צירוף ESXi לדומיין
חלק 1

תמלול ההרצאה: צירוף ESXi לדומיין חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «צירוף ESXi לדומיין חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו רוצים לצרף את ESX-i עצמו לדומיין כמו תחנות עבודה רגילות שהן חלק מדומיין, מניהול מרכזי גם ESX-i עצמו שמריץ מכונות וירטואליות ה-ESX-i הפיזי אנחנו רוצים לצרף אותו גם כן לדומיין במטרה לעשות לוגין עם יוזר מתוך Active Directory כי אני לא רוצה לחלק

2. 00:25

   לכולם את השם והסיסמה של רוט אני רוצה שכל יוזר כולל צוות של תמיכה טכנית ומנהלי רשת יוכלו להיכנס ל־e6 הפיזי עם היוזר שלהם. היוזר של הרוט הוא סופר סודי ואני לא רוצה לתת אותו לאף אחד.

3. 00:42

   כרגע כמובן שאם אני אעשה דבר כזה הוא יגיד לי שהוא לא יודע מי זה דיוויד הזה, כי הוא בכלל לא יודע איפה נמצא Active Directory, הוא לא חלק מ־Active Directory וזה בדיוק מה שאני רוצה לשנות.

4. 00:54

   אני רוצה ש־e6i הפיזי ידע לבדוק שם וסיסמה של יוזר מול אקטיב דירקטורי וליוזרים מורשים בלבד לתת כניסה לתוך e6i הפיזי גם בssh וגם בקונסול הרגיל באופן כללי אנחנו רוצים לנהל את היוזרים במקום מרכזי אחד באקטיב דירקטורי שם שמורה הסיסמה של היוזר ופעם בחודש או פעם בחודשיים היוזר מחליף את הסיסמה הזאת ואיך שהוא מחליף אותה

5. 01:01

   זה משתנה בכל המקומות כי למעשה כל המערכות כולל vCenter כולל e6i הפיזי כולם מסתכלים באותו מאגר מרכזי של Active Directory.

6. 01:34

   ואם יום אחד דוד יעזוב את החברה שלנו, כל מה שצריך זה לחסום את היוזר שלו ב-Active Directory, וזהו, זה ייחסם בכל המערכות. כי למעשה כל המערכות מסתכלות על המאגר המרכזי של Active Directory.

7. 01:48

   בקיצור, להשתמש בעימות מרכזי. איך עושים את זה? איך מצרפים E6I ל-Active Directory? אנחנו באים להוסט הפיזי, בקונפיגוריישן שלו, בהגדרות שלו, יש לו Authentication Services, כרגע באותיטיקיישן סרוויסס כתוב לו שהוא משתמש בלוקל אותיטיקיישן, עימות מקומי של היוזרים אצלו בדיסק.

8. 02:08

   אני לוחץ לו כפתור join domain להצטרף לדומיין, נותן לו שם של דומיין. כמובן שה-DNS של ההוסט הפיזי של ה-ESX חייב להסתכל על IP של ה-DC של הדומיין קונטרולר, כי הדומיין קונטרולר הוא גם ה-DNS.

9. 02:23

   בקיצור, הוא חייב ב-DNS להגיע לדומיין. אי אפשר לשים לו 888 או 111. אז זה כמו לצרף תחנה רגילה לדומיין, ככה אנחנו מצרפים גם את ESXI לדומיין, כמו שצרפנו את ה-VCenter לדומיין, כולם מצטרפים באופן רגיל לדומיין.

10. 02:39

    שימו לב, הוא הצטרף כאן לדומיין, בואו נראה אותו דרך אגב, איפה הוא? נבוא ל-DC שלנו, נלחץ Launch Remote Console והוא יחבר לי את המסך של ה-DC, את הקונסול שלו, הפיזי, לתוך Vimu Workstation.

11. 02:54

    כאן אני לוחץ Tools ו-Active Directory Users and Computers, או dsa.mc ובתוך האקטיב דירקטורי בניהול המרכזי שלנו בקומפיוטרס אני רואה את ה-exinode1 האם זה אומר שנצליח לעשות לוגין בואו ניגש ישירות ב-http ל-exinode1 נכתוב ad ו־david ונראה שאנחנו לא מצליחים לעשות לוגין למה כי אין לנו permissions אין לנו הרשאות ללוגין זה שהמחשב הוא חלק מדומיין לא אומר

12. 03:13

    שלכל יוזר עכשיו אפשר להיכנס ל-exi אז למי מותר להיכנס ל-XXI? לקבוצה שרשומה כאן ב-XXI Admins Group. בואו נראה מי רשום שמה. נבוא ל-XXI הראשון שלנו, ל-Configure שלו, ל-Advanced Settings, ויש פה כל מיני הגדרות שאין להן מקום בממשק גרפי בצורה יפה, סתם כתבו איזושהי הגדרה והערך שלה.

13. 03:49

    בואו נראה מה כתוב לנו ב-XXI Admin Groups. ברגע שאני עושה את זה, אני רואה שבתוך המאפיין הזה יש קבוצה בשם ESX Admins. זאת אומרת שזאת הקבוצה שה-ESX שלנו מחפש בתוך Active Directory.

14. 04:06

    אז בואו ניצור לו אותה בתוך Active Directory. נחזור ל-DC שלנו, לתוך כלי של ניהול של Active Directory. אנחנו עושים כאן בלאגן בתוך תיקייה ראשית.

15. 04:15

    במציאות הייתי מייצר OU'ים ועושה כאן קצת סדר, אבל כרגע זה פחות חשוב לי, אני עושה קבוצה חדשה, New Group, נותן לה את השם שהוא רוצה e6admins ומצרף לתוך הקבוצה הזאת ב-e6admins באד שלה נניח את דייוויד אז דייוויד חבר בקבוצה והקבוצה הזאת רשומה כאן במאפיינים של e6inode1 נהדר בוא

16. 04:42

    נבדוק אם זה עובד באים ב-HTTP לתוך e6 ישירות זה נקרא e6ihostclient בניגוד ל-VCenter כניסה ישירה ל-e6 ואנחנו נכנסים פנימה פה עם AD של דייוויד נהדר הצלחנו אבל רגע יש לי שאלה האם האדמיניסטרטור של הרשת יוכל להיכנס פנימה האם AD אדמיניסטרטור יוכל להיכנס או לא מה אתם אומרים והתשובה היא

17. 05:05

    לא כי אין לו הרשאה כי הוא לא חלק מהקבוצה היא של ESX אדמינס אם אני רוצה שהאדמיניסטרטור ייכנס פנימה לתוך ה-ESX אני צריך לצרף אותו לכאן לקבוצה אבל אצלנו בארגון קטן מי שמנהל רשת הוא כבר מנהל את הכל אין אצלנו הפרדה מישהו אחד שמנהל את הדומיין ומישהו אחר שמנהל את האסיקס אותם אנשים שמנהלים את כל היוזרים פה בדומיין הם גם מנהלים

18. 05:31

    את האסיקסים ויש לנו קבוצה שנקראת דומיין אדמינס ובתוך הדומיין אדמינס יש לנו נניח את האדמיניסטרטור ואת יוני ואנחנו רוצים שכל מי שבקבוצה הזאת של דומיין אדמינס אוטומט יוכל להיכנס לאסיקס כי דומיין האדמינס האדמיניסטרטורים של הדומיין של מתחם האבטחה הזה זה אותם אנשים שמתחזקים את האסיקס אז מה עושים פשוט מאוד מעתיקים את השם של הקבוצה Domain Admins באים ל-VCenter וכאן במקום

19. 05:58

    לכתוב ESX Admins נעשה Edit ונכתוב Domain Admins אני עושה פה פילטר מסנן לפי ESX Admins ובמקום שם הקבוצה המקורית שהייתה built-in אני מכניס שם חדש Domain Admins ועכשיו ESX יחפש יוזרים בדומיין אדמינס העדכון הזה ייקח לו דקה עוד דקה הוא יקלוט מה קרה כאן שהחלפתי לו את השם של הקבוצה והכל יסתדר בואו נחזור חזרה ישירות להוסט קליינט,