解决iframe嵌入VMware vRops提示SAMEORIGIN错误

前景：

简述：

在使用iframe嵌入VMware vRops（vRealize Operations Manager）共享的仪表盘时页面出现”xxx 拒绝了我们的连接请求”错误，检查console提示”Refused to display ‘https://***/’ in a frame because it set ‘X-Frame-Options’ to ‘sameorigin’.“

这个错误是由于VMware vRealize Operations 默认设置了X-Frame-Options头信息为SAMEORIGIN，止了其他域名下的页面嵌入该页面，因此无法在iframe中嵌入共享的仪表盘。这是出于安全考虑，以避免不必要的跨站点脚本攻击（XSS攻击）。可以尝试以下方法解决此问题：

1. 将vROps的X-Frame-Options设置为ALLOW-FROM，以允许特定网站或者域在iframe中嵌入vROps共享的仪表盘。
2. 尝试使用反向代理服务，如Nginx或Apache，来将vROps共享的仪表盘嵌入到自己的网站中。
3. 另一种解决办法是使用浏览器插件，如“Ignore X-Frame-Options Header”，将框架政策忽略掉。

通过搜寻，留意到还有另一种方法，可以通过使用VMware vRealize Operations的REST API（vRealize Ops API）来修改仪表盘设置，使用curl命令访问vRealize Operations的REST API。在curl命令中指定要更新的仪表盘的ID、Authentication Token，以及要更改的设置。但是这种方法似乎更加繁琐，在这里引出，喜欢折腾的朋友可以参考，vRealize Ops API的文档可以访问https://vRopsIPaddress/suite-api/docs/rest/internal_index.html也可以参考VMware官方的文档vRealize Operations Manager API 编程指南

智能助手给出的示例：

curl -i -X PUT -H "Content-Type: application/json" -H "Authorization: Basic $(echo -n 'admin:your_password' | base64)" -d '{"allowedOrigins":["https://your-domain.com"]}' https://localhost/suite-api/api/settings/security/same-origin

需要注意的是，这些解决方法可能会增加安全风险，因此在实施之前，请仔细权衡利弊。

正文：

一、使用插件

通过测试使用插件确实可以直接无视服务器设置的X-Frame-Options头信息安全设置推荐插件名称为：Allow X-Frame-Options” 版本：“0.1.0” Edge可以直接在应用商店搜索扩展安装，Chrome也可以先用Edge安装好插件然后“移花接木”到Chrome上，Edge扩展目录通常是在C:UsersAdministratorAppDataLocalMicrosoftEdgeUser DataDefaultExtensions

安装好后点击插件图标开启即可测试是否能够屏蔽X-Frame-Options

使用插件简单粗暴而且有效，但是对于不同的应用或者项目可能并不能达到目标。一劳永逸的办法还是通过修改服务器安全配置来实现↓

二、修改服务器配置

请注意：这个方法仅在vRealize-Operations-Manager-8.5.0.18255622和vRealize-Operations-Manager-8.2.0.16949153上经过测试，其他版本或同类产品可能需要修改的配置文件不同。

修改任何配置之前都应保留备份，最好对管理虚拟机创建快照或克隆！！！

由于采用的是Apache+Tomcat架构，经过测试通过修改/usr/lib/vmware-vcops/tomcat-web-app/webapps/ui/WEB-INF目录下的web.xml文件可以达到目的

打开web.xml文件进行编辑。在<web-app>标签内添加以下代码：

在编辑web.xml文件时，需要注意保留默认配置项。根据所使用的Tomcat版本，可能会存在不同的默认配置。如果不熟悉配置文件的操作，请务必在修改web.xml文件之前执行一次备份。

这段代码将使用Apache Tomcat自带的HttpHeaderSecurityFilter过滤器，禁用X-Frame-Options，并允许所有来源嵌入vROps共享的仪表盘。请注意，此更改具有安全风险，因为它会使您的网站容易受到点击劫持（clickjacking）攻击。如果您需要提高安全性，请使用更加安全的设置。

保存更改并重启VMware vRealize Operations虚拟机以测试是否生效。尽管可以通过systemctl restart httpd 或 service vmware-vcops --full-restart 等命令来重启服务，建议还是在修改完成后重新启动vRops虚拟机来验证修改，仅重启服务有时并不能生效和发现错误。

番外：

1.共享仪表盘的方法：

登录vRealize Operations Manager点击“仪表盘”，点击左侧列表中需要共享的仪表盘，点击并打开后页面右侧右上角将会显示共享按钮，点击此按钮可以设生成共享连接并设置相应的共享方式和有效期。

2.vRealize-Operations-Manager-Appliance部署文件

包含：

vRealize-Operations-Manager-Appliance-8.2.0.16949153_OVF10.ova

vRealize-Operations-Manager-Appliance-8.5.0.18255622_OVF10.ova

下载地址：