VMware vSphereのパスワード有効期限ポリシー管理ガイド｜SSO・vCSA・rootユーザーの設定方法

vSphere Clientを使用していると、「Your password will expire in xx days（パスワードの有効期限があとxx日です）」という通知が表示されることがあります。本記事では、VMware vSphereにおけるパスワードポリシーの管理方法、ローカルユーザーおよびドメインユーザーに対する期限切れ通知の表示タイミングの変更方法、さらに特定ユーザーのパスワードを無期限に設定する手順を詳しく解説します。

VMware Single Sign On（SSO）のパスワード＆ロックアウトポリシー

筆者の環境では、ローカルユーザー administrator@vsphere.local のパスワード有効期限を無効化することにしました。このローカルアカウントで常時作業を行うことはなく、vSphere管理者はActive Directoryのドメインアカウントで認証しているためです。

デフォルトでは、vSphereのローカルユーザーにはSSOポリシーが適用され、90日ごとのパスワード変更が求められます。

SSOのパスワードポリシー設定は、vSphere Clientの以下のセクションで確認できます。
Administration（管理）→ Single Sign On → Configuration（構成）

Password Policyタブを見ると、すべてのローカルvCSAユーザーのパスワードに以下の要件が適用されていることがわかります。

• パスワードの最小文字数は8文字（最大20文字）
• パスワードの有効期限は90日（最大有効期間）
• 直近5つまで使用したパスワードは再利用不可
• パスワードの複雑性に関する各種制限

Edit（編集）をクリックしてポリシー設定を変更します。たとえばMaximum lifetime（最大有効期間）を365に変更すれば年1回のパスワード変更となり、0を入力すればパスワードは無期限になります。

ローカルvCSAユーザーのパスワードを無期限に変更する方法

すべてのvCenterユーザーのパスワードポリシーを変更したくない場合は、特定のユーザーだけパスワードポリシーと有効期限設定を変更できます。ここでは、ローカルユーザー backup_user のパスワードを無期限に設定する例を紹介します。まずSSHクライアントでvCSAホストに接続してください。

vCSAへのSSHアクセスは、Appliance Management（https://your_vcenter_name:5480/ui/access）の Access → SSH login → Enabled セクションで有効化できます。

次に、/usr/lib/vmware-vmafd/bin/ にある dir-cli ツールを使用します。

cd /usr/lib/vmware-vmafd/bin/

対象のローカルユーザーが存在するか確認します。

./dir-cli user find-by-name --account backup_user

Enter password for administrator@vsphere.local:
Account: backup_user
UPN: backup_user@VCENTER.LOCAL/

このユーザーのパスワードを変更することもできます。

./dir-cli password reset --account backup_user --password OldBackupP@$$ --new NewBackupP@$$

または、パスワードを無期限に設定できます。

./dir-cli user modify --account backup_user --password-never-expires

Enter password for administrator@vsphere.local:
Password set to never expire for [backup_user]

vCenter Server Appliance（VCSA）のrootパスワード有効期限

vCenter Server Applianceをインストールすると、rootユーザーのパスワード有効期間は365日（vCenter 6.5以前）または90日（vSphere 6.7）に設定されます。つまり、rootユーザーもパスワード有効期限ポリシーの対象となります。

パスワードポリシーの設定内容は、vCSAのAppliance Management（https://your_vcenter_name:5480/ui/access）で確認できます。Administrationセクションに移動し、「Password expiration settings」の値をチェックしてください。

• Password expires（パスワードの有効期限）： Yes
• Password validity (days)（有効日数）： 90
• Password expires on（有効期限日）： Jun 13, 2020, 2:00:00 AM

ここでrootのパスワード有効期限設定を変更したり、値を0にして無期限に設定したりできます。

また、vCSAコンソールからもrootパスワードの有効期限設定を確認できます。

chage -l root

Last password change : Mar 15, 2019
Password expires : Jun 20, 2019
Password inactive : never
Account expires : never
Minimum number of days between password change : 0
Maximum number of days between password change : 90
Number of days of warning before password expires : 7

興味深いことに、vCSAのAppliance Managementインターフェースは、rootに対してパスワード変更を促すことも、期限切れの警告を表示することもありません。

しかし、vCenter Server Applianceをアップグレードしようとすると、次のようなエラーメッセージが表示されることがあります。

Appliance (OS) root password is expired or is going to expire soon. Please change the root password before installing an update.

また、Appliance Managementで期限切れのrootパスワードを変更しようとすると、次の警告が表示される場合があります。

Permission Denied. Set the maximum number of days when the password will expire. Administrator configuration updated successfully.

この場合は、vCSAコンソールで以下のコマンドを実行してrootパスワードを変更する必要があります。

passwd

VMware vCenterのパスワード期限切れ通知設定の変更方法

デフォルトでは、vCenter Client上のパスワード期限切れ通知は、有効期限の30日前から表示され始めます。

ユーザーがADアカウントでvCenterに認証している場合、パスワードにはドメインのパスワードポリシーが適用されます。ユーザーは有効期限の30日前になるとパスワード変更を促す通知を受け取ります。そのため、ドメインポリシーで30日ごとのパスワード変更を強制していると、vCenterユーザーは常に「Your password will expire（パスワードの有効期限が近づいています）」という煩わしい警告を目にすることになります。

vCSAでは、パスワード有効期限の何日前にこの通知を表示するかを設定できます。

vSphere HTML5クライアントを使用している場合、この設定はvCenter Server Applianceサーバー上の構成ファイル /etc/vmware/vsphere-ui/webclient.properties で指定されています。

ファイルを開き、sso.pending.password.expiration.notification.days パラメータを探してください。

値を7に変更すると、パスワード有効期限の7日前に通知が表示されるようになります。その後、vSphere Clientサービスを再起動します。

service-control --stop vsphere-ui
service-control --start vsphere-ui

旧Web Client（Flex）を使用している場合は、/etc/vmware/vsphere-client/webclient.properties ファイル内の sso.pending.password.expiration.notification.days パラメータの値を変更してください。

設定を編集した後、Web Clientサービスを再起動します。

service-control --stop vsphere-client
service-control --start vsphere-client