Realice un control estricto del acceso a los diferentes componentes de vCenter Server a fin de aumentar la seguridad del sistema.
Las siguientes instrucciones ayudan a garantizar la seguridad del entorno.
Usar cuentas con nombre
- Si la cuenta local de administrador de Windows actualmente tiene la función de administrador de vCenter Server, elimine esa función y asígnesela a una o más cuentas de administrador con nombre de vCenter Server. Otorgue la función de administrador únicamente a aquellos administradores que la necesiten. Se pueden crear funciones personalizadas o se puede usar la función de administrador Sin criptografía para los administradores que tienen privilegios más limitados. No aplique esta función a cualquier grupo cuya pertenencia no esté estrictamente controlada.
Nota: A partir de vSphere 6.0, el administrador local ya no cuenta con derechos administrativos completos para acceder a vCenter Server de forma predeterminada.
- Instale vCenter Server mediante una cuenta de servicio en lugar de hacerlo desde una cuenta de Windows. La cuenta de servicio debe ser un administrador en la máquina local.
- Compruebe que las aplicaciones usen cuentas de servicio únicas al conectarse a un sistema vCenter Server.
Supervisar los privilegios de los usuarios administradores de vCenter Server
No todos los usuarios administradores deben tener la función de administrador. En cambio, se puede crear una función personalizado con el conjunto adecuado de privilegios y asignárselo a otros administradores.
Los usuarios con la función de administrador de vCenter Server tienen privilegios sobre todos los objetos de la jerarquía. Por ejemplo, la función de administrador permite, de forma predeterminada, que los usuarios interactúen con los archivos y los programas que se encuentran en el sistema operativo invitado de la máquina virtual. Si se asigna esa función a demasiados usuarios, se puede reducir la confidencialidad, la disponibilidad o la integridad de los datos de la máquina virtual. Cree una función que les otorgue a los administradores los privilegios que necesitan, pero elimine algunos de los privilegios de administración de la máquina virtual.
Minimizar el acceso
No permita que los usuarios inicien sesión directamente en el equipo host de vCenter Server. Los usuarios que inician sesión en el equipo host de vCenter Server pueden llegar a causar daños, ya sea intencionales o involuntarios, al alterar la configuración y modificar los procesos. Esos usuarios pueden llegar a acceder a las credenciales de vCenter, como el certificado SSL. Permita iniciar sesión en el sistema solo a los usuarios que puedan realizar tareas legítimas y asegúrese de que se auditen los eventos de inicio de sesión.
Otorgar privilegios mínimos a los usuarios de bases de datos de vCenter Server
El usuario de base de datos precisa solamente ciertos privilegios específicos para el acceso a la base de datos.
Algunos privilegios son necesarios solamente para la instalación y las actualizaciones. Estos privilegios se pueden eliminar desde el administrador de la base de datos una vez que vCenter Server se haya instalado o actualizado.
Restringir el acceso al explorador del almacén de datos
Asigne el privilegio solo a los usuarios o grupos que realmente lo necesitan. Los usuarios que tienen el privilegio pueden ver, cargar o descargar archivos en almacenes de datos asociados con la implementación de vSphere a través del explorador web o vSphere Client
Restringir a los usuarios la ejecución de comandos en una máquina virtual
De forma predeterminada, un usuario con la función de administrador de vCenter Server puede interactuar con archivos y programas en el sistema operativo invitado de una máquina virtual. Para reducir el riesgo de infracciones de confidencialidad, disponibilidad o integridad del invitado, cree una función personalizada de acceso que no sea de invitado sin el privilegio Operaciones de invitado. Consulte Restringir la ejecución de comandos dentro de una máquina virtual a los usuarios.
Considerar la modificación de la directiva de contraseñas para vpxuser
Comprobar los privilegios después de reiniciar vCenter Server
Revise la reasignación de privilegios al reiniciar vCenter Server. Si el usuario o el grupo que tienen la función de administrador en la carpeta raíz no se pueden validar durante el reinicio, la función se elimina de ese usuario o grupo. En su lugar, vCenter Server otorga la función de administrador al administrador de vCenter Single Sign-On, [email protected] de forma predeterminada. De ese modo, esta cuenta puede actuar como administrador de vCenter Server.
Restablezca la cuenta de administrador con nombre y asigne la función de administrador a dicha cuenta para evitar usar la cuenta de administrador anónima de vCenter Single Sign-On (de manera predeterminada, [email protected]).
Usar niveles altos de cifrado RDP
Asegúrese de que en cada equipo con Windows de la infraestructura se establezca una configuración del host mediante Remote Desktop a fin de garantizar el nivel más alto de cifrado adecuado para el entorno.
Comprobar certificados de vSphere Client
Indique a los usuarios de vSphere Client o de otras aplicaciones cliente que pongan atención a las advertencias de comprobación de certificados. Sin la comprobación de certificados, el usuario puede ser víctima de un ataque de MiTM.
