Пока не вышел патч, устраняющий эту недоработку можно прибегнуть к обходному решению:

Для ESX:

Вставить md5 в файл /etc/pam.d/system-auth

1. Логинемся как root в service console.
2. Переходим в директорию /etc/pam.d/.
3. При помощи текстового редактора (например VI) открываем файл system-auth.
4. Добавляем три символа md5 к строке password sufficient, чтобы получилось так:
   

   password sufficient /lib/security/$ISA/pam_unix.so use_authtok nullok shadow md5

5. Меняем пароль. Если пароль не сменить, ESX будет продолжать использовать “усеченный” пароль.

Для ESXi:

Тоже вставить md5 в файл /etc/pam.d/system-auth

1. Входим в Tech Support Mode, благо это теперь официально поддерживается в новой версии ESXi и о том как включить его отлично написано у Михаила.
2. Переходим в директорию /etc/pam.d/.
3. При помощи текстового редактора (например VI) открываем файл system-auth.
4. Добавляем три символа md5 к строке password sufficient, чтобы получилось так:

password sufficient /lib/security/$ISA/pam_unix.so use_authtok nullok shadow md5

5. (Опционально) Если хотим чтобы настройка применилась после перезагрузки ESXi, нужно добавить к файлику /etc/rc.local следующую строчку:

sed -e ‘/password.*pam_unix.so.* md5/q’ -e ‘/password.*pam_unix.so/s/$/ md5/’ -i /etc/pam.d/system-auth

6. Меняем пароль. Если пароль не сменить, ESXi будет продолжать использовать “усеченный” пароль.

Радостной новостью прокатилась информация по всем блогам околовиртуальной среды о выходе обновления vSphere, теперь последняя версия номеруется vSphere 4.1.

13 июля состоялась официальная презентация релиза. Хотя изменения в функционале, многие из которых давно ожидаемые, были описаны на просторах сообщества и до официального релиза, я все же повторюсь. Вот десятка наиболее интересных, на мой взгляд, изменений.

1. Очень большая работа была проделана в сторону улучшения производительности и оптимизации использования ресурсов хоста. Например скорость взаимодействия между ВМ  в пределах хоста может достигать 19 Гб/c.

 2. Переработан механизм миграции (VMotion) и время миграции сокращено до 50% на тестах в сети 10 GbE.

 3. Добавленная поддержка iSCSI адаптеров:

• 10Gb iSCSI Broadcom 57711;
• 1Gb iSCSI Broadcom 5709;

Это позволит снизить нагрузку на процессор при использовании iSCSI для операций чтения и записи боле чем на 80%.

 4. Load-Based Teaming – еще одно улучшение для балансировки сетевой нагрузки, за счет объединения физических адаптеров в vNetwork Distributed Switch.

 5. Появилась возможность нормального развертывания систем ESXi по PXE.

6. Тонкий гипервизор ESXi теперь межет загружаться по SAN (Boot from SAN).

7. Доступ через консоль (Tech Support Mode) и по SSH к ESXi  теперь официально разрешен и поддерживается и его можно включить через клиента или локально на хосте.

8. Была реализована интеграция хостов ESX/ESXi с Active Directory. Теперь к хосту можно подключаться под своей учетной записью, то есть то что было в vCenter.

9. Появилась возможность (очень долгожданная) пробрасывать USB устройства, подключенные к хосту ESX/ESXi в виртуальные машины.

10. Новый vCenter 4.1 поддерживает в ТРИ раза больше виртуальных машин, хостов и подключений vSphere клиентов чем vCenter 4.0

И это далеко не все изменения и нововведения.О том, какие изменения были сделано можно прочитать на официальном сайте – http://www.vmware.com/support/vsphere4/doc/vsp_41_new_feat.html. Так же, коллеги из российской компании VMC сделали отличный документ с описанием изменений, с которым рекомендую ознакомиться – http://www.vmc-company.ru/pdf/vmware_vsphere_41_whats_new_rus.pdf

VMware как всегда радует нас.

Сравнения решений VDI делалось не раз: Virtual Desktop Evaluation Criteria, Сравнение VMware View PCoIP и Citrix XenDesktop HDX , документ от PQR, который взят за основу данного поста, как независимый источник. Я бы хотел вынести лишь небольшой свод сравнений основных возможностей решений от Citrix, Microsoft и VMware, которые, на мой взгляд, востребованы на сегодняшний день. Сразу хотелось бы отметить, что количество возможностей еще не показатель того, какое решения является лучшим и какое нужно будет выбрать. Это зависит от многих факторов, например потребностей текущих и будущих, стратегии развития вендора и вашей организации и еще много чего. Приступим.

√ – Поддерживается/Имеется/Реализовано

~ – Частично поддерживается/Имеются ограничения

× – Не поддерживается /Не реализовано

Итак, существует две модели лицензирования – на Сервер+CAL и на Процессор+CAL. Лицензии нужны только для запущенных в текущий момент времени систем, т.е. если система установлена или хранится например в .VHD файле или на диске, но не запущена – лицензия не нужна. Так же MS определяет два типа операционной среды – Operating System Environment (OSE), в которых может быть запущена ОС Windows, это Физическая и Виртуальная. Физическая операционная среда запускается непосредственно на физической системе (оборудовании), виртуальная… ну сами понимаете – в виртуальной машине MS Virtual Server/Hyper-V/VMware ESX и т.д.

Лицензия должна быть присвоена физическому хосту, на котором будут работать OSE – это юридическое ограничение. В зависимости от выпуска в один момент времени могут быть запущено разное количество ОС в физической и виртуальной OSE.

*Лицензия Windows Web Server позволяет запуск одного экземпляра либо в физической либо в виртуальной OSE, но не вместе.

В то же время остальные выпуски позволяют одновременный запуск в обоих средах, но только если виртуальная среда развернута на том же сервере, где и физическая. Другими словами при виртуализации, которая ставиться поверх ОС Windows Server Enterprise, общее количество экземпляров ОС может равняться 5, включая хостовую. А если используется ESX, то только 4 в виртуальной OSE.

В случае кластеров отказоустойчивости, распределения нагрузки или для использования VMotion, всем физическим серверам в кластере должна быть присвоена лицензия.

Пример. Имеем два хоста ESX, хотим разместить 8 ВМ, по 4 на каждом. Тогда нужно 2 лицензии Windows Server Enterprise.

Хотим использовать vMotion, тогда сокращаем количество виртуальных машин до 4, по 2 на каждый хост, или увеличиваем количество хостов до трех и покупаем еще одну лицензию Windows Server Enterprise. Хотим иметь больше ВМ на одном хосте – покупаем Windows Server Datacenter.

Подробнее прочитать о лицензировании Windows Server в виртуальной среде можно в документе – Licensing Microsoft Windows Server 2008 to Run with Virtualization Technologies (DOCX, 1.35 MB).

Данная возможность использует технологию Trusted Platform Module (TPM) добавляя слой защиты к VMKernel. VMKernel или гипервизор – самый критичный компонент сервера виртуализации, который может поставить под угрозу работу и данные виртуальных машин, запущенных на этом сервере. VMware разработала новый механизм проверки целостности гипервизора на уровне как оперативной памяти так и дисковой подсистемы. По словам VMware это:

«VMkernel Protection – As part of ongoing efforts to protect the hypervisor from common attacks and exploits, mechanisms were introduced to assure the integrity of the VMkernel and loaded modules as they reside on disk and in memory. Disk-integrity techniques protect the boot-up of the hypervisor using the Trusted Platform Module (TPM), a hardware device embedded in servers. To ensure the authenticity and integrity of dynamically loaded code, VMkernel modules are digitally signed and validated during load-time. These disk integrity mechanisms protect against malware, which might attempt to overwrite or modify VMkernel as it persists on disk. VMkernel also uses memory integrity techniques at load-time coupled with microprocessor capabilities to protect itself from common buffer-overflow attacks that are used to exploit running code. These techniques create a stronger barrier of protection around the hypervisor. See the ESX Configuration Guide and the ESXi Configuration Guide.»

«VMkernel Protection – как часть мер, направленных на защиту гипервизора от атак и эксплойтов, механизм предназначенный для проверки целостности VMKernel и загружаевых модулей, расположенных в памяти и на диске. Целостность диска защищает гипервизор на этапе запуска, используя специальное, встроенное в сервер, устройство – Trusted Platform Module (TPM). Для уверенности в подлинности и целостности динамически загружаемого кода, модули VMKernel проверяются и подписываются (цифровой подписью) во время запуска. Этот механизм защищает от вредоносных программ (malware) которые могут перезаписать или модифицировать VMKernel. Наряду с используемой в микропроцессорах защиты от обычных атак переполнения буфера, VMKernel проверяет оперативную память при запуске. Использование этих техник позволяет построить защиту гипервизора. Чтобы узнать больше смотрите the ESX Configuration Guide и the ESXi Configuration Guide.»

TPM – это спецификация, разработанная организацией Trusted Computing Group (TCG), которая использует криптографические ключи для защиты данных. Специальный TPM чип, в котором записан уникальный RSA ключ, проверяет софт на предмет изменений. vSphere может использовать этот чип подписи модулей VMKernel и проверки во время старта системы. Похожая реализация была использована Microsoft (Windows File Protection), для защиты критичных для работы Windows файлов.

Intel и AMD интегрируют TPM, как и другие технологии, в процессоры и чипсеты. У Intel эта технология называется Trusted Execution Technology (TXT) которая была доступна некоторое время, у AMD это Secure Execution Mode, которая не получила широкого распространения. Для работы TPM необходим процессор и чипсет с поддержкой специальных инструкций. TPM использует так называемые Platform Configuration Registers (PCR) – контейнеры которые могут хранит 160-битные значения, и используются следующим образом:

• При загрузки все PCR-ы инициализируются и принимают значения 0 или -1
• Приложения могут проводить сравнения чего-либо на основе значений хэша этого «чего-либо».
• Результаты сравнений записываются в PCR, этот процесс называется “extending the PCR”.
• PCR-ы могут быть расширены несколько раз, пока не достигнут конечного значения.
• Каждый сегмент кода сравнивается на контрольных точках.
• В PCR-ах аккумулируются сравнения исполняемого кода с начала загрузки системы.
• Значения PCR-ов могут быть подписаны ключами, хранимыми в TPM.
• Состояние системы может быть проверено из хэшей, хранимых в PCR-ах.

Работу технологии трудно описать в нескольких словах, поэтому для тех кто хочет познакомиться с ней поближе есть ссылки в конце статьи.

«Решив проверить технологию в действии, я заказал чип TPM для одного из наших серверов. Сам чип оказался недорогой, его стоимость для сервера HP составила $39, и представляет собой небольшую микросхему, которая вставляется в специальный разъём на материнской плате»- пишет Eric.

Так же в коробке присутствовала крепеж, который выполняет функцию защиты, т.е. если его снимали после установки, это будет заметно.

После того как чип установлен, в BIOS сервере появляются новые опции связанные с безопасностью.

Получив и установив чип, Eric вернулся к документации по vSphere чтобы настроить его. Проблема была в том, что небыло написано как настроить эту новую возможность и ESXi configuration guide содержал только один абзац о TPM:

«This module is a hardware element that represents the core of trust for a platform and enables attestation of the boot process, as well as cryptographic key storage and protection. As part of the boot process, ESXi measures the VMkernel by the TPM, and changes to the VMkernel are logged from one boot to the next. Measurement values are propagated to vCenter Server, and can be retrieved by third-party agents using the vSphere API».

Из которого можно понять что, как уже было сказано, TPM это аппаратный модуль, используя который ESXi отслеживает изменения на этапе загрузки в VMKernel и передает данные об этих изменениях в vCenter Server, и могут быть получены агентами сторонних приложений через vSphere API.

Обратившись к VMware с вопросами об использовании этой возможности, Eric получил следующую информацию:

• TPM поддерживается только с ESXi;
• В BIOS должен поддерживаться TCG. TXT включается в BIOS’е. После включения этой опции необходимо в UI Advanced configuration, у ESXi хоста включить функцию tboot. Для этого хост должен быть подключен к vCenter.
• Для мониторинга работы TPM могут быть использованы несколько логов, которые показывают значения PCR, относящихся к TPM. Например, если TXT активирован, то возвращается значение в PCR19, если TPM установлен в системе но TXT не используется – возвращается значение в PCR8, во всех других случаях PRC возвращается как NULL.
• На сегодняшний день может не оказаться промышленных серверов с поддержкой TXT.

Поискав значение tboot, и не обнаружив (как и я) его или что-либо похожее в Advanced Settings, Eric приходит к выводу, что TPM – технология, которая может дать новые возможности защиты VMKernel, пока не готова к использованию. Даже если и есть способ включить ее, нет существующих способов эффективного ее использовать. Возможно, VMware или другие вендоры, в настоящий момент трудятся над разработкой инструментов использования данной технологии и уже в ближайшем будущем они появятся.

• Introduction to the TPM 1.2
• Trusted Computing Group. TPM Specification version 1.2
• Thoughts about Trusted Computing – Joanna Rutkowska
• On ESX/ESXi 4.0, A TPM-related warning is issued even though TPM is unavailable on the system (KB article)
• Data security in HP ProLiant servers using the Trusted Platform Module and MS Windows BitLocker Drive Encryption
• Trusted Computing Platforms (YouTube video)
• IDF 2009: “Intel Trusted Execution Technology — A Building Block for Enterprise Security (YouTube video)
• Trusted Execution Technology (TXT) with VMware and HyTryst Demo (YouTube video)
• VMworld 2009: ” Intel Server Security Technologies” (YouTube video)

• Windows Server 2008 R2
• Windows Server 2008
• Windows Server 2003
• Red Hat Linux (RHEL) 5

Прирост производительности в некоторых случаях может составлять:

• Для Fibre Channel – от 10% доя 30%
• Для iSCSI – до 25%

Прирост производительности будет заметен, только если сравнивать ВМ при действительно больших нагрузках. То есть при производительности около 2000 IO в секунду разницы заметно не будет, об этом говориться в статье 1017652, КВ VMware:

“The test results show that PVSCSI is better than LSI Logic, except under one condition – the virtual machine is performing less than 2,000 IOPS and issuing greater than 4 outstanding I/Os.”

Но при больших нагрузках, например при 350 000 IO в секунду VMware в своих тестах получили 12% прирост производительности и 18% снижение нагрузки на процессор.

Не получиться использовать PVSCSI при использовании Fault Tolerance или Microsoft Cluster Service (MSCS).

Начать использовать PVSCSI можно как для новых ВМ так и для уже созданных.

Для новых ВМ процесс создание ничем не отличается:

1. При создании ВМ выбираем Custom конфигурацию

2. После ввода названия и выбора хранилища, на шаге Virtual Machine Version необходимо убедиться, что выбрана версия 7.

3. На следующем шаге будет предложено выбрать гостевую ОС а затем тип SCSI контролера. Выбираем VMware Paravirtual. Если выбранная ОС не поддерживает или некорректно работает с PVSCSI то рядом с типом контроллера мы увидим (not recommended for this guest OS).

4. Дальше все как обычно: заканчиваем создание ВМ, подключаем образ диска запускаем установку. После загрузки с установочного диска, например при установке Windows Server 2008 R2, мы увидим что в нашей системе нет установленных дисков.

5. Но это лишь говорит о том что на установочном диске небыло обнаружено подходящего драйвера и его нужно будет загрузить. Для этого подключаем к виртуальному floppy дисководу, главное не удалить его при создании ВМ, образ дискеты. Кликаем на значке дискеты в окне консоли и выбираем пункт Connect to floppy on datastore…

В появившемся окне необходимо выбрать образ из папки vmimages. Выбираем необходимы драйвер и возвращаемся к установке ОС.

6. Нажимаем Load Driver и выбираем папку на floppy диске в соответствии с процессором.

7. После загрузки драйвера Диск в окне отобразиться и можно продолжить привычный процесс установки.

PVSCSI можно добавлять не только при создании ВМ но и к уже работающим. Для этого в гостевой ОС должны быть установлены VMware Tools.

1. Для начала заходим в свойства ВМ (правой клавишей по ВМ и выбираем Edit Settings) и добавляем новое устройство (кнопка Add).

2. В появившемся окне выбираем из списка Hard Drive.

3. После указания размера и расположения диска обязательно потребуется указать к какому SCSI адаптеру (Virtual Device Node) будет подключён новый диск. Необходимо будет учесть, что PVSCSI диск должен быть подключен к тому же адаптеру что и системный диск, который по умолчанию находиться на ноде SCSI 0:0. В нашем случае новый диск подключаем как ноду SCSI (1:0).

4. Как только мы сохраним изменения, в списке устройств ВМ появятся два новых – новый SCSI контроллер и новый диск.

5. Теперь выбираем новый SCSI контроллер и нажимаем кнопку Change Type. В появившемся окне выбираем тип VMware Paravirtual и нажимаем ok.

6. После перезагрузки в управлении дисками (Disk Manager) появиться новый диск.

Если еще не установлен vCLI, качаем и устанавливаем его. Запустив, переходим в папку bin.

Используем команду vmkfstools.pl для создания диска:

vmkfstools.pl –server <IP адрес сервера ESX> -c 10G -d eagerzeroedthick /vmfs/volumes/lab/shared.vmdk -a lsilogic

Для каждой ВМ проходим процесс добавления диска:

1. Заходим в “Edit Settings”

2. Кликаем “Add…”

3. Выбираем Hard Disk.

4. Подключаем созданный ранее диск.

5. Меняем значение “virtual device node” в разделе Advanced Options на неиспользуемый порт, Например SCSI (1:1):

6. Возвращаемся в Edit Setting и меняем свойство “SCSI Bus Sharing” нового контроллера на “Physical”:

7. Повторяем те же действия для другой ВМ.

После запуска обоих ВМ можно инициализировать и использовать общий диск.

И первые шаги в этом направлении уже делает Михаил – первый (по моему мнению) казахстанский блоггер, который пишет о виртуализации. Он создал группу в социальной сети для профессионалов и приглашает подключаться. Те, кто еще не знаком с его блогом, знакомтесь – http://vm.pro-it.kz

И первые шаги в этом направлении уже делает Михаил – первый (по моему мнению) казахстанский блоггер, который пишет о виртуализации. Он создал группу в социальной сети для профессионалов и приглашает подключаться.

Компания VMware планирует убрать из доступных для скачивания на сайте продуктов, следующие:

• ESX 3.5 versions 3.5 GA, Update 1, Update 2, Update 3 and Update 4
• ESX 3.0 versions 3.0 GA, 3.0.1, 3.0.2 and 3.0.3
• ESX 2.x versions 2.5.0 GA, 2.5.1, 2.5.2, 2.1.3, 2.5.3, 2.0.2, 2.1.2 and 2.5.4
• VirtualCenter 2.5 GA, 2.5 Update 1, 2.5 Update 2, 2.5 Update 3, 2.5 Update 4 and 2.5 Update 5
• VirtualCenter 2.0

Они будут доступны до мая 2010, так что поторопитесь скачать. Официальное объявление можно причитать тут – www.vmware.com/support/policies/lifecycle/vi.

Так же будет официально прекращена основная (general) поддержка для этих продуктов в этом году. Расширенная (Extended) поддержка будет осуществляться в течении еще 3 лет для следующих продуктов:

• ESX 3.5 Update 5
• ESX 3.0.3 Update 1
• Virtual Center 2.5 Update 6 (ожидается в начале 2010)

Подробнее и удобнее о сроках поддержки для продуктов VI3 в табличке на сайте VMware – http://www.vmware.com/support/policies/lifecycle/vi/eos.html

Так же существует несколько таблиц, по которым можно определить сроки поддержки продуктов VI3.

Например, если у продукта была два минорных релиза, то совокупный срок поддержки будет 9 лет.

• General Availability – момент выхода основного релиза (пример обозначения ESXi 3.0);
• Minor Release – дополнения к основному релизу, которое включает незначительные изменение или дополнения функционала. (Например ESXi 3.1);
• Maintenance Release – релиз с исправлением ошибок. (Например ESXi 3.0.3)

Разница между типами поддержки в таблице ниже.

Основное назначение – интернет, почта просмотр фильмов и фотографий, но по сути это ноутбук в корпусе увеличенного iPhone:

Габариты:
Длина: 242.8 mm
Ширина:  189.7 mm
Высота:  13.4 mm
Вес: 680 грамм;

Экран: Multi-Touch с LED-подсветкой диагональю 9.7-дюйма.
Разрешение 1024х768, с 132 ppi (пикселами на дюйм).

Объем встроенной flash-памяти: 16GB, 32GB, или 64GB.

Процессор: 1GHz A4 специально разработанный Apple, высоко-производительный, с низким энергопотреблением.
Ресурс батареи до 10 часов при работе Wi-Fi, просмотре видео или прослушивании музыки; зарядка через адаптер или USB порт компьютера. ну а цена в штатах – от $499.