль, снять квартиру, найти работу – список можно продолжать бесконечно. На протяжении 11 лет компания растет и развивается, помогая миллионам людей...
Давайте посмотрим, что представляет собой Veeam B&R Community Edition. Во-первых, обратите внимание, что в названии появилось слово Replication - значит пользователям теперь доступно не только резервное копирование виртуальных машин, но и их репликация. Мало того, Community Edition - это полноценное издание Veeam B&R Standard, но ограниченное возможностью резервного копирования 10 виртуальных машин (либо физических серверов или рабочих станций) в рамках этого издания. И его можно использовать в производственной среде.
В бесплатной версии было всего 13 базовых возможностей - пользователи не могли запускать запланированные задачи, использовать репликацию, а резервное копирование ограничивалось только созданием резервных копий.
Теперь все возможности коммерческого издания Standard Edition доступны бесплатно (см. таблицу сравнения возможностей изданий). Можно использовать репликацию, планировать задачи из GUI, а не PowerShell и многое другое.
Вот так удобно и бесплатно можно настроить задачу резервного копирования ВМ:
Также бесплатно можно использовать и репликацию, в том числе и на удаленную площадку, где реплики виртуальных машин напрямую подвязываются к гипервизору, а значит готовы к запуску администратором в любой момент. Помимо этого, в точке назначения репликации или резервных копий можно настроить дополнительное откидывание резервных копий на стороннюю площадку в целях защиты на уровне датацентра (правило 3-2-1).
В бесплатное издание включена и функция Application awareness - то есть ваши резервные копии будут консистентными на уровне приложений. Ну а решения Veeam Explorers для приложений Microsoft (Active Directory, Exchange, SQL Server и SharePoint) позволят восстанавливать отдельные объекты из резервных копий напрямую в приложения (например, почтовый ящик Exchange).
С помощью Community Edition вы сможете развернуть Veeam Agents for Microsoft Windows и Linux на серверах и рабочих станциях в целях бэкапа физических систем (правда из 10 разрешенных систем рабочие станции будут потреблять 1 лицензию, а серверы - 3).
Но самое главное - это то, что после исчерпания лимита в 10 виртуальных машин, остальные машины можно будет резервировать с помощью технологии VeeamZIP (то есть, Community Edition не стал хуже с точки зрения ограничений). Это позволит вам создать полную резервную копию виртуальной машины в сжатом формате в виде VBK-файла (инкрементальные копии и физические машины в этом случае не поддерживаются).
Также решения по бэкапу физических систем Veeam Agent for Microsoft Windows и Veeam Agent for Linux можно использовать как отдельные от Community Edition бесплатные продукты. В этом случае у вас просто не будет централизованной консоли, но для нескольких серверов она и не нужна.
Решение для мониторинга, отчетности и решения проблем также получило бесплатную версию - Veeam ONE Community Edition.
Это решение является продолжателем бесплатного продукта Veeam ONE Free Edition, но в нем добавилось несколько существенных возможностей. Главное улучшение тут - это возможность мониторить инфраструктуру Veeam Backup & Replication infrastructure, а также машины с установленными Veeam Agents.
Решение Veeam ONE CE позволит вам получать отчетность об инфраструктуре резервного копирования, включая такие возможности, как отчет по защищенным и незащищенным ВМ (например, после развертывания новой ВМ вы забыли настроить для нее бэкап):
Вот их физические места размещения:
Как и прошлая бесплатная версия Veeam ONE, издание Community Edition может обеспечивать мониторинг любого числа виртуальных машин. Но теперь возможности средства были расширены - стали доступны действия Remediate Actions, позволяющие вам, например, удалить изолированный снапшот или настроить резервное копирование для ВМ:
С помощью бесплатной версии можно организовать резервное копирование данных в сервисах Exchange Online и OneDrive for Business для 10 пользователей, а также 1 ТБ данных SharePoint Online.
Скачать бесплатный Veeam Backup & Replication Community Edition можно по этой ссылке. Остальные продукты вы также без труда найдете на сайте Veeam.
Таги: Veeam, Backup, Free, Replication, Бесплатно, Update, ONE, Community
Компания VMware недавно выпустила интересный постер, посвященный облачной IaaS-инфраструктуре, предоставляемой в партнерстве с Amazon - VMware Cloud on AWS - Quick Reference.
Постер дает информацию о различных типах соединений, которые доступны в облаке VMConAWS:
Плакат разделен на 5 секций, заголовки у которых кликабельны - по ссылкам находится детальная информация по соответствующей теме (кроме секции Firewall Rules, где кликабельны подзаголовки).
Содержимое разделов:
Infrastructure Overview - высокоуровневая диаграмма, показывающая отношения между онпремизным датацентром, инфраструктурой VMware Cloud on AWS SDDC и нативными сервисами AWS.
HCX Enterprise Network - детальная диаграмма, раскрывающая суть компонентов HCX, соединения, потоки и порты, используемые между онпремизным датацентром и облаком VMware Cloud on AWS.
Direct Connect Topology - эта секция показывает компоненты и общую топологию использования технологии AWS Direct Connect (DX) для организации соединения между онпремизным датацентром и облаком VMware Cloud on AWS.
NSX-T AWS Connected VPC - эта диаграмма показывает, каким образом организуется коммуникация между виртуальным частным облаком VMware Cloud on AWS VPC (Virtual Private Cloud) и пользовательским соединением VPC, в случае если используются родные сервисы AWS.
Firewall Rules - последняя секция включает список самых часто используемых правил сетевого экрана, используемых между онпремизным датацентром и облаком VMware Cloud on AWS для компонентов Management Gateway, HCX и Site Recovery.
Постер VMware Cloud on AWS - Quick Reference доступен по этой короткой ссылке. Напомним также, что все постеры VMware находятся здесь.
Мировые дата-центры ежегодно расходуют приблизительно 200 тераватт-часов электроэнергии. По некоторым прогнозам, этот показатель может увеличиться в 15 раз к 2030 году. Поэтому регулярно предпринимаются попытки повысить эффективность работы вычислительной инфраструктуры и снизить потребление энергии в ЦОД. Подробнее об этом — в нашем сегодняшнем материале.
DCIM-решения
По данным ряда исследований, примерно треть серверов в дата-центрах, работающих по всему миру, простаивает. Так происходит, потому что организации приобретают больше оборудования в машинные залы, чем им требуется для обслуживания клиентов. Эти ресурсы оказываются не задействованы полностью, но электроэнергия для их питания и охлаждения расходуется.
Один из способов борьбы с такими «зомби-серверами» — использовать специальное ПО для управления инфраструктурой. Это системы Data Center Infrastructure Management (DCIM). Они мониторят энергопотребление серверов, хранилищ, маршрутизаторов и систем кондиционирования. DCIM-решения автоматически распределяют нагрузку между серверами (при необходимости самостоятельно отключают незадействованные устройства) и дают операторам ЦОД рекомендации по настройке скорости работы вентиляторов холодильных установок.
DCIM-решения могут помочь сократить энергопотребление в дата-центре на 9-10%. Например, система способна обнаружить, что вентиляторы кондиционирующей установки вращаются слишком быстро, а серверам в машинном зале не требуется настолько сильный поток холодного воздуха. С помощью такой аналитики и «настройки» дата-центры могут экономить десятки и сотни кВт энергии ежегодно.
Виртуализация
Консолидация приложений на меньшем числе физических машин сокращает затраты на обслуживание железа, охлаждение и электричество. По данным VMware, переход на виртуальные серверы в некоторых случаях приводит к снижению энергопотребления на 80%. Несколько лет назад компании NRDC и Anthesis провели исследование и установили, что замена 3 тыс. серверов на 150 виртуальных машин может снизить ежегодные затраты на электричество на 2 млн долларов.
Некоторое время назад мы писали о релизе новой версии решения для виртуализации настольных ПК VMware Horizon 7.8. В рамках этой серии релизов была также выпущена и обновленная версия продукта VMware Unified Access Gateway (UAG) 3.5.
Многие знают, что одновременно с релизом VDI-платформы Horizon View также обновляются и все клиенты к ней, поэтому давайте посмотрим, какой новый функционал у них появился.
VMware Horizon Client 5.0 for iOS
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Перенаправление встроенной камеры (Camera redirection with Real-Time Audio Video, RTAV) в десктоп пользователя. Кроме того, можно выбирать разрешение внешней и фронтальной камер.
Поворот экрана в режиме презентации для iOS.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано в VMware Horizon Client for iOS Installation and Setup Guide.
VMware Horizon Client 5.0 for Android
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано в VMware Horizon Client for Android Installation and Setup Guide.
VMware Horizon Client 5.0 for Windows
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Настройка синхронизации состояний клавиш Num Lock, Scroll Lock и Caps Lock с клиентской системы к удаленному десктопу.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Кастомизация сообщений об ошибках Horizon Client - администратор может настроить футер диалогового окна об ошибке, чтобы дать пользователю свои инструкции о том, что делать.
Кастомизация меню Horizon Client - теперь администратор может прятать элементы контекстного меню, тулбара, иконки в трее и прочих объектов через групповую политику.
Можно заставить пользователя ввести учетные данные, даже если у него стоит настройка Logon as current user. Более подробно об этом рассказано в документе Horizon 7.8 Administration, где описана настройка Accept logon as current user. Также виртуальный десктоп пользователя может стартовать автоматически, когда клиентская система выходит из спящего режима.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано вVMware Horizon Client for Windows Installation and Setup Guide.
Улучшенная поддержка нескольких мониторов - теперь их может быть до 6 штук для десктопов и опубликованных приложений.
VMware Horizon Client 5.0 for Mac
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Поддержка режима Dark Mode операционной системы Mac OS.
Поддержка аутентификации с помощью карт Gemalto .NET.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано вVMware Horizon Client for Mac Installation and Setup Guide.
VMware Horizon Client 5.0 for Linux
Поддержка клиентской ОС Red Hat Enterprise Linux (RHEL) 64-bit 7.6.
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано в VMware Horizon Client for Linux Installation and Setup Guide.
Перенаправление SANE-compliant сканеров в виртуальный десктоп. Пользователь может контролировать их через интерфейс виртуального ПК. Возможность требует Horizon Agent 7.8.
Возможность запуска нескольких десктопов и/или приложений в рамках одной клиентской сессии через командную строку. Для этого используется параметр -useExisting.
Улучшенная поддержка нескольких мониторов. Виртуальные десктопы автоматически адаптируются к изменению клиентской конфигурации мониторов в рамках активной сессии. Например, если у вас 3 монитора, и вы отключите один из них - View Client и виртуальный десктоп автоматически подхватят двухмониторную конфигурацию.
VMware Horizon Client 5.0 for Chrome
Новый дизайн пользовательского интерфейса - элементы стали более современными.
Синхронизация DPI для соединения (отключено по умолчанию). Эта настройка задается в групповых политиках и требует Horizon Agent 7.8.
Изменения доменной безопасности. Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Более подробно об этом рассказано в VMware Horizon Client for Chrome Installation and Setup Guide.
Передача файлов в опубликованное приложение - теперь это можно сделать из клиентской системы.
Поддержка интернационализации интерфейса клиента (русский язык недоступен).
Напомним, что все клиенты VMware Horizon Clients 5.0 можно скачать под одной ссылке.
В марте прошлого года мы писали о выпуске пакета RVTools 3.10, предназначенного для помощи администраторам при выполнении рутинных операций с виртуальной инфраструктурой VMware vSphere в различных аспектах. Спустя год, в начале марта этого года, вышло обновление этого средства - RVTools 3.11 (а точнее, его версия 3.11.6).
Давайте посмотрим, что нового в RVTools 3.11:
Теперь для управления используется обновленный VMware vSphere Management SDK 6.7U1.
Windows Authentication Framework (Waffle) больше не используется.
Библиотека NPOI .NET больше не используется для генерации отчетов в Excel. Вместо этого используются компоненты OpenXML и ClosedXML.
Как следствие прошлого пункта - улучшения производительности при экспорте данных в Excel.
Добавлены параметры -ExcludeCustomAnnotations и –DBColumnNames в интерфейс CLI.
На вкладке vInfo добавлены новые колонки: дата создания ВМ, Primary IP, контрольная сумма vmx-файла, папки с логами ВМ, ее снапшотами и suspend-файлами.
На вкладке dvSwitch добавлены новые колонки: имя LACP, его режим и алгоритм балансировки.
На вкладке vNIC добавлена колонка с именем порта аплинка.
На вкладке vNetwork добавлена колонка Network Adapter DirectPath I/O.
На вкладке vHost появились колонки Serial number и BIOS vendor.
При экспорте в Excel шапка таблицы теперь закреплена.
Первая колонка "Select" убрана из таблиц экспорта для vFloppy, vCD и vTools.
Добавлен новый экзешник для слияния нескольких файлов xlsx для серверов vCenter в один большой:
Сценарий примера RVToolsBatchMultipleVCs.ps1 изменился, он теперь как раз использует утилиту RVToolsMergeExcelFiles из предыдущего пункта для слияния файлов.
Исправлены ошибки:
Проблема с SSO
Команды ExportvSC+VMK2csv и ExportdvPort2csv теперь работают
На вкладке vNIC теперь отображается вся информация для Switch/dvSwitch
При экспорте учитывается значение Latency Sensitivity
Улучшено обновление данных при изменении настроек
Файлы VMDK из Content Libraries теперь не отображаются как "зомби-файлы"
Скачать утилиту RVTools 3.11 можно совершенно бесплатно по этой ссылке. Документация доступна здесь.
Многие из вас знают, что у компании StarWind есть продукт Virtual SAN для построения программных отказоустойчивых хранилищ, являющийся на сегодняшний день одним из лидеров отрасли. Но самое интересное, что у StarWind есть и программно-аппаратный комплекс HyperConverged Appliance (HCA), на базе которого можно строить недорогую инфраструктуру виртуализации и хранения для небольших компаний (а также для сценариев ROBO - remote or brunch offices, то есть филиалов).
Вы все, конечно же, в курсе, что графические карты уже давно используются не только для просчета графики в играх и требовательных к графике приложениях, но и для вычислительных задач. Сегодня процессоры GPGPU (General Purpose GPU) используются в ИТ-инфраструктурах High Performance Computing (HPC) для решения сложных задач, в том числе машинного обучения (Machine Learning, ML), глубокого обучения (Deep Learning, DL) и искусственного интеллекта (Artificial Intelligence, AI).
Эти задачи, зачастую, хорошо параллелятся, а архитектура GPU (по сравнению с CPU) лучше приспособлена именно для такого рода задач, так как в графических платах сейчас значительно больше вычислительных ядер:
Кроме того, архитектура CPU больше заточена на решение последовательных задач, где параметры рассчитываются друг за другом, а архитектура GPU позволяет независимо просчитывать компоненты задачи на разных процессорных кластерах, после чего сводить итоговый результат.
Вот так, если обобщить, выглядит архитектура CPU - два уровня кэша на базе каждого из ядер и общий L3-кэш для шаринга данных между ядрами:
Число ядер на CPU может достигать 32, каждое из которых работает на частоте до 3.8 ГГц в турбо-режиме.
Графическая карта имеет, как правило, только один уровень кэша на уровне вычислительных модулей, объединенных в мультипроцессоры (Streaming Multiprocessors, SM), которые, в свою очередь, объединяются в процессорные кластеры:
Также в видеокарте есть L2-кэш, который является общим для всех процессорных кластеров. Набор процессорных кластеров, имеющих собственный контроллер памяти и общую память GDDR-5 называется устройство GPU (GPU Device). Как видно, архитектура GPU имеет меньше уровней кэша (вместо транзисторов кэша на плату помещаются вычислительные блоки) и более толерантна к задержкам получения данных из памяти, что делает ее более пригодной к параллельным вычислениям, где задача локализуется на уровне отдельного вычислительного модуля.
Например, если говорить об устройствах NVIDIA, то модель Tesla V100 содержит 80 мультипроцессоров (SM), каждый из которых содержит 64 ядра, что дает в сумме 5120 ядер! Очевидно, что именно такие штуки надо использовать для задач ML/DL/AI.
Платформа VMware vSphere поддерживает технологию vGPU для реализации такого рода задач и возможности использования виртуальными машинами выделенных ВМ модулей GPU. В первую очередь, это все работает для карточек NVIDIA GRID, но и для AMD VMware также сделала поддержку, начиная с Horizon 7 (хотя и далеко не в полном объеме).
Еще одна интересная архитектура для решения подобных задач - это технология FlexDirect от компании BitFusion. Она позволяет организовать вычисления таким образом, что хосты ESXi с модулями GPU выполняют виртуальные машины, а их ВМ-компаньоны на обычных серверах ESXi исполняют непосредственно приложения. При CUDA-инструкции от клиентских ВМ передаются серверным по сети:
Обмен данными может быть организован как по TCP/IP, так и через интерфейс RDMA, который может быть организован как подключение Infiniband или RoCE (RDMA over Converged Ethernet). О результатах тестирования такого сетевого взаимодействия вы можете почитать тут.
При этом FlexDirect позволяет использовать ресурсы GPU как только одной машине, так и разделять его между несколькими. При этом администратор может выбрать, какой объем Shares выделить каждой из машин, то есть можно приоритизировать использование ресурсов GPU.
Такая архитектура позволяет разделить виртуальную инфраструктуру VMware vSphere на ярусы: кластер GPU, обсчитывающий данные, и кластер исполнения приложений пользователей, которые вводят данные в них и запускают расчеты. Это дает гибкость в обслуживании, управлении и масштабировании.
Многие организации хотели бы иметь парк аппаратных "тонких клиентов", которые предоставляют доступ к корпоративной инфраструктуре виртуальных ПК VMware Horizon. Тонкие клиенты позволяют сразу же показать пользователю терминальную сессию к его виртуальному ПК, защищенному корпоративными политиками, без возможности физически иметь доступ к десктопу, его жесткому диску и системным настройкам.
Для тех, у кого нет возможности предоставить пользователям подобные устройства, но есть необходимость в их использовании (в основном, в целях безопасности), компания VMware выпустила утилиту Physical Desktop as a Thin Client на сайте проекта VMware Labs.
Она позволяет превратить обычный компьютер на базе Windows в подобие тонкого клиента - убрать такие элементы, как таскбар, системные опции и прочее, а также запретить запуск сторонних приложений.
После настройки данной утилитой обычного компьютера, пользователь после логина будет видеть окно ввода учетных данных в Horizon View Client, не сможет изменить локальные настройки компьютера и будет работать с ним как с обычным терминалом доступа к удаленному десктопу (при этом нельзя будет переключаться между приложениями). После завершения сессии пользователя в View Client физический десктоп также будет потушен.
Для работы этого продукта потребуется действующая инфраструктура Active Directory с установленным компонентом Group policy management console (GPMC), а также все доменные машины должны иметь доступ к папке \\<domain>\\SYSVOL. Сами эти десктопы управляются через GPO с именем "Thin Client Group Policy".
Детальную информацию о настройке Physical Desktop as a Thin Client можно найти вот в этом документе. Скачать данную утилиту можно по этой ссылке.
На днях компания VMware объявила об очередном релизе платформы для создания инфраструктуры виртуальных ПК предприятия - VMware Horizon 7.8.
Давайте посмотрим, что нового в Horizon 7.8 и его компонентах:
1. Новые функции Connection Server.
Консоль Horizon (веб-интерфейс на базе HTML5)
Можно использовать Horizon Console для инициализации архитектуры Cloud Pod, присоединять узлы в рамках функционала федерации, создавать и управлять глобальными правами доступа, сайтами и домашними сайтами.
Можно пересоздавать и восстанавливать связанные клоны с постоянными (persistent) дисками.
Для операций со связанными клонами доступна отмена начавшейся задачи (Cancel task).
Можно создавать автоматические фермы связанных клонов (automated linked-clone farms).
Можно настраивать Horizon Connection Server и аутентификацию пользователей. Также доступна настройка ролевой модели доступа, политик и клиентских сессий.
Можно настраивать ярлыки для опубликованных пулов десктопов и приложений.
Архитектура Cloud Pod
Лимиты топологии архитектуры Horizon 7.8 теперь следующие:
250 000 сессий всего
50 объектов pods
10 000 сессий на pod
15 сайтов
7 экземпляров Connection Server на один pod
Всего 350 экземпляров Connection Server
Опубликованные десктопы и приложения
Для опубликованных десктопов и приложений на хостах RDS теперь поддерживаются объекты Organizational Units (OU).
На RDS-хостах теперь можно использовать статистики CPU, памяти, диска и числа сессий для определения политики балансировки нагрузки для опубликованных десктопов и приложений.
Можно повторно использовать существующие учетные записи компьютеров для развертывания новых пулов мгновенных клонов в домене.
Функции доступа True SSO
После того, как пользователи используют True SSO для логина в десктопы, они могут разлочить десктоп путем повторной аутентификации на портале Workspace ONE с теми же кредами True SSO.
Изменения механизма безопасного доступа к домену
Несколько поменялась механика логина через Horizon Client (подробнее - тут). Сначала пользователь вводит свой полный логин с доменом в текстовое поле (domain\username или username@domain.com), после чего ему показывают селект с выбором домена, либо его может вообще не быть, либо там будет значение *DefaultDomain*. Подробнее об этом написано в настройках Send domain list и Hide domain list в документе VMware Horizon 7.8 Security.
Можно заставить пользователя ввести учетные данные, даже если у него стоит настройка Logon as current user. Более подробно об этом рассказано в документе Horizon 7.8 Administration, где описана настройка Accept logon as current user.
Для более детальной информации о доменных настройках для клиентов Horizon Clients можно обратиться к KB 67424.
Улучшения безопасности аутентификации пользователей, где исправлена проблема CVE-2019-5513, описанная в руководстве VMSA-2019-0003.
2. Новый Horizon Agent.
Теперь можно использовать регулярные выражения при задании правил URL Content Redirection. Смотрите раздел "Regular Expression Rules That URL Content Redirection Supports" в документе Configuring Remote Desktop Features in Horizon 7.
Аутентификация с помощью смарт-карт теперь поддерживается с приложениями UWP, такими как Microsoft Edge, в удаленных десктопах.
Плагин Helpdesk теперь есть в составе установщика Horizon Agent.
Функция VMware Integrated Printing содержит опцию finishing (параметры staple и booklet) для специализированных перенаправляемых принтеров.
Когда администратор включает режим read-only для подключения других пользователей к сессии, основной пользователь может подключить несколько пользователей в режиме просмотра сессии. При этом только основной пользователь может взаимодействовать с элементами управления, а остальные просто смотрят.
3. Новый Horizon Agent for Linux.
Улучшенная поддержка дистрибутивов Linux - теперь добавлены RHEL 7.6 и CentOS 7.6.
Начиная с Horizon HTML Access версии 5.0, функции нескольких мониторов поддерживаются для десктопов Linux.
Horizon 7.8 поддерживает перенаправление смарт-карт для Linux-десктопов с версией RHEL 7.1 и позднее. Эта возможность позволяет авторизоваться пользователю через смарт-карту, подключенную к клиентской системе.
Расширенная поддержка True SSO для Ubuntu 16.04 или 18.04, SLED 12.x SP3, а также SLES 12.x SP3.
Когда администратор включает режим read-only для подключения других пользователей к сессии, основной пользователь может подключить несколько пользователей в режиме просмотра сессии. При этом только основной пользователь может взаимодействовать с элементами управления, а остальные просто смотрят.
Групповая политика URL Content Redirection содержит теперь настройку Url Redirection IP Rules Enabled, которая позволяет настроить IP-адреса и их фильтрацию.
Новый файл шаблона групповой политики VMware Horizon Client Drive Redirection ADMX (vdm_agent_cdr.admx) содержит настройки перенаправления клиентских дисков. Он позволяет настроить букву подключаемого устройства и таймаут для инициализации в Windows Explorer.
Настройка групповой политики Session Collaboration позволяет передать контроль ввода участникам совместной сессии.
Настройки групповой политики VMware Integrated Printing позволяют задать фильтр при перенаправлении клиентского принтера и настроить параметры предварительного просмотра.
5. Horizon 7 Cloud Connector.
Для виртуального модуля Horizon Cloud Connector можно настроить политику устаревания пароля пользователя root.
6. Поддержка VMware Cloud on AWS.
Пул мгновенных клонов поддерживает сетевые сегменты NSX-T.
Полный список возможностей Horizon 7, поддерживаемых в VMware Cloud on AWS, приведен в KB 58539.
7. Обновленная версия User Environment Manager 7.9.0.
Возможности Application blocking и privilege elevation поддерживаются на рабочих станциях, коьторые используют утилиту User Environment Manager SyncTool.
Полный список новых возможностей VMware User Environment Manager 7.9 приведен вот тут.
Мы часто писали о решении VMware vRealize Network Insight (vRNI), которое позволяет системным и сетевым администраторам, а также администраторам информационной безопасности, смотреть за сетевым взаимодействием в рамках виртуальной инфраструктуры и предпринимать действия по ее защите.
Также с помощью vRNI можно найти 3 типа отклонений для виртуальных машин, работающих непрерывно в виртуальной инфраструктуре:
Outliers - девианты по трафику в рамках группы ВМ по сравнению с остальными членами группы.
Thresholds - машины, которые превысили пороговые значения по трафику или сбросу пакетов.
Top Talkers - самые потребляющие сетевые ресурсы машины в каком-то аспекте мониторинга.
Сегодня мы рассмотрим ситуацию, когда с помощью vRNI можно обнаружить девиантов по трафику (Outliers) в группе виртуальных машин, выполняющих одинаковую функцию. К таким машинам можно отнести, например, веб-серверы, размещенные за балансировщиком и принимающие на себя в среднем одинаковую нагрузку.
Если один из серверов начинает существенно отклоняться (например, отдавать трафика намного больше чем остальные), то это может говорить либо об ошибке в конфигурации балансировщика, либо о каких-то проблемах на этом веб-сервере. Также к таким сервисам можно отнести серверы DNS, Active Directory, кластеры серверов SQL и другие масштабируемые сервисы.
Помимо получения нотификаций о девиантах по SNMP или email, их поведение можно визуализовать на графиках. Это позволит вам сразу понять, какой из серверов ведет себя не как остальные, чтобы сразу приступить в выяснению источника проблемы:
Здесь мы видим, что виртуальная машина cmbu-sc2dc-01 на порту 53 имеет большой поток трафика, гораздо больше, чем остальные, поэтому и попала в категорию "Outliers" на панели справа.
Для мониторинга такого поведения вы можете выбрать один или несколько портов, а также направление трафика (входящий/исходящий), так как есть сервисы, которые в основном принимают данные (например, обработчики), а есть, которые преимущественно отдают (веб-серверы, DNS и т.п.).
Чтобы создать группу Outliers для мониторинга, нужно в консоли vRNI пойти в меню Analytics и там открыть раздел Outliers:
Далее вы увидите список всех настроенных групп Outliers. Там вы увидите, сколько девиантов в каждой группе было обнаружено, какие связанные с ними события произошли, а также информацию о группе (сколько ВМ, их IP и т.п.), также вы увидите, когда были обнаружены эти отклонения.
Для создания новой группы, в правом верхнем углу надо нажать ADD и установить все необходимые настройки:
Здесь они означают следующее:
Имя группы.
Масштаб наблюдения (application tier, NSX Security tag и т.п.).
Для уровня приложения (application tier) нужно выбрать само приложение и его ярус (tier).
Метрика - total traffic (MB, GB и т.п.), число пакетов или сессий, либо объем трафика в секунду.
Направление обнаруживаемого трафика (incoming, outgoing, both).
Направление трафика в датацентре: north-south (интернет-трафик), east-west (внутренний трафик датацентра), либо оба направления.
Порты назначения - можно мониторить все используемые порты, либо выбранные. Но пока есть лимит 20 портов, если он будет превышен, то их надо будет вводить вручную.
Когда все установлено, vRNI сгенерирует превьюшку результатов на графике, включающем в себя настроенные сетевые потоки.
Если превью вас устроило, то просто нажимаете Submit и добавляете новую группу в систему мониторинга.
Как только обнаруживается Outlier, для него создается открытое событие (Event), оно продолжает висеть в открытых, пока отклонение продолжает существовать. Как только все возвращается в норму, событие закрывается, однако остается в архиве, чтобы администратор знал о происходящем.
В общем, vRNI, хотя бы только с этой стороны - полезная штука!
Некоторые из вас, возможно, слышали об утилите vCheck for Horizon (vCheck-HorizonView), которая позволяет вам на регулярной основе готовить отчеты о текущем состоянии инфраструктуры виртуальных ПК VMware Horizon View. Этот проект базируется на утилите vCheck для VMware vSphere, которая развивается уже почти 7 лет.
В новой версии vCheck for Horizon появились следующие новые возможности:
1. Проверки состояния инфраструктуры ферм RDS:
2. Проверки состояния домена Active Directory:
3. Вызов vCenter API был разделен на 3 части - состояние сервиса vCenter, статус хостов ESXi и состояния подключенных датасторов:
4. Также была добавлена проверка работоспособности механизмов saml и truesso.
Скачать vCheck for Horizon можно по этой ссылке, а пример итогового отчета в формате HTML можно посмотреть вот тут.
О новых возможностях Veeam Backup and Replication 9.5 Update 4 мы уже детально писали вот тут, а сегодня расскажем о новых фичах последних двух решений.
1. Veeam Availability for AWS.
Этот продукт позволяет защитить ваши виртуальные машины в публичном облаке Amazon от случайного удаления, вредоносной активности или различного рода сбоев за счет резервного копирования и восстановления инстансов EC2. Это решение было анонсировано еще на VeeamON 2017, но только сейчас вышла его финальная версия.
Оно комбинирует в себе возможности купленной Veeam компании N2WS cloud-native backup and recovery для рабочих нагрузок AWS с возможностью консолидации резервных копий в центральном репозитории Veeam.
Продукт предоставляет следующие возможности:
Безагентная защита виртуальных машин на AWS средствами снапшотов (для целей мгновенного восстановления). Делается это на базе сервиса Amazon EBS.
Возможность долговременного хранения бэкапов в облаке Amazon S3 или онпремизной инфраструктуре компании. Это экономит затраты на хранение до 40%.
Быстрое восстановление из резервных копий в облаке, включая такие технологии как instant recovery, восстановление напрямую в онпремизный датацентр или в другое облако. Возможность восстановления в другой аккаунт.
Расширенный поиск по инфраструктуре хранения бэкапов.
Восстановление баз данных на определенный момент времени, а также послеаварийное восстановление Amazon RDS, Redshift и DynamoDB в другой регион AWS или аккаунт другого пользователя.
Узнать больше о решении Veeam Availability for AWS можно на этой странице.
2. Veeam Availability Console v3.
Это уже третья версия консоли Availability Console для сервис-провайдеров (напомним, что сама по себе она бесплатна). О ней мы детально писали вот тут. Это комплекс интегрированных средств для сервис-провайдеров и больших компаний, которые позволяют организовать инфраструктуру BaaS (Backup-as-a-Service) для гибридной среды предприятия (внутренние инфраструктуры + облачные).
Давайте посмотрим на новые возможности сервис-провайдеров, которые приходят вместе с Veeam Backup and Replication 9.5 Update 4:
Интеграция для пользователей Veeam Cloud Connect Replication и VMware vCloud Director, что позволяет построить единую платформу управления облачной платформы и предлагать комплексное DRaaS-решение в рамках единого пространства сети, оборудования и средств самообслуживания.
Cloud Gateway Pools для Veeam Cloud Connect Backup and Replication - теперь с помощью этого функционала можно развернуть внутренние пулы IP-адресов клиентов, которые подключаются к вашей сети через MPLS или VPLS соединения. Это улучшает изоляцию между клиентами и упрощает развертывание больших инфраструктур в облаках.
Расширенная поддержка резервного копирования на базе агентов. Теперь средства Veeam Agents поддерживают несколько одновременных задач резервного копирования, что позволяет еще более гибко управлять ими со стороны облачного провайдера.
Также теперь для сервис-провайдеров доступны следующие новые возможности решений для резервного копирования и мониторинга виртуальных сред Veeam:
Более подробно о Veeam Availability Console можно узнать на этой странице.
Давайте для начала разберёмся с терминологией. Что такое роли NSX-менеджера? Роли NSX-менеджера позволяют управлять правами доступа к объектам NSX с помощью присвоения той или иной роли отдельному пользователю или группе. В UI эти настройки находятся в Networking & Security -> System -> Users and Domains.
Компания StarWind Software, известная своим лидирующим решением Virtual SAN для создания отказоустойчивых хранилищ для виртуальных машин VMware vSphere и Microsoft Hyper-V, продолжает выпускать полезные бесплатные утилиты. Например, напомним, что ранее мы писали о StarWind Deduplication Analyzer.
На этот раз StarWind выпустила средства для бенчмаркинга RDMA-соединений между серверными системами, которые используются для прямого доступа к памяти между хостами в рамках кластера.
Для тестирования RDMA-соединений есть различные утилиты, но они разработаны для различных операционных систем, и их трудно сопрягать между собой. Также они показывают либо задержки (latency), либо пропускную способность (bandwidth), а rPerf выводит обе этих метрики. Ну и, конечно же, ее можно использовать для Windows и Linux одновременно.
Давайте посмотрим, как это работает. Для тестирования вам понадобятся системы Windows 7 / Windows Server 2012 или более поздние, а если вы хотите использовать Linux - то CentOS 7 или
Ubuntu.
Сетевой адаптер (NIC) должен иметь настроенные механизмы Network Direct Provider v1 и lossless RDMA. Для адаптеров нужны последние версии драйверов, так как стандартный драйвер Windows не поддерживает ND API. Для систем Linux нужны драйвера с поддержкой RDMA и RoCE.
RSS
