El hipervisor de ESXi ya viene protegido. Puede aumentar la protección de los hosts ESXi con el modo de bloqueo y otras características integradas. A los fines de coherencia, puede configurar un host de referencia y mantener todos los hosts sincronizados con el perfil de host del host de referencia. También puede proteger el entorno con la administración generada por script para garantizar que los cambios se apliquen a todos los hosts.
Puede mejorar la protección de los hosts ESXi administrados por vCenter Server mediante las siguientes acciones. Los parámetros de seguridad de los hosts individuales son similares, pero las tareas de administración pueden ser diferentes. Consulte la documentación de Administrar un host único de vSphere: VMware Host Client.
Limitar el acceso a ESXi
De forma predeterminada, los servicios de ESXi Shell y SSH no se ejecutan, y solo el usuario raíz puede iniciar sesión en la interfaz de usuario de la consola directa (DCUI). Si decide habilitar el acceso a ESXi o SSH, puede establecer los tiempos de espera para reducir el riesgo de que se produzca un acceso no autorizado. Los usuarios que pueden acceder al host ESXi deben tener permisos para administrar el host. Puede establecer permisos en el objeto de host del sistema vCenter Server que administra el host.
Consulte Usar ESXi Shell.
Utilización de usuarios designados y privilegio mínimo
De manera predeterminada, el usuario raíz puede realizar muchas tareas. No permita que los administradores inicien sesión en el host ESXi con la cuenta de usuario raíz. En su lugar, cree usuarios administradores designados de vCenter Server y asigne la función de administrador a dichos usuarios. También puede asignar una función personalizada a esos usuarios. Consulte Crear una función personalizada de vCenter Server.
Si administra usuarios directamente en el host, las opciones de administración de funciones son limitadas. Consulte la documentación de Administrar un host único de vSphere: VMware Host Client.
Reducción de la cantidad de puertos de firewall de ESXi abiertos
De forma predeterminada, los puertos de firewall del host ESXi se abren solo cuando se inicia el servicio correspondiente. Se pueden utilizar los comandos de vSphere Client, ESXCLI o PowerCLI para comprobar y administrar el estado de los puertos de firewall.
Consulte Configurar el firewall de ESXi.
Automatización de la administración de hosts ESXi
Ya que generalmente es importante que diferentes hosts del mismo centro de datos estén sincronizados, utilice la instalación generada por script o vSphere Auto Deploy para aprovisionar los hosts. Los hosts se pueden administrar con los scripts. Los perfiles de host son una alternativa a la administración generada por script. Se debe configurar un host de referencia, exportar el perfil de host y aplicar el perfil de host a todos los hosts. El perfil de host se puede aplicar directamente o como parte del aprovisionamiento con Auto Deploy.
Consulte Usar scripts para administrar opciones de configuración de hosts ESXi y la documentación Instalar y configurar vCenter Server para obtener información sobre vSphere Auto Deploy.
Aprovechar el modo de bloqueo de ESXi
En el modo de bloqueo, solo se puede acceder a los hosts ESXi a través de vCenter Server de forma predeterminada. Puede seleccionar el modo de bloqueo estricto o el modo de bloqueo normal. Puede definir usuarios con excepción para permitir el acceso directo a las cuentas de servicio, como los agentes de copia de seguridad.
Consulte Configurar y administrar el modo de bloqueo en hosts ESXi.
Comprobación de la integridad de los paquetes de VIB
Cada paquete del paquete de instalación de vSphere (vSphere Installation Bundle, VIB) tiene un nivel de aceptación asociado. Es posible agregar un VIB a un host ESXi solo si el nivel de aceptación de VIB es el mismo o mejor que el nivel de aceptación del host. No se puede agregar un VIB CommunitySupported o PartnerSupported a un host a menos que se cambie de forma explícita el nivel de aceptación del host.
Consulte Administrar los niveles de aceptación de los hosts ESXi y los paquetes de instalación de vSphere.
Administrar certificados de ESXi
VMware Certificate Authority (VMCA) aprovisiona cada host ESXi con un certificado firmado cuya entidad de certificación raíz predeterminada es VMCA. Si las directivas de la empresa lo requieren, puede reemplazar los certificados existentes con certificados firmados por una entidad de certificación empresarial o externa.
Consulte Administrar certificados para hosts ESXi.
Considerar la autenticación de tarjeta inteligente para ESXi
ESXi admite el uso de la autenticación de tarjeta inteligente en lugar de la autenticación mediante nombre de usuario y contraseña. También se admite la autenticación en dos fases para vCenter Server. Puede configurar al mismo tiempo la autenticación con nombre de usuario y contraseña, y la autenticación de tarjeta inteligente.
Consulte Configurar y administrar la autenticación de tarjeta inteligente para ESXi.
Considerar el bloqueo de cuentas de ESXi
Consulte Bloqueo de cuenta y contraseñas ESXi.
