メモ:VMware Toolsに権限昇格の脆弱性

VMware Toolsの脆弱性の評価は、CVSSv3基本スコアで、CVE-2023-34057は「7.8」(Important)。ゲスト仮想マシンへのローカルユーザーアクセスを持つ悪意のある攻撃者が、仮想マシン内の権限を昇格できる可能性があるとのこと。

「VMware」のゲストOS向けアプリ「VMware Tools」に重大な脆弱性 ~対策版への更新を – 窓の杜 (impress.co.jp)

https://forest.watch.impress.co.jp/docs/news/1543401.html

脆弱性が修正されたバージョンへのVMware Toolsの更新が必要。

対象となるVMware Toolsのバージョン 12.xx、11.xx、10.3.x

脆弱性対応されたバージョン 12.3.5

https://www.vmware.com/security/advisories/VMSA-2023-0024.html

ダウンロードのURLは下記。ダウンロードには、VMwareのCUSTOMER CONNECTのアカウントが必要。

https://customerconnect.vmware.com/en/downloads/details?downloadGroup=VMTOOLS1235&productId=1259&rPId=112353

分散仮想スイッチはvCenter Serverに設定されるリソース

分散仮想スイッチは、vCenter Serverに設定されるリソース。そのため、vCenter Serverをリプレイスするときに、前の設定を引きつながない場合には、再設定が必要になる。

分散仮想スイッチは、ESXiのホストやクラスタの設定ではないので、注意が必要。忘れるのでメモ。

vRealize Operations 8.5 のサイジングガイドライン

vROpsのサイジングのガイドライン。ガイドラインでの大きな指針は、CPU数とメモリサイズ。これが監視対象となるホストの数とゲストの数から、サイジングされる。データを保管するHDDサイズについては載っていない。HDDというかVMDKは追加できるから、ということだろう。

vRealize Operations 8.5 Sizing Guidelines (85062) (vmware.com)
https://kb.vmware.com/s/article/85062

Azure VMware Solution (AVS)

Azure VMware Solutionについてオンラインセミナーで聞いたので、そのメモ。価格は別にして、使い勝手はよさそう。

  • Azure VMware Solutionの略は、AVS。
  • VMware SolutionはAzureの中のIaaS。
  • AVSは、ESXi、vCenter Server、vSAN、NSX-T、HCXがセットで提供される。
  • VMware Soluctionは、Azure側のセキュリティソリューションと組み合わせて使える
  • 通常のAzureのIaaSで稼働できないレガシーOSも動く(ESXiが提供されるので、ESXiで動作するOSは動く)
  • オンプレ側のIPアドレスを維持したままの移行が可能
  • Azureサービスの一部なので、拡張セキュリティ更新プログラム(ESU)が提供される
  • 日本では、東日本リージョンで提供される
  • VMwareのネイティブの運用ができる。PowerCLI、vSphere Clientが使える
  • vCenterは、URLを指定してアクセスする。
  • HCXの技術が使える(L2の延伸、vMotionなど)
  • HCXは、オンプレミスとクラウドのプライベートインフラ(VMware環境)で相互運用、移行を行うための技術
  • AVSの上のデータをAzure Backupで取得するなど、Azureの機能をシームレスに連携できる
  • マイクロソフトのソフトウェアアシュアランスをAVS上に持ち込める。移行期は、180日間の二重ライセンスの利用が認められる。
  • 予約インスタンスの場合、3年の予約でコスト50%OFFになる。
  • AVSのサポート窓口は、常にマイクロソフト。VMwareのサポートが必要なときも、マイクロソフトで受けて対応。切り分け後に対応ができなければ、マイクロソフトとVMwareで連携して対処される。
  • AVSのセットアップも、Azure Centerから行う。ブラウザ上から、選択していくことで作成できる。1時間半程度で、AVSが作成される。
  • サービスの初期は、1ノード36コアのみの提供。1クラスタは最大16ノードで構成できる。
  • クラスタの最低ノード数は、サービス用は3ノード。
  • ロードマップとして、PoC用のノード(1or2)を用意する方向とのこと。
  • Xeon Gold 2.3GHz(36コア)、Memory 576GB、vSAN 8×1.92SSD、vSAN Cashing 2×1.6TBNVMe。
  • PAYGモデル(時間単位)or予約モデルで提供される。
  • ESXiホストの管理やパッチ適用は、マイクロソフトが行う。
  • 物理インフラ、物理セキュリティ、物理障害は、マイクロソフトが行う。
  • Azure VNETとAVSネットワークは別もの。Azure内で、Edgeルータ間で接続される。Edgeルータは、ユーザから見えない。Edgeルータ間は、Express Routeで接続される。この時、同一リージョン内であれば、EpressRouteのコストはゼロ。
  • vSANには、容量の限界がある(ノード数に応じて増えるが、個別の追加はできない)。そういうときは、Azureの別のサービスにデータを保存することが可。
  • DBだけAzureのPaaS(DB as a Service)を利用することも可。
  • Application Gateway(WAF)からAVS上のサーバに負荷分散ができる。
  • Azure Backup ServerをAVS上のvCenterに連携させることで、仮想マシンをバックアップすることができる。
  • ESXiのノードの増減は、Azureの管理サービス上からできる(ブラウザからできる)。

vSphere 7が発表された

VMwareから、vSphere 7が発表された。従来通りの使い方もできるけれど、一番の注目は、Kubernetesをネイティブサポートしていて、同じプラットフォーム上で、コンテナも仮想マシンも実行できるということ。コンテナの管理を考えると、ちょっと使いにくかった部分があるけれど、vSphere7として管理できるのであれば、いい感じで使えるかもしれないと、ちょっと期待。

あとは、vCenter ServerのHTML5コンソールで対応していなかった部分(CLIオンリー)だったところが対応されていてくれるとよい。詳細はこれから出てくるので楽しみだ。一通り情報が出揃ってからかな、vSphere 7へアップグレードするかどうかは。新機能が多いので、調べること、検証したり覚えたりすることは、とても多そうだ。

https://blogs.vmware.com/vsphere/2020/03/vsphere-7.html