VMware Global Community
padulka
Hot Shot
Hot Shot

Check ESXi modules "VMware Signed"

ciao a tutti, ho da chiedervi se c'è la possibilità di scriptare la verifica in oggetto. Dovrei verificare che tutti i moduli attivi su ogni singolo host sono "VMware Signed" ma senza script è un'assurdità qualcuno può aiutarmi?

Grazie

5 Replies
scanda
Expert
Expert

C'è un controllo sulla guida di hardening di vmware che verifica gli acceptance level dei VIB, cerca la regola ESXi.verify-acceptance-level-accepted (l'hardening guide la trovi qui  VMware Security Hardening Guides‌ )

trovi sia i comandi per la shell che i powercli, occhio che servono solo per verificare il livello impostato sull'host e non i livelli dei singoli pacchetti.

Ricordo che se provi ad impostare un livello alto come il "vmware certified" ti da errore se sono instalalti dei VIB con dei livelli più bassi (una specie di check al contrario Smiley Happy).

Se hai utilizzato per l'installazione un esxi offline bundle (HP, Lenovo, etc ), scoprirari che ci sono pacchetti che hanno livelli bassi (tipo partner supported) e che non puoi impostare livelli più alti pena la rimozione dei VIB Smiley Sad

scanda

padulka
Hot Shot
Hot Shot

Grazie Scanda ma proprio dal file di hardening stavo partendo, il problema è che fare questa verifica su ogni host (è parlo solo di check per verificare se sono "VMware signed") è un bagno di sangue perché sono molti moduli per singolo host e mi ci vorrebbe una settimana per terminare il tutto.

0 Kudos
scanda
Expert
Expert

Sei fortunato che c'ha già pensato qualcuno Smiley Happy

qui trovi il powercli bello e pronto https://goo.gl/Ce85uw

NOTA : prima di incollare il link ho verificato cosa fa lo script, non fa nulla di strano Smiley Happy. in ongi caso non eseguire mai script incollati nei forum .... è sempre meglio verificare cosa fanno prima di eseguirli. :smileydevil:

prima di eseguirlo ti conviene connetterti al vcenter con questo cmdlet

Connect-VIServer -server vc.domain.local -User user@domain.local -Pass password

Se modifichi lo script puoi recuperare solo i dati che ti servono

scanda

padulka
Hot Shot
Hot Shot

Ciao Scanda ti ringrazio di tutta la disponibilità, sto facendo delle prove ma già fin dall'inizio trovo una differenza tra il comando:

  1. esxcli software vib list (eseguito tramite SSH)
  2. $ESXCLI.software.vib.list (avendo creato la variabile preventivamente $esxcli = Get-EsxCli -VMHost host01.domain.com)

Eppure l'output dovrebbe essere lo stesso

0 Kudos
scanda
Expert
Expert

Stiamo parlando di due diverse modalità di visualizzare gli stessi dati, se esegui il comando "esxcli software vib get" ottieni una lista con tutti i campi del VIB.

Il powerCLI ti permette di manipolare i dati con più flessibilità rispetto al comando esxcli, in ogni modo i dati sono sempre gli stessi.

In sostanza : le API richiamate sono sempre le stesse, cambia solo lo strumento con cui visualizzi l'output.

Io l'ho testato su un ambiente vsphere 6 (update 2), non so dirti se su altre versioni funziona o meno.

0 Kudos