VMware vCenter

Le connecteur VMware vCenter permet de centraliser votre inventaire de machines virtuelles, clusters ESXi et ressources informatiques depuis votre infrastructure VMware.

Lecture seule. Le connecteur n'effectue que des appels de lecture sur l'API REST vCenter. Aucun privilège en écriture n'est requis ni demandé.

Objectif

Le connecteur VMware vCenter permet de récupérer les informations suivantes :

• Inventaire des machines virtuelles (VMs)
• Clusters et hôtes ESXi (configurations, état)
• Ressources (CPU, RAM, stockage, réseau)

Prérequis

• Accès à VMware vCenter Server avec droits de lecture
• Identifiants d'un utilisateur vCenter avec permissions appropriées
• Accès réseau au serveur vCenter (ports HTTPS 443)

Informations à fournir dans OverView

Procédure

Créer un compte de service vCenter

1. Connectez-vous à vCenter Server avec un compte administrateur.
2. Accédez à Administration > Users and Groups.
3. Créez un nouvel utilisateur :
   • Username : oversoc-service
   • Password : Générez un mot de passe fort
4. Cliquez sur Create.

Assigner les permissions

La lecture d'inventaire via l'API REST vCenter repose sur les privilèges système de vSphere (System.View, System.Read), qui n'apparaissent pas dans l'éditeur de rôles. Ne cherchez pas de cases à cocher du type « View configuration » : elles n'existent pas dans vSphere. Le rôle intégré Read-only porte déjà ces privilèges.

La procédure part d'un clone du rôle Read-only. C'est nécessaire : les rôles système de vSphere sont immuables (« System roles are permanent. You cannot delete system roles nor can you edit the privileges associated with these roles. »), et le connecteur a besoin de privilèges supplémentaires qui n'y figurent pas.

1. Créer le rôle

1. Connectez-vous à vCenter Server via le vSphere Client.
2. Sélectionnez Administration, puis Roles dans la zone Access Control.
3. Sélectionnez le rôle Read-only et cliquez sur Clone.
4. Saisissez un nom pour le rôle (ex. OverView-Read) et cliquez sur OK.
5. Ressortez du dialogue, resélectionnez OverView-Read dans la liste, puis cliquez sur Edit.
6. Dépliez la catégorie VMware vSphere Lifecycle Manager et cochez les cinq privilèges suivants :
   • ESXi Health Perspectives : Read
   • Lifecycle Manager: General Privileges : Read
   • Lifecycle Manager: Hardware Compatibility Privileges : Access hardware compatibility
   • Lifecycle Manager: Image Privileges : Read
   • Lifecycle Manager: Settings Privileges : Read
7. Cliquez sur Save.

Le dialogue de clonage ne demande que le nom du rôle — il n'affiche aucune liste de privilèges. La documentation VMware le précise explicitement : « When creating a cloned role, you cannot change privileges. To change privileges, select the cloned role and click Edit. »

Ne sautez pas l'étape 5 : sans elle, vous repartez avec un rôle strictement identique au Read-only d'origine, et le connecteur se terminera en import partiel.

Les cinq privilèges sont tous en lecture : aucun ne donne de droit de modification sur vSphere Lifecycle Manager. Un seul d'entre eux ne suffit pas, ils doivent être cochés ensemble.

Ces libellés ont été constatés sur vSphere Client 8.0.3.01000. Ils peuvent varier selon la build et la langue de l'interface : en cas de doute, référez-vous aux noms d'API du tableau ci-dessous.

2. Assigner le rôle au compte de service

1. Sélectionnez l'objet vCenter Server racine dans l'inventaire.
2. Onglet Permissions > Add Permission.
3. Renseignez :
   • User : le compte de service (ex. oversoc-service@vsphere.local)
   • Role : OverView-Read
   • Propagate to children : coché
4. Cliquez sur OK.

L'assignation doit se faire sur l'objet vCenter Server racine, avec propagation. Les privilèges vSphere Lifecycle Manager de l'étape 6 ne sont reconnus qu'à ce niveau : les assigner sur un datacenter ou un cluster ne suffit pas.

Configurer le connecteur dans OverView

1. Dans OverView, accédez à Data Sources Settings > Sources.
2. Sélectionnez VMware vCenter et cliquez sur Configure.
3. Renseignez les champs requis :
   • vCenter Server URL : URL complète de votre serveur vCenter
   • Username : Compte de service créé
   • Password : Mot de passe du compte
   • API Version : Laissez vide pour détection automatique (optionnel)
4. Cliquez sur Test Connection pour vérifier la connectivité.
5. Cliquez sur Save Configuration.

Permissions requises

Privilèges portés par le rôle OverView-Read :

Les deux premières lignes viennent du clone du rôle Read-only. Les cinq suivantes sont à cocher manuellement à l'étape 6 et conditionnent la collecte de l'inventaire logiciel des hôtes ESXi (vCenter 7.0+). Sans elles, le connecteur se termine en import partiel.

Aucun privilège en écriture n'est nécessaire.

Dépannage

Import partiel : « permissions insuffisantes (HTTP 403) » sur host_software

Message affiché dans OverView :

CRAWL_PERMISSION_DENIED
Endpoint : esx/hosts/host-XXXXXX/software/installed-components

Cause : il manque un ou plusieurs des cinq privilèges vSphere Lifecycle Manager de l'étape 6. Le nombre de requêtes refusées correspond au nombre d'hôtes ESXi de l'infrastructure.

Correction : reprenez l'étape 6. Trois causes fréquentes si l'erreur persiste :

• un seul privilège a été coché au lieu des cinq — ils sont tous nécessaires ;
• le rôle a été cloné mais jamais édité (voir l'avertissement sur le dialogue de clonage) ;
• la permission est assignée sur un datacenter ou un cluster au lieu de l'objet vCenter Server racine.

Le reste de l'inventaire (VMs, hôtes, réseau, tags) n'est pas affecté par cette erreur : seuls les composants logiciels des hôtes ESXi manquent.

Je ne trouve pas le privilège dans l'arbre

L'éditeur de rôles n'affiche que les libellés, jamais les noms d'API : rechercher VcIntegrity... dans l'arbre ne donne aucun résultat. Par ailleurs, les libellés VMware et les noms d'API ne se correspondent pas de façon intuitive :

Déduire le libellé à partir du nom d'API mène donc au mauvais groupe. Fiez-vous à la liste de l'étape 6, et à défaut au champ de recherche de l'éditeur de rôles en saisissant lifecycle.

Limite fonctionnelle à connaître

Les informations invité (adresses IP, FQDN, système d'exploitation) proviennent des endpoints guest/* de l'API vCenter, qui exigent VMware Tools en cours d'exécution dans la VM. Les VMs sans VMware Tools actif remontent dans l'inventaire, mais sans information réseau ni système d'exploitation. Ce n'est pas un problème de permissions et aucun privilège supplémentaire ne le corrige.