Es war die letzten Wochen etwas ruhig um mich. Aktuell bin ich in mehreren Projekten aktiv, hiervon unter anderem auch zwei unterschiedliche Kunden-Infrastrukturen die im Greenfield mit V13 auf Basis der Veeam Software Appliance starten und in der glücklichen Ausgangslage sind, Premium-Lizenzen im Einsatz zu haben. Somit steht dem Einsatz der High Availability / HA Funktion nichts im Wege.
Wichtig zu wissen: Nur die Linux Veeam Software Appliance kann das HA Feature bereitstellen und nur in Verbindung mit der Veeam Data Platform Premium Lizenz!
Unter Considerations and Limitations – Veeam Backup & Replication User Guide finden sich generelle Überlegungen und Einschränkungen beim Einsatz von HA. Ich empfehle dringend diese Seite aufmerksam zu lesen und die Vorgaben zu befolgen.
Marvin „Marveeam“ Michalski hatte kürzlich schon auf seinem Blog über das Bereitstellen des HA Features berichtet, den Artikel findet Ihr unter How To: Veeam High Availability (HA) Cluster, schaut mal rein.
Somit wären die Basics geklärt und das initiale Setup ist erledigt… Was aber, wenn die Infrastruktur keine externe Authentifizierungsquelle (wie SAML oder AD) anzapfen möchte — dann sind wir beim Thema der lokalen Benutzer, die es auf Appliance Seite zu pflegen gilt. Und hier fängt dann der Spaß an…
Veeam Backup & Replication does not synchronize Veeam appliance users between nodes of an HA cluster. If you plan to use several users to manage your HA cluster, you must create these users on each HA node. For more information on creating users, see Configuring Users.
Jeder Node verfügt über eigenständige Host Administrator (veeamadmin) und Security Officer (veeamso) Accounts. Im Lab war das so weit alles irgendwie klar. In meinem ersten produktiven HA Deployment die Tage, bin ich allerdings (und fälschlicherweise) davon ausgegangen, dass die angelegten User (personalisierte Accounts für die Backup-Administratoren auf Kundenseite) zwischen den Nodes und innerhalb der Datenbank synchronisiert werden. Aber wer lesen kann ist bekanntlich im Vorteil (RTFM).
Die Benutzer sind reguläre lokale Rocky User. Die Zuweisung dieser Benutzer zur entsprechenden Rolle (wie z.B. Backup Administrator, Backup Operator) findet in der Veeam Datenbank statt.
Daher weiß der synchronisierte sekundäre/zweite Node zwar die Zuordnung, kann damit aber nichts anfangen, wenn es den User auf seinem lokalen System noch nicht gibt.
Step-by-Step Anleitung
Ich beschreibe nun hier, dass meines Wissens, aktuell einfachste und schnellste Vorgehen, weitere lokale Benutzer für eine HA Umgebung einzubinden.
Aus guten Quellen habe ich gehört, das in kommenden Versionen, die Synchronisation der lokalen Benutzer im HA eingeplant ist! 😉 Bis dahin könnt Ihr Euch also hiermit behelfen:
Host Management Console — https://vbr-node1.yourdomain.com:10443
Login auf der Host Management Console auf Node #1. Unter Users and Roles erstellen wir mit +Add einen neuen Benutzer. Hier im Beispiel den User markus-aka-dynamic.
Benutzt hierfür ein temporäres (aber DISA STIG konformes) Passwort, denn der User wird nach dem ersten Login zum Ändern aufgefordert!
The password must comply with the following requirements:
15 characters minimum.
1 upper case character.
1 lower case character.
1 numeric character.
1 special character.
No more than 4 characters of the same class in a row. For example, more than 4 lowercase or 4 numerical characters in sequence.
Mit Next geht’s weiter. Dem Benutzer wird nun die Rolle User zugewiesen. Erneut geht es mit Next weiter.
Das wars nun für den ersten Node!
Host Management Console — https://vbr-node2.yourdomain.com:10443
Wiederholt nun die oben durchgeführten Schritte für den zweiten Node! Zur Sicherheit nochmal ein kleiner Reminder als Screenshot:
Anschließend geht’s in die VBR Console, um den eben angelegten User seiner entsprechenden Rolle zuzuweisen.
Veeam Backup & Replication Console
Im Burger-Menü geht’s in die Users and Roles Sektion
Ihr kennt das Spiel… Via Add… fügen wir nun den eben angelegten User hinzu, in diesem Beispiel bekommt der die Rolle Veeam Backup Administrator.
Anschließend wird jeweils mit OK bestätigt.
Login mit dem lokalen Benutzer
Nun loggen wir uns zum ersten Mal mit dem eben angelegten Benutzer ein. In diesem Beispiel lautet der FQDN des HA Clusters VBR-HA.lab.intern.
Verwendet beim ersten Login nun das initial vergebene Passwort.
Nach Bestätigung via Sign In, werdet ihr zum Passwort-Wechsel aufgefordert.
Vergebt nun euer finales Kennwort, vielleicht nicht unbedingt das von mir oben verwendete, das ist nun schon bekannt 😉 Nach dem Confirm geht’s nun ans Ausrollen des TOTP Token.
Nach erfolgreichem einrichten des Tokens und entsprechender Eingabe des korrekten TOTPs gelangt ihr auf die Console.
Allerdings muss nun auch noch auf dem zweiten Node der User entsprechend mit seinem finalen Kennwort hinterlegt werden. Ich empfehle während eines Onboardings der HA-Funktion bei einem Kunden, die nun folgenden Schritte direkt auszuführen, nachdem alle lokalen Benutzer angelegt wurden – nicht erst wenn es zum ersten (evtl. sogar ungeplanten) Cluster-Knoten-Schwenk kommt.
HA Switchover
Mit eingeloggtem Veeam Backup Administrator wechselt Ihr nun in die Backup Infrastructure, unter Managed Servers zu den Linux Systemen.
Markiert hier einen der Cluster-Knoten aus und wählt die Funktion Switchover to another node aus.
Der Switch dauert ein paar Minuten. Zeit für einen Kaffee, nach ca. 10 Minuten kann es weiter gehen. Ihr seht das die VBR Console neu gestartet wurde, mit dem Vermerk auf einen Switchover.
Loggt Euch nun wieder mit den besagten neu hinterlegten Benutzern ein. In meinem Beispiel dem User markus-aka-dynamic. Ihr seid jetzt auf dem zweiten Node aktiv! Da für diesen Benutzer noch das initiale Passwort aktiv ist, müsst ihr dieses verwenden.
Auch hier werdet Ihr anschließend zum Passwort-Wechsel aufgefordert. Es empfiehlt sich das gleiche Passwort zu verwenden wie im ersten Schritt!
Direkt danach werdet Ihr erneut nach dem aktuellen Token gefragt, den habt ihr ein paar Schritte weiter oben bereits ausgerollt und könnt diesen somit hier eintragen und gelangt wieder auf die VBR Console.
Alles kein Hexenwerk, aber besser direkt beim Onboarding durchführen und darüber auch Bescheid wissen, dass die User aktuell noch lokal auf jedem Node verwaltet werden müssen! Ich hoffe das dies sehr zeitnahe geändert wird.
Viel Spaß mit weiteren neuen Funktionen in Version 13!