Normalmente, se otorgan privilegios a los usuarios mediante la asignación de permisos para los objetos de los hosts ESXi que administra un sistema vCenter Server. Si se utiliza un host ESXi independiente, se pueden asignar los privilegios directamente.
Asignar permisos para hosts ESXi administrados por vCenter Server
Si el host ESXi está administrado por vCenter Server, realice las tareas de administración a través de vSphere Client.
Puede seleccionar el objeto de host ESXi en la jerarquía de objetos de vCenter Server y asignar la función de administrador a una cantidad limitada de usuarios. Esos usuarios podrán realizar entonces una administración directa en el host ESXi. Consulte Usar funciones de vCenter Server para asignar privilegios.
La práctica recomendada implica crear al menos una cuenta de usuario designado, asignarle privilegios administrativos completos en el host y utilizar esta cuenta en lugar de la cuenta raíz. Establezca una contraseña de alta complejidad para la cuenta raíz y limite la utilización de la cuenta raíz. No elimine la cuenta raíz.
Asignar permisos para hosts independientes de ESXi
Se pueden agregar usuarios locales y definir funciones personalizadas desde la pestaña Administración de VMware Host Client. Consulte la documentación de Administrar un host único de vSphere: VMware Host Client.
Para todas las versiones de ESXi, puede ver la lista de usuarios predefinidos en el archivo /etc/passwd.
Las siguientes funciones están predefinidas.
Se pueden administrar grupos y usuarios locales, y agregar funciones locales personalizadas a un host ESXi mediante una instancia de VMware Host Client conectada directamente al host ESXi. Consulte la documentación de Administrar un host único de vSphere: VMware Host Client.
En vSphere 6.0 y versiones posteriores, es posible utilizar los comandos ESXCLI para la administración de cuentas de usuarios locales de ESXi. Los comandos ESXCLI de administración de permisos se pueden utilizar para configurar o quitar permisos tanto en cuentas de Active Directory (usuarios y grupos) como en cuentas locales de ESXi (usuarios únicamente).
Privilegios y usuarios de ESXi predefinidos
Si el entorno no incluye un sistema vCenter Server, están predefinidos los siguientes usuarios.
- Usuario raíz
-
Cada host ESXi tiene, de manera predeterminada, una sola cuenta de usuario raíz con la función de administrador. Esa cuenta de usuario raíz puede utilizarse para la administración local y para conectar el host a vCenter Server.
La asignación de privilegios de usuario raíz puede facilitar el ingreso a un host ESXi debido a que el nombre ya se conoce. Tener una cuenta raíz común también dificulta hacer coincidir acciones con usuarios.
Para optimizar la auditoría, cree cuentas individuales con privilegios de administrador. Establezca una contraseña de complejidad alta para la cuenta raíz y limite el uso de la cuenta, por ejemplo, para utilizar en el momento de agregar un host a vCenter Server. No elimine la cuenta raíz. Para obtener más información sobre la asignación de permisos a un usuario para un host ESXi, consulte el documento Administrar un host único de vSphere: VMware Host Client.
La práctica recomendada es que todas las cuentas con la función de administrador en un host ESXi se asignen a un usuario específico que tenga una cuenta con nombre. Utilice las funcionalidades de ESXi Active Directory que permiten administrar las credenciales de Active Directory.Importante: Puede quitar los privilegios de acceso al usuario raíz. Sin embargo, primero deberá crear otro permiso a nivel de raíz con otro usuario asignado a la función de administrador. - Usuario vpxuser
- vCenter Server utiliza los privilegios del usuario vpxuser cuando se administran actividades del host.
- Usuario dcui
- El usuario dcui se ejecuta en hosts y actúa con derechos de administrador. El fin principal de este usuario es configurar los hosts para el modo de bloqueo desde la interfaz de usuario de la consola directa (DCUI).
Desactivar el acceso al shell para usuarios no raíz de ESXi
En vSphere 8.0 y versiones posteriores, puede desactivar el acceso al shell para los usuarios de ESXi no raíz, como los usuarios predefinidos vpxuser y dcui. Al desactivar el acceso al shell, puede mejorar la seguridad aplicando una postura de "solo API" para estos usuarios.
Para desactivar el acceso al shell, puede utilizar el comando esxcli system account set --id
user --shell-access false
. La API correspondiente es LocalAccountManager.updateUser. También puede utilizar VMware Host Client para cambiar el indicador Activar acceso al shell de los usuarios locales de ESXi.
Al realizar cambios de este tipo, compruebe que no interrumpen los flujos de trabajo de terceros existentes.