さっしーの試してみるか3

2022年10月10日月曜日

Hyper-V VMの仮想TPM用証明書をフェールオーバークラスターの全ノードに配置する

またひとつ、勉強になった件。

とある理由により、仮想マシンにWindows 11 Enterpriseを入れたわけです。Windows 11は、TPMが必要なので、仮想マシンハードウェアで仮想TPMを有効化しました。

で、これらの仮想マシンは、Azure Stack HCI OSによるAzure Stack HCIクラスターで動作しています。

この仮想マシン群が、うまくライブマイグレーションしないことに気づきました。
フェールオーバークラスターマネージャーでイベント出てます。

当該Hyper-Vノードのイベントログにもちらりほらりとイベントが出ています。

で、色々見ていく中で、下記のイベントを見つけました。

イベントID 24008, Microsoft-Windows-Hyper-V-VMMS

The version of the device 'Microsoft Virtual TPM Device' of the virtual machine 'g2w11e02' is not compatible with device on physical computer 'CONTOSOAX64001'. (Virtual machine ID 8A7E2A27-631D-4038-9993-40BCED805E48)

検索してみました。

1番の内容にぴったりくるような。。。

たしかに、それぞれのHyper-Vノードには、それぞれのHyper-Vホスト名の証明書しかないですね。

ということで、別Hyper-Vノードの証明書二つを下記パスにインポートしなければならないようです。

LocalMachine\Shielded VM Local Certificates\

Windows Admin Center (WAC)からエクスポートします。が、pfx形式がないけど大丈夫かな。

うまくいかないぞ。。。

項番1の最後に書いてある通り、秘密キーも持って行かないと駄目です。WACからだとpfxを選べないので、秘密キーが含まれておらず、やはり失敗しました。。。

証明書ストアから、別ホストの証明書を削除しますが、その際、自ホストの証明書を消さないように気を付けましょう！

で、上記項番1からだとった下記ページにあるcertutilでエクスポートしてみます。

Hyper-V 2016 Shielded Virtual Machines on Stand-Alone Hosts

certutil -store “Shielded VM Local Certificates”

を実行

Hyper-V 2016 Shielded Virtual Machines on Stand-Alone Hostsにあったエクスポート用のパスワードを流用させていただきつつ、シリアル番号を指定して、pfx形式でエクスポートします。

エクスポートを他方のHyper-Vノードでも繰り返します。

続いて、エクスポートしたpfx形式の証明書を他方のHyper-Vノードへインポートします。
certutil -importPFX "Shielded VM Local Certificates" 証明書ファイルへのパス\証明書ファイル名.pfx

別のHyper-Vノードでもインポートを行います。そうすると各Hyper-Vノードで同じ証明書が配置されることになります。これでライブマイグレーションの準備完了かな。

仮想TPMを使っている仮想マシンをライブマイグレーションしてみます。

問題無いですね。

以上

2022年10月9日日曜日

Windows Admin Center拡張であるDELL OpenManage Integration 2.3.0によるファームウェアやデバイスドライバーのアップデート

DELL OpenManage Integration 2.3.0によるファームウェアやデバイスドライバーのアップデートを見ていきます。

※この機能は、正規ライセンスがあればAzure Stack HCIで使用可能です。

DELL OpenManage Integrationのアップデートで、コンプライアンスレポートを生成します。

生成されたコンプライアンスレポートは、ノードごとに状況確認できます。

ファームウェアやデバイスドライバーのサポートマトリックスに基づいて、満足しているかそうでないかを表示していますね。この場合だと、BIOSなどが逆に新しくしすぎてしまいました。。。

概要画面、クラスター認識型アップデート画面に進んでサポートマトリックスに合わせた形でファームウェアやデバイスドライバーのバージョンを揃えます。

※クラスター認識型アップデートを使う場合、クラスター対応更新(CAU)をあらかじめ構成しておきます。

以下、ファームウェアやデバイスドライバーのアップデート中です。

実は、仮想マシンに対する設定がよろしくなくて、一度失敗してます。（この事象は、別稿でまとめました）

再実行させて、片系ノードの再起動が走りました。

BIOSバージョンをサポートマトリックスにそろえるために処理が走ってました。

続いてもう片系のアップデートを行っています。

アップデート完了しました。

コンプライアンスレポートが再生成されました。すべて準拠になってますね。

Windows Admin Center拡張であるDELL OpenManage Integration 2.3.0

標記でできることが増えています。各画面を貼っておきます。画面キャプチャは、Azure Stack HCI認定ハードウェアで採取しました。

正常性

インベントリー

クラスターマネージャーから表示しているので、ノードをクリックすれば各ノードのインベントリーが表示されます。

iDRAC

クラスターマネージャーから表示しているので、ノードをクリックすれば各ノードのiDRAC接続リンクなどが表示されます。

セキュリティ

これは、2.2から追加された機能でした。セキュアコア(Secured-core server)とインフラストラクチャロック(Infrastructure lock)の二つで構成されています。

セキュアコア(Secured-core server)

インフラストラクチャロック(Infrastructure lock)

アップデート

ファームウェアやデバイスドライバーをアップデートします。詳しくは別稿で流れを解説します。

Azure

これは、2.3から追加された機能です。Azure Policyでハードウェア周りを統制するための機能です。具体的な構成方法は、調べないと。

HCPコンプライアンス

これは、2.3から追加された機能です。2.3のリリースノートから引用すると「HCP（HCI Configuration Profile）ポリシーを使用したHCIクラスタの検証および修復」ということです。具体的な構成方法は、調べないと。

設定

コンピューティングリソース、クラスターの拡張、ストレージ拡張のサブメニューがあります。

コンピューティングリソース

クラスターの拡張

こちらからノード追加できそうですね。

ストレージ拡張

ノードに接続されている物理ストレージを表示できます。ストレージの拡張もできそう。

設定

アップデートに対する設定である「アップデートツール」、「プロキシ設定」のサブメニューがあります。

アップデートツール

アップデート導入ツールと、ハードウェアインベントリー収集ツールについて設定できます。

プロキシ設定

OpenManage Integrationは、Windows Admin Centerのプロキシ設定と別にプロキシ設定が必要です。

情報

OpenManage Integrationのバージョン、ビルド番号などを確認できます。

2022年10月8日土曜日

Windows Admin Center in Azure for Azure Stack HCIでは、ハードウェアに依存するWAC拡張も使えません

私も発表させていただきましたが

Windows Server ＆ Cloud User Group Japan 第31回

で、オンプレミス版との違いが解説されています。

そういえば、もう一つ違いがあることを思い出しました。

ハードウェアに依存するWindows Admin Center拡張（WAC拡張）も使えません。

ハードウェアに依存するWAC拡張の一つとして、「DELL OpenManage Integration」があります。下記画像は、サーバー単体で動作している状態を画面キャプチャしたものです。

Azure Stack HCI OSが稼働するAzure Stack HCIクラスターでの画面キャプチャです。

ということで、オンプレミス版では、Azureとのハイブリッド利用、ハードウェアに依存といったWAC拡張が追加で使えるということです。この部分を省略したのが
WAC in Azureです。Windows Server ＆ Cloud User Group Japan 第31回でも説明があったように、WAC in Azureは、サーバー管理やクラスター管理に必要な一通りの機能を持っています。

WAC in Azureとオンプレミス版WACの違いを理解する一助となれば幸いです。

2022年10月1日土曜日

Windows Admin CenterのCSVの画面で、ストレージ同期ジョブや重複除去ジョブの状況が把握できる

Windows Server 2019 HCIへパッチ適用を実施している中で気が付きました。CSVの画面で、ストレージ同期ジョブや重複除去ジョブの状況が把握できるのですね。グレーの帯部分に着目してみてくださいね。

補足）CSVの一覧では、これまでも「修復が必要」ということで、ストレージ同期ジョブが動作している旨、分かるようになっています。

Windows Admin Center in Azure for Azure Stack HCIへの権限付与

Windows Server ＆ Cloud User Group Japan 第31回資料「Windows Admin Center 2208 PreviewとWindows Admin Center in Azure」を公開します。

と

Windows Server ＆ Cloud User Group Japan 第31回セッションビデオ「Windows Admin Center 2208 PreviewとWindows Admin Center in Azure」を公開します。

でお話しした内容その2です。

Windows Admin Center in Azure for Azure Stack HCI でも「リソースレベルで閲覧者と Windows Admin Center 管理者ログイン/Windows Admin Center Administrator Loginのアクセス許可が必要です。」という要件が必要である旨、記載されています。

Azure Stack HCIクラスター

ですが、上記セッション資料での机上デモンストレーションは、権限無しでもアクセスできています。。。

気になったので、リソースのアクセス権限をみました。

現状は、権限ないままですね。

で、WAC in Azureは使えています。

いずれ、必要とされる権限がないと、アクセスできなくなるのでしょうが、現時点ではまだ過渡期ということなのかもしれませんね。

2022年9月26日月曜日

Windows Admin Center in Azureで権限付与が必要になってますよ

Windows Server ＆ Cloud User Group Japan 第31回資料「Windows Admin Center 2208 PreviewとWindows Admin Center in Azure」を公開します。

と

Windows Server ＆ Cloud User Group Japan 第31回セッションビデオ「Windows Admin Center 2208 PreviewとWindows Admin Center in Azure」を公開します。

でお話しした内容です。

「リソースレベルで閲覧者と Windows Admin Center 管理者ログイン/Windows Admin Center Administrator Loginのアクセス許可が必要です。」という要件は、下記の各々に記載されています。

上記セッション資料では、Azure IaaS VMとAzure Arc対応サーバーで、セットアップの流れとして、Windows Admin Center 管理者ログイン/Windows Admin Center Administrator Loginのアクセス許可をご説明しました。

以前のWindows Admin Center in Azure (WAC in Azure)からの変更点となります。本稿でも、Azure IaaS VMを例にその流れを振り返ってみます。

[Windows Admin Centerをインストールすために送信ポートを開く]のみチェックし、[インストール]をクリック

セットアップが終わるまでしばし待ちます。
権限付与のため、[Windows Admin Center Administrator Login]の帯をクリック
リソースのIAMから、下記画面の中ほどにある[ロールの割り当ての追加]をクリック
[Windows Admin Center Administrator Login]をクリック後、[次へ]をクリック
ロールに追加するメンバー選択後、[次へ]をクリック
[レビューと割り当て]をクリック
ロールの割り当てを確認
再び、Windows Admin Center in Azureに戻ると、接続先の指定画面
AzureのプライベートIPアドレスが接続先であることを確認し、[接続]をクリック
Windows Admin Center in Azureの画面が表示されます。