LSI SMI-SプロバイダでvCenterから見えなくなる

前回投稿したNECサーバですが、現地で監視システムを設定する際に見事にハマりました。

作業概要としては
1) ESMPRO/ServerManagerのインストール
2) 被管理対象装置におけるアラート設定
3) エクスプレス通報サービス(MG)のインストール
4) エクスプレス通報サービス(MG)の初期設定
5) 被管理対象装置の搭載RAIDシステム用ドライバに切替

ESMPRO/ServerManagerはWindowsサーバ
被管理対象装置はESXi6.0が3台
ESXiホストにハードウェア障害が発生するとWindowsサーバを中継してNECに通報されるというものです。

今回は5)がポイントで、使っているRAIDコントローラによってESXiが使用するRAIDコントローラドライバの切替が必要なんです。ただNECのマニュアルがすごく分かりにくくて作業時はLSI SMI-Sプロバイダを入れたらいいと思っていました。

LSI SMI-S プロバイダ (VMware ESXi 5/6版)
http://support.express.nec.co.jp/dload/321071-A01/

ここからダウンロードし、解凍andインストールしESXiホストのOSを再起動

esxcli software vib install -v vmware-esx-provider-lsiprovider.vib

少し待ってESXiが起動してきてもvCenterで確認できない状態となりました。
そこで確認したのは
・pingは返答あり
・sshでログイン可能
・再度OS再起動しても同じ状態

ユーザ様の業務都合で、停止時間を短くしないといけない状況だったので状況確認に時間がとれず、取り急ぎ

esxcli software vib remove -n lsiprovider
reboot

で復旧させました。
RAID状態はESMPRO/ServerManagerでは参照せずに本体LEDとvSphere Clientで確認してもらう運用となりました。

現状発生時に以下も見たかったが、復旧優先せざるを得なかったのが残念です。
・vCenterではなくホスト単体にvSphere Clientでの接続
・ESMPRO/ServerManagerでRAID状態が取得できているか
・ディスクドライバが何を使っているのか、切替てどうか
lsi_mr3からmegaraid_sasへの変更例

vmkload_mod -l | grep lsi_mr3
vmkload_mod -l | grep megaraid_sas
esxcli system module set --enabled=false --module=lsi_mr3
esxcli system module set --enabled=true --module=megaraid_sas
reboot

esxcfg-advcfgコマンドの違和感

NECサーバのESMPRO/ServerManagerでESXi5以降のRAIDシステムを管理する際にはhhrcwrapperを無効化することが強く推奨されています。
コマンド実行例として以下コマンドがマニュアルに記載されています。

esxcfg-advcfg -s 0 /UserVars/CIMvmw_hhrcwrapperProviderEnabled
/etc/init.d/sfcbd-watchdog restart

enableを0にしてwatchdog再起動って分かりやすいですよね。

でも、ここで大きな違和感！

ESXiには/UserVarsなんてパスは存在しません。
マニュアルに記載しているからといって存在していないものに対してエンターを押したくないです。

ls /UserVars
ls: /UserVars: No such file or directory

vSphere Web Clientで探すと [管理] > [設定] > [詳細なシステム設定] に
UserVars.CIMvmw_hhrcwrapperProviderEnabledがありました。

変更結果を確認する手段を見つけたのでコマンドで変更してみると無事0になりました。
やはり複数台同じ作業をするのはCUIの方が優れているので、コマンドを用意してもらえるのは
有り難いのですが、このパス記述は如何なものかと思いました、

コマンドでハードウェア情報を参照する

シェルスクリプト等で参照できたら便利なものを記載しておきます。

ホスト名(書くまでもないが)

hostname -s

シリアルナンバー

system_profiler SPHardwareDataType | awk '/Serial/ { print $4; }'

ハードウェアUUID

system_profiler SPHardwareDataType | awk '/UUID/ { print $3; }'

MACアドレス

ifconfig en0 | awk '/ether/{print $2}'

2週間後にADログインできなくなる

Active Directoryにバインドする際に、ドメイン管理者権限で参加するとドメインコントローラのグループポリシーを無視してコンピュータアカウントのパスワードが変更されます。
macOSではデフォルトが14日になっています。
文教市場ではHDD保護やネットブートが多数あることからActive Directoryのコンピュータアカウントのパスワードは変更しないようにしている場合が多いです。

ですので、設定後の動作確認ではログインできていたのに、2週間後にドメインユーザでログインできなくなるという時限爆弾の現象が発生してしまいます。
（バインドする度に14に戻るといういたずらっ子ですので注意しましょう）

設定確認

dsconfigad -show

コンピュータアカウントのパスワード有効期限を無期限にする

dsconfigad -passinterval 0

使用しない状態が...分間続いたらログアウト

macOSには「使用しない状態が...分間続いたらログアウト」という機能があります。
GUIでは [システム環境設定] ＞ [セキュリティとプライバシー] ＞ [詳細] にあります。
これを一斉に変更したいことがありましたので調べました。
（sleepとかdisplaysleepを変更するpmsetコマンドはググるといっぱいヒットします）

plistで保持していたのでdefaultsコマンドで変更できます。
これでShell ScriptでもARDでも変更可能です。

設定確認

defaults read /Library/Preferences/.GlobalPreferences | grep autologout

intの単位は秒です。

設定変更

defaults write /Library/Preferences/.GlobalPreferences com.apple.autologout.AutoLogOutDelay -int 300

無効にしたい場合は0もしくはdeleteして下さい。

ログインが遅い

macOSでもWindowsでも、立て続けにログインが遅いという現象に出くわしました。
当然、様々な要因が絡んでいるのですが大きな要因の一つがウィルス対策ソフトでした。

文教案件ではHDD保護やネットブートで、毎ログインが初回ログインとしていることが多々あります。その環境ではWindows的に言うとユーザープロファイルを毎回コピーしているので、コンヒューマや一般的な事務ユーザよりもログインが遅いのは当たり前なんですが、ID/PWを入力してエンター押してから3分も4分待つのはさすがにNGです。

理想的な対応方法としては
1)スタートアップ検査を止める
　　HDD保護やネットブートなのでOS起動時にはウィルス感染していない前提とする
2)リアルタイムスキャンを無効にしておく
　　上項を同じ理由
　　初回ログインとしてユーザープロファイルをコピーした側からウィルススキャンを
　　実行しているため時間がかかってしまう
3)ログイン後、しばらくしてからリアルタイムスキャンを有効にする
　　無効なままでは意味がないのでバックグラウンドで密かに有効
なんですがウィルス対策ソフトによっては3)をさせてくれないものがあります。

最近困ったのはWindows版ESET Endpoint AntiVirus V5です。
V6.5以降ではESETサポート公式に記載の通りコマンドが用意されています。
リアルタイムスキャン一時停止：ecmd /setfeature onaccess pause
リアルタイムスキャン開始：ecmd /setfeature onaccess enable

V5でもインストールディレクトリにecmd.exeが存在するのですが同じ引数を与えても「そんな引数はしらん」と実行してくれません。「/?」も「-h」も「--help」も引数なしもヘルプ表示すらしてくれません。
諦めて1)だけの対策にしました。

日々感じたことや作業メモを残していこうと思います

IT業界で働いていると分からないことを『ググる』ことが多いのです。
で、ふと「もらってばかりだと悪い気がする」と思ったのです。
私が日々の業務で得たことが誰かの役に立てることを願いましてここに残していきます。

ちなみにHNの陸奥 旭はりんごの品種名を2つ並べただけです。