Steuern Sie den Zugriff auf die einzelnen vCenter Server-Komponenten streng, um die Systemsicherheit zu erhöhen.
Die folgenden Richtlinien tragen dazu bei, die Sicherheit Ihrer Umgebung zu sichern.
Verwenden von benannten Konten für den Zugriff auf vCenter Server
- Gewähren Sie die Administratorrolle nur Administratoren, die diese Rolle benötigen. Sie können benutzerdefinierte Rollen erstellen oder die Rolle „Kein Kryptografie-Administrator“ für Administratoren mit eingeschränkteren Rechten verwenden. Wenden Sie diese Rolle nicht auf eine Gruppe an, deren Mitgliedschaft nicht streng kontrolliert wird.
- Vergewissern Sie sich, dass die Anwendungen eindeutige Dienstkonten verwenden, wenn sie eine Verbindung zu einem vCenter Server-System herstellen.
Überwachen der Rechte von vCenter Server-Administratorbenutzern
Nicht alle Administratorbenutzer benötigen die Administratorrolle. Stattdessen können Sie eine benutzerdefinierte Rolle mit den geeigneten Rechten erstellen und diese den anderen Administratoren zuweisen.
Benutzer mit der vCenter Server-Administratorrolle haben Rechte für alle Objekte in der Hierarchie. Standardmäßig ermöglicht z. B. die Administratorrolle Benutzern die Interaktion mit Dateien und Programmen innerhalb des Gastbetriebssystems einer virtuellen Maschine. Wenn diese Rolle zu vielen Benutzern zugewiesen wird, kann dies die Vertraulichkeit, Verfügbarkeit oder Integrität der Daten auf der virtuellen Maschine beeinträchtigen. Erstellen Sie eine Rolle, die den Administratoren die benötigten Rechte zuweist, aber entfernen Sie einige der Verwaltungsrechte für die virtuelle Maschine. Siehe auch Rechte-Recorder.
Minimieren des Zugriffs auf die vCenter Server Appliance
Sorgen Sie dafür, dass sich keine Benutzer direkt bei der vCenter Server Appliance anmelden können. Benutzer, die bei der vCenter Server Appliance angemeldet sind, können absichtlich oder unabsichtlich Schaden anrichten, indem sie Einstellungen und Prozesse ändern. Diese Benutzer haben auch potenziell Zugriff auf vCenter Server-Anmeldedaten wie das SSL-Zertifikat. Erlauben Sie nur Benutzern mit legitimen Aufgaben, sich beim System anzumelden, und vergewissern Sie sich, dass diese Anmeldeereignisse überprüft werden.
Gewähren von minimalen Rechten für Datenbankbenutzer
Der Datenbankbenutzer benötigt nur bestimmte Rechte für den Datenbankzugriff.
Einige Rechte sind nur für die Installation und das Upgrade erforderlich. Nach der Installation bzw. dem Upgrade von vCenter Server können Sie diese Rechte für den Datenbankadministrator entfernen.
Beschränken des Zugriffs auf den Datenspeicherbrowser
Weisen Sie das Recht nur Benutzern oder Gruppen zu, die tatsächlich dieses Recht benötigen. Benutzer mit diesem Recht können über den Webbrowser oder den vSphere Client Dateien in Datenspeichern, die der vSphere-Bereitstellung zugeordnet sind, anzeigen, hochladen oder herunterladen.
Beschränken der Ausführung von Befehlen durch Benutzer innerhalb einer virtuellen Maschine
Standardmäßig kann ein Benutzer mit der Administratorrolle mit den Dateien und Programmen eines Gastbetriebssystems innerhalb einer virtuellen Maschine interagieren. Erstellen Sie eine benutzerdefinierte Rolle ohne das Recht , um das Sicherheitsrisiko für die Vertraulichkeit, Verfügbarkeit und Integrität des Gastbetriebssystems zu verringern. Weitere Informationen hierzu finden Sie unter Beschränken der Ausführung von Befehlen durch Benutzer innerhalb einer virtuellen Maschine.
Ändern der Kennwortrichtlinie für vpxuser
Überprüfen von Rechten nach dem Neustart von vCenter Server
Überprüfen Sie die erneute Zuweisung von Rechten, wenn Sie vCenter Server neu starten. Wenn der Benutzer oder die Gruppe mit der Administratorrolle für den Stammordner während eines Neustarts nicht überprüft werden kann, wird die Rolle für diesen Benutzer bzw. diese Gruppe entfernt. Stattdessen gewährt vCenter Server dem vCenter Single Sign On-Administrator ([email protected]) standardmäßig die Administratorrolle. Dieses Konto kann dann als vCenter Server-Administrator fungieren.
Richten Sie erneut ein benanntes Administratorkonto ein und weisen Sie diesem Konto die Administratorrolle zu, um die Verwendung des anonymen vCenter Single Sign On-Administratorkontos (standardmäßig [email protected]) zu vermeiden.
Verwenden hoher Verschlüsselungsebenen für das Remote-Desktop-Protokoll
Vergewissern Sie sich, dass auf jedem Windows-Computer in der Infrastruktur die Einstellungen für die Remote Desktop Protocol (RDP)-Hostkonfiguration festgelegt sind, um den für Ihre Umgebung geeigneten höchsten Grad der Verschlüsselung sicherzustellen.
Überprüfen der vSphere Client-Zertifikate
Weisen Sie Benutzer des vSphere Client oder anderer Clientanwendungen an, Zertifikatverifizierungswarnungen zu beachten. Ohne Zertifikatverifizierung kann der Benutzer Ziel eines MiTM-Angriffs werden.
Festlegen der vCenter Server-Kennwortrichtlinie
Standardmäßig ändert vCenter Server das vpxuser-Kennwort automatisch alle 30 Tage. Sie können diesen Wert über den vSphere Client ändern.
Prozedur
- Melden Sie sich beim vCenter Server-System mit dem vSphere Client an.
- Wählen Sie in der Objekthierarchie das vCenter Server-System aus.
- Klicken Sie auf Konfigurieren.
- Klicken Sie auf Erweiterte Einstellungen und auf Einstellungen bearbeiten.
- Klicken Sie auf das Symbol Filter und geben Sie VimPasswordExpirationInDays ein.
- Legen Sie VirtualCenter.VimPasswordExpirationInDays entsprechend Ihren Anforderungen fest.
Entfernen abgelaufener oder widerrufener Zertifikate und Protokolle fehlgeschlagener Installationen
Wenn Sie abgelaufene oder widerrufene Zertifikate oder Installationsprotokolle für eine fehlgeschlagene Installation von vCenter Server auf Ihrem vCenter Server-System beibehalten, kann dies Ihre Umgebung beeinträchtigen.
Wenn abgelaufene oder widerrufene Zertifikate nicht vom vCenter Server-System entfernt werden, wird die Umgebung anfällig für Man-in-the-Middle-Angriffe (MITM).
- In bestimmten Fällen wird eine Protokolldatei, die das Datenbankkennwort als normalen Text enthält, auf dem System erstellt, wenn die Installation von vCenter Server fehlschlägt. Ein Angreifer, der in das vCenter Server eindringt, könnte sich Zugriff auf dieses Kennwort verschaffen und zugleich auf die vCenter Server-Datenbank zugreifen.
