進階管理VMware vROps　虛機智慧維運完善易用

記得大約在十五年前雲端運算架構技術尚未盛行的時期，筆者就已經出版了一本Microsoft Operations Management（MOM）的技術書籍，而這項解決方案的主要任務，便是集中監視所有受支援的Windows伺服端應用系統，包括Exchange Server、SQL Server、SharePoint、IIS等等。

藉由事件記錄的集中收集、分析以及各項閾值的配置，讓IT人員可以提早發現問題並且加以解決，例如發現SQL Server資料庫的交易記錄檔案過大，立即發送Email警示通知給管理人員來介入處理，避免影響往後前端應用系統的運行效能。

在微軟MOM方案的時期，仍是以監視實體設備與自家系統為主，而如今已是全面雲端運算的年代，雖然集中監視的基本概念與原理都差不多，但主要集中監視的對象則已經由少量的實體設備變成大量的虛擬機器、容器、虛擬網路、虛擬儲存架構以及混合雲的整合管理，接著則是深入各類異質系統的服務、應用程式、效能以及安全的監視。

現今的IT市場上，已有許多標榜可提供集中監視與管理的解決方案，可以選擇的方案琳瑯滿目，這些包括由軟體廠商、硬體廠商或開源軟體所發展出來的監控產品，而集中監視的對象有些是以監視網路流量為主，有些是以監視系統與應用服務為主，有些則專注於監測端點安全為主，無論是哪一種類型的集中監視方案，並非都能夠獲得廣泛IT人員的青睞，其根本的原因除了功能的完整性外，更重要的就是易於部署管理與操作使用的設計，才是擄獲IT人員芳心的關鍵所在。

一個具備有完善功能的集中監控系統，若還能夠有一個友善且直覺化的操作介面，將可以大幅提升IT人員的工作效率並降低工作負載。如果IT部門目前身處於需要維護上百台以上虛擬機器、容器的vSphere運行環境，會建議部署vRealize Operations（vROps）智慧監控系統於現行架構內來協助管理，因為它能夠協助IT部門一次解決集中監視私有雲、公共雲、混合雲以及多雲運行的需要，讓組織中的虛擬機器、應用程式、服務無論部署在哪裡，皆能夠輕易地被IT部門完全監管。

vROps提供了一個與vSphere Client相同樣式設計的vRealize Operations Manager網站管理介面，讓IT人員不必改變原有的操作習慣。在網頁版面的布局上，也將IT平日維運最關切的狀態資訊，分類呈現在儀表板、警示以環境的三大主要頁面之中。而在首頁的設計部分，則提供全新部署時快速新增雲端帳戶與連接雲端架構的功能選項。一旦成功連接選定的雲端架構（例如vCenter），便可以開始準備進行運行環境的最佳化、容量最佳化、疑難排解、管理應用程式等操作。

最佳化效能可協助快速調配虛擬機器的資源，讓有限的資源不會發生過多或太少的配置問題，並且讓ESXi主機上運行的虛擬機器數量妥善分配。而最佳化容量分析，能夠為vSphere資料中心容量、使用量與運行趨勢提供精確的追蹤、測量與預測。在疑難排解的操作上，則可為所有運行中的虛擬機器、vSAN來查看任何發生過的警示問題，並提供相關解決方法與建議。

最後，在「管理應用程式」部分，如圖1所示，則可以為所有目前受監管的虛擬機器，探索啟用中的服務以及使用中的應用程式，藉由整合應用程式遠端收集器的使用，讓所有受支援的應用程式與服務的運行狀態，都能夠被vRealize Operations完全掌握，如此管理人員在這一些關鍵應用服務發生不同等級的事件時，能夠迅速做出相對應的反應動作，讓問題的影響範圍不至於持續擴大。

最佳化效能

想要做好在虛擬化平台架構下各項應用服務的維運任務，最重要的是得先要有一個穩固且高效能的虛擬機器環境。建議可以到「vRealize Operations Manager」網站的「首頁」→「最佳化效能」管理之中，來迅速地解決工作負載與規模最佳化的需求。

首先，在「工作負載最佳化」頁面中，系統會自動根據目前最新所收集來的資料，呈現vSphere資料中心之工作負載的運行狀態，若需要進一步執行最佳化，也會提供相關的建議，只要點選「立即最佳化」或「排程」即可，而凡是有執行過最佳化的操作，往後都會有歷程紀錄可以查詢。此外，它也會呈現目前各叢集是否有符合使用量的目標，可根據不同叢集的負載狀態，來檢視DRS的摘要資訊並設定自動化配置。

完成資料中心工作負載平衡的最佳化後，緊接著到「規模最佳化」頁面中查看目前是否有資源配置過大或過小的虛擬機器，如圖2所示。舉例來說，若發現有一些資源配置過大的虛擬機器，它不僅會列出這些虛擬機器的清單，也會告知每一個虛擬機器現行的CPU與記憶體配置狀態。接著，只要根據它的大小建議，來開啟這一些虛擬機器的完整頁面，並從「動作」選單中完成相關配置的調整即可。當然也可以直接按下〔調整虛擬機器大小〕按鈕來快速完成配置，必要時還能夠額外設定排除的虛擬機器清單。

想要知道在目前所有資料中心下有哪一些虛擬機器發生警示，到「建議的動作」頁面中就能夠查看警示的內容、類型、時間以及建議的修正。舉例來說，如果目前有獨立的ESXi主機因虛擬機器過剩，而發生CPU資源爭用的狀況，這時候在建議的修正說明中就會出現「將主機新增至全自動的DRS叢集...」相關提示訊息。

執行指令碼

對於熟悉Windows與Linux指令碼的管理員來說，在「vRealize Operations Manager」網站的維護管理上有相當大的幫助，因為再也不必非得以遠端桌面連線的方式進行圖形化操作，而是只要傳送簡單的指令碼，便可以輕鬆取得許多Guest OS的運行狀態資訊，或修改某些系統配置來解決當前系統運行的問題。如何操作呢？很簡單！只要如圖3所示在虛擬機器的「摘要」頁面中，點選「動作」選單中的【執行指令碼】。

接下來，在「執行指令碼」頁面內，如圖4所示輸入管理人員的帳戶名稱與密碼，然後選取「指令」選項，輸入所要執行的指令碼並按下〔執行〕即可。在這個範例中，會發現若輸入Windows專有指令「systeminfo」，除了可取得作業系統的完整一般資訊外，還能夠得知它目前已經安裝的更新程式清單。

接著，還可以設定連線逾時的時間，來避免在連線較慢的遠端網路時發生中斷連線的問題。此外，如果有一些程式檔案需要上傳到Guest OS中執行，則可以在此選取「上傳檔案」，成功上傳後，再來執行該程式即可。

請注意！若執行的指令碼輸出結果中有非英文語系的字體，可能會出現亂碼。

連接vCenter單一登入管理

在vRealize Operations系統預設的設計中，已內建了總管理員（admin）、自動化管理員（automationAdmin）、移轉管理員（migrationAdmin）、維護管理員（maintenanceAdmin）四個不同角色權限的本機帳戶，但仍可以繼續新增更多的管理員帳戶並賦予相關職責的角色與權限。

關於本機帳戶的管理，可以到「管理」→「存取」→「存取控制」的「使用者帳戶」頁面中，進行新增、刪除或是修改等操作。不過，一般不會這麼做，因為如此一來IT人員勢必得記憶更多組帳戶與密碼，為此可以選擇整合連接vCenter Server的方式，讓管理人員直接以vSphere現行帳戶完成登入。接下來，先來看看成功整合連接後的結果。

點選至「管理」→「存取」→「驗證來源」節點頁面，在預設狀態下不會有任何已設定好的驗證來源，而在前一版的預設中，則會有與vCenter Server的連接設定，相對採用的來源類型則是SSO SAML。如圖5所示，則是已經預先建立好的兩個驗證來源，分別是Active Directory和vCenter Server。

一旦成功完成驗證來源的新增設定，便可以在任一選定的驗證來源右鍵選單內，如圖6所示點選【同步使用者群組】選項，來更新取得驗證來源的使用者與群組的清單。接著，就先按下〔新增〕按鈕，了解一下如何與現行的vCenter Server建立驗證來源的連接。

在「管理」→「存取」→「驗證來源」節點頁面中按下〔新增〕按鈕，開啟如圖7所示的「新增使用者和群組匯入的來源」頁面。在此，先輸入一個全新的驗證來源顯示名稱（例如vCenter Server），再選擇「SSO SAML」做為來源類型。

在「主機」欄位中，輸入vCenter Server的連接位址、連接埠、使用者名稱以及密碼。接著，建議將後面的三個選項設定皆選擇「是」，也就是將管理員角色授與給vRealize Operations Manager，並允許自動重新導向至vRealize Operations的單一登入網址，以及匯入單一登入使用者群組至vRealize Operations系統內。

按下〔測試〕按鈕，確認連接沒有問題之後，再按下〔確定〕按鈕。接下來，可能會出現「檢閱並接受憑證」訊息提示頁面，勾選「接受此憑證」並按下〔確定〕按鈕。

根據上一個步驟的設定，緊接著就會開啟「匯入使用者群組」頁面，如圖8所示，在此預設的匯入來源名稱就會是剛剛所建立的「vCenter Server」。接著，在「搜尋選項」區域中，選擇網域名稱與設定結果上限的數量，並輸入搜尋前置詞（例如administrator），便會把相關的群組名稱搜尋出來。在勾選要匯入的使用者群組後，按下〔下一步〕按鈕繼續。

如圖9所示，在「角色和物件」頁面中，先選取現行可用的角色，再勾選「將此角色指派給群組」設定。最後，便可以開始設定想要指派的物件或物件階層。以此範例來說，僅在選定的叢集與主機節點下，勾選所要賦予管理的EX01與EX02虛擬機器以及datastore1(1)資料存放區。若想要直接賦予整個vSphere的完整管理權限，只要勾選「允許存取系統中的所有物件」設定即可。最後，按下〔完成〕按鈕。

當完成匯入使用者群組的設定後，就可以在「存取」→「存取控制」→「使用者群組」頁面中，查看到已經從vCenter Server中所匯入的使用者群組，如圖10所示。另外，仍然可以在此繼續新增其他使用者群組，或是編輯現有使用者群組的設定。

最後，登出vRealize Operations Manager網站並再次回到登入頁面。如圖11所示，將會發現已增加了一個可選擇驗證來源欄位，其中所選擇的「vCenter Server」選項，便是前面步驟中所完成整合連接的vSphere驗證來源。未來陸續新增的其他驗證來源，例如Active Directory、HCL Domino、LDAP等等，其命名選項也都會出現在此選單之中。

整合Active Directory認證管理

現今絕大多數的企業IT環境，都有建立以Active Directory為基礎的網域架構，其目的就是方便集中管理所有的Windows Client、Windows Server以及人員帳戶與群組，並且提供以網域帳戶為主的單一登入環境。在這樣的基礎架構下，還可以讓許多與其相容的應用系統，也採用連接Active Directory的方式來驗證人員的登入與使用權限，如此一來，人員便不需要再記憶一組新的帳號與密碼，甚至可以直接使用該系統。

既然如此，那麼如果將vRealize Operations Manager與Active Directory完成整合，便同樣可以讓相關vSphere的管理人員不必再記憶第二組的帳戶與密碼，大幅簡化從管理到使用的複雜度。

在此，除了必須輸入新的顯示名稱以及選取來源類型為「Active Directory」外，如圖12所示，最重要的就是設定所要連接的網域名稱、使用者名稱以及密碼，其中指定的使用者帳號，必須至少擁有探索Active Directory目錄服務資料的權限。緊接著，下方「詳細資料」中的各個欄位值，將會由系統自動擷取而不需要手動輸入，這包括了主機完整名稱、連接埠、基準DN、一般名稱。按下〔測試〕按鈕之後，如果顯示「測試連線成功」訊息，就按下〔確定〕按鈕完成設定。

成功完成與Active Directory目錄服務的連線後，針對使用者群組的匯入，可以在「存取」→「驗證來源」頁面中執行匯入功能。執行後就會開啟如圖13所示的「匯入使用者群組」頁面，來搜尋要匯入的使用者群組。然後，按下〔下一步〕按鈕繼續。

接著，在「角色和物件」頁面中指派所屬的角色以及相對可存取的物件階層、物件，如圖14所示。例如，可以分派選定的Active Directory使用者群組，僅擁有唯讀檢視儲存區或虛擬機器的權限。

將選定的使用者或群組配置為ReadOnly角色之時，所有賦予給他的物件便都能夠檢視相關物件資訊，而不會再有「動作」選單的任何功能可以使用。舉例來說，如果所賦予的物件是「vSphere主機和叢集」下的虛擬機器，便無法在檢視虛擬機器的頁面中，點選「動作」選單中的刪除虛擬機器未使用的快照、執行指令碼、移動虛擬機器、設定虛擬機器的CPU計數等操作。

接著，回到「存取」→「驗證來源」頁面中，如圖15所示便可查看到剛剛所匯入的Active Directory使用者群組清單。可以選擇繼續新增更多的使用者群組，並賦予不同的角色權限。

一旦完成Active Directory驗證來源的連接設定，以及網域使用者群組的匯入與角色權限指派後，重新開啟「VMware vRealize Operations Manager」登入頁面，便會發現在選擇驗證來源的欄位中多了一個Active Directory網域的選項。用戶在以網域帳戶登入後，在右上方的人員圖示選單內便會看到完整的帳戶名稱，如圖16所示，並且可以修改操作介面的喜好設定或是進行登出。

角色權限管理

雖然在vRealize Operations Manager網站的管理人員權限配置中，可以先選定角色再來挑選細部的物件階層，但想要有效率地配置人員的存取權限，最好的方式仍是預先建立好多個不同管理需求的角色，而不要再去異動原先已選定的物件階層，這樣一來，未來只要查看人員所屬的角色，便能夠直接知道他所應該擁有的權限。

如圖17所示，目前系統內建的角色有十個，可透過「存取控制」→「角色」頁面中來查看，其中每一個角色的用途與基本權限皆有說明。在一個中小型的組織中，通常會使用到的角色除了是擁有完整權限的「管理員」之外，「PowerUser」與「ReadOnly」是最常見的。

但對於一個大型組織的vSphere架構而言，由於主機、叢集、虛擬機器、儲存設備以及相關應用系統的數量相當多，而且分佈的營運據點可能也相當廣，因此需要劃分的管理權責相對也很多，在這種情境下就需要建立許多的角色，來解決人員權限快速分配的需求。

按下〔新增〕按鈕，進入「建立角色」頁面中，建議除了角色名稱的輸入外，說明欄位最好也能夠完整描述權限的範圍，如此才能在往後的維運中快速識別。完成新角色的建立後，如圖18所示，接下來先選取該角色，再按下權限區域的〔編輯〕按鈕。

如圖19所示，在「將權限指派給角色」頁面中，可以開始逐層展開來選定所要賦予的權限。舉例來說，如果想要讓此角色的管理人員擁有管理虛擬機器的完整權限，基本上就是要勾選所有與虛擬機器相關的權限，像是刪除虛擬機器未使用的快照、刪除閒置虛擬機器、移動虛擬機器等等。最後按一下〔更新〕按鈕，繼續後面的設定。

完成新角色的權限指派後，就可以針對選定的使用者帳戶或使用者群組，如圖20所示，透過執行編輯功能來選擇剛剛所新增的角色，然後再勾選允許存取的物件或物件階層，最後按下〔確定〕按鈕。

部署應用程式遠端收集器

從上一篇有關於vRealize Operations實戰部署的介紹到目前為止，有些人可能會發現監視了這麼多目標，包括vSphere架構下的資料中心、叢集、主機、虛擬機器、資料存放區、客體作業系統以及vSAN等等，為何在部署過程中都不需要為這些受監視的ESXi主機以及虛擬機器的客體作業系統安裝代理程式（Agent）呢？

答案其實很簡單，因為早在實戰部署的介紹中完成了vRealize Operations與vCenter Server的連接，以至於針對上述這些監視目標的資料取得、分析以及警示完全不需要部署額外的代理程式來加以收集，因為它們本身就已經屬於vSphere的納管範圍。

然而，當所要監視的目標是執行在客體作業系統中的應用程式時，就真的得透過額外部署的應用程式遠端收集器，針對這些特定支援的應用程式進行所需記錄與事件的收集，才能根據所設定的各項監視規則、閾值來觸發警示以及發送通知。至於收集的方式，一樣必須藉由後續所安裝的代理程式來完成。

接下來，就先來完成「應用程式遠端收集器」的部署。首先，到「管理」→「應用程式遠端收集器」頁面內點選「下載」選項，以完成OVF檔案的下載。

成功下載之後，回到vSphere Client主機與叢集的管理頁面，在叢集或主機的節點上按下滑鼠右鍵，並點選快速選單中的【部署OVF範本】。

如圖21所示，在「選取OVF範本」頁面中，選取「本機檔案」選項並按下〔上傳檔案〕按鈕，以完成應用程式遠端收集器OVF檔案（例如Application-Remote-Collector-8.1.0.ova）的上傳。然後，按下〔NEXT〕按鈕。接著，在「選取名稱和資料夾」頁面中，指定唯一名稱和目標位置，並按下〔NEXT〕按鈕。如圖22所示，在「選取計算資源」頁面中，則選擇一台準備用來運行應用程式遠端收集器虛擬機器的ESXi主機。在確認出現「相容性檢查成功」的提示訊息後，按下〔NEXT〕按鈕。

在「檢閱詳細資料」頁面中，可以查看到目前Application Remote Collector這個程式的版本，以及下載的檔案大小與所需要的部署空間，其中精簡佈建與完整佈建所需空間相差甚大必須特別留意。決定好了之後，按下〔NEXT〕按鈕。

在「組態」頁面中，可以依照實際的vSphere環境規模來挑選部署的大小，如圖23所示。在小型「Small」配置中需要4個vCPU與8GB的RAM，中型（Medium）配置需要8個vCPU與16GB的RAM，大型（Large）配置則需要16個vCPU與24GB的RAM。設定完畢，按下〔NEXT〕按鈕。

然後會看到在「選取虛擬磁碟格式」欄位中分別有完整佈建消極式歸零、完整佈建積極式歸零、精簡佈建三個選項。此時由於是部署在測試環境內，所以選取精簡佈建的磁碟格式，因此系統一開始僅會使用該磁碟最初所需的3.1GB資料存放區空間，未來如果需要更多存放空間，便可以自動擴充直到配置容量上限為止。至於其他兩種完整佈建的虛擬磁碟格式，則會在一開始就占用40GB的存放區空間。如圖24所示，在確認所選取的儲存區出現「相容性檢查成功」提示訊息後，按下〔NEXT〕按鈕。

在「選取網路」頁面中，建議選擇一個vRealize Operations連線管理專用的網路，如果沒有專屬的網路，最好能夠選擇一個網路流量較小的網路，尤其是在擁有大型規模的vSphere架構中，以免影響其他應用服務的運行品質，再按下〔NEXT〕按鈕繼續。

接著是「自訂範本」頁面，如圖25所示，必須先設定API Admin的密碼，再依需輸入預設閘道位址、網域名稱、網域搜尋路徑以及DNS伺服器位址。如果決定要採用DHCP動態配置，所有網路設定皆保留空白即可。按下〔NEXT〕按鈕，來到「即將完成」頁面，確認以上步驟設定皆正確後按下〔FINISH〕按鈕。

完成應用程式遠端收集器的部署後，回到「vRealize Operations Manager」網站的「管理」→「組態」→「應用程式遠端收集器」頁面中，點選「新增」來開啟如圖26所示的「設定應用程式遠端收集器」頁面。在此輸入應用程式遠端收集器的位址以及admin的帳號與密碼，然後按下〔下一步〕按鈕。

如圖27所示，在「對應vCenter」頁面中，則選取要連接的vCenter Server並點選「測試連線」超連結。確認連線vCenter Server沒有問題後，按下〔下一步〕按鈕。而「摘要」頁面中，會顯示應用程式遠端收集器的FQDN、使用者名稱以及所連接vCenter Server的位址，確認無誤後按下〔完成〕按鈕即可。

管理代理程式

在完成了應用程式遠端收集器的部署與連接設定後，接下來針對任何支援的應用系統所在之虛擬機器來選擇性安裝代理程式，以便開始收集該應用系統的運行狀態等資料。先點選至「管理」→「詳細目錄」頁面中，如圖28所示再點選「管理代理程式」子頁面中的「安裝」圖示。

如圖29所示，在「選取選項」頁面中，選擇採用「通訊使用者名稱和密碼」或「輸入虛擬機器認證」來進行安裝時的身分認證。前者必須已經預先配置好，以供所有選取的虛擬機器來直接認證使用，至於後者則是臨時輸入一組帳號與密碼進行認證。這裡採用後者的認證方式，按下〔下一步〕按鈕繼續。

在「提供認證」頁面中，如圖30所示輸入所選取虛擬機器之客體作業系統的管理員帳號與密碼，並按下〔下一步〕按鈕。最後，在「摘要」頁面中點選「安裝代理程式」即可。

回到「管理代理程式」頁面中，就能夠查看目前所選定之虛擬機器的代理程式安裝進度。一旦成功安裝，便會看到顯示「代理程式執行中」的狀態。在等待代理程式收集資料的一段時間後，從「已探索/設定的服務」欄位內，就會看到所有已探索到的應用程式與服務的清單，例如Microsoft IIS、Microsoft SQL Server、Active Directory，而當回到「監控應用程式」頁面，如圖31所示，則可以查看已從所有虛擬機器探索到的應用程式與服務。

監視症狀定義

在完成代理程式於選定虛擬機器的安裝後，除了可以讓系統根據預設的警示定義與症狀定義來觸發相關的警示與通知外，管理員也可以修改現行的定義或新增定義。以SQL Server的監視為例，倘若在虛擬機器的Guest OS中有安裝多個SQL Server執行個體，首先必須進一步設定要監視的執行個體連線配置。

開啟「管理MSSQL代理程式」頁面，如圖32所示依序輸入顯示名稱、執行個體、連接埠、使用者名稱、密碼以及主機名稱，其中連接埠若保留空白，即表示將採用系統預設的TCP 1433連接埠設定，最後按下〔儲存〕按鈕。

完成所要監視的SQL Server執行個體連線設定後，開啟SQL Server Management Studio管理介面。

在此可以查看到目前正好有一個名為「Northwind」的資料庫，如圖33所示，其的狀態是處於「緊急」，稍後將針對這個緊急狀態設定症狀定義。

回到「vRealize Operations Manager」網站，開啟「警示」→「組態」→「症狀定義」頁面，如圖34所示，針對「值」為「EMERGENCY」的定義項點選「編輯」選項。如圖35所示，在「編輯症狀定義」頁面中，便可以看到當監視代理程式發現SQL Server資料庫的狀態呈現為「EMERGENCY」時，就會觸發「嚴重」警示事件。而當管理員有預先配置好相關通知設定之時，也將會在相關的應用程式或郵箱收到警示通知。

結語

小型的vSphere運行環境可以單靠內建的vSphere Client網站，來做好平日的各項維運任務，但若面對的是擁有數以百計虛擬機器、容器、應用程式，甚至還有整合混合雲的大型vSphere架構，即便有再多的人力支援恐怕也難以做好維運，因為再多的人力支援也比不上一套AI監視系統，而現今能夠真正徹頭徹尾地監視與最佳化整個vSphere虛擬化環境，以及旗下各大客體應用系統的解決方案便是自家的vRealize Operations Manager。懂得善用它可以為有限的IT人力資源，提供全天候不間斷地持續監視，輕鬆做好容量、效能以及各種潛在運行風險的管理。在此建議對於虛擬機器的資源配置與效能調校，別再使用傳統繁雜費時的操作流程來判定，而是改採用vRealize Operations Manager網站上的儀表板、警示以及環境三大頁面，來迅速找出影響虛擬機器與應用系統正常運行的癥結，並且直接透過相關的「動作」功能選單立即完成各項資源的調配與設定的異動，才是最有智慧與效率的維運方式。

＜本文作者：顧武雄，Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-217、IBM Unified Communications/Notes/Domino/Connections Certified。＞