Contrôlez strictement l'accès aux différents composants de vCenter Server pour augmenter la sécurité du système.

Les directives suivantes contribuent à garantir la sécurité de votre environnement.

Utiliser des comptes nommés

  • Si le compte d'administrateur Windows local dispose actuellement de droits administratifs complets sur vCenter Server, supprimez ces droits d'accès et accordez-les à un ou plusieurs comptes d'administrateurs nommés de vCenter Server. Accordez des droits administratifs complets aux administrateurs qui doivent en disposer. N'accordez pas ce privilège à un groupe dont la composition ne fait pas l'objet d'un contrôle strict.

    Remarque :

    À partir de vSphere 6.0, l'administrateur local n'a plus de droits administratifs complets sur vCenter Server par défaut. L'emploi d'utilisateurs du système d'exploitation local n'est pas recommandé.

  • Installez vCenter Server en utilisant un compte de service plutôt qu'un compte Windows. Le compte de service doit être un administrateur sur la machine locale.

  • Assurez-vous que les applications utilisent des comptes de service uniques lors d'une connexion à un système vCenter Server.

Minimiser l'accès

Évitez d'autoriser les utilisateurs à se connecter directement à la machine hôte vCenter Server. Les utilisateurs qui sont connectés à vCenter Server peuvent potentiellement provoquer des dommages, intentionnellement ou non, en modifiant les paramètres et les processus. Ils ont également un accès potentiel aux informations d'identification de vCenter (par exemple, le certificat SSL). Autorisez uniquement les utilisateurs ayant des tâches légitimes à effectuer à se connecter au système et assurez-vous que les événements de connexion sont suivis.

Surveillez les privilèges des utilisateurs administrateurs de vCenter Server

Certains utilisateurs administrateurs ne doivent pas avoir le rôle Administrateur. Créez plutôt un rôle personnalisé disposant de l'ensemble approprié de privilèges et attribuez-le aux autres administrateurs.

Les utilisateurs disposant du rôle Administrateur de vCenter Server disposent de privilèges sur tous les objets de la hiérarchie. Par exemple, le rôle Administrateur permet par défaut aux utilisateurs d'interagir avec les fichiers et les programmes du système d'exploitation invité de la machine virtuelle. L'attribution de ce rôle à un trop grand nombre d'utilisateurs peut compromettre la confidentialité, la disponibilité ou l'intégrité des données. Créez un rôle qui donne aux administrateurs les privilèges dont ils ont besoin, mais supprimez certains privilèges de gestion de machines virtuelles.

Accordez des privilèges minimaux aux utilisateurs de base de données vCenter Server

L'utilisateur de la base de données n'a besoin que de quelques privilèges spécifiques à l'accès à la base de données. En outre, certains privilèges ne sont nécessaires que pour l'installation et la mise à niveau. Ces privilèges peuvent être supprimés après l'installation ou la mise à niveau du produit.

Restreindre l'accès au navigateur de la banque de données

La fonctionnalité de navigateur de banques de données permet aux utilisateurs possédant les privilèges appropriés d'afficher et de télécharger des fichiers depuis et vers les banques de données associées au déploiement de vSphere au moyen du navigateur web ou de vSphere Web Client. Attribuer le privilège Banque de données > Parcourir la banque de données uniquement aux utilisateurs ou aux groupes qui ont réellement besoin de ces privilèges.

Empêcher des utilisateurs d'exécuter des commandes dans une machine virtuelle

Par défaut, un utilisateur avec le rôle d'administrateur vCenter Server peut interagir avec les fichiers et programmes au sein du système d'exploitation invité d'une machine virtuelle. Afin de réduire les risques d'atteinte à la confidentialité, la disponibilité et l'intégrité de l'invité, créez un rôle d'accès non-invité, dépourvu du privilège Opérations client. Reportez-vous à Empêcher des utilisateurs d'exécuter des commandes dans une machine virtuelle.

Vérifier la stratégie de mot de passe de vpxuser

Par défaut, vCenter Server modifie le mot de passe de vpxuser automatiquement tous les 30 jours. Assurez-vous que ce paramètre est conforme à vos stratégies ou configurez la stratégie pour répondre aux stratégies d'expiration de mot de passe de l'entreprise. Reportez-vous à Configurer la stratégie de mot de passe de vCenter Server.

Remarque :

Assurez-vous que la stratégie d'expiration du mot de passe n'est pas trop courte.

Vérifiez les privilèges après le redémarrage de vCenter Server

Vérifiez la réaffectation des privilèges lorsque vous redémarrez vCenter Server. Si l'utilisateur ou le groupe d'utilisateurs ayant obtenu le rôle Administrateur sur le dossier racine ne peut pas être vérifié comme utilisateur ou groupe valide pendant un redémarrage, le rôle est retiré de cet utilisateur ou de ce groupe. À la place, vCenter Server accorde le rôle Administrateur au compte administrator@vsphere.local de vCenter Single Sign-On. Ce compte peut alors agir en tant qu'administrateur.

Rétablissez un compte d'administrateur nommé et attribuez-lui le rôle Administrateur pour éviter d'utiliser le compte administrator@vsphere.local anonyme.

Utiliser des niveaux de chiffrement RDP élevés

Sur chaque ordinateur Windows de l'infrastructure, vérifiez que les paramètres de configuration d'hôte des services Bureau à distance sont définis afin de garantir le niveau de chiffrement le plus élevé pour votre environnement.

Vérifiez les certificats vSphere Web Client

Demander aux utilisateurs d'une application vSphere Web Client ou d'autres applications client de ne jamais ignorer les avertissements de vérification de certificat. Sans vérification de certificat, l'utilisateur peut être sujet à une attaque MiTM.