[Comm] virt-manager

[Comm] virt-manager

[adobrovolskii]

Hi,
Вчера поигрался на раб станции с Виртменеджером. Там все было
нормально и гость установился и заработал.
Сейчас пытаюсь с его омощью поднять гостя на сервере. На сервере:
rpm -qa|grep kvm
kernel-modules-kvm-ovz-smp-85-alt2.132635.9
kernel-modules-kvm-std-def-3.0.17-alt0.M60P.2
qemu-kvm-0.15.0-alt2
kernel-modules-kvm-std-def-3.0.8-alt0.M60P.1
uname -ra
Linux blackbox.iop.kiev.ua 3.0.17-std-def-alt0.M60P.2 #1 SMP Fri Jan
20 17:44:22 UTC 2012 i686 GNU/Linux
service libvirtd status
libvirtd is running

При попытке подключиться по ssh с ноута Виртменеджером, он ругается,
что демон не запущен. Т.е. ssh, надо понимать, оно прошло и не смогло
добраться до демона. Почему?
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] virt-manager

[adobrovolskii]

On Sat, Feb 4, 2012 at 4:12 PM, adobrovolskii <adobrovolskii@gmail.com> wrote:
> Hi,
> Вчера поигрался на раб станции с Виртменеджером. Там все было
> нормально и гость установился и заработал.
> Сейчас пытаюсь с его омощью поднять гостя на сервере. На сервере:
> rpm -qa|grep kvm
> kernel-modules-kvm-ovz-smp-85-alt2.132635.9
> kernel-modules-kvm-std-def-3.0.17-alt0.M60P.2
> qemu-kvm-0.15.0-alt2
> kernel-modules-kvm-std-def-3.0.8-alt0.M60P.1
> uname -ra
> Linux blackbox.iop.kiev.ua 3.0.17-std-def-alt0.M60P.2 #1 SMP Fri Jan
> 20 17:44:22 UTC 2012 i686 GNU/Linux
> service libvirtd status
> libvirtd is running
>
> При попытке подключиться по ssh с ноута Виртменеджером, он ругается,
> что демон не запущен. Т.е. ssh, надо понимать, оно прошло и не смогло
> добраться до демона. Почему?

Соврал. Оно к ssh не подключилось
Unable to open a connection to the libvirt management daemon.

Libvirt URI is: qemu+ssh://andriy@blackbox/system

Verify that:
 - The 'libvirtd' daemon has been started


Cannot recv data: ssh: ssh_askpass:
exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied, please try again.
ssh: ssh_askpass: exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied, please try again.
ssh: ssh_askpass: exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied (publickey,password).
: Соединение разорвано другой стороной

Traceback (most recent call last):
  File "/usr/share/virt-manager/virtManager/connection.py", line 1146,
in _open_thread
    self.vmm = self._try_open()
  File "/usr/share/virt-manager/virtManager/connection.py", line 1130,
in _try_open
    flags)
  File "/usr/lib/python2.6/site-packages/libvirt.py", line 102, in openAuth
    if ret is None:raise libvirtError('virConnectOpenAuth() failed')
libvirtError: Cannot recv data: ssh: ssh_askpass:
exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied, please try again.
ssh: ssh_askpass: exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied, please try again.
ssh: ssh_askpass: exec(/usr/lib/openssh/ssh-askpass): No such file or directory
ssh: Permission denied (publickey,password).
: Соединение разорвано другой стороной
И как поступить?
Обычное ssh соединение работает без проблем.
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] virt-manager

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "adobrovolskii" <adobrovolskii@gmail.com>
> Кому: "ALT Linux Community general discussions" <community@lists.altlinux.org>
> Отправленные: Суббота, 4 Февраль 2012 г 23:15:32
> Тема: Re: [Comm] virt-manager
>
> Соврал. Оно к ssh не подключилось
> Unable to open a connection to the libvirt management daemon.

Во-первых, добавить себя в группу vmusers.

Во-вторых, внести правки в /etc/libvirt/libvirtd.conf:

--- libvirtd.conf.rpmnew        2011-10-01 04:07:59.000000000 +0900
+++ libvirtd.conf       2011-09-14 13:25:00.000000000 +0900
@@ -57,7 +57,7 @@
 # stopping the Avahi daemon
 #
 # This is enabled by default, uncomment this to disable it
-#mdns_adv = 0
+mdns_adv = 0

 # Override the default mDNS advertizement name. This must be
 # unique on the immediate broadcast network.
@@ -78,7 +78,7 @@
 # without becoming root.
 #
 # This is restricted to 'root' by default.
-#unix_sock_group = "vmusers"
+unix_sock_group = "vmusers"

 # Set the UNIX socket permissions for the R/O socket. This is used
 # for monitoring VM status only
@@ -126,7 +126,7 @@
 #
 # To restrict monitoring of domains you may wish to enable
 # an authentication mechanism here
-#auth_unix_ro = "none"
+auth_unix_ro = "none"

 # Set an authentication scheme for UNIX read-write sockets
 # By default socket permissions only allow root. If PolicyKit
@@ -135,7 +135,7 @@
 #
 # If the unix_sock_rw_perms are changed you may wish to enable
 # an authentication mechanism here
-#auth_unix_rw = "none"
+auth_unix_rw = "none"

 # Change the authentication scheme for TCP sockets.
 #


В третьих, авторизацию для ssh надо сделать по ключам.

Re: [Comm] virt-manager

[Dmitry Derjavin]

On Сбт, Фев 04 2012 at 18:15, adobrovolskii wrote:

> exec(/usr/lib/openssh/ssh-askpass): No such file or directory
> ssh: Permission denied, please try again.

Видимо, ключ защищён паролем, а ssh-agent не запущен или virt-manager не
знает, где его сокет. Или ключ не загружен в агент.

> Обычное ssh соединение работает без проблем.

ssh-add -l
echo $SSH_AUTH_SOCK

-- 
~dd

Re: [Comm] virt-manager

[adobrovolskii]

On Sat, Feb 4, 2012 at 5:02 PM, Alexei Takaseev <alexei@taf.ru> wrote:
>
>
> ----- Исходное сообщение -----
>> От: "adobrovolskii" <adobrovolskii@gmail.com>
>> Кому: "ALT Linux Community general discussions" <community@lists.altlinux.org>
>> Отправленные: Суббота, 4 Февраль 2012 г 23:15:32
>> Тема: Re: [Comm] virt-manager
>>
>> Соврал. Оно к ssh не подключилось
>> Unable to open a connection to the libvirt management daemon.
>
> Во-первых, добавить себя в группу vmusers.
>
> Во-вторых, внести правки в /etc/libvirt/libvirtd.conf:
>
> --- libvirtd.conf.rpmnew        2011-10-01 04:07:59.000000000 +0900
> +++ libvirtd.conf       2011-09-14 13:25:00.000000000 +0900
> @@ -57,7 +57,7 @@
>  # stopping the Avahi daemon
>  #
>  # This is enabled by default, uncomment this to disable it
> -#mdns_adv = 0
> +mdns_adv = 0
>
>  # Override the default mDNS advertizement name. This must be
>  # unique on the immediate broadcast network.
> @@ -78,7 +78,7 @@
>  # without becoming root.
>  #
>  # This is restricted to 'root' by default.
> -#unix_sock_group = "vmusers"
> +unix_sock_group = "vmusers"
>
>  # Set the UNIX socket permissions for the R/O socket. This is used
>  # for monitoring VM status only
> @@ -126,7 +126,7 @@
>  #
>  # To restrict monitoring of domains you may wish to enable
>  # an authentication mechanism here
> -#auth_unix_ro = "none"
> +auth_unix_ro = "none"
>
>  # Set an authentication scheme for UNIX read-write sockets
>  # By default socket permissions only allow root. If PolicyKit
> @@ -135,7 +135,7 @@
>  #
>  # If the unix_sock_rw_perms are changed you may wish to enable
>  # an authentication mechanism here
> -#auth_unix_rw = "none"
> +auth_unix_rw = "none"
>
>  # Change the authentication scheme for TCP sockets.
>  #
>
>
> В третьих, авторизацию для ssh надо сделать по ключам.
Я правильно понял, что все это надо делать на сервере?
А почему обязательно по ключам? Мне так крайне неудобно...
(И кто-то утверждал, что не нужна никакая документация... Просто
запустить Виртменеджера..)
-- 
Regards,
Andrii Dobrovol`s`kyj

Re: [Comm] virt-manager

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 785 bytes --]

On Sat, Feb 04, 2012 at 05:17:02PM +0200, adobrovolskii wrote:
> On Sat, Feb 4, 2012 at 5:02 PM, Alexei Takaseev <alexei@taf.ru> wrote:
[diff]
> > В третьих, авторизацию для ssh надо сделать по ключам.
> Я правильно понял, что все это надо делать на сервере?

Да - это необходимо, чтобы отключить используемую по умолчанию
авторизацию через PolicyKit и добавить ограничение доступа по группе
(чтобы все остальные пользователи сервера не получили доступ к
libvirtd).

> А почему обязательно по ключам? Мне так крайне неудобно...

В принципе можно и по паролю, но необходимо установить пакет
x11-ssh-askpass (или gtk2-ssh-askpass), и пароль будет запрашиваться
многократно (в частности, при каждом открытии консоли ВМ - для
проброса VNC создаётся отдельное соединение).

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 198 bytes --]

Re: [Comm] virt-manager

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "adobrovolskii" <adobrovolskii@gmail.com>
> Кому: "ALT Linux Community general discussions" <community@lists.altlinux.org>
> Отправленные: Воскресенье, 5 Февраль 2012 г 0:17:02
> Тема: Re: [Comm] virt-manager
> 
> On Sat, Feb 4, 2012 at 5:02 PM, Alexei Takaseev <alexei@taf.ru>
> wrote:
> >
> >
> > ----- Исходное сообщение -----
> >> От: "adobrovolskii" <adobrovolskii@gmail.com>
> >> Кому: "ALT Linux Community general discussions"
> >> <community@lists.altlinux.org>
> >> Отправленные: Суббота, 4 Февраль 2012 г 23:15:32
> >> Тема: Re: [Comm] virt-manager
> >>
> >> Соврал. Оно к ssh не подключилось
> >> Unable to open a connection to the libvirt management daemon.
> >
> > Во-первых, добавить себя в группу vmusers.
> >
> > Во-вторых, внести правки в /etc/libvirt/libvirtd.conf:
> >
> > --- libvirtd.conf.rpmnew        2011-10-01 04:07:59.000000000 +0900
> > +++ libvirtd.conf       2011-09-14 13:25:00.000000000 +0900
> > @@ -57,7 +57,7 @@
> >  # stopping the Avahi daemon
> >  #
> >  # This is enabled by default, uncomment this to disable it
> > -#mdns_adv = 0
> > +mdns_adv = 0
> >
> >  # Override the default mDNS advertizement name. This must be
> >  # unique on the immediate broadcast network.
> > @@ -78,7 +78,7 @@
> >  # without becoming root.
> >  #
> >  # This is restricted to 'root' by default.
> > -#unix_sock_group = "vmusers"
> > +unix_sock_group = "vmusers"
> >
> >  # Set the UNIX socket permissions for the R/O socket. This is used
> >  # for monitoring VM status only
> > @@ -126,7 +126,7 @@
> >  #
> >  # To restrict monitoring of domains you may wish to enable
> >  # an authentication mechanism here
> > -#auth_unix_ro = "none"
> > +auth_unix_ro = "none"
> >
> >  # Set an authentication scheme for UNIX read-write sockets
> >  # By default socket permissions only allow root. If PolicyKit
> > @@ -135,7 +135,7 @@
> >  #
> >  # If the unix_sock_rw_perms are changed you may wish to enable
> >  # an authentication mechanism here
> > -#auth_unix_rw = "none"
> > +auth_unix_rw = "none"
> >
> >  # Change the authentication scheme for TCP sockets.
> >  #
> >
> >
> > В третьих, авторизацию для ssh надо сделать по ключам.
> Я правильно понял, что все это надо делать на сервере?
> А почему обязательно по ключам? Мне так крайне неудобно...
> (И кто-то утверждал, что не нужна никакая документация... Просто
> запустить Виртменеджера..)

Да, это на сервер.

Отдельная документация не нужна. Достаточно документации по libvirtd

Re: [Comm] virt-manager

[Alexei Takaseev]

----- Исходное сообщение -----
> От: "Sergey Vlasov" <vsu@altlinux.ru>
> Кому: community@lists.altlinux.org
> Отправленные: Воскресенье, 5 Февраль 2012 г 0:51:28
> Тема: Re: [Comm] virt-manager
> 
> On Sat, Feb 04, 2012 at 05:17:02PM +0200, adobrovolskii wrote:
> > On Sat, Feb 4, 2012 at 5:02 PM, Alexei Takaseev <alexei@taf.ru>
> > wrote:
> [diff]
> > > В третьих, авторизацию для ssh надо сделать по ключам.
> > Я правильно понял, что все это надо делать на сервере?
> 
> Да - это необходимо, чтобы отключить используемую по умолчанию
> авторизацию через PolicyKit и добавить ограничение доступа по группе
> (чтобы все остальные пользователи сервера не получили доступ к
> libvirtd).

По началу я честно пробовал все сделать по сертификатам x.500 но как-то я не додумкал как все это красиво и быстро разворачивать. Поэтому откатился на группы + ssh

Re: [Comm] virt-manager

[adobrovolskii]

On Sat, Feb 4, 2012 at 6:11 PM, Alexei Takaseev <alexei@taf.ru> wrote:

>> > ----- Исходное сообщение -----
>> >> От: "adobrovolskii" <adobrovolskii@gmail.com>
>> >> Кому: "ALT Linux Community general discussions"
>> >> <community@lists.altlinux.org>
>> >> Отправленные: Суббота, 4 Февраль 2012 г 23:15:32
>> >> Тема: Re: [Comm] virt-manager
>> >>
>> >> Соврал. Оно к ssh не подключилось
>> >> Unable to open a connection to the libvirt management daemon.
>> >
>> > Во-первых, добавить себя в группу vmusers.
>> >
>> > Во-вторых, внести правки в /etc/libvirt/libvirtd.conf:
>> >
>> > --- libvirtd.conf.rpmnew        2011-10-01 04:07:59.000000000 +0900
>> > +++ libvirtd.conf       2011-09-14 13:25:00.000000000 +0900
>> > @@ -57,7 +57,7 @@
>> >  # stopping the Avahi daemon
>> >  #
>> >  # This is enabled by default, uncomment this to disable it
>> > -#mdns_adv = 0
>> > +mdns_adv = 0
>> >
>> >  # Override the default mDNS advertizement name. This must be
>> >  # unique on the immediate broadcast network.
>> > @@ -78,7 +78,7 @@
>> >  # without becoming root.
>> >  #
>> >  # This is restricted to 'root' by default.
>> > -#unix_sock_group = "vmusers"
>> > +unix_sock_group = "vmusers"
>> >
>> >  # Set the UNIX socket permissions for the R/O socket. This is used
>> >  # for monitoring VM status only
>> > @@ -126,7 +126,7 @@
>> >  #
>> >  # To restrict monitoring of domains you may wish to enable
>> >  # an authentication mechanism here
>> > -#auth_unix_ro = "none"
>> > +auth_unix_ro = "none"
>> >
>> >  # Set an authentication scheme for UNIX read-write sockets
>> >  # By default socket permissions only allow root. If PolicyKit
>> > @@ -135,7 +135,7 @@
>> >  #
>> >  # If the unix_sock_rw_perms are changed you may wish to enable
>> >  # an authentication mechanism here
>> > -#auth_unix_rw = "none"
>> > +auth_unix_rw = "none"
>> >
>> >  # Change the authentication scheme for TCP sockets.
>> >  #
>> >
>> >
>> > В третьих, авторизацию для ssh надо сделать по ключам.
>> Я правильно понял, что все это надо делать на сервере?
>> А почему обязательно по ключам? Мне так крайне неудобно...
>> (И кто-то утверждал, что не нужна никакая документация... Просто
>> запустить Виртменеджера..)
>
> Да, это на сервер.
>
Спасибо за рекомендации.
Правильно я понял, что сейчас "из коробки" libvirtd настроен слушать
только локально и только рута? И для работы с ним по сети через ssh
требуется изменить несколько значений в его конфиге? Если да, то можно
ли это "оконтролить"?
Чтоб сделать решение более промышленным и избежать многих не нужных
вопросов из-за опечаток при правке конфигов.

> Отдельная документация не нужна. Достаточно документации по libvirtd
Как уже отметил тезка, документации много не бывает. А чтение
документации по libvirtd не такое и простое занятие... Не говоря уж о
том, что надо ещё сообразить какое именно звено мозаики сбоит.

-- 
Regards,
Andrii Dobrovol`s`kyj