vCenter Server Appliance root-Passwort und SSO-Passwort vergessen

Blöd ist es, wenn man das Passwort des SSO-Administrators der vCenter Server Appliance (vCSA) vergessen hat. Das lässt sich allerdings zurücksetzen, solange man noch Zugriff auf die Konsole der Appliance hat. Das erfordert das Root-Passwort – hat man dieses auch vergessen, ist das doppelt blöd. Doch leider passiert auch das zuweilen in manchen Lab-Umgebungen.

In einem solchen Fall benötigt man eine Linux Live-CD (beispielsweise Clonezilla oder Knoppix) und eine kurze Downtime, um das Problem zu lösen.

Die Konfiguration der VM muss angepasst werden, sodass diese von der ISO bootet (ISO beim Booten einhängen, Bootreihenfolge ändern bzw. Boot-Menü aufrufen).

Sobald das Linux-System gestartet ist, muss die 3.Partition der vCSA-Festplatte eingehängt werden. Je nach Linux-Distribution variieren hier die Gerätedateien – daher unbedingt einen Blick auf die Ausgabe des lsscsi-Kommandos werfen.

# lsscsi
# mount /dev/sda3 /mnt

Anschließend wird eine Sicherheitskopie der Datei /etc/shadow erstellt und der Eintrag für root in dieser Datei angezeigt:

# cp /mnt/etc/shadow /mnt/etc/shadow.old
# grep root /mnt/etc/shadow
root:$6$cVgMY7af$XZSSEKvitiqwUaLFZ4QVKEQ1El/Fra2TUFDHDFk1O8eu4aMQo0WfYrA5tVe7OAB4d2z442OIYkqH5BhGV9Vtr.::0:99999:7:::

Der hier rot markierte Bereich ist der Hash des Passworts. Mithilfe des folgenden Python-Aufrufs lässt sich ein neues mit diesem Hash verschüsseltes Passwort generieren:

$ python -c "import crypt, getpass, pwd; print crypt.crypt('MyPassword', '$6$SALT$')"

Also in diesem Beispiel:

$ python -c "import crypt, getpass, pwd; print crypt.crypt('MyPassword', '$6$cVgMY7af$')"
$6$cVgMY7af$3Yzu1Q6Wgl58hmxTtwO/N9INm5NWHRWEjKg7kRcwHYDpWcMPU935vaZSq6pq6DdT2pekU7rQ325vpZI1RIgNw.

Den Inhalt dieser Zeile muss man nun wieder in die Datei /etc/shadow einarbeiten:

root:$6$cVgMY7af$3Yzu1Q6Wgl58hmxTtwO/N9INm5NWHRWEjKg7kRcwHYDpWcMPU935vaZSq6pq6DdT2pekU7rQ325vpZI1RIgNw.::0:99999:7:::

Nach einem Reboot der vCSA sollte eine Verbindung per SSH hergestellt werden können. Um nun das Passwort des SSO-Administrators zurückzusetzen, genügen die folgenden Kommandos sofern sich auf der vCSA auch der Platform Services Controller (PSC) befindet:

Command> shell.set --enabled True
Command> shell
    ---------- !!!! WARNING WARNING WARNING !!!! ----------
...
my-vcsa:~ # /usr/lib/vmware-vmdir/bin/vdcadmintool


==================
Please select:
0. exit
1. Test LDAP connectivity
2. Force start replication cycle
3. Reset account password
4. Set log level and mask
5. Set vmdir state
==================

3
  Please enter account UPN : administrator@vsphere.local
New password is -
&/()32I'mDumb48730

Anschließend sollte man das Passwort ändern und entsprechend notieren, damit das nicht nochmal passiert…

Schreibe einen Kommentar