vCenter Server Appliance 7.x / 8.x の root パスワードのリセット

Products

VMware vCenter Server

Issue/Introduction

この記事では、vCenter Server Appliance 7.x / 8.x の既存の root パスワードを失くしてしまったか忘れてしまった、または失効した場合に、root パスワードをリセットする手順を説明します。

Symptoms:
免責事項：これは英文の記事「Resetting root password in vCenter Server Appliance 7.x / 8.x 」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

vCenter Server Appliance の root アカウントパスワードが失敗する
vCenter Server Appliance の root アカウントがロックされるか、アカウントが失効する
root アカウントのパスワードを紛失または忘れた
vCenter にログインできない

Environment

VMware vCenter Server 8.x
VMware vCenter Server 7.x

Cause

有効期限切れによってパスワードが失効する原因としては、デフォルトでは vCenter Server Appliance のパスワードは 90 日後に有効期限が失効します。
詳細については root ユーザーのパスワードおよびパスワード有効期限の設定の変更を参照してください。

Resolution

root パスワードを VCSA でリセットする手順：
注：6.7U1 以降ではパスワードをリセットする簡単な手順があります。Reset the root password in vCenter Server Appliance without reboot / 6.7u1 / 7.x / 8.x を参照してください。
vCenter Server Appliance で root パスワードをリセットするには、以下の手順を実施します:

作業する前に、vCenter Server Appliance のスナップショットまたはバックアップを取っておいてください。
注意：この手順はスキップしないでください。
- 注: もしvCenter Server Appliance が同じ vCenter に管理されている場合、vCenter Server Appliance が稼働するホストに直接接続し、ホストクライアントを使用してこの手順を実施します。
vCenter Server Appliance を再起動します。
VCSA Photon OS の起動後に、e キーを選択して、[GNU GRUB Edit] メニューに入ります。
linux という語で始まる行を探します。
行の最後に、次のエントリを付加します。

rw init=/bin/bash

行は、次のスクリーンショットのようになります。
F10 キーを押して、起動を続行します。
以下のコマンドを実行します。

mount -o remount,rw /
誤ったパスワードでのログイン試行により既にロックしている場合は、下記のコマンドで 'root' アカウントのロック解除を行います。

pam_tally2 --user=root --reset

8.0 U2 以降:
/usr/sbin/faillock --user root --reset

注: pam_tally2 は Photon 4 で廃止されたため, 代わりに faillock を使用してください。
コマンドプロンプトで、コマンド passwd を入力し、新しい root パスワードを（確認のために 2 回）指定します。

passwd
次のコマンドを実行して、ファイルシステムをアンマウントします。 (アンマウントのコマンドは umount です。)

umount /
次のコマンドを実行して、vCenter Server Appliance を再起動します。

reboot -f
新しい root パスワードを使用して vCenter Server Appliance にアクセスできることを確認します。
該当する場合は、手順 1 で作成したスナップショットを削除します。
この問題を防ぐために、次のコマンドを使用するか VAMI（https://<vcenter_fqdn>:5480）を使用して root パスワードを無期限に設定することができます。
# chage -I -1 -m 0 -M 99999 -E -1 root
変更内容を確認し、root アカウントの詳細を検証するには、vCenter SSH セッションから次のコマンドを実行します。
root@vc[~]# chage -l root

example:
root@vc [ / ]# chage -l root
Last password change : Aug 20, 2024
Password expires : Nov 18, 2024
Password inactive : never
Account expires : never
Minimum number of days between password change : 0
Maximum number of days between password change : 90
Number of days of warning before password expires : 7

Additional Information

さらに、[email protected] (デフォルトの SSO) アカウントのパスワードの詳細を確認するには、vCenter SSH セッションから次のコマンドを実行します。

root@vc[~]# chage -l sso-user

example:

root@vc [ / ]# chage -l sso-user
Last password change : Feb 14, 2023
Password expires : May 15, 2023
Password inactive : May 15, 2023
Account expires : never
Minimum number of days between password change : 1
Maximum number of days between password change : 90
Number of days of warning before password expires : 7

7.0U1 と 6.7U3j ではいくつかの変更があります。

root ユーザは、期限切れの場合に SSH で接続しようとすると、パスワードをリセットするように求められます。
SSO 管理者を使用して VAMI にログインし、そこから root ユーザのパスワードをリセットすることもできます。
root ユーザのパスワードの有効期限が切れないよう、 email による通知が行われます。
vsphere-uiでは、パスワードの有効期限についてユーザーに通知するために、アラームがトリガーされます。

8.0 U2 以降での変更:

pam_tally2 ユーティリティは Photon 4 以降で廃止されており、8.0 U2 は Photon 4 を使用しているため、8.0 U2 以降のバージョンで pam_tally2 を実行するとエラーになります。
アカウントのロック解除のための Photon 4 での代替のユーティリティは "/usr/sbin/faillock" になります。
"-bash: pam_tally2: command not found"

より詳細な情報は下記の資料から確認できます。