Búsqueda de sitios web

VMWare vSphere: administración de la configuración de caducidad de la contraseña

De vez en cuando en la interfaz de vSphere Client me encuentro con la notificación:

Your password will expire in xx days

. Decidí aprender cómo administrar políticas de contraseñas en VMWare vSphere, cómo cambiar la hora en que aparece una notificación de caducidad de contraseña para usuarios locales y de dominio de vSphere y establecer la configuración de contraseña para que algunos usuarios nunca caduquen. Esto es lo que he encontrado.

Política de contraseña y bloqueo en VMWare Single Sign On (SSO)

En mi caso, decidí deshabilitar la caducidad de la contraseña para el usuario local administrador@vcenter.local (ya que nadie trabaja con esta cuenta local de forma permanente y los administradores de vSphere se autentican con sus cuentas de dominio de Active Directory).

De forma predeterminada, la política de SSO se aplica a los usuarios locales de vSphere, lo que requiere que se cambie la contraseña de usuario cada 90 días.

Puede encontrar la configuración de la política de contraseñas de SSO en la siguiente sección de vSphere Client: Administración -> Inicio de sesión único -> Configuración.

Como puede ver en la pestaña Política de contraseñas, los siguientes requisitos se aplican a las contraseñas de todos los usuarios locales de vCSA:

  • La longitud mínima de la contraseña es de 8 caracteres (máximo: 20 caracteres);

  • Una contraseña caduca en 90 días (vida útil máxima);

  • Las últimas 5 contraseñas no se pueden reutilizar;

  • Algunas restricciones de complejidad de contraseña.

Haga clic en Editar y cambie la configuración de la política. Por ejemplo, puede cambiar Vida útil máxima a 365 (significa que debe cambiar las contraseñas una vez al año) o ingresar 0 aquí (lo que significa que la contraseña no esté caducada).

Cambie la configuración de caducidad de la contraseña para que nunca caduque para los usuarios locales de VMWare vCSA

Si no desea cambiar su política de contraseñas para todos los usuarios de vCenter, puede cambiar la política de contraseñas y la configuración de caducidad para el usuario específico. Por ejemplo, desea configurar la contraseña para el backup_user local para que nunca caduque. Para hacerlo, conéctese a su host vCSA usando el cliente SSH.

Habilite el acceso SSH a vCSA en la sección Acceso -> Inicio de sesión SSH -> Habilitado de Administración de dispositivos (

https://your_vcenter_name:5480/ui/access

).

Necesitará la herramienta dir-cli , que se encuentra en /usr/lib/vmware-vmafd/bin/.

cd /usr/lib/vmware-vmafd/bin/

Compruebe que el usuario local existe:

./dir-cli user find-by-name --account backup_user
Enter password for administrator@vcenter.local:
Account: backup_user
UPN: backup_user@VCENTER.LOCAL/

Puede cambiar la contraseña de este usuario:

./dir-cli password reset --account backup_user --password OldBackupP@$$ --new NewBackupP@$$

O puede configurar la contraseña para que nunca caduque:

./dir-cli user modify --account backup_user --password-never-expires
Enter password for administrator@vsphere.local:
Password set to never expire for [backup_user]

Caducidad de la contraseña raíz en vCenter VCSA

Cuando instala vCenter Server Appliance, la vigencia de la contraseña para el usuario raíz se establece en 365 días (vCenter 6.5 o anterior) o 90 días (vSphere 6.7). Entonces, root también está sujeto a la política de caducidad de la contraseña.

Puede ver la configuración de la política de contraseñas en vCSA Appliance Management (

https://your_vcenter_name:5480/ui/access

). Vaya a la sección Administración y compruebe los valores en la sección “Configuración de caducidad de la contraseña”.

  • La contraseña caduca: Sí

  • Validez de la contraseña (días): 90

  • La contraseña caduca el: 13 de junio de 2020 a las 2:00:00 a. m.

Puede cambiar la configuración de caducidad de la contraseña para root o configurarla para que nunca caduque (si su valor es 0).

También puede verificar la configuración de caducidad de la contraseña raíz desde su consola vCSA:

chage -l root

Last password change : Mar 15, 2019
Password expires : Jun 20, 2019
Password inactive : never
Account expires : never
Minimum number of days between password change : 0
Maximum number of days between password change : 90
Number of days of warning before password expires : 7

Es interesante que la interfaz de administración de dispositivos vCSA no solicite a la raíz que cambie la contraseña ni muestre ninguna advertencia de vencimiento de la contraseña.

Sin embargo, si intenta actualizar vCenter Server Appliance, es posible que encuentre el siguiente mensaje de error:

Appliance (OS) root password is expired or is going to expire soon. Please change the root password before installing an update.

O al intentar cambiar la contraseña raíz vencida en vCSA Appliance Management, puede aparecer una advertencia:

Permission Denied. Set the maximum number of days when the password will expire. Administrator configuration updated successfully.

En este caso, debe cambiar la contraseña de root en la consola de vCSA con este comando:

passwd

Cambiar la configuración de notificación de caducidad de contraseña en VMWare vCenter

De manera predeterminada, una notificación de contraseña que expira en un vCenter Client comienza a aparecer 30 días antes de que expire.

Si los usuarios se autentican en vCenter mediante sus cuentas de AD, se aplica la política de contraseñas de dominio para las contraseñas de los usuarios. Un usuario verá una notificación que le pedirá que cambie la contraseña 30 días antes de que caduque. Entonces, si la política de su dominio impone el cambio de contraseña una vez cada 30 días, los usuarios de VMWare vCenter ven constantemente una advertencia molesta

Your password will expire

En vCSA puede configurar cuántos días antes de que caduque la contraseña, un usuario verá esta notificación.

Si usa el cliente HTML5 de vSphere, esta configuración se especifica en el archivo de configuración en el servidor de vCenter Server Appliance:

/etc/vmware/vsphere-ui/webclient.properties

Abra el archivo y busque el parámetro sso.pending.password.expiration.notification.days.

Cambie su valor a 7. Significa que la notificación de caducidad de la contraseña aparecerá 7 días antes de que suceda. Luego reinicie su cliente de vSphere:

service-control --stop vsphere-ui
service-control --start vsphere-ui

Si está utilizando el cliente web anterior (Flex), deberá cambiar el valor del parámetro sso.pending.password.expiration.notification.days en el

/etc/vmware/vsphere-client/webclient.properties

archivo.

Después de haber editado la configuración, reinicie el servicio del cliente web:

service-control --stop vsphere-client
service-control --start vsphere-client

Artículos relacionados