VMware

Horizon VIEW 2212 : Impossible de charger les domains sur la console d’administration

Sur une infra Horizon VIEW 2212 fraîchement installée, nous avons rencontré l’erreur ci-dessous, sur la page d’authentification de la console d’administration.

Page failed to load. Please refresh the browser to reload the page.

Outre l’erreur nous n’avons plus de Domains, sûrement une Feature 🙂

L’erreur se produit en utilisant l’IP ou un alias DNS du Connection Serveur, dans l’url de la page de la console d’administration Horizon VIEW (en localhost ou via le nom DNS du Connection Server le problème ne se posait pas).

Au départ, on pensait à un problème d’Origin checking qu’on avait déjà traité dans le billet Horizon 7.10 error : warning Echec de la connexion, au final le problème venait du CORS (Cross-Origin Ressource Sharing), même si dans notre cas nous ne sommes pas derrière un LB, le problème reste identique 🙂 . Comme VMware fait bien les choses, la KB85801 permet de résoudre facilement cette erreur via la modification (et ou la création) du fichier “locked.properties” (situé dans c:\program files\vmware\VMware View\Server\sslgateway\conf\).

Rajoutez “portalHost=” avec l’entrée qui vous intéresse (dans notre cas l’IP du Connection Serveur), puis redémarrez le service “Composant VMware Horizon View Security Gateway”

ESXi : Host TPM attestation alarm

Sur plusieurs hosts PowerEdge R7515 nous avons constaté après l’installation d’ESXi 7.0.2 (17867351) une erreur TPM sur un de nos vCenter de test (notre fameux POC VCF) :

Host TPM attestation alarm

L’erreur se produisant uniquement sur des PowerEdge R7515 il semblerait que nous ayons oublié de paramétrer correctement la partie TPM dans la config de nos serveurs DELL 🙂 . Direction l’ IDRAC pour vérifier ça.

Aller dans le BIOS (F2)
BIOS Settings-System Security

Dans un premier temps on fait un clear avant de paramétrer la suite

Cliquer sur Clear (confirmer en cliquant sur le bouton Ok lors de l’affichage du popup).
Cliquer sur TPM Advanced Setting.

Cliquez sur **SHA256** (voilà pourquoi on avait l’erreur)

Cliquer sur Reset To Green (et dans notre cas on pourra relancer l’upgrade de ce Workload Domain dans VCF 🙂 )

VCF : Premier BriengUp

Dans le cadre d’un POC VCF 4.3.0 (VMware Cloud Foundation) nous avons rencontré une erreur (ou plutôt nous avons retenu celle-là 🙂 ) lors de l’installation du Cloud Builder. Lors de l’étape “Validate Configuration” tout se passait bien jusqu’à l’apparition d’un Failed associé à l’erreur “Error connecting to ESXi host xxxx. SSL certificate common name doesn’t match ESXi FQDN” sur les quatre host de notre POC.

C’est sur que si le Cloud Builder ne peut pas se connecter aux ESXi ça va être dur pour la suite 🙂

Le message d’erreur “Error connecting to ESXi host xxxx. SSL certificate common name doesn’t match ESXi FQDN” est explicite, le certificat par défaut des ESXi ne convient pas au Cloud Builder pour se connecter aux ESXi, du coup impossible pour Cloud Builder d’aller plus loin. En relisant les pré-requis on s’aperçoit que depuis la version 4.2 de VCF, il faut que le certificat de l’ESXi soit au format host.FQDN (et corresponde bien sûr à ce qui est rentré dans votre fichier de configuration Cloud Builder).

Comme indiqué par VMware les étapes pour régénérer le certificat sont très simples :

Connectez-vous en SSH sur chaque hôte ESXi.
Lancez la commande “esxcli system hostname get” et vérifiez que Host est bien au format Host.FQDN dans la section “Fully Qualified Domain Name: “, si c’est bien le cas passez directement à l’étape 6.
Lancez la commande “vi etc/hosts” puis ajouter votre Host.FQDN et enregistrer (touche “echap” puis “:wq!”.
Lancez la commande “esxcfg-advcfg -s Host_FQDN /Misc/hostname” (remplacer Host_FQDN par le nom de votre host et son FQDN).
Lancez la commande “reboot”
Lancez la commande “/sbin/generate-certificates“puis validez
Lancez la commande “/etc/init.d/hostd restart && /etc/init.d/vpxa restart“

Il ne vous reste qu’à faire un “retry” dans le Cloud Builder 😉 .

Et voilà 🙂 la suite dans un prochain billet (on vous promet c’est fun)

Error : A specified parameter was not correct……

Lors d’un Storage vMotion en masse nous avons rencontré sur certaines VMs l’erreur ci-dessous.

A specified parameter was not correct: ConfigSpec.files.vmPathName

En regardant de plus près même la suppression d’une des VMs en question n’était pas possible non plus (au préalable on a bien vérifié qu’on avait un backup récent 🙂 ).

Afin de pouvoir terminer notre Storage vMotion nous avons dû faire un “Remove from Inventory”sur les VMs qui posaient problème puis les inventorier dans le vCenter (6.7.0.48000)

Ci-dessous la commande pour afficher les VMs d’un vCenter avec leurs clusters, dossiers et le chemin du vmx.

Get-VM | Select Name, @{N="Cluster";E={Get-Cluster -VM $_}}, @{N="vmx Path";E={$_.ExtensionData.Config.Files.VmPathName}},@{N="VM Folder";E={$_.folder}}

Ci-dessous un exemple de commande pour inventorier une VM qui causait problème.

New-VM -VMFilePath "[datastore0] FolderVm/MyVM1.vmx" -VMHost (Get-Cluster "MyCluster" | Get-VMHost | Get-Random) -Location (Get-Folder MyFolder) -RunAsync

Comme vous savez faire vos boucles, il vous reste plus qu’à….. 😉

Erreur :vSphere HA agent for this host has an error: vSphere HA agent cannot be installed or configured

Suite à une sortie de maintenance de plusieurs ESXi 6.7 (dans un vCenter 6.7) nous avons rencontré les erreurs ci-dessous :

vSphere HA Host status

vSphere HA agent for this host has an error: vSphere HA agent cannot be installed or configured

En faisant un “Reconfigure for vSphere HA” sur un des ESXi, cette fois nous avons eu droit à l’erreur :

The object ‘vim.Datastore:datastore—–‘ has already been deleted or has not been completely created

Sur ce cluster nous savions qu’il y avait une “migration de datastore” il y a quelques temps, ce qui nous a amené à effectuer les actions ci-dessous afin de résoudre cette problématique :

Désactivez HA sur le Cluster (onglet Configure – Edit)
Activez HA sur le Cluster (onglet Configure – Edit)
Sur le cluster, onglet Configure – Edit – Edit Cluster Setting – Heartbeat Datastore
Cliquez sur “Use datastores only from the specified list”
Cliquez sur le bouton Ok

Allez sur le cluster, onglet Configure – Edit – Edit Cluster Setting – Heartbeat Datastore
Cliquez sur “Use datastores from the specified list and complement automatically if needed”
Cliquez sur le bouton Ok

Sur l’ESXi faite un « Reconfigure for vSphere HA », l’erreur devrait disparaitre.

Horizon View : cacher un/des domaine(s)

Ce que l’on apprécie dans Horizon View c’est la simplicité de mise en oeuvre (nous ferons prochainement un billet dessus), par contre certains détails comme par exemple cacher un domaine en 5x, 6.0x et 7x (sur la fenêtre d’authentification du client View ou de la console View ) passe par la case ligne de commande uniquement (pourquoi ne pas continuer à faire simple pour un simple paramétrage ….) . La commande permettant de cacher un ou plusieurs domaine(s) est “vdmadmin”, c’est un peu la commande couteau suisse sous Horizon View au passage.

Dans le cas présent le but est de ne présenter qu’un seul domain lors de l’affichage des fenêtres d’ authentification

Ouvrez une console sur un des Connection Server et entrer la commande ci-dessous :

vdmadmin -N -domains -exclude -domain VotreDomain -add

Exécutez la commande autant de fois que vous avez de domains à cacher

Il ne reste plus qu’un seul domain de visible

Si vous souhaitez plus de détails sur les exclusions/inclusions de domain avec la commande vdmadmin :

Horizon View 7.10 : Access denied en PowerCli

Toujours dans la série des “problèmes” de permission sous Horizon View 7.10, cette fois-ci c’est via PowerCli qu’on nous a remonté l’erreur ci-dessous.

Access denied, user must have Direct interaction privilege

Afin de permettre les connections via PowerCli à Horizon View, il faut rajouter l’utilisateur (le mieux étant le groupe de l’utilisateur) dans le rôle “Local Administrators (Read only) dans la console Horizon View (dans notre exemple la console Flash).

Horizon View 7.10 : Probème d’accès console Flash

Récemment un de nos collègues admin nous a remonté un problème d’accès sur les consoles Flash (Horizon View 7.10). Le message d’erreur “Votre compte n’est pas autorisé à fonctionner via cette console” (“Your account is not allowed to operate through this console”) s’affichait systématiquement lors des tentatives de login via la console Flash, en HTML5 cela passait sans problème.

Sur le Connection Server où l’authentification a eu lieu nous avons constater dans le journal d’events (Application) l’event ID 104 : ADMIN_LOGIN_FAIL

User login attempt has failed to authenticate to View Administrator with username and password
Attributes:
UserName=username12
ForwardedClientIpAddress=
Node=——–
ClientIpAddress=—–
Severity=AUDIT_FAIL
Time=Thu Aug 20 14:50:37 CEST 2020
Module=Admin
Source=com.vmware.vdi.admin.ui.LoginBean
Acknowledged=true
The specified resource type cannot be found in the image file

Après plusieurs recherches infructueuses (au niveau des groupes AD notamment) nous avons fait des tests au niveau des permissions et avons réalisé qu’en rajoutant le groupe (ou le compte) de notre collègue admin dans le rôle “Inventory Administrators (Read only)” cela permettait de corriger le problème.

Une fois le groupe rajouté l’accès à la console Flash était de nouveau possible

Horizon View : activer le “timingProfiler”

Apparut avec la version 7.2, le “timingProfiler” permet d’afficher au sein de l’outil “Help Desk” le temps de chargement d’un profil avec certains détails comme les temps pour l’Authentification, Brokering, protocol connection, GPO Load, Logon Script, Profil Load et l’intéractive.

C’est toujours pratique ce type info pour les collègues du support

Pour activer le “timingProfiler” il faut passer la commande ci-dessous sur tous les Connection Server afin d’avoir accès à la section “Logon Segments” dans le HelpDesk

vdmadmin -I -timingProfiler -enable

Il est dommage que cela ne soit pas activé pas défaut lors de l’installation d’un Connection Server standalone (ou replica).
Ci-dessous la définition de certains des items remontés dans le “Logon Segments” (en 7.10).

https://docs.vmware.com/en/VMware-Horizon-7/7.10/horizon-administration/GUID-F14767BD-738F-494D-8DF0-AD955C22EEB1.html

Si vous souhaitez avoir plus de détails sur le logon de vos users, c’est possible via Logon Monitor (qui est inclus dans l’agent View depuis la version 7.1, au passage on parlait déjà de Logon Monitor en août 2016 dans le billet “Logon-monitor-cest-gratuit-foncez” 🙂 .

Horizon View 7.3 : event id 2091/2093

Comme vous le savez Horizon view repose sur une base ADAM repliquée entre les divers Connections Servers, c’est bien… c’est beau tant que ça se réplique bien, le jour où vous rencontrez des problèmes de réplication alors il sera grand temps de vous souvenir de votre expérience AD. De notre côte sur une infra 7.3 avec 3 connections Servers nous avons rencontré les event id 2091 et 2092.

Ownership of the following FSMO role is set to a server which is deleted or does not exist.

Operations which require contacting a FSMO operation master will fail until this condition is corrected.

FSMO Role: CN=Partitions,CN=Configuration,CN={F82E0D4A-16B0-44B1-91B7-5F5A08BD619A}
FSMO Server DN: CN=NTDS Settings\0ADEL:8f620d83-00d8-4b15-87fc-97430126a71e,CN=Server01$VMwareVDMDS\0ADEL:b5ebd2b8-1345-48ab-bb4c-554090afca20,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,CN={F82E0D4A-16B0-44B1-91B7-5F5A08BD619A}

This server is the owner of the following FSMO role, but does not consider it valid. For the partition which contains the FSMO, this server has not replicated successfully with any of its partners since this server has been restarted. Replication errors are preventing validation of this role.

Operations which require contacting a FSMO operation master will fail until this condition is corrected.

FSMO Role: CN=Schema,CN=Configuration,CN={F82E0D4A-16B0-44B1-91B7-5F5A08BD619A}

Nous comprenons rapidement que nous n’avons pas de schema master, pour confirmer cela on ouvre un “Active Directory Schema” (via une mmc)

Afin de pouvoir forcer un schema master, nos amis de VMware nous ont pondu la KB2083758 qui va nous permettre de configurer un nouveau Shema Master (attention l’étape 8 n’est pas obligratoire, nous l’avons rajoutée car dans notre cas il fallait forcer le “naming master”).

To open the command prompt:
- Click Start.
- Right-click Command Prompt and then click Run as administrator.
In the command prompt, run this command:
dsmgmt
In the dsmgmt command prompt, run this command:
roles
In the fsmo maintenance command prompt, run this command:
connections
In the server connections command prompt, run this command:
connect to server computername:portnumber
where computername:portnumber is the computer name and communications port number of the AD LDS instance that you want to use as the new schema master.
In the server connections command prompt, run this command:
quit
In the fsmo maintenance command prompt, run this command:
seize schema master
(Etape rajoutée) In the fsmo maintenance command prompt, run this command:
seize naming master
Type exit and press Enter

Une fois les commandes passées nous avons bien un nouveau schema master et plus d’erreurs dans les events log de nos Connection Server

Server “Server01:389” knows about 2 roles

Schema – CN=NTDS Settings,CN=Server01$VMwareVDMDS,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,CN={F82E0D4A-16B0-44B1-91B7-5F5A08BD619A}
Naming Master – CN=NTDS Settings\0ADEL:8f620d83-00d8-4b15-87fc-97430126a71e,CN=Server01$VMwareVDMDS\0ADEL:b5ebd2b8-1345-48ab-bb4c-554090afca20,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,CN={F82E0D4A-16B0-44B1-91B7-5F5A08BD619A}