mmaxsim.ucoz.ua

Безопасность Service Console для VMware ESX 4 от vSphere: как войти пользователем root и использовать sudo.

Maxs — Fri, 26 Jul 2013 09:33:14 GMT

После установки сервера VMware ESX 4 из состава vSphere 4 многие пользователи сталкиваются с первой проблемой: невозможно удаленно войти пользователем root в Service Console по протоколу SSH. Решив эту проблему, пользователи задумываются о том, достаточно ли безопасно всегда входить в сервисную консоль пользователем root и какие права необходимо назначать пользователям в Service Console для работы с сервером VMware ESX. Сегодня мы рассмотрим обе этих проблемы в контексте безопасности и покажем некоторые практические приемы работы с командами su и sudo.

Итак, вы установили сервер VMware ESX 4 и начинаете им управлять с помощью VMware vSphere Client. Но его функционала для выполнения каких-либо операций вам недостаточно, и вы хотите исполнять команды в консольной ОС (Service Console), чтобы контролировать все аспекты администрирования платформы виртуализации и виртуальных машин. Вы устанавливаете SSH Client (например, Putty - но я рекомендую Putty Connection Manager) и пробуете войти в Service Console пользователем root. Не получается - пишут access denied. Причина проста - по протоколу SSH по умолчанию логин пользователя root в сервисную консоль отключен. Чтобы включить его - надо отредактировать файл sshd_config пользователем root. Как это сделать?

Очень просто: открываете VMware vSphere Client и соединяетесь с сервером VMware ESX 4. Переходите на вкладку Users & Groups, нажимаете правой кнопкой в любом месте списка пользователей и выбираете пункт Add... Далее вводите параметры новой учетной записи и обязательно отмечаете галку Grant shell access to this user.

Далее открываете Putty и соединяетесь созданным пользователем VMware ESX с сервером по SSH.

Теперь нужно повысить привилегии пользователя до root. Это делается командой su (Substitute user, а не Switch User, как полагают многие). В качестве аргумента команды необходимо указать - (тире), чтобы переменные окружения остались не от старого пользователя, а взялись от root. Мы получим вот такую картину в Putty:

Теперь мы в системе как root и можем редактировать настройки SSH. Открываем файл sshd_config с помощью удобного редактора Nano (можно использовать также редактор vi) командой:

nano /etc/ssh/sshd_config

Затем исправляем строчку:

PermitRootLogin no

на строчку:

PermitRootLogin yes

После этого сохраняем файл sshd_config (Ctrl+X) и перезапускаем сервис SSH командой:

service sshd restart

Теперь мы можем полноценно залогиниться в Service Console пользователем root. Но безопасно ли так делать? Ведь работа под пользователем root несет в себе потенциальные угрозы безопасности всей виртуальной инфраструктуре в случае работы пользователя даже лишь на одном сервере ESX. Все хранилища VMFS видны одним сервером ESX кластера, и, соответственно, пользователь, обладающий неограниченными полномочиями может всю виртуальную инфраструктуру поломать, скомпрометировав все виртуальные машины.

Чтобы этого не происходило, можно отключить возможность использования команды su (повышение привилегий) и заставить пользователей (администраторов) применять команду sudo для выполнения действий административного характера с сервером VMware ESX 4.

Команда sudo была разработана специально для делегирования полномочий адмнистратора пользователям, при этом можно указывать список разрешенных к использованию администратором команд, редактируемых файлов и многое другое. Аналог этой команды в Microsoft Windows - это "run as", но у sudo - более широкий спектр настроек.

Все права пользователей, использующих sudo, настраиваются в файле:

/etc/sudoers

Для отключения возможности выполнять команду su пользователям сервисной консоли, нужно внести изменения в файл /etc/pam.d/su.
В файле /etc/pam.d/su должна быть раскомментирована запись:

auth required /lib/security/$ISA/pam_wheel.so use_uid

Теперь, когда повышение привилегий с помощью su отключено, необходимо добавить пользователя в файл sudoers для использования им команды sudo. Открываем пользователем root файл /etc/sudoers командой:

nano /etc/sudoers

И добавляем туда строчку такую строчку, если мы хотим дать пользователю возможность выполнить команду esxcfg-vswif:

<имя пользователя> ALL=/usr/sbin/esxcfg-vswif

чтобы выполнить команду от имени root, пользователю нужно будет напечатать следующее в Service Console:

sudo <команда, разрешенная в sudoers>

Например:

sudo /usr/sbin/esxcfg-vswif -l

После ввода пароля пользователя команда будет выполнена и мы увидим результат работы команды esxcfg-vswif -l, при этом, если попытаться выполнить другую команду (например, esxcfg-vmknic -l), консоль сообщит нам, что это не разрешено:

Таким образом, с помощью команды sudo и файла sudoers можно разграничивать права пользователей на выполнение административных команд на VMware ESX. Практику повышения привилегий командой su лучше не использовать - зачем давать отдельному пользователю полный контроль над всей виртуальной инфраструктурой VMware vSphere?

http://www.vmgu.ru/articles/vmware-esx-security-ssh-sudo

Как добавить драйверы в ISO-образ VMware ESXi 5: ESXi-Customizer.

Maxs — Fri, 26 Jul 2013 08:56:48 GMT

Наконец-то хоть кто-то сделал (или я только узнал) человеческую утилиту для добавления custom-драйверов в дистрибутив (ISO) сервера VMware ESXi 5. На сайте v-front обнаружилось средство ESXi-Customizer:

Утилита ESXi Customizer полностью бесплатна и имеет GUI под Windows, однако, отметим, что такой способ вставки драйверов в дистрибутив ESXi не поддерживается со стороны VMware. Во время получения финального ISO-образа ESXi вы можете прервать процесс и поменять различные параметры целевого образа (в текстовом фале):

Скачать утилиту ESXi-Customizer можно по этой ссылке. Также по теме будет интересна вот эта статья.

http://www.vmgu.ru/news/vmware-esxi-customizer-iso-drivers

Установка окружения GNOME 3 в Ubuntu 12.10

Maxs — Mon, 22 Apr 2013 08:27:20 GMT

Совсем недавно вышла Ubuntu 12.10, а вместе с ней произошел релиз Ubuntu GNOME Remix 12.10 с оболочкой GNOME Shell по умолчанию. Но вовсе не обязательно ставить GNOME Remix, чтобы пользоваться третьим гномом в Ubuntu - можно установить окружение самостоятельно на обычную Ubuntu 12.10. Для этого и предназначено данное руководство.

Установка GNOME Shell в Ubuntu

Сначала мы установим окружение GNOME Shell и приложения GNOME3, которые входят в стандартную поставку дистрибутива Ubuntu GNOME Remix:

sudo apt-get install ubuntu-gnome-desktop ubuntu-gnome-default-settings

При запросе нужно будет выбрать GDM в качестве менеджера логина по умолчанию.

Если GDM уже установлен, или вы случайно ошиблись и выбрали LightDM в качестве менеджера логина, можно выполнить следующую команду для установки GDM по умолчанию:

sudo dpkg-reconfigure gdm

Конечно же, вы можете использовать и стандартный LightDM, но тогда не все возможности GNOME 3 будут реализованы (например, не будет использован экран блокировки GNOME 3.6).

Удаление ubuntu-settings

Также по желанию можно удалить пакет ubuntu-settings. Он используется для установки настроек Ubuntu по умолчанию - например, положения кнопок управления окном или включения плагинов Rhythmbox по умолчанию. При удалении ubuntu-settings будет также удален мета-пакет ubuntu-desktop:

sudo apt-get remove ubuntu-settings

Установка GNOME Documents и Boxes

Так как стандартные приложения GNOME - Documents и Boxes - не включены в поставку Ubuntu GNOME Remix, они не будут установлены. Их можно установить при помощи команды:

sudo apt-get install gnome-documents gnome-boxes

Приложение Boxes на данный момент доступно только для 64-битных систем вследствие бага.

Обновление Nautilus и других приложений

В Ubuntu включены по умолчанию устаревшие версии некоторых приложений GNOME, в том числе и Nautilus. Для того, чтобы их поставить, нужно добавить репозитарий GNOME 3 PPA:

sudo add-apt-repository ppa:gnome3-team/gnome3
sudo apt-get update
sudo apt-get upgrade

Следующие приложения будут обновлены:

Aisleriot 3.6.0,
Brasero 3.6.0,
Nautilus 3.6.1,
Totem 3.6.0.

Скроллбары GNOME

Осталось установить только скроллбары GNOME по умолчанию. Вернее, они уже установлены, а мы просто удалим стандартные скроллбары Ubuntu (по желанию):

sudo apt-get remove overlay-scrollbar*

Теперь осталось только перезагрузиться и выбрать GNOME при логине!

http://ubuntu-news.ru/howto/ustanovka-okruzheniya-gnome-3-v-ubuntu-1210

Подключаем mod_rewrite к Apache2 в Ubuntu

Maxs — Tue, 26 Mar 2013 09:44:01 GMT

Подключаем сам модуль, в консоли:
sudo a2enmod rewrite

Редактируем конфигурацию хостов:
sudo nano /etc/apache2/sites-available/default

А именно, изменяем параметр AllowOverride None на AllowOverride All

Перезапускаем web-сервер:
sudo invoke-rc.d apache2 restart

Готово.

http://dig.org.ua/2008/01/26/mod-rewrite-on-apache2-in-ubuntu/

Icecast2 + Darkice (ubuntu 12.04 server)

Maxs — Thu, 28 Feb 2013 14:31:04 GMT

Установка:

на локальной машине:
sudo apt-get update

sudo apt-get install

icecast2

sudo apt-get install darkice

sudo apt-get install alsa alsa-tools

cp /usr/share/doc/darkice/examples/

darkice.cfg /etc/darkice.cfg

mcedit /etc/darkice.cfg

# this section describes general aspects of the live streaming session
[general]
duration        = 0        # duration of encoding, in seconds. 0 means forever
bufferSecs      = 5         # size of internal slip buffer, in seconds
reconnect       = yes       # reconnect to the server(s) if disconnected

# this section describes the audio input that will be streamed
[input]
device          = hw:0,0
#device          = /dev/snd # OSS DSP soundcard device for the audio input
sampleRate      = 44100     # sample rate in Hz. try 11025, 22050 or 44100
bitsPerSample   = 16        # bits per sample. try 16
channel         = 2         # channels. 1 = mono, 2 = stereo

# this section describes a streaming connection to an IceCast2 server
# there may be up to 8 of these sections, named [icecast2-0] ... [icecast2-7]
# these can be mixed with [icecast-x] and [shoutcast-x] sections
[icecast2-0]
bitrateMode     = abr       # average bit rate
format          = mp3    # format of the stream: ogg vorbis
bitrate         = 128        # bitrate of the stream sent to the server
server          = localhost
                            # host name of the server
port            = 8000      # port of the IceCast2 server, usually 8000
password        = пароль1   # source password to the IceCast2 server
mountPoint      = Zaporizhzhya-FM # mount point of this stream on the IceCast2 server
name            = Zaporizhzhya FM 103.7 MHz
                            # name of the stream
description     = Запоріжжя-FM
                            # description of the stream
url             = http://192.168.13.221:8000/Zaporizhzhya-FM
                            # URL related to the stream
genre           = social    # genre of the stream
public          = yes       # advertise this stream?
localDumpFile    = dump.ogg # local dump file

чтобы узнать

hw:0,0:

aplay -l

mcedit /etc/icecast2/icecast.xml