Contrôlez strictement l'accès aux différents composants de vCenter Server pour augmenter la sécurité du système.

Les directives suivantes contribuent à garantir la sécurité de votre environnement.

Utiliser des comptes nommés

  • Si le compte d'administrateur Windows local a actuellement le rôle Administrateur pour vCenter Server, supprimez ce rôle et attribuez-le à un ou plusieurs comptes Administrateur de vCenter Server nommés. N'accordez le rôle Administrateur qu'aux administrateurs nommés qui doivent en bénéficier. Vous pouvez créer des rôles personnalisés ou utiliser le rôle Aucun administrateur de chiffrement pour les administrateurs qui disposent de privilèges plus restreints. N'appliquez pas ce privilège à un groupe dont la composition ne fait pas l'objet d'un contrôle strict.
    Note : À partir de vSphere 6.0, l'administrateur local n'a plus de droits administratifs complets sur vCenter Server par défaut.
  • Installez vCenter Server en utilisant un compte de service plutôt qu'un compte Windows. Le compte de service doit être un administrateur sur la machine locale.
  • Assurez-vous que les applications utilisent des comptes de service uniques lors d'une connexion à un système vCenter Server.

Surveillez les privilèges des utilisateurs administrateurs de vCenter Server

Certains utilisateurs administrateurs ne doivent pas avoir le rôle Administrateur. Créez plutôt un rôle personnalisé disposant de l'ensemble approprié de privilèges et attribuez-le aux autres administrateurs.

Les utilisateurs disposant du rôle Administrateur de vCenter Server disposent de privilèges sur tous les objets de la hiérarchie. Par exemple, le rôle Administrateur permet par défaut aux utilisateurs d'interagir avec les fichiers et les programmes du système d'exploitation invité de la machine virtuelle. L'attribution de ce rôle à un trop grand nombre d'utilisateurs peut compromettre la confidentialité, la disponibilité ou l'intégrité des données. Créez un rôle qui donne aux administrateurs les privilèges dont ils ont besoin, mais supprimez certains privilèges de gestion de machines virtuelles.

Minimiser l'accès

N'autorisez pas les utilisateurs à se connecter directement à la machine hôte vCenter Server. Les utilisateurs qui sont connectés à la machine hôte vCenter Server peuvent provoquer des dommages, intentionnels ou non, en modifiant les paramètres et les processus. Ils ont également potentiellement accès aux informations d'identification de vCenter (par exemple, le certificat SSL). Autorisez uniquement les utilisateurs ayant des tâches légitimes à effectuer à se connecter au système et assurez-vous que les événements de connexion sont vérifiés.

Accordez des privilèges minimaux aux utilisateurs de base de données vCenter Server

L'utilisateur de la base de données n'a besoin que de quelques privilèges spécifiques à l'accès à la base de données.

Certains privilèges ne sont nécessaires que pour l'installation et la mise à niveau. Après l'installation ou la mise à niveau de vCenter Server, vous pouvez supprimer ces privilèges du rôle d'administrateur de base de données.

Restreindre l'accès au navigateur de la banque de données

Attribuez le privilège Banque de données.Parcourir la banque de données uniquement aux utilisateurs ou aux groupes qui en ont réellement besoin. Les utilisateurs qui disposent de ce privilège peuvent afficher, charger ou télécharger les fichiers des banques de données associées au déploiement de vSphere par l'intermédiaire du navigateur Web ou de vSphere Web Client.

Empêcher des utilisateurs d'exécuter des commandes dans une machine virtuelle

Par défaut, un utilisateur avec le rôle Administrateur de vCenter Server peut interagir avec les fichiers et les programmes au sein du système d'exploitation invité d'une machine virtuelle. Afin de réduire les risques d'atteinte à la confidentialité, la disponibilité et l'intégrité de l'invité, créez un rôle d'accès non-invité personnalisé, dépourvu du privilège Systèmes invités. Reportez-vous à Empêcher des utilisateurs d'exécuter des commandes dans une machine virtuelle.

Envisager de modifier la stratégie de mot de passe pour vpxuser

Par défaut, vCenter Server modifie automatiquement le mot de passe vpxuser tous les 30 jours. Assurez-vous que ce paramètre correspond à la stratégie de l'entreprise ou configurez la stratégie de mot de passe de vCenter Server. Reportez-vous à Configurer la stratégie de mot de passe de vCenter Server.
Note : Assurez-vous que la stratégie d'expiration du mot de passe n'est pas trop courte.

Vérifier les privilèges après le redémarrage de vCenter Server

Vérifiez la réaffectation des privilèges lorsque vous redémarrez vCenter Server. Si l'utilisateur ou le groupe qui a le rôle Administrateur sur le dossier racine ne peut pas être validé lors d'un redémarrage, le rôle est supprimé de cet utilisateur ou de ce groupe. À la place, vCenter Server accordez le rôle Administrateur à l'administrateur de vCenter Single Sign-On (par défaut, [email protected]). Ce compte peut alors agir en tant qu'administrateur de vCenter Server.

Rétablissez un compte d'administrateur nommé et attribuez-lui le rôle Administrateur pour éviter d'utiliser le compte d'administrateur de vCenter Single Sign-On anonyme (par défaut, [email protected]).

Utiliser des niveaux de chiffrement RDP élevés

Sur chaque ordinateur Windows de l'infrastructure, vérifiez que les paramètres de configuration d'hôte des services Bureau à distance sont définis afin de garantir le niveau de chiffrement le plus élevé pour votre environnement.

Vérifiez les certificats vSphere Web Client

Demander aux utilisateurs d'une application vSphere Web Client ou d'autres applications client de ne jamais ignorer les avertissements de vérification de certificat. Sans vérification de certificat, l'utilisateur peut être sujet à une attaque MiTM.