Xenserver加域管理

   部署服務的目的是讓用戶更便捷的使用，滿足領導對成本及資料安全的需求。
   公司因使用帶license的CEVA編譯工具進行開發，為了節約成本，購買了單機版程序，目的是讓10人的開發團隊使用。起初設想通過部署遠程桌面服務，滿足多人使用的場景。
   可是該程序在遠程桌面下最關鍵的build按鈕無法按下！！！
   要求是
         1.員工不能接觸到該主機（禁止直接使用USB接口導入導出）
         2.所有遠程桌面是必備的，同理VNCserver也是無法訪問（且不能控制遠程桌面導出文件到本機）
         我想到XenCenter下VM的console下試試，克隆系統后，build可以按！！！
         但是介于多用戶使用且權限不能過高，使用多個用戶和用戶組來管理XenServer服務器，就必須使用 Active Directory 用戶賬戶進行身份驗證。

方案分析：
資料安全需求：
避免用戶直接連接鼠標鍵盤操作，USB直接暴露的問題，決定將該編譯環境虛擬化，方案為XenServer。
成本需求：
滿足領導對成本的要求，決定不上XenDesktop、XenApp之類的，使用免費的XenCenter安裝到幾個需要編譯的用戶計算機用于“按下build按鈕”。
與此引入風險問題：
到底普通用戶能否使用XenCenter去操作，介于風險，決定針對用戶權限引入AD進行XenCenter權限的控制。

方案搭建：
一、AD域基礎環境
操作系統：Windows 2008 R2（此處注意我嘗試多次使用Windows 2012去安裝，但是XenCenter中總是報錯（詳見附錄1），建議使用Windows 2008 R2避免反復調試的麻煩）

      安裝步驟：
        1.添加角色和功能向導——添加Active Directory域服務；

下面注意點擊“此服務器提升為域控制器”

2.此時選擇添加新林，在根域名中輸入你要添加的域名：XXXXX.com

3.配置林功能基本和域功能級別（XenServer支持使用Active Directory服務器使用的是Windows2003或更高版本，實測的2012版本無法成功），下面輸入還原密碼。

4.此時配置NetBIOS，默認為XXXXX的域名

5.進行安裝

        成功安裝完成后注意檢查windows防火墻的端口
  * 53 ?UDP/TCP ?DNS

  * 88 ?UDP/TCP?Kerberos 5

  * 123 ?UDP????NTP

  * 137 ?UDP ????NetBIOSName Service

  * 139 ?TCP?????NetBIOS Session (SMB)

  * 389 ?UDP/TCP ?LDAP

  * 445 ?TCP ?????SMB over TCP

  * 464 ?UDP/TCP?Machine password changes

  * 3268 ?TCP????Global Catalog Search

二、XenCenter配置XenServer加入AD域控
此時將配置AD域到XenCenter上，并添加用戶賦予權限。
1.首先將使用root登錄XenCenter，將該pool的網卡DNS設置為AD域控服務器的IP地址，嘗試拿console去ping這個地址，看是否生效，如果不生效，請檢查DNS的配置；
2.使用root登錄的XenCenter，選擇該pool，右側配置Users
使用管理員進行登錄，注意安裝XenServer與AD服務器主機時鐘需要一致，否則報錯，詳見附錄二

3.登錄域，Domain注意填寫XXXXX.com，User必須使用管理員administrator進行登錄，不使用管理員賬戶登錄會報錯（詳見附錄2）

登錄成功如下：

3.添加AD賬戶，并針對Xen進行賦權
此時需要多增加幾個賬戶，并針對賬戶進行賦權操作
進入Windows2008進行配置——控制面板——管理工具——Active Directory 用戶和計算機
找到Users

填寫用戶名及密碼，用戶名填寫兩處

設置密碼

在Xen中添加賬戶

對賬戶賦予權限

總共6個權限，我分別對權限做了簡要的解析：

Read Only：經理使用，多用于查看虛擬機使用情況的領導使用，基本也就是看看有什么名稱的服務器，內存使用狀況等。

VM Operator：開發使用，可用滿足基本console查看，開關機操作等日常操作；

VM Admin：運維測試使用，可以選則在何處啟動虛擬機及模板，修改內存屬性等；

VM Power Admin：運維主機管理員使用，可以進行動態內存，快照的配置；

Pool Operator：高級運維管理員使用，可以對pool進行相關高級配置管理，如HA，WLB等；

Pool Admin ：運維經理使用，類似于root（使用后可以不使用root對XenDesktop配置，存在安全賬戶機里面）可進行role分配，連接XenServer的命令行及圖形console。

相關權限我整理了如下表供大家參考：

最后，配置給開發VM Operator權限即可，可以自主由他們重啟避免內存泄露引起的卡頓。

老技術了，大家如果需要都可以轉載，下面把自己部署中遇到的一些報錯與大家分享

附錄1
windows 2012系統搭建好AD域產生的報錯信息:

附錄2
注意時鐘必須一致（可以相差幾分鐘），否則會報錯，無法配置成功。

附錄3
必須使用域管理員administrator進行登錄，否則報錯如下

日常運維故障：
①某一天VM操作員反映使用XenCenter無法登錄相應server
解決方法：修改XenServer系統時間與安裝XenCenter桌面主機時間一致，即可登錄
排查及解決步驟：
第一步：查看AD服務器，查看VM操作員的AD是否密碼過期——未過期
第二步：配置用戶，離開域

第二步：再次登入報錯如下
Could not enable external authentication: Clock skew detected with active directory server
shell方式登入XenServer，修改XenServer系統時間與安裝XenCenter桌面主機時間一致，即可登錄。

②某天管理接到需求為新員工添加賬戶，AD中已經添加成功，但是在XenCenter中無法綁定用戶，報錯：Subject cannot be reslved by the external directory service.
添加后報錯如下：

查看日志信息：

解決方法：同步XenServer主機與AD服務器的時間即可將新增的AD賬戶成功綁定到該主機。