Controle rigorosamente o acesso a diferentes componentes do vCenter Server para aumentar a segurança do sistema.
As diretrizes a seguir ajudam a garantir a segurança do seu ambiente.
Usar contas nomeadas para acessar vCenter Server
- Conceda a função de Administrador somente aos administradores que precisam ter essa função. Você pode criar funções personalizadas ou usar a função de administrador Sem criptografia para administradores com privilégios mais limitados. Não aplique essa função a nenhum grupo cuja associação não seja estritamente controlada.
- Certifique-se de que os aplicativos usem contas de serviço exclusivas ao se conectar a um sistema vCenter Server.
Monitorar Privilégios de vCenter Server Usuários Administradores
Nem todos os usuários administradores devem ter a função Administrador. Em vez disso, crie uma função personalizada com o conjunto apropriado de privilégios e atribua-a a outros administradores.
Os usuários com a função de Administrador vCenter Server têm privilégios em todos os objetos na hierarquia. Por exemplo, por padrão, a função de Administrador permite que os usuários interajam com arquivos e programas dentro do sistema operacional convidado de uma máquina virtual. A atribuição dessa função a muitos usuários pode diminuir a confidencialidade, a disponibilidade ou a integridade dos dados da máquina virtual. Crie uma função que conceda aos administradores os privilégios necessários, mas remova alguns dos privilégios de gerenciamento da máquina virtual.
Minimizar o acesso ao vCenter Server Appliance
Não permita que os usuários façam login diretamente no vCenter Server Appliance. Os usuários que estão conectados ao vCenter Server Appliance podem causar danos, intencionalmente ou não, alterando configurações e modificando processos. Esses usuários também têm acesso potencial às credenciais do vCenter Server, como o certificado SSL. Permita que apenas os usuários que tenham tarefas legítimas a executar façam login no sistema e assegure-se de que os eventos de login sejam auditados.
Conceder privilégios mínimos aos usuários do banco de dados
O usuário do banco de dados requer apenas determinados privilégios específicos para acesso ao banco de dados.
Alguns privilégios são necessários apenas para instalação e upgrade. Você pode remover esses privilégios do administrador do banco de dados depois que o vCenter Server for instalado ou atualizado.
Restringir o acesso do navegador ao armazenamento de dados
Atribua o privilégio somente a usuários ou grupos que realmente precisam desse privilégio. Os usuários com o privilégio podem visualizar, carregar ou baixar arquivos em repositórios de dados associados à implantação vSphere por meio do navegador Web ou do vSphere Client.
Impedir que os usuários executem comandos em uma máquina virtual
Por padrão, um usuário com a função de Administrador pode interagir com os arquivos e os programas de um sistema operacional convidado em uma máquina virtual. Para reduzir o risco de violação de confidencialidade, disponibilidade ou integridade de convidado, crie uma função de acesso de não convidado personalizada sem o privilégio . Consulte Impedir que os usuários executem comandos em uma máquina virtual.
Considere modificar a política de senha para vpxuser
Verificar privilégios após a reinicialização vCenter Server
Verifique a reatribuição de privilégios ao reiniciar vCenter Server. Se o usuário ou grupo que tem a função de Administrador na pasta raiz não puder ser validado durante uma reinicialização, a função será removida desse usuário ou grupo. Em seu lugar, vCenter Server concede a função de Administrador ao administrador vCenter Single Sign-On, [email protected] por padrão. Essa conta pode agir como o administrador vCenter Server.
Restabeleça uma conta de administrador nomeada e atribua a função de Administrador a essa conta para evitar o uso da conta de administrador anônima vCenter Single Sign-On ([email protected] por padrão).
Usar altos níveis de criptografia para o protocolo de área de trabalho remota
Em cada computador Windows na infraestrutura, certifique-se de que as definições de Configuração do Host do Protocolo de Área de Trabalho Remota (RDP) estejam definidas para garantir o mais alto nível de criptografia apropriado para o seu ambiente.
Verificar certificados vSphere Client
Instrua os usuários do vSphere Client ou de outros aplicativos cliente a prestarem atenção aos avisos de verificação de certificado. Sem a verificação de certificado, o usuário pode estar sujeito a um ataque MiTM.
Definir a política de senha vCenter Server
Por padrão, vCenter Server altera a senha do vpxuser automaticamente a cada 30 dias. Você pode alterar esse valor do vSphere Client.
Procedimento
- Faça login no sistema vCenter Server usando o vSphere Client.
- Selecione o sistema vCenter Server na hierarquia de objetos.
- Clique em Configurar (Configure).
- Clique em Configurações avançadas (Advanced Settings) e clique em Editar configurações (Edit Settings).
- Clique no ícone Filtro (Filter) e digite VimPasswordExpirationInDays.
- Defina VirtualCenter.VimPasswordExpirationInDays para estar em conformidade com seus requisitos.
Remoção de certificados e logs expirados ou revogados de instalações com falha
Deixar certificados expirados ou revogados ou deixar logs de instalação do vCenter Server para falha na instalação em seu sistema vCenter Server pode comprometer seu ambiente.
-
Se certificados expirados ou revogados não forem removidos do sistema vCenter Server, o ambiente poderá estar sujeito a um ataque MiTM
- Em certos casos, um arquivo de log que contém a senha do banco de dados em texto sem formatação será criado no sistema se a instalação do vCenter Server falhar. Um invasor que invadir o sistema vCenter Server poderá obter acesso a essa senha e, ao mesmo tempo, acesso ao banco de dados vCenter Server.
