Steuern Sie den Zugriff auf die einzelnen vCenter Server-Komponenten streng, um die Systemsicherheit zu erhöhen.
Die folgenden Richtlinien tragen dazu bei, die Sicherheit Ihrer Umgebung zu sichern.
Verwenden von benannten Konten
- Gewähren Sie die Administratorrolle nur Administratoren, die diese Rolle benötigen. Sie können benutzerdefinierte Rollen erstellen oder die Rolle „Kein Kryptografie-Administrator“ für Administratoren mit eingeschränkteren Rechten verwenden. Wenden Sie diese Rolle nicht auf eine Gruppe an, deren Mitgliedschaft nicht streng kontrolliert wird.
- Vergewissern Sie sich, dass die Anwendungen eindeutige Dienstkonten verwenden, wenn sie eine Verbindung zu einem vCenter Server-System herstellen.
Überwachen der Rechte von vCenter Server-Administratorbenutzern
Nicht alle Administratorbenutzer benötigen die Administratorrolle. Stattdessen können Sie eine benutzerdefinierte Rolle mit den geeigneten Rechten erstellen und diese den anderen Administratoren zuweisen.
Benutzer mit der vCenter Server-Administratorrolle haben Rechte für alle Objekte in der Hierarchie. Standardmäßig ermöglicht z. B. die Administratorrolle Benutzern die Interaktion mit Dateien und Programmen innerhalb des Gastbetriebssystems einer virtuellen Maschine. Wenn diese Rolle zu vielen Benutzern zugewiesen wird, kann dies die Vertraulichkeit, Verfügbarkeit oder Integrität der Daten auf der virtuellen Maschine beeinträchtigen. Erstellen Sie eine Rolle, die den Administratoren die benötigten Rechte zuweist, aber entfernen Sie einige der Verwaltungsrechte für die virtuelle Maschine.
Minimieren des Zugriffs
Sorgen Sie dafür, dass sich keine Benutzer direkt bei der vCenter Server-Hostmaschine anmelden können. Benutzer, die bei der vCenter Server-Hostmaschine angemeldet sind, können absichtlich oder unabsichtlich Schaden anrichten, indem sie Einstellungen und Prozesse ändern. Diese Benutzer haben auch potenziell Zugriff auf vCenter-Anmeldedaten wie das SSL-Zertifikat. Erlauben Sie nur Benutzern mit legitimen Aufgaben, sich beim System anzumelden, und vergewissern Sie sich, dass diese Anmeldeereignisse überprüft werden.
Gewähren von minimalen Rechten für vCenter Server-Datenbankbenutzer
Der Datenbankbenutzer benötigt nur bestimmte Rechte für den Datenbankzugriff.
Einige Rechte sind nur für die Installation und das Upgrade erforderlich. Nach der Installation bzw. dem Upgrade von vCenter Server können Sie diese Rechte für den Datenbankadministrator entfernen.
Beschränken des Zugriffs auf den Datenspeicherbrowser
Weisen Sie das Recht nur Benutzern oder Gruppen zu, die tatsächlich diese Rechte benötigen. Benutzer mit diesem Recht können über den Webbrowser oder den vSphere Client Dateien in Datenspeichern, die der vSphere-Bereitstellung zugeordnet sind, anzeigen, hochladen oder herunterladen.
Beschränken der Ausführung von Befehlen durch Benutzer innerhalb einer virtuellen Maschine
Standardmäßig kann ein Benutzer mit der vCenter Server-Administratorrolle mit Dateien und Programmen innerhalb des Gastbetriebssystems einer virtuellen Maschine interagieren. Erstellen Sie eine benutzerdefinierte Rolle ohne das Recht Gastvorgänge, um das Sicherheitsrisiko für die Vertraulichkeit, Verfügbarkeit und Integrität des Gastbetriebssystems zu verringern. Weitere Informationen hierzu finden Sie unter Beschränken der Ausführung von Befehlen durch Benutzer innerhalb einer virtuellen Maschine.
Ändern der Kennwortrichtlinie für vpxuser
Überprüfen von Rechten nach einem vCenter Server-Neustart
Überprüfen Sie die erneute Zuweisung von Rechten, wenn Sie vCenter Server neu starten. Wenn der Benutzer oder die Gruppe mit der Administratorrolle für den Stammordner während eines Neustarts nicht überprüft werden kann, wird die Rolle für diesen Benutzer bzw. diese Gruppe entfernt. Stattdessen gewährt vCenter Server dem vCenter Single Sign On-Administrator ([email protected]) standardmäßig die Administratorrolle. Dieses Konto kann dann als vCenter Server-Administrator fungieren.
Richten Sie erneut ein benanntes Administratorkonto ein und weisen Sie diesem Konto die Administratorrolle zu, um die Verwendung des anonymen vCenter Single Sign On-Administratorkontos (standardmäßig [email protected]) zu vermeiden.
Verwenden von hohen RDP-Verschlüsselungsstufen
Vergewissern Sie sich, dass auf jedem Windows-Computer in der Infrastruktur die Einstellungen für die Remote Desktop Protocol-Hostkonfiguration (RDP) festgelegt sind, um den für Ihre Umgebung geeigneten höchsten Grad der Verschlüsselung sicherzustellen.
Überprüfen der vSphere Client-Zertifikate
Weisen Sie Benutzer des vSphere Client oder anderer Clientanwendungen an, Zertifikatverifizierungswarnungen zu beachten. Ohne Zertifikatverifizierung kann der Benutzer Ziel eines MiTM-Angriffs werden.
