VCenter-MOB in VCF 9.x wieder zugänglich machen

Nach einem Upgrade auf VMware Cloud Foundation 9.x lässt sich die Managed Object Browser (MOB) über https://vcenter-fqdn/mob nicht mehr öffnen. Statt der Objektoberfläche erscheint die Meldung, dass die MOB deaktiviert sei. Für Administratoren, die diese Oberfläche regelmäßig für Fehleranalysen oder detaillierte Abfragen verwenden, wirkt das zunächst wie ein Defekt. In der Regel handelt es sich jedoch um eine bewusste Standardänderung.

Die MOB wurde in VCF 9.0 deaktiviert, um die Vorgaben der Security Technical Implementation Guide (STIG) zu erfüllen. Da die Oberfläche detaillierte Informationen zur Managed-Object-Struktur und zur Konfiguration bereitstellt, erhöht ihre Aktivierung die Angriffsfläche. Das bedeutet: Das Upgrade selbst hat die Oberfläche nicht beschädigt; sie ist absichtlich geschlossen worden.

Zustand prüfen

Rufen Sie die MOB zunächst mit der vollständigen URL auf dem passenden vCenter-System auf. Bei einer deaktivierten Oberfläche zeigt der Browser eine entsprechende Hinweisseite. In diesem Fall sind DNS, Zertifikat oder der Webserver nicht automatisch die Ursache. Entscheidend ist die Meldung zur MOB sowie die Information, dass VCenter 9.x beziehungsweise VCF 9.x verwendet wird.

Vor einer Änderung sollte geprüft werden, ob die MOB tatsächlich benötigt wird. Für Routineaufgaben ist sie meist nicht erforderlich. Sie kann jedoch hilfreich sein, wenn ein Support-Team Objektbeziehungen untersuchen oder bestimmte Eigenschaften eines verwalteten Objekts prüfen möchte.

Sicherheitsaspekte beachten

Das Aktivieren der MOB sollte nur in einem geschützten Verwaltungsumfeld erfolgen. Die Oberfläche darf nicht unkontrolliert über das öffentliche Internet erreichbar sein. Sinnvoll sind ein VPN, eine restriktive Firewall-Regel und eine Beschränkung auf autorisierte Administratoren. Außerdem sollte dokumentiert werden, wer die Funktion verwendet und wann sie wieder deaktiviert werden kann.

Die MOB ist kein normales Diagnosetool mit begrenztem Funktionsumfang. Sie gibt Einblick in interne Strukturen und Konfigurationsdaten. Deshalb sollte die Aktivierung zeitlich begrenzt bleiben und nach Abschluss der Arbeit wieder rückgängig gemacht werden, sofern die Oberfläche nicht dauerhaft gebraucht wird.

vpxd.cfg sichern und anpassen

Für die Änderung ist SSH-Zugriff auf die vCenter Server Appliance erforderlich. Zuerst sollte die bestehende Konfiguration gesichert werden:

cp /etc/vmware-vpx/vpxd.cfg /var/core/vpxd.cfg_backup

Anschließend wird /etc/vmware-vpx/vpxd.cfg mit einem geeigneten Texteditor bearbeitet. Gesucht wird nach dem Eintrag enableDebugBrowse. Ist der Wert false, wird er auf true gesetzt. Falls der Eintrag vollständig fehlt, wird er innerhalb des <vpxd>-Abschnitts ergänzt:

<vpxd>
  ...
  <enableDebugBrowse>true</enableDebugBrowse>
  ...
</vpxd>

Achten Sie auf die genaue Schreibweise: Der relevante Schlüssel lautet enableDebugBrowse, nicht enableDebugBrowser. XML-Struktur und vorhandene Einstellungen sollten dabei möglichst unverändert bleiben.

Dienst neu starten und testen

Nach dem Speichern der Datei wird der vCenter-Service vpxd neu gestartet:

service-control --stop vpxd
service-control --start vpxd

Warten Sie, bis der Dienst wieder erreichbar ist, und rufen Sie anschließend die MOB-URL erneut auf. Bei einem erfolgreichen Start sollte die bisherige Objektoberfläche verfügbar sein. Falls der Dienst nicht wieder hochfährt oder die Seite weiterhin nicht funktioniert, sollte die Änderung anhand der vCenter-Logs überprüft und bei Bedarf der VMware-Support eingebunden werden.

Für eine spätere Deaktivierung wird der Wert wieder auf false gesetzt oder der Eintrag entfernt. Danach ist ein erneuter Neustart von vpxd erforderlich. So bleibt die MOB nur während des notwendigen Betriebsfensters aktiv.

Referenzen