あとがきのようなもの

インフラ関連,コンテナ,仮想化技術、過去に書いた記事の解説など

vCenter Server Applianceのrootアカウントのパスワード更新とパスワード要件の緩和

VMware

Expire password for vCSA
Expire password for vCSA

久々に起動したvCenter Server Appliance（以下、vCSA）のアプライアンスのrootパスワードが期限切れになっていた。 rootのパスワードのリセットと、ついでにパスワード要件の緩和を行う方法のメモ。

root ユーザーのパスワードの変更の公式ドキュメント

docs.vmware.com

当然のことながら、パスワード要件の緩和についての公式ドキュメントは無い。

DCLIからパスワードリセット

とにかく1回リセットしてrootでログインできるようにする

Reset password for root user
Reset password for root user

  • パスワードルールが面倒だが一旦複雑なパスワードを設定

パスワード有効期限の変更

vCSAアプライアンス Web画面から変更可能

vCSA Web Console
vCSA Web Console

  • rootでログイン
  • 管理 > パスワード有効期限の設定
    • パスワードの有効期限をいいえに設定

パスワード要件の緩和

vCSAのパスワード要件はPhoton OS側で設定。vSphere SSOではない。

変更手順

  • DCLI or SSHでvCSAへログイン
  • /etc/pam.d/system-passwordを編集
    • pam_cracklib.soの行のenforce_for_rootを削除
    • pam_pwhistory.soの行のremember=を0にすることで過去のパスワードの使い回しが可能

変更後の/etc/pam.d/system-password

root@localhost [ ~ ]# cat /etc/pam.d/system-password
# Begin /etc/pam.d/system-password

# use sha512 hash for encryption, use shadow, and try to use any previously
# defined authentication token (chosen password) set by any prior module
#password  requisite   pam_cracklib.so   dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 minlen=6 difok=4 enforce_for_root
password  requisite   pam_cracklib.so   dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 minlen=6 difok=4
password  required    pam_pwhistory.so  debug use_authtok enforce_for_root remember=0
password  required    pam_unix.so       sha512 use_authtok shadow try_first_pass
# End /etc/pam.d/system-password

パスワード変更を実施して動作確認

root@localhost [ ~ ]# passwd