vCenter Server Appliance のローカルアカウントに対する VAMI のログイン失敗しきい値の変更が反映されない

Products

• VMware vCenter Server 8.0

Issue/Introduction

免責事項：これは英文の記事「Changes to threshold of login failure on VAMI are not reflected for local accounts in vCenter Server Appliance」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

vCenter Server Appliance (VCSA) の /etc/applmgmt/appliance/faillock.conf において deny 値を変更しても、デフォルトの root ユーザー以外のローカルアカウントに対して、Virtual Appliance Management Interface (VAMI) 上で設定が適用されません。
しきい値を増やし（例：3 から 5 へ）、applmgmt サービスを再起動しても、ローカルの管理アカウントは依然として 3 回のログイン失敗でロックアウトされます。

root アカウントについては、KB 409895 に記載されている通り、faillock.conf の　deny 値を変更することで root ユーザーのロックアウトポリシーを調整可能です。しかし、アプライアンス上で作成されたその他のローカルユーザーに対しては、同様の柔軟性は提供されません。

Environment

VMware vCenter Server 7.x

VMware vCenter Server 8.x

VMware vCenter Server 9.x

Cause

これは VAMI (applmgmt) 認証モジュール内におけるハードコードされたセキュリティ仕様です。
アプライアンスの下層 OS は SSH やコンソールアクセスに faillock.conf を使用しますが、VAMI インターフェースは「ビルトイン」ではないローカルアカウントに対し、最大ログイン失敗回数「3 回」を固定で適用します。このしきい値はハードコードされており、PAM や faillock 設定ファイルの手動編集は無視されます。

Resolution

これは VAMI 認証サービスの仕様です。
現在、VAMI インターフェースにおいて、ローカルの非ビルトインアカウントのログイン失敗しきい値を変更するサポートされた方法はありません。