C:\>Windows Internals - L'équipe Française de Support Windows_ : Hyper-V

iSCSI reconnecting suite à un reboot

Lionel.T — Fri, 23 Oct 2009 08:25:08 GMT

J’ai rencontré un problème assez pénalisant en utilisant mes VMs Cluster sous Hyper-V :

Lors de chaque redémarrage de mes guest Windows 2008 pour faire des clusters virtuels, les connexions iSCSI restaient en état reconnecting. Je devais alors reconfigurer tous les initiators afin qu’ils puissent être de nouveau fonctionnel avec mon iSCSI Target.

J’ai utilisé une solution de contournement avec la clef de registre EnablePMTUDiscovery = 1 dans HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Maintenant, mes VMs se reconnectent correctement suite à leur reboot.

Note : Cette solution de contournement peut affecter les performances TCP et n’est valable que dans le cadre de testing…

Lien Technet

http://technet.microsoft.com/en-us/library/cc957539.aspx

La liste suivante décrit les paramètres que vous pouvez utiliser avec cette valeur du registre :

1 : Lorsque vous définissez EnablePMTUDiscovery sur 1, TCP tente de découvrir la taille de l'unité MTU (Maximum Transmission Unit ) ou la taille de paquet la plus élevée sur le chemin d'accès à un hôte distant. TCP peut éliminer la fragmentation sur les routeurs sur le chemin d'accès qui connecte des réseaux à différentes unités MTU, en découvrant l'unité MTU du chemin et en limitant les segments TCP à cette taille. Inversement, la fragmentation affecte le débit TCP.

0 : Nous vous recommandons de définir EnablePMTUDiscovery sur 0. Ainsi, une unité MTU de 576 octets est utilisée pour toutes les connexions qui ne sont pas des hôtes sur le sous-réseau local. Si vous ne définissez pas cette valeur sur 0, un attaquant peut forcer la valeur de l'unité MTU à une très petite valeur et ainsi surmener la pile.

Lionel

Windows Core Support Escalation Engineer

Faites le bon choix pour votre plateforme de virtualisation #2 : translation des adresses mémoire

GuillaumeD — Wed, 07 Oct 2009 23:29:00 GMT

Le premier bulletin de cette série traitera de la gestion de la mémoire.

La gestion de la mémoire est un facteur crucial au sein d’un système d’exploitable.

Dans le monde de la virtualisation, le mécanisme visant à gérer les allocations mémoire est d’autant plus complexe et coûteux qu’il faut prendre en compte deux niveaux de mémoire alors qu’un système traditionnel n’en a qu’un seul (d’un point de vue très simplifié).

Gestion de la mémoire sur un système classique

Sur un système Windows classique, il y a une notion de mémoire physique et une notion de mémoire virtuelle.

Le système alloue un espace mémoire au kernel et un espace mémoire au mode user dans ce que l’on appelle la mémoire virtuelle. Cette mémoire virtuelle est adressée dans la mémoire physique et la mémoire paginée (le pagefile).

Sur un système 32 bit, cet espace mémoire virtuel alloue par défaut 2GB au kernel et 2GB au mode user (avec le /3GB : 1GB pour le kernel et 3GB pour le mode user).

Sur un système 64 bit, la répartition est de 8TB pour le kernel et 8TB pour le mode user.

Dans les deux cas, même si la mémoire physique disponible est inférieure à 4GB.

Une partie du travail du Memory Manager est donc de traduire les adresses virtuelles en adresses physiques (qui se trouvent soit en mémoire physique soit dans le pagefile).

Gestion de la mémoire sur un système virtualisé

Sur un système où un hypervisor s’exécute, on retrouve un niveau de mémoire supplémentaire : la mémoire allouée aux machines virtuelles et vue par celles-ci comme de la mémoire physique.

Et c’est là où ça se complique un peu et où il est nécessaire d’utiliser tout un jeu d’acronymes barbares pour comprendre ce que doit assumer l’hypervisor:

SPA (System Physical Address Space) : l’espace d’adressage physique réel (en gros dans les barrettes de RAM)
GPA (Guest Physical Address Space) : l’espace d’adressage physique vu d’une machine virtuelle (dans la représentation qu’a la machine virtuelle de la mémoire physique qui lui est présentée par l’hypervisor)
GVA (Guest Virtual Address Space) : l’espace d’adressage virtuel d’une machine virtuelle (ou de l’hôte)

Ces espaces sont représentés d’une autre manière dans le schéma ci-dessous :

Dans cette situation, le système d’exploitation s’exécutant dans la machine virtuelle traduit les adresses mémoires virtuelles (GVA) en adresses mémoires “physiques” (GPA) et l’hypervisor va traduit les adresses “physiques” des pages mémoires (GPA) de la machine virtuelle en adresses physiques réelles (SPA).

Ce qui correspond au schéma ci-dessous :

La translation d’adresse GPA vers SPA est donc prise en charge par l’hypervisor. C’est une solution de translation d’adresse logicielle.

Dans le détail, le processeur maintient une liste de correspondance des adresses de la mémoire virtuelle (GVA) utilisées par les machines virtuelles avec la mémoire physique (SPA) dans ce qu’on appelle un Translation Looksaside Buffer (TLB). Lorsque la machine virtuelle tente d’accéder à une donnée ou une fonction qui est référencée par une adresse virtuelle mais que cette adresse virtuelle ne correspond à aucun contenu cela résulte en une faute de page (Page Fault). Cette faute de page est interceptée par l’hypervisor qui charge en mémoire la donnée ou la fonction et établit la translation d’adresse en spécifiant l’adresse physique dans la page TLB.

Comme on peut le comprendre, comme toute opération traitée par du logiciel, cette tâche de translation d’adresse est consommatrice en temps CPU. Bien plus que par du microcode embarqué dans du silicium.

C’est ce que nous appellons Second Level Address Translation (SLAT).

Prise en charge de la translation d’adresse par le CPU

J’en viens alors au premier avantage qu’apportent les nouvelles fonctionnalités d’AMD et d’Intel® : le déport de cette mécanique de l’hypervisor vers le CPU.

Pour Intel®, cette tâche est assurée par la technologie Intel VT Extended Page Tables
Pour AMD, c’est la technologie Rapid Virtualization Indexing (ou Nested Page Tables) qui assume ce rôle

Les deux fondeurs utilisent une terminologie différente mais le principe est le même, et cela permet de libérer l’hypervisor de cette tâche lui donnant plus de temps pour effectuer des actions plus importantes sinon plus utiles.

Cette fonctionnalité mise en oeuvre par les CPUs est supporté par Hyper-V v2 disponible avec Windows Server 2008 R2.

Ressources

KB555223 - RAM, Virtual Memory, Pagefile and all that stuff

Virtual Address Space

(WO/2007/073624) VIRTUAL TRANSLATION LOOKASIDE BUFFER (World Intellectual Property Organisation, en Anglais)

The very first independent Nested Paging Virtualization tests (Anandtech - AMD Nested Pagaing benchmark)

Intel® 64 and IA-32 Architectures Software Developer's Manual Volume 3B: System Programming Guide, Part 2 (en Anglais) – Extended Page Tables, chapitre 25.2

AMD-V™ Nested Paging

Rapid Virtualization Indexing with Windows Server 2008 R2 Hyper-V

Guest Post: Intel Inside for Hyper-V Virtualization

PDC 2008: Virtualization, An overview of the hardware features that give rise to world-class virtualization and cloud computing

Guillaume

Windows Core Support Escalation Engineer

Faites le bon choix pour votre plateforme de virtualisation - Introduction

GuillaumeD — Fri, 25 Sep 2009 18:45:00 GMT

Par curiosité personnelle et un peu professionnelle, je me suis intéressé depuis quelques temps à tout ce sur quoi repose Hyper-V pour fonctionner et fournir une plateforme de virtualisation performante.

Au fil de mes recherches et au vu du nombre de sujets à aborder, il m’a paru intéressant de reporter ce que j’ai pu comprendre dans une série de bulletins visant à démontrer que l’implémentation d’une plateforme de virtualisation ne reposait pas uniquement sur le choix du logiciel mais également sur le choix du matériel. En l’occurrence, le processeur, le chipset et les adaptateurs réseau.

La question amenée par cette série de bulletins ne se porte surtout pas sur le choix d’un fondeur particulier, AMD ou Intel®, mais plutôt sur le choix de l’anticipation.

Anticipation quant à la sélection des composants embarqués dans les serveurs que vous dédierez à la virtualisation avec les génération d’hypervisors à venir (bon… Hyper-V v2, on est d’accord ?).

Jusqu’à présent le choix des serveurs se limitait aux notions évidentes de performance et de capacité de leurs composants :

Fréquence du processeur, éventuellement la capacité des différents niveaux de cache, le nombre de cores, …
Capacité de la mémoire physique, fréquence, …
Capacité des cartes réseau (100MB/1GB/…)
Etc…

Tous ces critères restent valables pour la majorité des rôles endossés par la plupart des serveurs mais la virtualisation amène des nuances non négligeables qui peuvent faire la différence en terme de performances.

Il se peut cependant que j’enfonce des portes ouvertes étant donné que beaucoup de constructeurs de serveurs proposent déjà largement les technologies d’Intel® et d’AMD dans leurs plateformes. L’intérêt de ce bulletin et de ceux à venir consistera donc à mieux comprendre la forte adhérence du matériel avec les solutions de virtualisation.

Je tenterais de décrire dans cette série les produits et technologies d’AMD et d’Intel® listés ci-après et en expliquer les intérêts pour Hyper-V :

Intel® Processeurs de la série Intel® Xeon® 5500

Intel® VT Extended Page Table

Intel® VT FlexMigration

Intel® VT FlexPriority

Intel® VT-d et Intel® VT-c

AMD Processeurs de la série AMD Opteron™ Quad-Core

AMD Rapid Virtualization Indexing

AMD-V™ Extended Migration

AMD Direct Connect Architecture

Mais, tout d’abord, en guise d’introduction et pour bien comprendre l’intérêt de considérer différemment les plateformes de virtualisation des autres systèmes, une petite explication sur ce que représente le matériel pour les hypervisors que nous connaissons.

Le terme “hypervisor” étant barbare, je pourrais également utiliser le terme “VMM” (Virtual Machine Monitor) tout au long de ces bulletins.

Hardware-Assisted Virtualization (la virtualisation assistée par le matériel)

La virtualisation n’est pas un concept nouveau… loin de là. Ce n’est que ces dernières années que le sujet est revenu à l’ordre du jour avec l’accroissement massif du nombre de serveurs et le besoin de revenir vers des prétentions plus réalistes.

En effet, le principe de la virtualisation a déjà été abordé par IBM au début des années 1980 avec l’IBM VM/370 puis le System/370-XA qui tentaient de répondre (ou répondaient) aux besoins amenés par l’hébergement de plusieurs systèmes sur un seul hôte physique : la gestion des I/Os et la gestion de la mémoire.

Ensuite, après le large déferlement du processeur x86 sur le monde, ce fut au tour d’AMD et d’Intel® d’implémenter dans leurs processeurs des fonctions permettant aux acteurs actuels du logiciel de proposer leur hypervisor.

Mais en quoi cela consiste ? Rien de bien compliqué… Juste l’ajout d’instructions spécifiques dans les processeurs permettant la mise en oeuvre d’un VMM sur une plateforme matérielle.

Ce VMM a alors pour tâches de gérer l’exécution des machines virtuelles, de leur allouer un espace mémoire et de leur permettre l’accès aux périphériques matériels. Je reviendrais plus tard sur chacun de ces aspects.

Ca ne paraît rien comme ça mais ces quelques instructions ont permis (dans le monde des processeurs AMD et Intel®) de faire basculer notre conception des plateformes systèmes.


Plateforme serveur classique	Plateforme virtualisée

Les deux schémas ci-dessus permettent d’illustrer la différence entre une plateforme serveur classique et une plateforme virtualisée.

Je n’ai repris qu’un seul modèle d’hypervisor (qui cible les environnements de production) sur lequel s’appuie Hyper-V. Ce modèle, qui s’appelle Type 1 ou Bare-Metal, s’appuie pour sa part sur les technologies de virtualisation des deux fabricants pour fonctionner : Intel® VT (Intel® Virtualization Technology) pour l’un, AMD-V™ (AMD-Virtualization™) pour l’autre.

Ressources

Virtualization for dummies – AMD Special Edition - PDF en anglais, pour les débutants !

Hardware Support for Efficient Virtualization - John Fisher-Ogden (University of California, San Diego) – Document en anglais donnant un aperçu assez global de la virtualisation.

Intel® 64 and IA-32 Architectures Software Developer's Manual Volume 2B: Instruction Set Reference, N-Z – Document en anglais plus pointu où l’on peut retrouver le détail des instructions implémentées pour la virtualisation (chapitre 5).

A suivre…

Guillaume

Windows Core Support Escalation Engineer

Automatisez Hyper-V avec PowerShell

GuillaumeD — Fri, 21 Aug 2009 23:57:00 GMT

Avec l’augmentation du nombre de machines virtuelles, par intérêt ou par simple curiosité vous souhaitez manipuler vos hôtes Hyper-V ou les machines virtuelles hébergées autrement que par la console Hyper-V ?

Tony Soper a mis à disposition 35 scripts PowerShell permettant de répondre à de nombreux besoins liés à la maintenance d’une plateforme de virtualisation Hyper-V.

Téléchargement : Hyper-V PowerShell Example Scripts.zip

Autre ressource utile, disponible sur CodePlex : PowerShell Management Library for Hyper-V

Guillaume

Windows Support Escalation Engineer

Meilleures pratiques Hyper-V : virtualisation des contrôleurs de domaine

GuillaumeD — Sat, 18 Jul 2009 10:44:00 GMT

Marc Bouchard de l’équipe Domaine & Sécurité a écrit un bulletin listant nos recommandations concernant la virtualisation des contrôleurs de domaine.

Ce bulletin regroupe des points très importants à respecter.

Pour le consulter : DC Virtuel: Les règles de bases

Guillaume

Windows Core Support Escalation Engineer

Correctifs recommandés pour SCVMM 2008

GuillaumeD — Tue, 14 Apr 2009 10:19:28 GMT

Tout comme il l’est fait pour le cluster, un article KB est désormais disponible pour référencer les correctifs recommandés pour System Center Virtual Machine Manager 2008.

Cette fiche liste également les correctifs requis et recommandés pour les hôtes Hyper-V gérés par SCVMM.

KB962941 - Recommended hotfixes for System Center Virtual Machine Manager 2008

Guillaume

Windows Core Support Escalation Engineer

La gestion de la délégation d’administration de machine virtuelle au sein d’un cluster Hyper-V

GuillaumeD — Thu, 02 Apr 2009 23:54:29 GMT

Suite au bulletin traitant du sujet, Jean-Philippe a élevé un peu le débat en abordant les aspects d’un cluster Hyper-V.

Vous trouverez donc dans le bulletin suivant une méthode permettant d’assurer une gestion de la délégation pour un cluster.

La gestion de la délégation d’administration de machine virtuelle au sein d’un cluster Hyper-V

Guillaume

Windows Core Support Escalation Engineer

Baisses de performance vidéo sur un hôte Hyper-V

GuillaumeD — Wed, 25 Mar 2009 01:37:58 GMT

Sur les serveurs hébergeant le rôle Hyper-V où une carte graphique contrôlée par un driver mettant en oeuvre les fonctionnalités d’accélération des performances graphiques est installée, il est fortement probable de subir certaines baisses de performance.

En effet, comme l’allocation de la mémoire est assumée par l’hyperviseur, cela génère de nombreuses interceptions qui ralentissent le fonctionnement général de la plateforme.

La solution : laisser le driver générique inclus avec Windows Server 2008 : VGA.SYS ou VGAPNP.SYS.

Avons nous besoin d’un affichage performant sur un serveur ? Pour ma part, je pense que non… Qui lit des vidéos ou joue à des jeux sur une plateforme serveur ?

KB961661 - Video performance may decrease when a Windows Server 2008-based computer has the Hyper-V role enabled and an accelerated display adapter installed

Guillaume

Windows Core Support Escalation Engineer

Statut officiel sur le support du teaming sur un hôte Hyper-V

GuillaumeD — Tue, 10 Mar 2009 22:52:00 GMT

Suite au bulletin précédement posté sur notre blog et comme annoncé, la fiche technique décrivant le statut officiel du support des fonctionnalité de teaming est disponible.

L’article ne présente pas de nouveauté par rapport à tout ce qui a déjà été dit : les fonctionnalités de teaming sont supportées par le constructeur…

KB968703 - Microsoft Support Policy for NIC Teaming with Hyper-V

En tout cas, c’est dit…

Guillaume

Windows Core Support Escalation Engineer

Une nouvelle fiche technique pour Hyper-V

GuillaumeD — Tue, 03 Mar 2009 14:48:00 GMT

Il se peut que vous subissiez un problème de connexion à vos machines virtuelles via VMConnect.

Dans ce cas, vous trouverez le bulletin officiel concernant ce comportement sur le blog officiel de la division Windows Server : Hyper-V certificate expiration and resolution.

Et l’article technique correspondant : KB967902 - You cannot connect to a virtual machine when the Windows Server 2008 Hyper-V VMMS certificate has expired

Guillaume

Windows Core Support Escalation Engineer

Meilleures pratiques Hyper-V : le teaming

GuillaumeD — Fri, 27 Feb 2009 01:49:00 GMT

Dans ce bulletin, je vais aborder l’aspect de l’aggrégation de lien aussi appelée “Teaming” sur les plateformes Hyper-V. Il y a d’autres applications liées à cette fonctionnalité comme la tolérance de panne, ou répartition de charge mais j’en resterais à la fonctionnalité générique.

Pour plus de détails : Tutorial on Link Aggregation and Trunking

En ce qui concerne la mise en oeuvre d’une telle solution sur des serveurs Windows, la politique de support de Microsoft n’est pas ambigüe : les technologies mises en oeuvre pour faire du teaming sont supportées par le fabricant des cartes réseau. La fiche technique suivante en est l’application : KB254101 - Network adapter teaming and server clustering.

Ce qui peut vouloir dire en clair : dans le cas où un dysfonctionnement interviendrait et dans lequel la pile réseau pourrait être impliquée, Microsoft n’a pas les moyens de diagnostiquer les problèmes qui pourraient provenir d’un composant tierce partie. Ce qui implique que dans de telles configurations, le Support Microsoft pourrait avoir à demander la désactivation du teaming pour isoler les composants afin de mettre en évidence celui qui pourrait être la cause du problème.

Cependant, cette fiche n’aborde que l’aspect cluster… alors qu’en est-il pour Hyper-V ?

La réponse est la même que pour le cluster à la différence qu’il n’existe aucun document officiel le spécifiant… Du moins pas encore.

Alors que faire ? La réponse est simple encore une fois : se reposer sur le constructeur.

HP a mis à disposition un document public décrivant la façon de mettre en oeuvre sa solution de teaming pour Hyper-V : Using HP ProLiant Network Teaming Software with Microsoft Windows Server 2008 Hyper-V.

En ce qui concerne Broadcom, rien à l’horizon (du moins, je n’ai rien trouvé). Cependant, quelques testeurs sont parvenus à faire fonctionner la solution Broadcom (Broadcom Advanced Control Suite) sur Hyper-V :

Using VMM to manage you Hyper-V NIC teams created with BACS

Broadcom NIC Teaming and Hyper-V

Note : ces liens n’engagent en rien Microsoft sur la faisabilité ni la supportabilité de ce qui y est décrit.

Quelques liens supplémentaires vers des ressources constructeurs (il y en a d’autres bien sûr) :

Dell - Hyper-V Important Information Guide

Dell Networking Solutions Guide for Microsoft Hyper-V

HP Virtualization with Microsoft où l’on peut trouver un lien vers la matrice de supportabilité des serveurs HP pour Hyper-V : Windows support for HP ProLiant Servers

IBM System x and BladeCenter servers with Microsoft virtualization

Autre question que l’on m’a posé lorsque j’ai présenté Hyper-V : comment configurer le teaming dans un serveur Core ?

Je sais que HP, via le SmartStart Scripting Tookit, permet d’exporter une configuration de teaming dans un fichier XML et de l’importer sur un autre serveur en ligne de commande. Ce qui se révèle assez aisé.

Pour les autres solutions, je n’en ai pas la moindre idée… et vous me pardonnerez !

Guillaume

Windows Core Support Escalation Engineer

Meilleures pratiques Hyper-V : scan temps réel des anti-virus

raphael.touchais — Thu, 19 Feb 2009 10:34:00 GMT

Suite au bulletin identifiant après quelques mois les incidents le plus souvent rencontrés avec Hyper-V, voici le premier bulletin présentant les meilleurs pratiques a adopter afin d’optimiser la mise en place de Hyper-V.

Certains comportements, peut-être liées au côté parfois un peu intrusif des anti-virus (ou au côté parfois un peu protecteur des mécanismes Windows), peuvent avoir pour conséquences certains dysfonctionnements comme ceux-ci :

Lors de la creation ou du démarrage d’une machine virtuelle, les messages suivants peuvent être affichés :

The requested operation cannot be performed on a file with a user-mapped section open. (0x800704C8)
‘VMName’ Microsoft Synthetic Ethernet Port (Instance ID {7E0DA81A-A7B4-4DFD-869F-37002C36D816}): Failed to Power On with Error 'The specified network resource or device is no longer available.' (0x80070037).
The I/O operation has been aborted because of either a thread exit or an application request. (0x800703E3)

Les machines virtuelles disparaissent de la console Hyper-V Management Console

Dans ces cas de figure, nous recommandons d’ajouter des exclusions au scan temps-réel des anti-virus installés sur les hôtes.

Exclure :

Le répertoire par défaut des fichiers de configuration des machines virtuelles : par défaut C:\ProgramData\Microsoft\Windows\Hyper-V

Le(s) répertoire(s) des fichiers de configuration machines virtuelles qui auraient pu être créés

Le répertoire contenant les VHDs : par défaut C:\Users\Public\Documents\Hyper-V\Virtual Hard Disks

Le(s) répertoire(s) contenant les VHDs qui auraient pu être créés

Le(s) répertoire(s) où sont stockés les snapshots
Le fichier VMMS.EXE (c:\windows\system32)
Le fichier VMWP.EXE (c:\windows\system32)

Vous retrouverez l'intégralité de l'article technique à l'adresse suivante : http://support.microsoft.com/kb/961804

Pour de plus amples informations, je vous propose de vous inscrire pour assister à la JTE du 31 mars prochain :

http://blogs.technet.com/windowsinternals/archive/2008/12/18/journ-e-technique-d-expertise-th-matique-windows-server-2008.aspx

Raphael

Windows Core Support Engineer

Correctif corrigeant la sauvegarde des VMs sous Hyper-V

GuillaumeD — Sun, 01 Feb 2009 13:09:42 GMT

Un nouveau correctif est disponible pour Hyper-V.

Celui-ci permet de corriger certains comportements en erreur mais surtout permet de sauvegarder les machines virtuelles à chaud depuis System Center DPM 2007 SP1.

KB959962 - An update is available for Windows Server 2008-based computers to address issues with backing up and restoring Hyper-V virtual machines

Guillaume

Windows Core Support Escalation Engineer

Compilation d’articles techniques Hyper-V (#2)

GuillaumeD — Thu, 15 Jan 2009 13:15:00 GMT

La suite des articles concernant Hyper-V, parmi lesquelles des oublis du bulletin précédent et de nouvelles publications :

KB959403 - Windows Server 2008 may restart unexpectedly when you open the Hyper-V manager console to manage virtual machines

KB958668 - You cannot shutdown a locked Windows 2000 SP4 virtual machine in Hyper-V Manager on a server that is running Windows Server 2008

KB959781 - Windows 2000 with Integration Services may shut down slowly while running as a guest on Server 2008 with Hyper-V

KB961661 - Video performance may decrease when a Windows Server 2008-based computer has the Hyper-V role enabled and an accelerated display adapter installed

KB954283 - You experience issues after you install Windows Server 2008 Hyper-V Integration Services on a Vista Home Premium virtual machine or a Vista Home Basic virtual machine

KB960578 - The IRET and IRETD instructions do not support the Nested Task (NT) flag in protected mode in a Windows Server 2008 Hyper-V environment

KB958669 - Event ID 12 is logged in the System log when you back up or compact a Hyper-V virtual hard disk on a Windows Server 2008-based computer

KB959403 - Windows Server 2008 may restart unexpectedly when you open the Hyper-V manager console to manage virtual machines

KB954357 -Error message when you use the Virtual Machine Connection tool to connect to a virtual machine on a Windows Server 2008 Hyper-V-based computer: "A connection will not be made because credentials may not be sent to the remote computer"

KB959962 - An update is available for Windows Server 2008-based computers to address issues with backing up and restoring Hyper-V virtual machines

Et depuis peu, il existe un lien sur TechNet qui maintient à jour une liste des correctifs mettant à jour Hyper-V : Hyper-V Update List

Ajoutez cette adresse à vos favoris !

Guillaume

Windows Core Support Escalation Engineer

AzMan et Hyper-V, ou comment déléguer l’accès aux machines virtuelles

GuillaumeD — Fri, 02 Jan 2009 20:09:00 GMT

Ce titre pourrait annoncer un nouveau film avec une vague de super héros, mais il n’en est rien !

L’intention de ce bulletin est d’expliquer brièvement ce qu’est AzMan et comment l’utiliser pour mettre en oeuvre de la délégation d’administration sur un serveur hébergeant le rôle Hyper-V.

AzMan

Hyper-V est désormais bien connu mais AzMan reste un peu dans l’ombre. De son vrai nom Windows Authorization Manager, AzMan est un framework de gestion des accès basé sur la notion de rôles (ou role-based access control, soit RBAC) qui permet de mettre à disposition des applications des stratégies auxquelles elles peuvent se référer pour contrôler ce que chaque utilisateur a la permission de faire.

Ce framework doit donc être pris en compte lors du développement de ces applications.

Je ne m’étendrais pas sur AzMan car cela ne fait pas parti de mes compétences au sein de l’équipe Windows Core mais il est nécessaire de détailler les quelques notions de base utilisées dans la suite de ce bulletin :

Authorization Store : l’emplacement de stockage de la stratégie d’autorisation, un fichier XML, une base SQL ou Active Directory
-> L’authorization store de Hyper-V est un fichier XML situé sur le serveur Hyper-V : C:\ProgramData\Microsoft\Windows\Hyper-V\InitialStore.xml
Application : définit un namespace pour les rôles, tâches et opérations
Scope : une collection de ressources sur lesquelles la même stratégie d’autorisation s’applique
Role : correspond à la définition d’un rôle fonctionnel (administrateur, opérateur, invité, …) et de la collection de tâches dont un utilisateur dispose au sein de l’application
Task : une collection d’opérations correspondant à une tâche (démarrer une machine virtuelle, modifier les paramétres d’une machine virtuelle, …)
Operation : un jeu de permissions qui sont associées à des procédures de sécurité au niveau du système ou des APIs

Comment attribuer des permissions sur Hyper-V

L’objectif ici est donc de détailler toutes les étapes nécessaires pour donner à certains utilisateurs la possibilité de travailler avec certaines machines virtuelles s’exécutant sur un hôte Hyper-V.

Avant de manipuler l’authorization store de Hyper-V, quelques pré-requis doivent être mis en oeuvre pour autoriser l’accès à distance de l’hôte Hyper-V :

Créer un groupe (dans Active Directory ou sur l’hôte Hyper-V) : par exemple Hyper-V Access
Rajouter dans le groupe local Distributed COM Users du serveur le groupe créé
Lancer Computer Management puis aller dans Services and Applications | WMI Control
Bouton droit sur WMI Control –> Properties | Onglet Security
Sélectionner Root | CIMV2 et cliquer sur Security
1. Cliquer sur Advanced puis Add…
2. Ajouter le groupe nouvellement créé (Hyper-V Access) et cliquer sur OK
3. Sélectionner Enable Account et Remote Enable
4. Sélectionner Apply to : This namespace and subnamespaces
5. Cocher Apply these permissions to objects and/or containers within this container only
6. Cliquer sur OK
Bouton droit sur WMI Control –> Properties | virtualization
Sélectionner Root | CIMV2 et cliquer sur Security
1. Cliquer sur Advanced puis Add…
2. Ajouter le groupe nouvellement créé (Hyper-V Access) et cliquer sur OK
3. Sélectionner Enable Account et Remote Enable
4. Sélectionner Apply to : This namespace and subnamespaces
5. Cocher Apply these permissions to objects and/or containers within this container only
6. Cliquer sur OK

Pour référence, voici la liste des opérations qui peuvent être déléguées à des utilisateurs dans Hyper-V :

Read Service Configuration : permet de visualiser la configuration du service Virtual Machine Management Service
Reconfigure Service : permet de reconfigurer le service Virtual Machine Management Service
Create Virtual Switch : permet la création du switch virtuel
Delete Virtual Switch : permet la suppression d’un switch virtuel
Create Virtual Switch Port : permet la création d’un port de switch virtuel
Delete Virtual Switch Port : permet la suppression d’un port de switch virtuel
Connect Virtual Switch Port : permet la connection à un port de switch virtuel
Disconnect Virtual Switch Port : permet la déconnection d’un port de switch virtuel
Create Internal Ethernet Port : permet la création d’un port ethernet interne
Delete Internal Ethernet Port : permet la suppression d’un port ethernet interne
Bind External Ethernet Port : permet de lier à un port ethernet externe
Unbind External Ethernet Port : permet de délier à un port ethernet externe
Change VLAN Configuration on Port : permet de modifier la configuration VLAN d’un port
Modify Switch Settings : permet de modifier les paramètres d’un switch
Modify Switch Port Settings : permet de modifier les paramètres d’un port de switch
View Switches : permet de visualiser les switches
View Switch Ports : permet de visualiser les ports de switches disponibles
View External Ethernet Ports : permet de visualiser les ports ethernet externes
View Internal Ethernet Ports : permet de visualiser les ports ethernet internes
View VLAN Settings : permet de visualiser la configuration de VLAN
View LAN Endpoints : permet de visualiser les LAN endpoints
View Virtual Switch Management Service : permet de visualiser le service Virtual Switch Management Service
Create Virtual Machine : permet de créer une machine virtuelle
Delete Virtual Machine : permet de supprimer une machine virtuelle
Change Virtual Machine Authorization Scope : permet de changer une machine virtuelle de scope
Start Virtual Machine : permet de démarrer une machine virtuelle
Stop Virtual Machine : permet de stopper une machine virtuelle
Pause and Restart Virtual Machine : permet de mettre en pause et de redémarrer une machine virtuelle
Reconfigure Virtual Machine : permet de reconfigurer une machine virtuelle
View Virtual Machine Configuration : permet de visualiser la configuration d’une machine virtuelle
Allow Input to Virtual Machine : permet d’interagir avec l’OS d’une machine virtuelle
Allow Output from Virtual Machine : permet de visualiser l’OS d’une machine virtuelle
Modify Internal Ethernet Port : permet la modification d’un port ethernet interne

Pour la partie réseau, ces deux schémas seront peut-être plus explicites pour décrire a quoi correspondent les différents composants :


Schéma théorique	Vue du Virtual Network Manager

Démarche

Je vais prendre l’exemple suivant : un administrateur Hyper-V souhaite déléguer la création et l’administration des machines virtuelles à un groupe d’utilisateurs (groupe Hyper-V Admins) et autoriser un autre groupe de personnes à utiliser ces machines virtuelles (groupe Hyper-V Users).

La démarche consiste donc à créer dans cette ordre depuis AzMan :

Des définitions de tâches (Task Definitions)
Des définitions de rôles (Roles Definitions)
Des assignations de rôles (Roles Assignments)

Pour simplifier la compréhension, j’utilise une terminologie spécifique pour chaque type d’élément créé en préfixant chacun de ces éléments :

T- pour les définitions de tâches
R- pour les définitions de rôles
G- pour les groupes applicatifs
AD- pour les groupes Active Directory

Création des définitions de tâches

L’adresse suivante donne un grand nombre d’exemples de tâches correspondants à des scénarios de délégation : Example Authorization Manager Tasks and Operations

Il s’agit tout d’abord d’ouvrir l’authorization store de Hyper-V :

Exécuter Start | Run –> azman.msc
Menu Action | Open Authorization Store…
Sélectionner XML File puis spécifier le fichier C:\ProgramData\Microsoft\Windows\Hyper-V\InitialStore.xml

Note : si SCVMM est utilisé pour gérer l’hôte Hyper-V, les modifications apportées au fichier InitialStore.xml ne seront pas prises en compte. SCVMM permet de déléguer l’accès à un hôte Hyper-V via son propre fichier (HyperVAuthStore.xml). La modification de ce fichier n’est pas supportée.

La première définition de tâche que je vais créer permettra de donner l’accès à la console Hyper-V (visualisation des machines virtuelles) :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Task Definitions
Menu Action | New Task Definition…
Spécifier un nom : T-Accès au serveur Hyper-V et cliquer sur Add..
Dans l’onglet Operations, sélectionner :

Allow output from Virtual Machines
Read Service Configuration
View Virtual Machine Configuration

Cliquer sur OK

La seconde définition de tâche que je vais créer permettra de donner les permissions suffisantes pour gérer les machines virtuelles :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Task Definitions
Menu Action | New Task Definition…
Spécifier un nom : T-Administration des VMs et cliquer sur Add..
Dans l’onglet Tasks sélectionner T-Accès au serveur Hyper-V
En sélectionnant la définition de tâche créée à l’étape précédente, celle-ci héritera de ses permissions
Dans l’onglet Operations, sélectionner :

Create Virtual Machine
Delete Virtual Machine
Connect Virtual Switch Port
Allow Intput from a Virtual Machine
Pause and Restart Virtual Machine
Start Virtual Machine
Stop Virtual Machine
Reconfigure Virtual Machine

Cliquer sur OK

La dernière définition de tâche que je vais créer permettra de donner les permissions suffisantes pour utiliser les machines virtuelles sans pouvoir modifier leur configuration :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Task Definitions
Menu Action | New Task Definition…
Spécifier un nom : T-Utilisation des VMs et cliquer sur Add..
Dans l’onglet Tasks sélectionner T-Accès au serveur Hyper-V
En sélectionnant la définition de tâche créée à la première étape, celle-ci héritera de ses permissions
Dans l’onglet Operations, sélectionner :

Allow Intput from a Virtual Machine
Pause and Restart Virtual Machine
Start Virtual Machine
Stop Virtual Machine

Cliquer sur OK

Au final, j’ai donc la liste suivante de définitions de tâches :

Création des définitions de rôle

Depuis AzMan :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Role Definitions
Menu Action | New Role Definition…
Spécifier un nom : R-Hyper-V Admins et cliquer sur OK
Effectuer la même chose pour la définition de rôle R-Hyper-V Users

Au final, j’ai donc la liste suivante de définitions de rôles :

Il faut maintenant attribuer à chaque définition de rôle les permissions adéquates :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Role Definitions | R-Hyper-V Admins
Menu Action | Properties
Dans l’onglet Definition, cliquer sur Add…
Dans l’onglet Tasks, sélectionner T-Administration des VMs
Cliquer sur OK
Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Definitions | Role Definitions | R-Hyper-V Users
Menu Action | Properties
Dans l’onglet Definition, cliquer sur Add…
Dans l’onglet Tasks, sélectionner T-Utilisation des VMs
Cliquer sur OK

Assignation des rôles

Si nous suivons les best practices Microsoft, l’attribution définitive des permissions sur l’hôte Hyper-V se fera par des groupes Active Directory (à la rigueur à travers les groupes locaux de l’hôte Hyper-V).

Je reprends donc la nomenclature AD-Hyper-V Admins et AD-Hyper-V Users pour créer mes deux groupes dans Active Directory.

Ensuite, depuis AzMan, je vais créer des groupes “application” dans l’authorization store incluant ces groupes Active Directory :

Sélectionner Authorization Manager | InitialStore.xml | Groups
Menu Action New Application Group…
Spécifier le nom G-Hyper-V Admins, sélectionner Basic Application Group puis cliquer sur OK
Spécifier le nom G-Hyper-V Users, sélectionner Basic Application Group puis cliquer sur OK

Je vais ensuite lier les groupes Active Directory avec les groupes applicatifs :

Sélectionner Authorization Manager | InitialStore.xml | Groups | G-Hyper-V Admins
Menu Action | Properties
Dans l’onglet Members :

Laisser la sélection sur Windows and Active Directory et cliquer sur Select…
Sélectionner le groupe AD-Hyper-V Admins depuis Active Directory (ou depuis la SAM locale de l’hôte Hyper-V)
Cliquer sur OK

Sélectionner Authorization Manager | InitialStore.xml | Groups | G-Hyper-V Users
Menu Action | Properties
Dans l’onglet Members :

Laisser la sélection sur Windows and Active Directory et cliquer sur Select…
Sélectionner le groupe AD-Hyper-V Users depuis Active Directory (ou depuis la SAM locale de l’hôte Hyper-V)
Cliquer sur OK

Au final, j’ai donc les groupes applicatifs suivants :

Cette étape n’est pas nécessaire mais elle permet de définir une seule fois dans l’authorization store le relation entre les groupes Active Directory et des groupes propres à ce store.

Il s’agit enfin d’attribuer à ces groupes applicatifs la délégation créée au travers des définitions de rôles et de tâches.

Depuis AzMan, je vais créer des assignations de rôles dans l’authorization store :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Role Assignments
Menu Action | New Role Assignment…
Sélectionner R-Hyper-V Admins et R-Hyper-V Users
Cliquer sur OK

Jusque là, ces assignations de rôles ne sont définies que par les opérations qui leur sont autorisées et ne définissent pas encore quels utilisateurs peuvent en bénéficier. Il faut donc lier ces assignations de rôles aux groupes applicatifs.

Depuis AzMan :

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Role Assignments | R-Hyper-V Admins

Menu Action | Assign Users and Groups –> From Authorization Manager
Sélectionner G-Hyper-V Admins
Cliquer sur OK

Sélectionner Authorization Manager | InitialStore.xml | Hyper-V Services | Role Assignments | R-Hyper-V Users

Menu Action | Assign Users and Groups –> From Authorization Manager
Sélectionner G-Hyper-V Users
Cliquer sur OK

Ce qui me donne en définitive ceci :

Scopes

La seule notion que je n’ai pas encore abordé sont les scopes.

Un scope définit un périmètre au sein d’un authorization store sur lequel s’appliquent des définitions de rôles et de tâches ainsi que des assignations de rôles.

Il est ainsi possible de définir plusieurs scopes (Maquettage, Pré-Production, Production, …) disposant de leur propre délégation. Ceci permet d’affiner encore plus la délégation en attribuant des permissions à un groupe de machines virtuelles et non à toutes.

Des exemples de scripts permettant de mainpuler les scopes sont disponibles ici : Script AzMan Scopes in Hyper-V

Ressources

Windows Authorization Manager (en Anglais)

Developing Applications Using Windows Authorization Manager (en Anglais)

Authorization Manager Terminology (en Anglais)

Configure Hyper-V for Role-based Access Control (en Anglais)

Virtualization Security Best Practices – How to Lockdown a Hyper-V Host (blog de Tony Soper en Anglais)

Hyper-V Security Getting Started Guide (blog de Tony Soper en Anglais)

Guillaume

Windows Core Support Escalation Engineer