View a markdown version of this page

Configura lo strumento di rilevamento - AWS Trasformazione
Accedi alla console dello strumento di rilevamentoAccesso allo strumento di scoperta VMConfigurazione dell'autenticazione KerberosConfigurazione dell'accesso vCenterConfigura l'accesso Hyper-VServer di importazioneImporta un'autorità di certificazione autofirmata nello strumento di individuazioneConfigura lo strumento di rilevamento per l'accesso al sistema operativoConfigurare l'accesso al database OracleAggiornamento dello strumento di rilevamentoRevoca dell’accesso

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configura lo strumento di rilevamento

Accedi alla console dello strumento di rilevamento

  1. In un browser Web, accedi a:https://ip_address:5000, ip_address dov'è l'indirizzo IP dello strumento di rilevamento di Deploy Discovery Tool. Lo strumento di rilevamento utilizza un certificato autofirmato per la connessione HTTPS che genera un avviso di sicurezza. Scegli Accetta il rischio e continua a passare alla console dello strumento di rilevamento.

  2. Se accedi alla console del Discovery Tool per la prima volta, crea una password di accesso allo strumento di rilevamento. Crea una password, che utilizzerai per gli accessi futuri.

    Importante

    Ricorda questa password: non esiste un meccanismo di recupero della password.

Accesso allo strumento di scoperta VM

  • Lo strumento di rilevamento VM viene fornito di default con un nome utente e una password («discovery», «password»). Per una maggiore sicurezza, si consiglia di aggiornare la password utilizzandola sudo passwd discovery dopo aver effettuato l'accesso alla macchina virtuale tramite la console dell'hypervisor (ad esempio, vSphere Client for VMware o Manager for). Hyper-V Hyper-V

  • L'accesso SSH è disabilitato per impostazione predefinita. Gli utenti possono utilizzare alias preconfigurati enablessh e disablessh alias per l'accesso enable/disable SSH alla macchina virtuale dello strumento di rilevamento. Gli utenti possono accedere tramite SSH alla macchina virtuale dopo aver abilitato l'accesso SSH. ssh discovery@<VM-IP> Gli utenti sono incoraggiati a mantenere l'accesso SSH disabilitato la maggior parte delle volte e ad abilitarlo solo quando richiesto attivamente. La modifica della password viene applicata durante l'esecuzione. enablessh

  • Per accedere alla directory dei dati dello strumento di rilevamento all'indirizzo/home/ec2-user/.local/share/DiscoveryTool, consigliamo di passare a ec2-user sudo su ec2-user eseguendo.

Configurazione dell'autenticazione Kerberos

L'autenticazione Kerberos è il metodo consigliato per la connessione ai server Windows dallo strumento di rilevamento. Lo strumento di rilevamento VM utilizza le librerie Kerberos native di Amazon Linux 2023 per l'autenticazione sul tuo dominio Active Directory.

Di seguito sono riportati i punti chiave dell'autenticazione Kerberos sulla VM dello strumento di rilevamento:

  • Usa il kinit comando per ottenere un ticket Kerberos e klist per verificarlo.

  • Il file di configurazione Kerberos si trova in. /etc/krb5.conf

  • Prima di configurare lo strumento di rilevamento, verifica che abbia kinit esito positivo dalla CLI sulla VM dello strumento di rilevamento.

Prerequisiti Kerberos

Prima di configurare l'autenticazione Kerberos, verificate di disporre delle seguenti informazioni e della connettività di rete.

  1. Richiedete le seguenti informazioni all'amministratore di Active Directory:

    • Il nome dell'area di autenticazione Kerberos (in genere il nome di dominio in lettere maiuscole, ad esempio). EXAMPLE.COM

    • Il nome host o l'indirizzo IP del Key Distribution Center (KDC), che in genere è un controller di dominio (ad esempio,). dc01.example.com

    • Un account di servizio con autorizzazioni per l'autenticazione sui server Windows di destinazione.

  2. Verifica che lo strumento di rilevamento VM disponga di connettività di rete a quanto segue:

    • Il KDC sulla porta 88 (TCP e UDP) per l'autenticazione Kerberos.

    • I server Windows di destinazione sulle porte WinRM (5985 per HTTP, 5986 per HTTPS).

Configurazione di Kerberos

Completa i seguenti passaggi per configurare l'autenticazione Kerberos sulla macchina virtuale dello strumento di rilevamento.

  1. SSH verso la macchina virtuale dello strumento di rilevamento.

    ssh discovery@<discovery-tool-vm-ip>

  2. Modifica il file di configurazione Kerberos in. /etc/krb5.conf

    sudo nano /etc/krb5.conf

    Aggiungete la seguente configurazione, sostituendo i valori segnaposto con i dettagli dell'ambiente.

    [libdefaults]
    default_realm = EXAMPLE.COM
    dns_lookup_realm = false
    dns_lookup_kdc = true

[realms]
    EXAMPLE.COM = {
        kdc = dc01.example.com
    }

[domain_realm]
    .example.com = EXAMPLE.COM
    example.com = EXAMPLE.COM
    Importante

    Kerberos fa distinzione tra maiuscole e minuscole. Il nome dell'area deve essere in maiuscolo (ad esempio, no). EXAMPLE.COM example.com Il nome di dominio nella [domain_realm] sezione deve essere in lettere minuscole.

    Più domini Active Directory

    Lo strumento di rilevamento supporta più credenziali Kerberos per diversi domini Active Directory. Ogni credenziale si autentica in modo indipendente, quindi è possibile configurare più credenziali normalmente e l'isolamento è automatico.

    Se disponi di server in più domini, aggiungi voci per ogni area del file: /etc/krb5.conf

    [libdefaults]
    default_realm = DEV.COMPANY.COM
    dns_lookup_realm = false
    dns_lookup_kdc = true

[realms]
    DEV.COMPANY.COM = {
        kdc = dc01.dev.company.com
    }
    PROD.COMPANY.COM = {
        kdc = dc01.prod.company.com
    }

[domain_realm]
    .dev.company.com = DEV.COMPANY.COM
    dev.company.com = DEV.COMPANY.COM
    .prod.company.com = PROD.COMPANY.COM
    prod.company.com = PROD.COMPANY.COM

  3. Verifica di poter ottenere un ticket Kerberos eseguendo il comando. kinit

    kinit username@REALM.COM

    Inserisci la password quando richiesto. Se il comando viene completato senza errori, l'autenticazione è riuscita.

  4. Verifica il ticket eseguendo il klist comando.

    klist

    L'output previsto è simile al seguente.

    Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: username@REALM.COM

Valid starting       Expires              Service principal
01/01/2025 12:00:00  01/01/2025 22:00:00  krbtgt/REALM.COM@REALM.COM

  5. Configura lo strumento di rilevamento con lo stesso principio con distinzione tra maiuscole e minuscole utilizzato con kinit (ad esempio,username@REALM.COM).

Una krb5.conf configurazione esplicita potrebbe non essere necessaria se l'ambiente ha record DNS SRV configurati per il rilevamento del servizio Kerberos. Per ulteriori informazioni sulle opzioni di configurazione Kerberos, consultate la documentazione di MIT Kerberos krb5.conf e il file di esempio krb5.conf.

Trova la configurazione Kerberos dai computer aggiunti al dominio

Se non disponi dei dettagli di configurazione Kerberos, puoi recuperarli da un computer Windows che fa parte del dominio. Esegui i seguenti comandi da un prompt dei comandi sul computer aggiunto al dominio.

Per trovare il nome di dominio, esegui il comando seguente.

echo %USERDNSDOMAIN%

Output di esempio:

EXAMPLE.COM

Per trovare il nome host del controller di dominio, esegui il comando seguente.

nltest /dsgetdc:EXAMPLE.COM

Output di esempio:

           DC: \\dc01.example.com
      Address: \\10.0.1.100
     Dom Guid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
     Dom Name: EXAMPLE.COM
  Forest Name: example.com
 Dc Site Name: Default-First-Site-Name
Our Site Name: Default-First-Site-Name
        Flags: 0xe00033fd
The command completed successfully

Associa l'output alla tua krb5.conf configurazione come segue:

  • Realm: utilizza il valore da %USERDNSDOMAIN% in maiuscolo (ad esempio,). EXAMPLE.COM

  • KDC: utilizza il nome host DC dell'nltestoutput (ad esempio,). dc01.example.com

Configurazione dell'accesso vCenter

  1. Nella pagina dello strumento Discovery, al passaggio 1. Configura le fonti di rilevamento, scegli Configura sorgenti.

  2. Nella pagina Configura sorgenti di rilevamento, fornire il nome descrittivo, vCenter FQDN/IP, il nome utente e la password.

  3. Seleziona Save configuration (Salva configurazione).

    Lo strumento di rilevamento inizia a raccogliere informazioni su vCenter, come descritto in Discovered Inventory.

Dopo la configurazione iniziale, scegli Modifica accesso vCenter nel riquadro di stato dello strumento Discovery per modificare le impostazioni di accesso a vCenter.

Lo strumento di rilevamento raccoglie dati da tutti i server vCenter configurati in parallelo. Se un server vCenter non è raggiungibile durante la raccolta, lo strumento segnala un successo parziale e continua la raccolta dai server vCenter rimanenti.

Se una VM viene visualizzata su più server vCenter (ad esempio, a causa di host ESXi condivisi o Cross-vCenter vMotion), lo strumento di rilevamento deduplica automaticamente le VM. Ogni VM unica appare solo una volta nell'inventario.

Configura l'accesso Hyper-V

  1. Nella pagina dello strumento Discovery, al passaggio 1. Configura le fonti di rilevamento, scegli Configura sorgenti.

  2. Nella pagina Configura fonti di rilevamento, fornire un nome descrittivo, l'FQDN o l'indirizzo IP dell'host, il tipo di autenticazione (NTLM o Kerberos), il nome utente WinRM e la password WinRM.

  3. Seleziona Save configuration (Salva configurazione).

    Lo strumento di rilevamento inizia a raccogliere informazioni, come descritto in Inventario scoperto. Hyper-V

La raccolta inizia automaticamente dopo il salvataggio delle credenziali.

Per i cluster Hyper-V di failover, è possibile aggiungere più host nello stesso cluster. Lo strumento deduplica automaticamente le macchine virtuali che appaiono su più di un host.

Server di importazione

  1. Vai alla pagina Importa server dalla home page dello strumento Discovery.

  2. Prepara un file CSV con le seguenti colonne: hostname_or_ip (obbligatorio), os_credential_name (opzionale) e oracle_credential_name (opzionale).

    • Il hostname_or_ip valore deve essere un indirizzo IPv4 valido o un nome di dominio completo (FQDN).

    • Il os_credential_name valore, se fornito, deve corrispondere al nome descrittivo di una credenziale del sistema operativo già configurata (SSH, WinRM o SNMP). Lascia vuoto per i server in cui non hai ancora configurato una credenziale del sistema operativo.

    • Il oracle_credential_name valore, se fornito, deve corrispondere al nome descrittivo di una credenziale Oracle già configurata.

  3. Carica il file CSV. Lo strumento convalida tutte le righe e rifiuta il file se una riga non è valida.

Dopo una corretta importazione, lo strumento avvia automaticamente la raccolta delle metriche del database, della rete e del sistema operativo per i server importati, se le credenziali del sistema operativo sono configurate. Se carichi un altro file CSV, i record esistenti vengono aggiornati senza creare duplicati e i nuovi record vengono uniti all'inventario.

Importa un'autorità di certificazione autofirmata nello strumento di individuazione (opzionale)

Ciò è necessario quando si utilizza WinRM su HTTPS e i server di destinazione utilizzano certificati HTTPS WinRM firmati da un'autorità di certificazione (CA) autofirmata e si desidera abilitare «Convalida certificato SSL del server» sullo strumento di rilevamento.

Prerequisiti

  1. Self-signed Certificato CA utilizzato per firmare i certificati HTTPS WinRM sui server di destinazione

  2. Certificato in formato PEM (estensione.pem o.crt)

Per importare un'autorità di certificazione autofirmata sulla VM dello strumento di rilevamento:

  1. Da Ssh a Discovery Tool VM

  2. Inserisci i certificati CA che hanno firmato i certificati WinRM dei server di destinazione nella directory /etc/pki/ca-trust/source/anchors/ del trust store sulla VM dello strumento di rilevamento. Ad esempio: sudo cp winrm-ca.pem /etc/pki/ca-trust/source/anchors/winrm-ca.pem. Nota: se i server di destinazione utilizzano certificati firmati da CA diverse, copia tutti i certificati CA pertinenti in questa directory.

  3. Aggiorna il Certificate Trust Store: sudo update-ca-trust

  4. Riavviare la macchina virtuale

  5. (Facoltativo) Per verificare che i certificati siano stati importati correttamente, è possibile eseguire il seguente comando. sudo trust list —filter=ca-anchors | grep -A 5 "<certificate_name>"

Vedi Installazione e configurazione per Gestione remota Windows

Configura lo strumento di rilevamento per l'accesso al sistema operativo

Configura l'accesso al sistema operativo in modo che lo strumento di rilevamento possa:

  • Scopri i database per eseguire la valutazione dei database e fornire assistenza nella migrazione delle macchine virtuali,

  • Tieni traccia delle connessioni di rete tra i server del tuo inventario, incluso il processo associato a ciascuna connessione, per facilitare la mappatura delle dipendenze delle applicazioni e la pianificazione delle ondate. Sono incluse solo le connessioni in cui entrambi gli endpoint sono presenti nell'inventario dello strumento di rilevamento.

Abilita lo strumento di rilevamento OS Access

  1. Vai alla pagina di configurazione dell'accesso al sistema operativo per fornire le credenziali Windows e Linux.

  2. Scegliete un protocollo per il quale desiderate aggiungere le credenziali.

  3. Fornisci le credenziali richieste per il protocollo selezionato.

  4. Selezionare questa opzione Auto-connectper consentire allo strumento di rilevamento di provare tutte le credenziali fornite sui server rilevati fino a trovare le credenziali corrispondenti per ogni server.

    Consulta Usare la Auto-Connect funzionalità con cautela importanti consigli di sicurezza relativi alla funzionalità di connessione automatica.

  5. Scegli Configura e connettiti.

Una volta completato il processo di abbinamento del sistema operativo, viene visualizzato un messaggio che indica che la raccolta dei dati è in corso e un errore relativo ai server per i quali non è stata trovata una corrispondenza tra le credenziali.

Configurazione dei protocolli supportati

È necessario configurare i protocolli WinRM, SSH e SNMP sui server di destinazione affinché lo strumento di rilevamento possa comunicare con essi.

Configurare WinRM e WMI

WinRM viene installato automaticamente con tutte le versioni attualmente supportate del sistema operativo Windows.

Per verificare o modificare la configurazione di WinRM, utilizzare winrm lo strumento da riga di comando:

  • Verifica i listener WinRM installati: winrm enumerate winrm/config/listener

  • Verifica le configurazioni WinRM: winrm get winrm/config

  • Comando di esempio per configurare WinRM: winrm quickconfig -transport:https

Porte per listener

La porta HTTP predefinita è 5985; HTTPS è 5986. È possibile utilizzare altre porte in base alle esigenze. Le porte devono essere aperte tra lo strumento di rilevamento e i server di destinazione.

Encryption (Crittografia)

Lo strumento di rilevamento utilizza la comunicazione WinRM crittografata. Si consiglia che anche i listener WinRM sui server di destinazione utilizzino la crittografia: winrm set winrm/config/service '@{AllowUnencrypted="false"}'

NTLM e Kerberos

I protocolli di autenticazione WinRM Kerberos e NTLM sono supportati dallo strumento di rilevamento. NTLM può essere utilizzato solo con HTTPS e Kerberos può essere utilizzato sia con HTTP che HTTPS.

Requisiti WMI

Lo strumento di rilevamento interroga i seguenti namespace WMI. L'account WinRM richiede l'accesso in lettura a ogni spazio dei nomi relativo ai moduli di raccolta:

Spazio dei nomi WMI Utilizzato da
root\cimv2 Metriche del sistema operativo, metadati dell' Hyper-V host, raccolta SQL Server
root\virtualization\v2 Hyper-V Inventario delle macchine virtuali
root\StandardCIMV2 Raccolta di rete
root\Microsoft\SqlServer\ComputerManagement* Raccolta SQL Server
root\Microsoft\SqlServer\ReportServer\* Raccolta SQL Server (SSRS)

Per la raccolta in rete, assicurati che siano soddisfatte le seguenti condizioni:

  • Consenti la connettività di rete tramite ICMP

  • Consenti la connettività di rete tramite la porta TCP 135 + intervallo temporaneo di porte TCP (49152 - 65535)

  • Disabilita UAC

  • Le autorizzazioni DCOM remote sono configurate

  • Crea un account di servizio dedicato con autorizzazioni minime richieste

  • Le autorizzazioni per lo spazio dei nomi WMI sono configurate per gli account Windows con namespace:, class \\root\\standardcimv2 MSFT_NetTCPConnection

Per la raccolta di SQL Server, è necessario un account Windows (locale o di dominio) appartenente al gruppo di amministratori locali a causa dei complessi requisiti di autorizzazione degli oggetti WMI.

Configurazione di SSH

  • La porta predefinita è 22. Sono supportate porte personalizzate. La porta configurata deve essere aperta tra lo strumento di rilevamento e i server di destinazione.

  • Affinché la raccolta di reti SSH funzioni correttamente, fornisci un utente configurato per sudo senza password.

  • Assicurati che i seguenti comandi siano disponibili sui server Linux di destinazione (installati per impostazione predefinita sulla maggior parte delle distribuzioni): ss o netstat per la raccolta in rete e,,,,,lsblk, iostat dmidecode smartctl top ps freeip, e df per la raccolta delle metriche del sistema operativo.

Lo strumento di scoperta supporta due metodi di autenticazione per SSH:

Opzione 1: nome utente e password

Fornisci il nome utente e la password SSH. Questo è il metodo di autenticazione predefinito.

Opzione 2: chiave privata SSH

Fornisci il nome utente SSH e una chiave privata in formato PEM. Per utilizzare questa opzione, scegli Chiave SSH dal menu a discesa Tipo di autenticazione durante la configurazione delle credenziali SSH. Se la chiave privata è crittografata con una passphrase, inserisci la passphrase nel campo opzionale Key Passphrase.

Sono supportati i seguenti formati chiave:

  • RSA

  • ECDSA

  • Ed25519

  • Formato OpenSSH

  • Formato PKCS #8

Entrambi i metodi di autenticazione supportano la connessione automatica. Le credenziali vengono archiviate crittografate quando sono inutilizzate.

Configurare SNMP

  • La porta predefinita è 161/UDP. Le porte personalizzate sono supportate. La porta configurata deve essere aperta tra lo strumento di rilevamento e i server di destinazione.

  • Per SNMP v2: fornite una stringa di community di sola lettura in grado di accedere agli OID di connessione TCP.

  • Per SNMP v3: fornisci auth/privacy dettagli con l'autorizzazione di sola lettura per accedere agli username/password OID di connessione TCP

Lo strumento di scoperta richiede l'accesso a:

  • "1.3.6.1.2.1.6.13.1.1." (tcpConnState)

  • "1.3.6.1.2.1.6.19.1.8." (tcpConnectionProcess)

  • "1.3.6.1.2.1.25.4.2.1.2." (hrSWRunName)

Configurare l'accesso al database Oracle

Configura l'accesso al database Oracle per raccogliere i metadati dettagliati del database Oracle direttamente tramite connessioni SQL. I metadati raccolti includono la topologia CDB e PDB, l'utilizzo delle funzionalità e le opzioni installate. Questi dati consentono di pianificare le migrazioni dei database Oracle in modo più accurato. È possibile raccogliere Oracle Database 12c Release 1 (12.1) e versioni successive tramite connessioni SQL dirette. OS-level il rilevamento dei fallback funziona con tutte le versioni di Oracle.

Configura le credenziali Oracle nello strumento di rilevamento

  1. Nella pagina dello strumento Discovery, nella barra laterale, scegli Accesso al database.

  2. Scegli Aggiungi credenziali Oracle.

  3. Inserisci le informazioni che seguono:

    • Nome descrittivo: un nome descrittivo per questa credenziale (ad esempio,). Oracle Production

    • Porta: la porta del listener Oracle (impostazione predefinita 1521).

    • Nome del servizio: il nome del servizio Oracle per il database di destinazione.

    • Nome utente: il nome utente dell'account del servizio Oracle.

    • Password: la password dell'account del servizio Oracle.

    • Auto-connect— Attiva questa opzione per provare la credenziale su tutti i server del tuo inventario. Disattiva questa opzione per assegnare manualmente le credenziali a server specifici.

  4. Per aggiungere altre credenziali (ad esempio, per diversi ambienti Oracle), scegli nuovamente Aggiungi credenziali Oracle.

  5. Scegli Save (Salva).

Modalità di credenziali

Quando configuri le credenziali Oracle, puoi scegliere tra due modalità:

  • Manuale: aggiungi una credenziale a un server specifico. Lo strumento di scoperta utilizza tale credenziale esclusivamente per quel server. Se la connessione fallisce, non si verifica alcun fallback. Correggi la configurazione delle credenziali per risolvere il problema.

  • Auto-connect— Lo strumento di rilevamento prova ogni credenziale di connessione automatica su ogni server dell'inventario. Quando una credenziale ha esito positivo per un server, lo strumento di rilevamento utilizza tale credenziale per tutti i cicli di raccolta successivi.

Flusso di rilevamento

Quando si configurano le credenziali Oracle, lo strumento di rilevamento tenta innanzitutto una connessione SQL diretta. Se tutte le credenziali del database falliscono, lo strumento torna al OS-level rilevamento tramite SSH o WinRM, così puoi comunque scoprire le installazioni Oracle senza accedere al database.

Aggiornamento dello strumento di rilevamento

Lo strumento di rilevamento non dispone di una funzionalità di aggiornamento automatico, tuttavia riceverai una notifica di promemoria dopo 30 giorni dall'installazione per l'aggiornamento. Si consiglia di mantenere l'applicazione aggiornata per ricevere le funzionalità e le patch di sicurezza più recenti.

Per aggiornare manualmente lo strumento

  1. Scarica il file di immagine più recente dello strumento di rilevamento (OVA per VMware o VHD per Hyper-V) dal link fornito.

  2. (Facoltativo) Si consiglia di eliminare il precedente file di immagine dello strumento di rilevamento prima di distribuire quello più recente.

  3. Segui i passaggi indicati nella sezione Implementa lo strumento di rilevamento per distribuire la versione aggiornata.

Revoca dell’accesso

È possibile revocare l'accesso a ciascuna fonte di rilevamento in modo indipendente. Quando si revoca l'accesso a una fonte, i dati provenienti da altre fonti non ne risentono.

  • Revoca dell'accesso a vCenter: elimina le credenziali e i dati vCenter. VMware-collected Non elimina Hyper-V dati, dati del server importati o credenziali del sistema operativo.

  • Revoca dell' Hyper-V accesso: elimina solo le Hyper-V credenziali e i dati. Hyper-V-collected

  • Eliminazione dei server importati: rimuove i server importati dall'inventario. I dati di raccolta a valle (rete, database) raccolti da tali server vengono conservati.