При установке HP System Management Homepage (SMH) по умолчанию использует самоподписанный сертификат, что приводит к паническим предупреждениям веб-браузеров. Встроенный механизм управления локальным сертификатом HP System Management Homepage непосредственно через веб-интерфейс, несмотря на свой почтенный срок существования, до сих пор не умеет формировать запрос на создание цифрового сертификата с атрибутом commonName в формате FQDN. Если для сравнения взять, например веб-интерфейс управления iLO2, то там такая возможность появилась в одном из предпоследних релизов firmware, что само по себе подаёт надежду на то, что технари HP таки одумаются и добавят такую возможность и в функционал HP System Management Homepage… А пока такой возможности нет, мы попробуем использовать альтернативный метод установки сертификата SMH, имеющего в качестве commonName FQDN имя сервера, подписанного нашим локальным доверенным центром сертификации.

Проделаем несколько несложных действий:

• Сгенерируем запрос на сертификат средствами OpenSSL к ЦС Windows;
• Получим от ЦС файла сертификата (.cer) в формате X.509 Base-64;
• Заменим сертификат в встроенном веб-сервере HP System Management Homepage

Для того чтобы создать запрос к ЦС Windows нам понадобиться OpenSSL, а именно 3 файла из его состава – openssl.exe, ssleay32.dll, libeay32.dll. Сложим их в один каталог (например в каталог C:ToolsOpenSSL).

Для подготовки запроса к ЦС создадим конфигурационный файл для OpenSSL - текстовый файл myopenssl.cfg со следующим содержимым:

[ req ]
distinguished_name = req_distinguished_name

[ req_distinguished_name ]
commonName = FQDN of server
commonName_default = SERVER.mydom.com
countryName = Country Name (2 letter code)
countryName_default = RU
0.organizationName = Organization Name (eg, company)
0.organizationName_default = MyCompany
localityName = Locality Name (eg, city)
localityName_default = Syktyvkar
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = KOMI

Как вы понимаете, в этом файле мы указываем параметры, которые нужны для идентификации запроса сертификата в ЦС, т.е. указываем имя сервера, которому требуется сертификат, имя организации и т.п.
Для формирования запроса с закрытым ключом нам нужно получить собственно сам закрытый ключ используемый сервером в данный момент – файл file.pem (по умолчанию расположен в каталоге C:hpsslshare).
Далее создаем запрос на сертификат с учётом подготовленных ранее параметров и ключевого файла командой:

C:ToolsOpenSSL >openssl req -config myopenssl.cfg -new -key file.pem -out myreq.req

Полученный файл запроса myreq.req загружаем в центр сертификации Windows Server, где выдаем сертификат на загруженный запрос. Выгружаем из ЦС новый сертификат в файл с именем cert.pem в формате X.509 в кодировке Base-64.

Файл cert.pem копируем в каталог, где HP SMH хранит файл самоподписанного сертификата (по умолчанию каталог C:hpsslshare). При этом имеющийся там файл на всякий случай сохраняем и переименовываем в cert.back.

После этого на сервере с HP SMH перезапускаем службу HP System Management Homepage командами:

Net stop SysMgmtHp
Net start SysMgmtHp

В итоге открываем HP System Management Homepage в вэб-браузере (по умолчанию URL типа https://server.mydom.com:2381/) и убеждаемся в том, что HP SMH использует определенный нами сертификат и предупреждения безопасности браузера отсутствуют.

Спектр программных продуктов семейства HP Insight весьма широк. Найти описание всех его составляющих можно на странице HP Insight Software, в частности подробное описание приводится в руководстве «HP Insight Software 6.2 Getting Started Guide». Мы рассмотрим лишь ПО HP Insight Software класса Foundation Management, доступного для бесплатного использования.

Полный набор документации по продуктам HP Insight Software класса Foundation Management можно найти на официальном сайте HP по ссылке HP Insight Software Information Library - Foundation Management Product Documentation.

Если в вашей инфраструктуре уже используются продукты для мониторинга серверных систем класса MS SCOM, то продукты HP Insight Software могут стать дополнительным средством для более детального мониторинга и управления серверными системами HP.

Обзор Foundation management software

В семейство продуктов Foundation management software входит три основных компоненты:

• HP Systems Insight Manager
  
  Это универсальная среда управления серверной инфраструктурой, которая обеспечивает сбор и анализ детальной технической информации о конфигурации и состоянии процессоров, оперативной памяти, дисков, контроллеров, сетевых и PCI-адаптеров, вентиляторов, источников питания и т. д. На основе анализа динамики изменения состояния контролируемых параметров HP Systems Insight Manager (HP SIM) может предупреждать о возможных отказах и прогнозировать появление узких мест.
  HP SIM способен идентифицировать и управлять всеми серверами HP ProLiant, Integrity, серверами HP 9000, системами HP BladeSystem, сетевыми коммутаторами ProCurve, системами хранения данных MSA, EVA и XP.

• HP System Management Homepage
  
  System Management Homepage это приложение которое может быть установлено на сервер HP и при взаимодействии с агентским ПО HP Systems Insight в удобоваримом виде предоставит полную информацию об аппаратной составляющей этого сервера и её функциональном состоянии. Может быть установлено с агентами HP из состава HP Support Pack.

• HP Version Control

  Представляет собой клиент-серверную систему для обновления драйверов и firmware на серверах. Устанавливается по умолчанию вместе с HP SIM.Состоит из:
  - Version Control Repository Manager (VCRM) - веб-приложение обеспечивающее доступ к центральному обновляемому хранилищу драйверов и firmware
  - Version Control Agent (VCA) – клиентская компонента, взаимодействующая с VCRM из состава HP Support Pack позволяющая отслеживать соответствие установленных версий драйверов и firmware на управляемых серверах.

В этой заметке мы рассмотрим установку компоненты HP Systems Insight Manager.

Подготовка сервера к установке HP Systems Insight Manager

Узнать о системных требованиях можно из документа «HP Systems Insight Manager 6.2 Installation and Configuration Guide for Microsoft Windows». Ссылку на актуальную версию документа можно найти на указанной общей странице документации. Исходя из заявленных в документе системных требований, мы используем следующую конфигурацию:

• Виртуальный сервер на хостовой системе Microsoft Hyper-V Server 2008 R2;
• ОС виртуального сервера – Microsoft Windows Server 2008 R2 Standard Edition English (соблюсти требование языковой версии обязательно);
• 4 виртуальных процессора;
• Оперативная память - 4 Gb;
• Диски – Фиксированные виртуальные диски объемом 30 Gb (на виртуальном контроллере IDE) под ОС и 40 Gb (на виртуальном синтетическом контроллере SCSI) под данные HP SIM; Один виртуальный сетевой адаптер (синтетический)

Сразу после развертывания ОС устанавливаем на неё все актуальные обновления доступные на WSUS.

В документации отмечено, что механизм User account control (UAC) должен быть отключён для успешной установки и функционирования продуктов Insight software. Через локальные политики безопасности мы можем отключить использование UAC для администраторов системы.

Откроем оснастку Local Security Policies из Панели управления (“Control Panel” > «System and Security» > «Administrative Tools» > «Local Security Policies»)

Перейдём к разделу «Security Settings» > «Local Polices» > «Security options» и отключим параметр «User Account Control: Run all administrators in Admin Approval Mode»

Чтобы эта настройка вступила в действие необходимо перезагрузить систему.

Установка HP SIM потребует наличие в системе работающей службы SNMP Service, а установка SQL Server 2008 R2 потребует предварительной установки .Net Framework 3.5.1. Выполним установку этих фич через Server Manager

В домене создадим специальную учетную запись пользователя от имени, которого будут запускаться сервисы HP SIM (В нашем примере это учетная запись DOMAINs-KOM-AD01-HPSIM-Usr) и включим эту учетную запись в локальную группу администраторов на нашем сервере.

Теперь наступило время установить Microsoft SQL Server, который будет использоваться для хранения БД HP SIM. Учитывая то, что в списке поддерживаемых БД присутствует SQL Server 2008 Express Edition, мы попробуем установить версию Microsoft SQL Server 2008 R2. В новой версии расширено ограничение на размер используемой базы данных до 10 Gb, что может быть полезным для нас в перспективе.

Запускаем инсталлятор MS SQL Server 2008 R2 и выбираем только минимально необходимый набор компонент для установки. Каталог установки исполняемых файлов оставляем по умолчанию.

Имя экземпляра SQL Server можно не менять и использовать предложенное. В качестве места расположения файлов данных SQL укажем специально созданный каталог на втором логическом диске нашего виртуального сервера.

Учетные данные для запуска служб используем по умолчанию за исключением того что службу SQL Server Browser нужно перевести в состояние автоматического запуска (это нужно для успешной работы инсталлятора HP SIM)

Во избежание проблем с сортировкой выбираем Latin1_General_CI_AS (на форуме HP встречал несколько сообщений о возникающих проблемах с софтом HP Insight в случае использования национальных порядков сортировки)

Режим аутентификации – смешанный.

Остальные настройки оставляем по умолчанию и запускаем процесс установки.

После успешного окончания процесса установки снова запрашиваем и устанавливаем все последние обновления с WSUS.
Затем открываем из меню Пуск консоль SQL Server Configuration Manager.
Проверяем параметры службы SQL Server Browser на предмет автоматического запуска. В свойствах серверных протоколов включаем протоколы Named Pipes и TCP/IP

В свойствах протокола TCP/IP необходимо отключить использование динамических портов, указав статический порт (по умолчанию 1433)

После всех внесённых изменений перезагружаем сервер и убеждаемся, что службы SQL Server стартовали без проблем и в системе работают соответствующие TCP/IP прослушиватели.

Загружаем HP SIM по ссылке http://www.hp.com/go/hpsim

Для загрузки нам потребуется зарегистрироваться на сайте HP с указанием существующего почтового ящика email (на него буду приходить уведомления о транзакциях операций загрузки ПО HP). После регистрации мы сможем скачать дистрибутив HP SIM последней версии. Текущая версия HP SIM загружается в виде архива размером 1,35 Gb.

Копируем скачанный архив с дистрибутивом HP SIM, распаковываем, переходим в каталог hpsimwin и запускаем setup.exe. Инсталлятор выполнит проверку наличия экземпляра SQL Server и должен найти установленный нами ранее экземпляр именованный как SQLEXPRESS. В качестве учетной записи для доступа к базе данных используем созданную ранее в домене сервисную учетную запись.

Далее указываем тип установки. Выбираем тип Typical для полной установки всех компонент.

В качестве учетной записи служб HP SIM укажем туже самую созданную ранее в домене сервисную учетную запись.

После этого подтверждаем выбор устанавливаемых компонент и запускаем непосредственную процедуру установки. После окончания процедуры установки мы получим уведомление о регистрации. Лучше не откладывать это в долгий ящик и зарегистрировать продукт прямо сейчас, чтобы в дальнейшем не получать назойливых всплывающих сообщений при каждом запуске HP SIM. Для регистрации перейдём на сайт HP на страницу HP Systems Insight Manager Registration (со временем URL для регистрации может измениться, актуальную его версию можно найти в свежем руководстве по установке HP SIM). Процедура регистрации также потребует учетной записи на сайте HP (HP Passport sign-in) хотя и не представляет собой ничего сложного.

После того как ключ введён и успешно принят, программа установки попросит выполнить перезагрузку компьютера.

Первый запуск HP SIM и первоначальная настройка

После перезагрузки входим в систему и запускаем (с рабочего стола или из меню Пуск) ярлык HP Systems Insight Manager. Откроется веб-браузер, и мы получим предупреждение безопасности об используемом сертификате, так как сертификат, установленный по умолчанию, является само подписанным. В дальнейшем мы заменим само подписанный сертификат на сертификат, выпущенный доверенным центром сертификации. Выполняем вход в HP SIM c учетной записью администратора от имени, которого производилась установка (при этом в поле Domain необходимо вводить NetBIOS имя домена).

При первом входе на веб-консоль HP SIM откроется мастер первоначальной настройки.

Определим используемые ОС в нашем рабочем окружении.

Настроим параметры расписания обнаружения новых управляемых систем, за которыми будет следить HP SIM. В качестве области обнаружения наверно лучше всего указать диапазоны IP подсетей, в которых у нас расположены серверные системы HP.

Укажем учетные данные используемые при опросе сети. В данном случае можно ограничиться параметрами для SNMP, так как подразумевается, что на всех опрашиваемых серверах будет работать служба SNMP взаимодействующая с установленными агентами HP Insight.

Далее мы при желании можем указать имя почтового сервера для отправки уведомлений об изменениях состояния оборудования. Несмотря на то, что присутствуют поля для авторизации, как я не пробовал, так у меня и не получилось использовать отправку почты через Exchange с использованием этих учетных данных. Пришлось разрешить анонимную отправку почты с этого хоста на Receive Connector в Exchange.

Страницу с настройками WBEM я пропустил, потому что в нашем рабочем окружении мониторинг будет использоваться через SNMP с помощью нативных агентов мониторинга не использующих WBEM провайдеров.

На последнем этапе визард запускает первый опрос сети по указанным IP диапазонам на предмет обнаружения устройств HP. Статус обнаружения можно посмотреть в меню Options > Discovery.

Состояние всех обнаруженных систем можно увидеть на странице All Systems

 

Первоначальный опрос сети может не дать желаемых результатов, в случае если на опрашиваемых серверах не установлены программные диагностические компоненты HP (например, для серверов HP ProLiant это ПО из состава HP ProLiant Support Pack). Помимо этого, на опрашиваемых системах должна быть установлена и настроена служба SNMP, а так же созданы правила для брандмауэра. Подробнее о настройке опрашиваемых систем для взаимодействия с HP SIM можно найти в заметке Установка Hyper-V Server 2008 R2 на серверную платформу HP ProLiant DL 360 G5

Для более тонкой настройки параметров опроса сети здесь же (Options > Discovery) используя дополнительные ссылки. На этой же странице можно настроить необходимое количество задач по плановому опросу если необходимо использовать, например, разные учетные данные для разных областей опроса.

Пока идёт процедура первоначального опроса сети, можно настроить стартовую страницу HP SIM так, чтобы она сразу нас перенаправляла нас на страницу, отображающую общий статус всех найденных систем - All Systems

Так же мы сразу же можем настроить уровень регистрируемых в HP SIM оповещений в меню Options > Events > Event Filter Settings. На этой же странице можно задать ограничения IP диапазонов из которых мы будем получать SNMP Traps

Ранее я писал, что веб-консоль устанавливается с само подписанным цифровым сертификатом. Для его замены переходим в меню Options > Security > HP Systems Insight Manager Server Certificate

На указанной странице перечислены три действия, которые нам необходимо выполнить для успешной замены сертификата HP SIM:

• Создать новый запрос к нашему локальному домеренному корневому центру сертификации;
  
• Получить от корневого центра сертификации сертификат на основе запроса в формате Base 64 (хотя на веб-форме написано про PKCS #7 – импортировать сертификат в этом формате мне так и не удалось :)
  
• Импортировать полученный сертификат в HP SIM

После замены сертификата мы перестанем получать предупреждения безопасности от веб-браузера о проверке подлинности сертификата.

Обратите внимание на то что импортировать новый сертификат для сервера HP SIM пока мы предварительно не добавим сертификат нашего корневого центра сертификации в списку доверенных систем в меню Options > Security > Credentials > Trusted Systems : Закладка Trusted Certificates. Root-сертификат должен быть в кодировке Base 64.

Помимо замены сертификата, мы можем внести ещё одно изменение безопасности, которое облегчит нам работу с веб-консолью HP SIM - активируем функцию автоматического входа (Single Sign On). Воспользуемся информацией из HP Systems Insight Manager 6.2 User Guide.

Для этого должны быть соблюдены следующие условия:

• Сервер HP SIM должен работать под управлением Windows и быть членом домена;

• На сервере HP SIM служба Systems Insight Manager service должна работать от имени доменной пользовательской учетной записи;

• Веб-браузер на клиентском компьютере, с которого открывается веб-консоль HP SIM должен поддерживать передачу учетных данных, например это может быть Internet Explorer 7 или Firefox (IE версии 6 не поддерживается). При этом веб-браузер должен воспринимать URL веб-консоли, как узел доверенной зоны (Trusted Sites zone)

• В домене для учетной записи, от имени которой работает служба Systems Insight Manager, должна быть зарегистрирована запись SPN для службы HTTP. Проверить существующие SPN можно командой:
  
  setspn -L Domains-KOM-AD01-HPSIM-Usr
  
  Создать запись SPN можно командой:
  
  setspn -a HTTP/KOM-AD01-HPSIM.domain.com Domains-KOM-AD01-HPSIM-Usr
  
  (KOM-AD01-HPSIM.domain.com в нашем примере это FQDN имя сервера HP SIM)

• В конфигурационном файле HP SIM - globalsettings.props (По умолчанию этот файл находиться в каталоге C:Program FilesHPSystems Insight Managerconfig).
  Файл можно открыть в текстовом редакторе и изменить строку AutomaticSignIn=0 на строку AutomaticSignIn=1.

• Для того чтобы механизм авторизации работал в HP SIM нужно создать группы доступа с таким именем как они сделаны в домене и включить соответствующих доменных пользователей в эти группы в домене.

На этом этапе, пожалуй, ограничим описание процедуры установки HP SIM, так как минимальные действия для его функционирования сделаны. В следующей заметке мы рассмотрим настройку модуля HP Version Control.