Realice un control estricto del acceso a los diferentes componentes de vCenter Server a fin de aumentar la seguridad del sistema.
Las siguientes instrucciones ayudan a garantizar la seguridad del entorno.
Usar cuentas con nombre para acceder a vCenter Server
- Otorgue la función de administrador únicamente a aquellos administradores que la necesiten. Se pueden crear funciones personalizadas o se puede usar la función de administrador Sin criptografía para los administradores que tienen privilegios más limitados. No aplique esta función a ningún grupo cuya pertenencia no esté estrictamente controlada.
- Compruebe que las aplicaciones usen cuentas de servicio únicas al conectarse a un sistema vCenter Server.
Supervisar los privilegios de los usuarios administradores de vCenter Server
No todos los usuarios administradores deben tener la función de administrador. En cambio, se puede crear una función personalizado con el conjunto adecuado de privilegios y asignárselo a otros administradores.
Los usuarios con la función de administrador de vCenter Server tienen privilegios sobre todos los objetos de la jerarquía. Por ejemplo, la función de administrador permite, de forma predeterminada, que los usuarios interactúen con los archivos y los programas que se encuentran en el sistema operativo invitado de una máquina virtual. Si se asigna esa función a demasiados usuarios, se puede reducir la confidencialidad, la disponibilidad o la integridad de los datos de la máquina virtual. Cree una función que les otorgue a los administradores los privilegios que necesitan, pero elimine algunos de los privilegios de administración de la máquina virtual. Vea también Registrador de privilegios.
Minimizar el acceso a vCenter Server Appliance
No permita que los usuarios inicien sesión directamente en vCenter Server Appliance. Los usuarios cuya sesión en vCenter Server Appliance está iniciada pueden causar daños, ya sea intencionales o involuntarios, al alterar la configuración y modificar los procesos. Esos usuarios pueden llegar a acceder a las credenciales de vCenter Server, como el certificado SSL. Permita iniciar sesión en el sistema solo a los usuarios que puedan realizar tareas legítimas y asegúrese de que se auditen los eventos de inicio de sesión.
Otorgar privilegios mínimos a los usuarios de base de datos
El usuario de base de datos precisa solamente ciertos privilegios específicos para el acceso a la base de datos.
Algunos privilegios son necesarios solamente para la instalación y las actualizaciones. Estos privilegios se pueden eliminar desde el administrador de la base de datos una vez que vCenter Server se haya instalado o actualizado.
Restringir el acceso al explorador del almacén de datos
Asigne el privilegio solo a los usuarios o grupos que realmente lo necesiten. Los usuarios que tienen el privilegio pueden ver, cargar o descargar archivos en almacenes de datos asociados con la implementación de vSphere a través del explorador web o vSphere Client.
Restringir la ejecución de comandos en una máquina virtual a los usuarios
De forma predeterminada, un usuario con la función de administrador puede interactuar con los archivos y los programas de un sistema operativo invitado dentro de una máquina virtual. Para reducir el riesgo de infracciones de confidencialidad, disponibilidad o integridad del invitado, cree una función personalizada de acceso que no sea de invitado en la que no esté el privilegio . Consulte Restringir la ejecución de comandos dentro de una máquina virtual a los usuarios.
Considerar la modificación de la directiva de contraseñas para vpxuser
Comprobar privilegios después de reiniciar vCenter Server
Revise la reasignación de privilegios al reiniciar vCenter Server. Si el usuario o el grupo que tienen la función de administrador en la carpeta raíz no se pueden validar durante el reinicio, la función se elimina de ese usuario o grupo. En su lugar, vCenter Server otorga la función de administrador al administrador de vCenter Single Sign-On, [email protected] de forma predeterminada. De ese modo, esta cuenta puede actuar como administrador de vCenter Server.
Restablezca la cuenta de administrador con nombre y asigne la función de administrador a dicha cuenta para evitar usar la cuenta de administrador anónima de vCenter Single Sign-On (de manera predeterminada, [email protected]).
Usar niveles altos de cifrado para el protocolo de escritorio remoto
Asegúrese de que en cada equipo con Windows de la infraestructura se establezca una configuración de host del protocolo de escritorio remoto (Remote Desktop Protocol, RDP) a fin de garantizar el nivel más alto de cifrado adecuado para el entorno.
Comprobar certificados de vSphere Client
Indique a los usuarios de vSphere Client o de otras aplicaciones cliente que pongan atención a las advertencias de comprobación de certificados. Sin la comprobación de certificados, el usuario puede ser víctima de un ataque de MiTM.
Configurar la directiva de contraseñas de vCenter Server
De manera predeterminada, vCenter Server cambia la contraseña de vpxuser automáticamente cada 30 días. Puede cambiar este valor desde vSphere Client.
Procedimiento
- Inicie sesión en el sistema vCenter Server mediante vSphere Client.
- Seleccione el sistema de vCenter Server en la jerarquía de objetos.
- Haga clic en Configurar.
- Haga clic en Configuración avanzada y en Editar configuración.
- Haga clic en el icono Filtrar e introduzca VimPasswordExpirationInDays.
- Configure VirtualCenter.VimPasswordExpirationInDays para que cumpla con sus requisitos.
Quitar certificados caducados o revocados, y registros de instalaciones con errores
Dejar certificados caducados o revocados, o dejar registros de instalación incorrecta de vCenter Server en el sistema vCenter Server puede perjudicar el entorno.
Si los certificados caducados o revocados no se eliminan del sistema vCenter Server, el entorno puede quedar vulnerable a un ataque de MiTM.
- En ciertos casos, si la instalación de vCenter Server no se realiza correctamente, se crea en el sistema un archivo de registro que contiene la contraseña de la base de datos en texto sin formato. Un atacante que logre entrar al sistema vCenter Server puede tener acceso a esta contraseña y, al mismo tiempo, acceder a la base de datos de vCenter Server.
