ESXi 8.0U3 の vmkernel ログが sfcb-vmware_bas による "Access denied by vmkernel access control policy" のメッセージでいっぱいになる

Products

• VMware vSphere ESXi 8.0

Issue/Introduction

免責事項： これは英文の記事 「ESXi 8.0U3 vmkernel logs flooded with sfcb-vmware_bas "Access denied by vmkernel access control policy" messages」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

sfcb-vmware-base プロセスに関連する"Access denied" のメッセージが繰り返し出力されることで ESXiホスト上の vmkernel.log がいっぱいになります。
この大量のログは Small Footprint CIM Broker（SFCB）が特定のソケットに接続しようとした際に発生しますが、その接続はVMkernelアクセス制御ポリシーによってブロックされます。
ログには次のエラー メッセージが頻繁に表示されます。

2025-12-13T00:47:34.173Z In(182) vmkernel: cpu18:2099348)VmkAccess: 106: sfcb-vmware_bas: running in sfcbVmwPluginDom(87): socket = /tmp/VMISCSI_MGMT_IPC_PATH (unix_stream_socket_connect): Access denied by vmkernel access control policy

Environment

VMware ESXi 8.0u3

Cause

この問題は、ESXi 8.0 Update 3 のセキュリティドメインポリシーが行う制限によって発生します。
ESXi 上のプロセスは、ファイル、ソケット、およびシステムコールへのアクセスを規定する事前定義されたドメイン内で実行されます。
sfcb-vmware_base プロセスが存在するsfcbVmwPluginDomドメインには、/tmp/VMISCSI_MGMT_IPC_PATH ソケットへの接続を許可するルールが現在のところありません。

Resolution

これは既知の問題であり、ESXiの将来のリリースで解決される予定です。特定のセキュリティドメインの適用を無効にすることで、この大量のログを停止することができます。

回避策：

1. SSHまたはESXi Shell経由でESXiホストにrootとしてログインします。
2. 次のコマンドを実行してsfcbVmwPluginDomポリシーを無効にします。
   

   esxcli system secpolicy domain set -l disabled -n sfcbVmwPluginDom

3. vmkernel.log にアクセス拒否を示すメッセージが出力されなくなったことを確認します。

Additional Information

このドメインポリシーを無効化することで sfcb-vmware_base プロセスは必要なソケットに接続できるようになります。この回避策を適用しても ESXi ホストの安定性やパフォーマンスには影響はありません。