SB C&Sで技術支援を担当しております、平田です。

本記事では、Nutanix AOS 7.6 / AHV 11.2におけるSSH接続やBash Shellへの接続方法の変更についてご紹介します。
AOS 7.6 / AHV 11.2では、AHVへの直接SSH接続がデフォルトで利用不可になっているなど、従来のNutanix環境と比較してセキュリティを意識した接続方法へと変化しています。
また、CVMへの接続では「NuService」と呼ばれる制限付きのシェルも利用できるようになっています。
今回は、AOS 7.6 / AHV 11.2環境で実際に動作を確認しながら、接続方法の変更点と運用上の注意点をご紹介します。
特に、AHVへの直接SSH接続やCVM上のスクリプトを運用に利用している方は、アップグレード前に確認しておきたい内容となっています。

AOS 7.6 / AHV 11.2でのデフォルトの状態

まず、AOS 7.6 / AHV 11.2 におけるデフォルトの接続状態を整理してみます。AOS 7.6 / AHV 11.2では、デフォルトで管理端末などからAHVホストへの直接SSH接続が利用できません。

一方で、CVMへnutanixユーザーでSSH接続した場合はBash Shellを利用することができ、CVMを経由してAHVへSSH接続することも可能です。

また、CVMへadminユーザーでSSH接続した場合には、従来のBash Shellではなく「NuService」と呼ばれる独自のコマンドツールが起動します。

大まかに整理すると、AOS 7.6 / AHV 11.2では以下のような状態になっています。

これまでAHVへ直接SSH接続して運用・保守を行っていた場合には、AOS 7.6へのアップグレード時に注意が必要となります。

AHVへの直接SSH接続はデフォルトで利用不可に変更

従来可能であったAHVへの直接SSH接続ですが、AHV 11.2ではデフォルトで利用不可になっています。
そのため、管理端末などからAHVの管理IPアドレスへ直接SSH接続しようとしても、そのままでは接続できません。

ここでは、SSHを利用する場合の方法を2つご紹介します。
1つ目はCVMのnutanixユーザーを経由したAHVへのSSH接続です。
CVMへnutanixユーザーでログインした後、AHVのrootユーザーへSSH接続することで、AHV上でBash Shellを操作できます。

つまり、AHV 11.2では、

管理端末 → AHV

という直接的な接続方法ではなく、

管理端末 → CVM → AHV

という接続方法を利用することになります。

2つ目は、AHVホストへの外部SSH接続の有効化です。

先ほどと同様に、CVMへnutanixユーザーでログインします。その後、クラスター内のすべてのAHVホストで外部SSH接続を有効にするには、次のコマンドを実行します。

host_external_ssh_access --set_access enable

このコマンドを実行することで、管理端末などからAHVの管理IPアドレスへ直接SSH接続が可能になります。

なお、外部SSH接続を再度無効にするには、disableフラグを付けてコマンドを実行してください。

host_external_ssh_access --set_access disable

CVMのnutanixユーザーは引き続きBash操作が可能

AOS 7.6時点では、CVMへnutanixユーザーでSSH接続すると、従来と同様にBash Shellを利用できます。

そのため、これまでCVM上で利用していた各種コマンドについても、AOS 7.6時点ではnutanixユーザーから操作することが可能です。

Nutanixでは、今後のリリースにおいてCVM、AHV、Prism Central、Nutanix FilesへのSSH接続をデフォルトで無効化する方針が案内されています。

また、Bash Shellへの接続に依存しているカスタムスクリプトや自動化処理については、サポートされているNutanix v4 APIへの移行を計画するよう案内されています。

そのため、現在CVMのBash Shellを利用したスクリプトや運用を行っている場合には、今後のNutanixのバージョンアップを見据えた事前確認をおすすめします。

adminユーザーでは「NuService」が起動

AOS 7.6で特に注目したいのが、CVMのadminユーザーです。

CVMへadminユーザーでSSH接続すると、通常のBash Shellではなく「NuService」という独自のコマンドツールが起動します。

NuServiceはメニュー形式で操作するインターフェースとなっており、従来Bash Shell上から実行していた一部のNutanix関連コマンドを実行することができます。

例えば、今回確認した環境では、NuServiceから

・ncli
・acli
・clusterコマンドの一部

を実行することができました。

実際に確認したところ、Nutanixクラスターを停止する際に利用する

・cluster stop

についてもNuServiceから実行することができました。

今後のリリースでSSH接続がデフォルトで無効化される方針を踏まえると、、NuServiceを利用した操作方法についても把握しておく必要があります。

Prism CentralのSSH接続はどうなる？

Prism Centralについても接続方法の変更が予定されています。

Prism Central 7.6時点では、PCVMへnutanix/adminユーザーともにSSH接続することができ、Bash Shellを操作することが可能です。

また、nutanixユーザー経由でのPCVMへのSSH接続については、今後のリリースで制限されることが案内されています。

そのため、今後のPCVMへのSSH接続ではadminユーザーの利用も含めて確認しておく必要があります。

ただし、将来的にCVMと同様にNuServiceを利用する方式へ変更されるのかなど、今後のバージョンにおける動作については引き続き確認が必要です。

CVMへのSSH接続を完全に無効化することも可能

AOS 7.6では、さらにセキュリティを高めるため、CVMへのSSH接続そのものを無効化することもできます。

Prism Centralから対象となるクラスターを選択してNuServiceを無効化すると、CVMへのSSH接続を完全に無効化することができます。

SSHを使用しない運用が可能な環境では、不要な管理経路を閉じることでセキュリティをより高めることができます。

一方で、障害対応や保守作業などでCVMへのSSH接続が必要となるケースも考えられるため、実際に無効化する場合には、既存の運用手順や保守方法への影響を事前に確認しておくことが重要です。

よりセキュアな「Support-only Login」

AOS 7.6では「Support-only Login」と呼ばれるオプションのセキュリティ機能も提供されています。

Support-only Loginは、CVMへのBash Shell接続を、Nutanix Supportとのトークン交換が必要な方式に制限する機能です。

CVMのNuServiceからコマンドを実行することで有効化できます。

Support-only Loginモードに設定すると、接続方法は大きく変わります。

・nutanixユーザーでのログインができなくなる
・adminユーザーからBash Shellを利用する場合、Nutanix Supportとのトークン交換が必要
・トークンによるBash Shell接続は72時間に限定される
・AHVへの接続はCVMのadminユーザー経由で可能

通常時にはBash Shellへの接続を制限し、必要な場合にのみNutanix Supportとの手続きを経て接続を許可することで、よりセキュアな運用を実現する仕組みとなっています。

ただし、非常に重要な注意点があります。

Support-only Loginは、一度有効化すると無効化することができません。

そのため、実際の環境で有効化する場合には、運用方法や障害対応手順などを十分に検討したうえで設定する必要があります。

今後はBash ShellからAPIを利用した運用へ

今回の変更から、Nutanixが管理インターフェースをよりセキュアな方向へ移行していることが分かります。

特に注意したいのが、Bash Shellに依存した運用や自動化です。

Nutanixでは、Bash Shell接続に依存しているカスタムスクリプトについて、サポートされているNutanix v4 APIへの移行を計画するよう案内しています。

一方で、現時点ではすべての操作をv4 APIへ置き換えられるわけではない点にも注意が必要です。

例えば、Prism Centralが提供するv4 APIでは仮想マシンの停止などを実行できる一方で、cluster stopのようなクラスターそのものを停止する操作については、今回確認した範囲では代替方法を確認できていません。

また、外部サーバーからipmitoolを利用してノードを停止する方法も考えられますが、AHVを安全にシャットダウンできる手順であるかは本記事では確認できていませんので、実運用への適用前に確認が必要です。

今後、Bash Shellへの接続制限がさらに進んだ場合、
「従来Bash Shellから行っていた運用をどのような方法へ移行するのか」
という点が今後重要になると考えられます。

AOS 7.6 / AHV 11.2の導入に向けた直近の対策

今後のSSH/Bash Shell接続の制限を踏まえ、直近では以下の対応をおすすめします。

• SSH/Bash Shellを利用している運用を確認する
  AHVへの直接SSHや、CVMのBash Shellを利用した運用・スクリプトがないか確認します。
• UPSなどの外部製品の対応状況を確認する
  UPSによるリモートシャットダウンを導入済み、または導入予定の場合は、利用製品がAOS 7.6 / AHV 11.2以降の仕様に対応しているかメーカーへ確認します。
• AHVへの接続手段を確立する
  CVM経由のSSH接続、IPMIのリモートコンソール、外部SSH接続の有効化など、運用に適した接続手順を事前に確認します。
• AHVのメンテナンス時の接続手段を確認する
  AHVを個別に停止する場合は、SSH接続もしくはIPMIのリモートコンソールなど、環境に応じた接続方法とシャットダウン手順を事前に確認します。
• 自動化処理は将来的な代替方法を検討する
  SSH/Bash Shellに依存するカスタムスクリプトについては、Nutanix v4 APIなどへの移行を検討します。

さいごに

今回は、Nutanix AOS 7.6 / AHV 11.2におけるSSHおよびBash Shellへの接続方法の変更についてご紹介しました。

AOS 7.6 / AHV 11.2ではAHVへの直接SSH接続がデフォルトで利用不可になる一方、CVM経由でのAHV接続や、adminユーザーから利用できるNuServiceなど、新しい接続方法が用意されています。

従来の運用を継続する必要がある場合には、SSH接続を有効化することも可能です。

また、Support-only Loginを利用することで、CVMへのBash Shell接続をNutanix Supportとのトークン交換が必要な方式へ制限することも可能です。

AOS 7.6 / AHV 11.2時点ではnutanixユーザーによるBash Shell操作も利用できますが、今後のリリースではSSH/Bash Shellへの接続がさらに制限されることが案内されています。

そのため、Nutanix環境を運用されている方は、
「現在どの運用がSSHやBash Shellに依存しているのか」
を一度整理しておくことをおすすめします。

特に、Bash Shellを利用したスクリプトや自動化処理を使用している場合には、Nutanix v4 APIへの移行も含め、今後のバージョンアップを見据えた運用方法を検討していく必要があります。

参考資料

・New and Updated Features | AHV 11.2
https://portal.nutanix.com/page/documents/details?targetId=Release-Notes-AHV-v11_2:top-features-updates-ahv-r.html

・Enabling External SSH Access on AHV Hosts (AOS 7.6 and AHV 11.2)
https://portal.nutanix.com/kb/22484

・NuService Menu
https://portal.nutanix.com/page/documents/details?targetId=Nutanix-Security-Guide-v7_6:sec-nuservice-menu-c.html

・Managing External SSH Access on a Cluster
https://portal.nutanix.com/page/documents/details?targetId=Nutanix-Security-Guide-v7_6:mul-secure-access-cluster-pc-t.html

・Support-only Login
https://portal.nutanix.com/page/documents/details?targetId=Nutanix-Security-Guide-v7_6:sec-secure-access-support-only-login-c.html

・End of Support Life (EOSL) for SSH Bash Shell Access
https://portal.nutanix.com/kb/20212