Verwalten der Akzeptanzebenen von Hosts und VIBs

Die Akzeptanzebene eines VIB hängt von der Zertifizierungsmenge dieses VIB ab. Die Akzeptanzebene des Hosts hängt von der Ebene des niedrigsten VIB ab. Sie können die Akzeptanzebene des Hosts ändern, wenn Sie VIBs einer niedrigeren Ebene zulassen möchten. Sie können CommunitySupported-VIBs entfernen, um die Host-Akzeptanzebene ändern zu können.

VIBs sind Softwarepakete, die eine Signatur von VMware oder eines VMware-Partners enthalten. Um die Integrität des ESXi-Hosts zu schützen, lassen Sie es nicht zu, dass VIBs ohne Signatur (von der Community unterstützt) installiert werden. Ein VIB ohne Signatur enthält Programmcode, der von VMware oder seinen Partnern nicht zertifiziert ist, akzeptiert oder unterstützt wird. Von der Community unterstützte VIBs haben keine digitale Signatur.

Die Akzeptanzebene des Hosts darf nicht restriktiver als die Akzeptanzebene des VIBs sein, das Sie zu diesem Host hinzufügen möchten. Wenn beispielsweise die Host-Akzeptanzebene „VMwareAccepted“ ist, können Sie keine VIBs auf der Ebene „PartnerSupported“ installieren. Sie können ESXCLI-Befehle verwenden, um eine Akzeptanzebene für einen Host festzulegen. Um die Sicherheit und Integrität Ihrer ESXi-Hosts zu schützen, lassen Sie es nicht zu, dass VIBs ohne Signatur („CommunitySupported“, von der Community unterstützt) auf Hosts in Produktionssystemen installiert werden.

Die Akzeptanzebene für einen ESXi-Host wird unter Sicherheitsprofil im vSphere Client angezeigt.

Folgende Akzeptanzebenen werden unterstützt:

VMwareCertified: Die Akzeptanzebene „VMwareCertified“ hat die strengsten Anforderungen. VIBs dieser Ebene unterliegen einer gründlichen Prüfung entsprechend den internen VMware-Qualitätssicherungstests für die gleiche Technologie. Zurzeit werden nur Programmtreiber im Rahmen des IOVP (I/O Vendor Program) auf dieser Ebene veröffentlicht. VMware übernimmt Support-Anrufe für VIBs dieser Akzeptanzebene.
VMwareAccepted: VIBs dieser Akzeptanzebene unterliegen einer Verifizierungsprüfung; es wird jedoch nicht jede Funktion der Software in vollem Umfang getestet. Der Partner führt die Tests durch und VMware verifiziert das Ergebnis. Heute gehören CIM-Anbieter und PSA-Plug-Ins zu den VIBs, die auf dieser Ebene veröffentlicht werden. Kunden mit Support-Anrufen für VIBs dieser Akzeptanzebene werden von VMware gebeten, sich an die Support-Organisation des Partners zu wenden.
PartnerSupported: VIBs mit der Akzeptanzebene „PartnerSupported“ werden von einem Partner veröffentlicht, dem VMware vertraut. Der Partner führt alle Tests durch. VMware überprüft die Ergebnisse nicht. Diese Ebene wird für eine neue oder nicht etablierte Technologie verwendet, die Partner für VMware-Systeme aktivieren möchten. Auf dieser Ebene sind heute Treiber-VIB-Technologien mit nicht standardisierten Hardwaretreibern, wie z. B. Infiniband, ATAoE und SSD. Kunden mit Support-Anrufen für VIBs dieser Akzeptanzebene werden von VMware gebeten, sich an die Support-Organisation des Partners zu wenden.
CommunitySupported: Die Akzeptanzebene „CommunitySupported“ ist für VIBs gedacht, die von Einzelpersonen oder Unternehmen außerhalb der VMware Partner-Programme erstellt wurden. VIBs auf dieser Ebene wurden nicht im Rahmen eines von VMware zugelassenen Testprogramms getestet und werden weder von VMware Technical Support noch von einem VMware-Partner unterstützt.

Prozedur

Stellen Sie eine Verbindung zu jedem ESXi-Host her und stellen Sie sicher, dass die Akzeptanzebene auf „VMwareCertified“, „VMwareAccepted“ oder „PartnerSupported“ gesetzt ist, indem Sie den folgenden Befehl ausführen.
```
esxcli software acceptance get
```
Wenn es sich bei der Akzeptanzebene des Hosts um „CommunitySupported“ handelt, stellen Sie fest, ob sich VIBs auf der Ebene „CommunitySupported“ befinden, indem Sie folgende Befehle ausführen:
```
esxcli software vib list
esxcli software vib get -n vibname
```
Entfernen Sie alle „CommunitySupported“-VIBs, indem Sie folgenden Befehl ausführen:
```
esxcli software vib remove --vibname vib
```

Ändern Sie die Akzeptanzebene des Hosts unter Verwendung einer der folgenden Methoden.

Option	Beschreibung
CLI-Befehl	esxcli software acceptance set --level `level` Der Parameter level ist erforderlich und gibt die festzulegende Akzeptanzebene an. Hierbei sollte es sich um `VMwareCertified`, `VMwareAccepted`, `PartnerSupported`, oder `CommunitySupported` handeln. Weitere Informationen hierzu finden Sie unter ESXCLI – Referenz.
vSphere Client	Wählen Sie einen Host in der Bestandsliste aus. Klicken Sie auf Konfigurieren. Klicken Sie unter „System“ auf Sicherheitsprofil. Klicken Sie auf Bearbeiten für die Akzeptanzebene des Host-Image-Profils und wählen Sie die Akzeptanzebene aus.

Option

Beschreibung

CLI-Befehl

esxcli software acceptance set --level level

Der Parameter level ist erforderlich und gibt die festzulegende Akzeptanzebene an. Hierbei sollte es sich um VMwareCertified, VMwareAccepted, PartnerSupported, oder CommunitySupported handeln. Weitere Informationen hierzu finden Sie unter ESXCLI – Referenz.

vSphere Client

Wählen Sie einen Host in der Bestandsliste aus.
Klicken Sie auf Konfigurieren.
Klicken Sie unter „System“ auf Sicherheitsprofil.
Klicken Sie auf Bearbeiten für die Akzeptanzebene des Host-Image-Profils und wählen Sie die Akzeptanzebene aus.

Ergebnisse

Die neue Akzeptanzebene ist wirksam.

Hinweis:

ESXi führt Integritätsprüfungen von VIBs durch, die von der Akzeptanzebene gesteuert werden. Mithilfe der Einstellung VMkernel.Boot.execInstalledOnly können Sie ESXi anweisen, nur Binärdateien auszuführen, die aus einem gültigen auf dem Host installierten VIB stammen. Gemeinsam mit Secure Boot stellt diese Einstellung sicher, dass jeder einzelne jemals auf einem ESXi-Host ausgeführte Prozess signiert, zugelassen und erwartet wird. Durch Aktivierung dieser Einstellung (wenn möglich) wird die Sicherheit erhöht. Weitere Informationen zum Konfigurieren erweiterter Optionen für ESXi finden Sie im VMware-Knowledgebase-Artikel unter https://kb.vmware.com/kb/1038578.