Installation von ansible auf Gentoo möchte USE-Flags von OpenSSL ändern bzw. eine instabile Version demaskieren

Letzte Nacht musste ich ansible von der ansible control machine entfernen, da ich das System sonst nicht hätte aktualisieren können und ich keine Zeit für die Problemlösung hatte.

ansible (bzw. eine seiner Abhängigkeiten) sorgte für einen für Portage nicht lösbaren Versions- und USE-Flag-Konflikt: Continue reading Installation von ansible auf Gentoo möchte USE-Flags von OpenSSL ändern bzw. eine instabile Version demaskieren

Zabbix: Item […:vmware.hv.status[{$URL},{HOST.HOST}]] error: Unknown hypervisor uuid.

Der Zabbix-Proxy auf Ubuntu sollte neben etwas Netzwerk-Infrastruktur auch einen ESXi-Host bespitzeln, was unter Anderem mit folgender Meldung quittiert wurde:

Item [s-002-0001.int.iteres.com:vmware.hv.status[{$URL},{HOST.HOST}]] error: Unknown hypervisor uuid.

Der Lösung war recht simpel: Ich verwendete direkt die Vorlage “Template Virt VMware Hypervisor”. Das ist so eigentlich nicht vorgesehen.

Die Doku schlägt vor, einen Host mit der “Template Virt VMware”-Vorlage zu erstellen, die einzelnen ESXi-Hosts (im Falle eines vCenters) und VM’s werden danach per Discovery angelegt.

Aus rechtlichen Gründen war dies hier nicht möglich, auf dem ESXi-Host läuft eine einzelne VM, die wir “nicht anfassen dürfen”.

Wird das Hypervisor-Template verwendet, muss die UUID des ESXi-Hosts als Hostname abgelegt werden, dann klappt es.

Ich höre gerade: Within Temptation – Mother Earth

Zabbix-Proxy 2.2 auf Ubuntu Server 16.04

Die Tage sollte ein zusätzlicher Standort an unser Monitoring angeschlossen werden.

Über 90% der Linux-Server hier sind vom Stamme der Gentoo, daher fahren wir Zabbix 2.2 – die einzige stable markierte Version im Portage Repository.

Am zusätzlichen Standort war Ubuntu 16.04 angesagt, in jener Repo ist Zabbix 2.4.7 verfügbar. Ich brauchte aber 2.2! Continue reading Zabbix-Proxy 2.2 auf Ubuntu Server 16.04

Zabbix: File system auto discovery zeigt nicht alle Dateisysteme

Vor ungefähr 6 Monaten haben wir die Überwachung einiger Server, welche seit über 7 Jahren produktiv im Einsatz sind, von nagios nach Zabbix migriert. Jedenfalls beinahe. Leider funktionierte das Auto Discovery der Dateisysteme nicht zuverlässig.

Die Dateisysteme bei 30 Servern manuell einpflegen ist Mist. Continue reading Zabbix: File system auto discovery zeigt nicht alle Dateisysteme

Herabstufen eines Domänencontrollers schlägt mit “5 (Zugriff verweigert)” bzw. “[ERROR] Failed to demote the directory service (5)” fehl

Letzthin schlug bei einem Kunden das Herabstufen eines Domänencontrollers mit Windows 2008r2 mit der Fehlermeldung ‘5 “Zugriff verweigert”‘ bzw. “[ERROR] Failed to demote the directory service (5)” fehl, obwohl der Benutzer, welcher dcpromo ausführte, über alle notwendigen Rechte verfügte.

In der Protokolldatei C:\Windows\Debug\dcpromo.log war folgendes zu lesen:

[...]
10/10/2017 07:26:09 [INFO] Active Directory-Objekte, die auf den lokalen Domänencontroller von dem Remotedomänencontroller S-002-3209.corp.local verweisen, werden entfernt…
10/10/2017 07:26:11 [INFO] Error - Fehler beim Versuch des Remoteverzeichnisservers "S-002-3209.corp.local", den Verzeichnisserver "CN=S-002-3209,CN=Servers,CN=Standardname-des-ersten-Standorts,CN=Sites,CN=Configuration,DC=corp,DC=local" zu entfernen. (5)
10/10/2017 07:26:11 [INFO] NtdsDemote returned 5
10/10/2017 07:26:11 [INFO] DsRolepDemoteDs returned 5
10/10/2017 07:26:11 [ERROR] Failed to demote the directory service (5)
 [...]

Der alte Server musste erhalten bleiben, da – Achtung Sarkasmus – natürlich auf einen DC auch noch File-, Print-, Applikations- und Datenbankdienste liefen.

Die Lösung des Problems ist recht simpel: Alle Objekte der Active Directory wurden irgendwann mal gegen versehentliches Löschen geschützt, auch das Computerobjekt des Domänencontrollers, die NTDS settings und die transport connections. Sobald der Schutz gegen versehentliches Löschen entfernt war, konnte der Controller problemlos entfernt werden.

Drei Gedanken dazu:

  1. Lokalisierte Serverbetriebsysteme sind grausam. Sucht mal nach einem bestimmten Fehler oder macht mal einen Supportcase beim Hersteller mit einer deutschen Fehlermeldung auf! Gerade Kernsysteme gehören nicht-lokalisiert implementiert. Für nicht-englischsprachige Mitarbeitende stehen genügend alternativen zur Verfügung.
  2. Auf einen DC gehören keine anderen Rollen – nicht einmal die DHCP-Serverrolle. Aus Sicht der Sicherheit, der Agilität und der Robustheit ist das eine Katastrophe! Ich empfehle dringend die Lektüre von “Best Practices for Securing Active Directory”…
  3. Wie wenig Vertrauen muss man in seine System Engineers oder seine Kollegen haben, um jedes Objekt in der Active Directory proaktiv mit dem Schutz vor unbeabsichtigtem Löschen zu versehen?

Ich höre gerade: The Pretty Reckless – Heaven Knows

Sammeln, Restaurieren und Erhalten von IT-Betriebsmitteln