Der ESXi-Hypervisor ist standardmäßig gesichert. Sie können ESXi-Hosts mithilfe des Sperrmodus und anderer integrierter Funktionen noch besser schützen. Aus Konsistenzgründen können Sie einen Referenzhost einrichten und alle Hosts mit dem Hostprofil des Referenzhosts synchronisieren. Darüber hinaus können Sie Ihre Umgebung mit der Verwaltung durch Skripts schützen. Hiermit wird sichergestellt, dass Änderungen auf alle Hosts angewendet werden.
Sie können mithilfe der folgenden Aktionen den Schutz von ESXi-Hosts, die von vCenter Server verwaltet werden, noch verbessern. Die Sicherheitsüberlegungen für eigenständige Hosts sind ähnlich, obwohl die Verwaltungsaufgaben sich möglicherweise unterscheiden. Informationen finden Sie in der Dokumentation Verwaltung eines einzelnen Hosts von vSphere – VMware Host Client.
Beschränkung des ESXi-Zugriffs
Standardmäßig werden die ESXi Shell und die SSH-Dienste nicht ausgeführt, und nur der Root-Benutzer kann sich bei der Benutzerschnittstelle der direkten Konsole (DCUI) anmelden. Wenn Sie ESXi oder SSH-Zugriff ermöglichen möchten, können Sie Zeitüberschreitungen zum Beschränken des Risikos von nicht autorisiertem Zugriff festlegen. Benutzer, die auf den ESXi-Host zugreifen können, müssen Berechtigungen zum Verwalten des Hosts haben. Sie legen Berechtigungen für das Hostobjekt über das vCenter Server-System fest, das den Host verwaltet.
Weitere Informationen finden Sie unter Verwenden der ESXi Shell.
Verwenden von benannten Benutzern und der geringsten Berechtigung
Standardmäßig kann der Root-Benutzer viele Aufgaben ausführen. Lassen Sie nicht zu, dass sich Administratoren beim ESXi-Host unter Verwendung des Root-Benutzerkontos anmelden. Erstellen Sie stattdessen benannte Administratorbenutzer von vCenter Server und weisen Sie diesen Benutzern die Administratorrolle zu. Sie können diesen Benutzern auch eine benutzerdefinierte Rolle zuweisen. Weitere Informationen hierzu finden Sie unter Erstellen einer benutzerdefinierten vCenter Server-Rolle.
Wenn Sie Benutzer direkt auf dem Host verwalten, sind die Rollenverwaltungsoptionen beschränkt. Informationen finden Sie in der Dokumentation Verwaltung eines einzelnen Hosts von vSphere – VMware Host Client.
Minimieren der Anzahl offener ESXi-Firewallports
Standardmäßig werden Firewallports auf Ihrem ESXi-Host erst geöffnet, wenn Sie einen entsprechenden Dienst starten. Sie können den vSphere Client oder ESXCLI- oder PowerCLI-Befehle zum Prüfen und Verwalten des Firewall-Portstatus verwenden.
Weitere Informationen hierzu finden Sie unter Konfigurieren der ESXi Firewall.
Automatisieren der ESXi-Hostverwaltung
Weil es oft wichtig ist, dass verschiedene Hosts im selben Datencenter synchronisiert sind, sollten Sie Skriptinstallation oder vSphere Auto Deploy zum Bereitstellen von Hosts verwenden. Sie können die Hosts mit Skripts verwalten. Hostprofile sind eine Alternative zur Verwaltung durch Skripts. Sie richten einen Referenzhost ein, exportieren das Hostprofil und wenden das Hostprofil auf alle Hosts an. Sie können das Hostprofil direkt oder als Teil der Bereitstellung mit Auto Deploy anwenden.
Unter Verwalten von ESXi-Hostkonfigurationseinstellungen mithilfe von Skripts und in der Dokumentation Installation und Einrichtung von vCenter Server finden Sie Informationen zu vSphere Auto Deploy.
Verwenden des ESXi-Sperrmodus
Im Sperrmodus kann auf ESXi-Hosts standardmäßig nur über vCenter Server zugegriffen werden. Sie können den strengen Sperrmodus oder den normalen Sperrmodus auswählen. Sie können Ausnahmebenutzer definieren, um direkten Zugriff auf Dienstkonten wie beispielsweise Backup-Agenten zu ermöglichen.
Weitere Informationen hierzu finden Sie unter Konfigurieren und Verwalten des Sperrmodus auf ESXi-Hosts.
Prüfen der VIB-Paketintegrität
Jedes vSphere-Installationspaket (VIB) ist mit einer Akzeptanzebene verknüpft. Sie können einem ESXi-Host nur dann ein VIB hinzufügen, wenn die VIB-Akzeptanzebene mindestens so gut wie die Akzeptanzebene des Hosts ist. Sie können einem Host nur dann ein VIB mit der Akzeptanzebene „CommunitySupported“ oder „PartnerSupported“ hinzufügen, wenn Sie die Akzeptanzebene des Hosts explizit ändern.
Weitere Informationen hierzu finden Sie unter Verwalten der Akzeptanzebenen von ESXi-Hosts und vSphere-Installationspaketen.
Verwalten von ESXi-Zertifikaten
Die VMware Certificate Authority (VMCA) stellt für jeden ESXi-Host ein signiertes Zertifikat bereit, dessen Rootzertifizierungsstelle standardmäßig die VMCA ist. Wenn es von der bei Ihnen geltenden Unternehmensrichtlinie verlangt wird, können Sie die vorhandenen Zertifikate durch Zertifikate ersetzen, die von einer Zertifizierungsstelle eines Drittanbieters oder eines Unternehmens signiert wurden.
Weitere Informationen hierzu finden Sie unter Verwalten von Zertifikaten für ESXi-Hosts.
Überlegungen zur Smartcard-Authentifizierung für ESXi
ESXi unterstützt die Verwendung der Smartcard-Authentifizierung anstelle der Authentifizierung mit Benutzername und Kennwort. Die Zwei-Faktor-Authentifizierung wird auch von vCenter Server unterstützt. Sie können die Authentifizierung über Benutzernamen- und Kennwort gleichzeitig mit der Smartcard-Authentifizierung konfigurieren.
Weitere Informationen hierzu finden Sie unter Konfigurieren und Verwalten der Smartcard-Authentifizierung für ESXi.
Überlegungen zum Sperren von ESXi-Konten
Weitere Informationen hierzu finden Sie unter Kennwörter und Kontosperrung für ESXi.
