严格控制对不同 vCenter Server 组件的访问，以增强系统的安全性。
以下准则有助于确保环境的安全性。
使用指定帐户访问 vCenter Server
- 请仅将管理员角色授予需要该角色的管理员。您可以为具有更多有限特权的管理员创建自定义角色或使用无加密管理员角色。请勿将该角色应用于成员资格未受到严格控制的任何组。
- 请确保应用程序在连接到 vCenter Server 系统时使用唯一的服务帐户。
监控 vCenter Server 管理员用户的特权
并非所有管理员用户都必须具有管理员角色。而是应该创建具有一组适当特权的自定义角色，并将其分配给其他管理员。
具有 vCenter Server 管理员角色的用户对层次结构中的所有对象都拥有特权。例如，默认情况下，管理员角色允许用户与客户机操作系统内的文件和程序交互。将该角色分配给过多的用户可能会降低虚拟机数据的保密性、可用性或完整性。请创建一个角色，以便向管理员授予他们所需的特权，但移除部分虚拟机管理特权。另请参见特权记录器。
最大程度地减少对 vCenter Server Appliance 的访问
不允许用户直接登录 vCenter Server Appliance。登录到 vCenter Server Appliance 的用户可能会更改设置以及修改进程，从而有意或无意地造成危害。这些用户还可能访问 vCenter Server 凭据，例如 SSL 证书。请仅允许要执行合法任务的用户登录到系统，并确保对登录事件进行审核。
为数据库用户授予最小的特权
数据库用户仅需要特定于数据库访问的某些特权。
某些特权仅在进行安装和升级时需要。您可以在安装或升级 vCenter Server 之后，移除数据库管理员的这些特权。
限制数据存储浏览器访问
仅将特权分配给真正需要这些特权的用户或组。拥有特权的用户可以通过 Web 浏览器或 vSphere Client 在 vSphere 部署关联的数据存储上查看、上载或下载文件。
限制用户在虚拟机中运行命令
默认情况下，具有管理员角色的用户可以与虚拟机中客户机操作系统的文件和程序进行交互。为了降低损害客户机保密性、可用性或完整性的风险，请创建没有特权的非客户机自定义访问角色。请参见限制用户在虚拟机中运行命令。
考虑修改 vpxuser 的密码策略
重新启动 vCenter Server 后检查特权
请在重新启动 vCenter Server 时检查特权的重新分配情况。如果重新启动时无法验证在根文件夹上拥有管理员角色的用户或组，则说明此角色已从相应用户或组中移除。取而代之，vCenter Server 将管理员角色授予 vCenter Single Sign-On 管理员，默认为 [email protected]。然后，此帐户将充当 vCenter Server 管理员。
重新建立一个指定的管理员帐户并为该帐户分配管理员角色，从而避免使用匿名 vCenter Single Sign-On 管理员帐户（默认为 [email protected]）。
对远程桌面协议使用高加密级别
在基础架构中的每台 Windows 计算机上，请务必设置远程桌面协议 (RDP) 主机配置设置，以确保适用于您环境的加密级别最高。
验证 vSphere Client 证书
指示 vSphere Client 或其他客户端应用程序的用户注意证书验证警告。若不进行证书验证，用户可能会受到 MiTM 攻击。
设置 vCenter Server 密码策略
默认情况下，vCenter Server 会每 30 天自动更改一次 vpxuser 密码。可以从 vSphere Client 中更改该值。
过程
- 使用 vSphere Client 登录到 vCenter Server 系统。
- 在对象层次结构中选择 vCenter Server 系统。
- 单击配置。
- 单击高级设置，然后单击编辑设置。
- 单击筛选器图标，然后输入 VimPasswordExpirationInDays。
- 根据您的要求设置 VirtualCenter.VimPasswordExpirationInDays。
从失败的安装中移除过期和撤销的证书和日志
在 vCenter Server 系统上保留已过期或已撤销的证书或者有关安装失败的 vCenter Server 安装日志会危及您的环境。
如果未从 vCenter Server 系统中移除已过期或已撤销的证书，则环境可能会受到 MiTM 攻击
- 在某些情况下，如果 vCenter Server 安装失败，则会在系统上创建一个包含纯文本数据库密码的日志文件。侵入 vCenter Server 系统的攻击者可能会访问该密码，同时获得对 vCenter Server 数据库的访问权限。
