Controllare rigorosamente l'accesso ai diversi componenti di vCenter Server per aumentare la sicurezza del sistema.
Le seguenti linee guida consentono di garantire la sicurezza del proprio ambiente.
Utilizzo di account denominati per accedere a vCenter Server
- Concedere il ruolo di amministratore solo agli amministratori idonei. È possibile creare ruoli personalizzati o utilizzare il ruolo di amministratore senza crittografia per gli amministratori con privilegi più limitati. Non applicare questo ruolo ai gruppi la cui appartenenza non sia rigorosamente controllata.
- Assicurarsi che le applicazioni utilizzino account di servizio univoci durante la connessione a un sistema vCenter Server.
Monitoraggio dei privilegi degli utenti amministratori di vCenter Server
Non tutti gli utenti amministratori devono disporre del ruolo di amministratore. Creare invece un ruolo personalizzato con il set di privilegi appropriato e assegnarlo agli altri amministratori.
Gli utenti con il ruolo di amministratore di vCenter Server dispongono di privilegi per tutti gli oggetti della gerarchia. Ad esempio, per impostazione predefinita, il ruolo di amministratore consente agli utenti di interagire con i file e i programmi all'interno del sistema operativo guest di una macchina virtuale. L'assegnazione di questo ruolo a un numero eccessivo di utenti può diminuire la riservatezza, la disponibilità o l'integrità dei dati della macchina virtuale. Creare un ruolo che fornisca agli amministratori i privilegi di cui hanno bisogno, ma rimuovere alcuni dei privilegi di gestione delle macchine virtuali. Vedere anche Registratore privato.
Riduzione degli accessi a vCenter Server Appliance
Non consentire agli utenti di accedere direttamente a vCenter Server Appliance. Gli utenti connessi a vCenter Server Appliance possono causare danni, intenzionalmente o accidentalmente, modificando le impostazioni e i processi. Tali utenti possono anche accedere alle credenziali di vCenter Server, come il certificato SSL. Consentire l'accesso al sistema solo agli utenti che devono eseguire determinate attività e assicurarsi che gli eventi di accesso vengano controllati.
Concessione di privilegi minimi agli utenti del database
L'utente del database richiede solo determinati privilegi specifici per l'accesso al database.
Alcuni privilegi sono necessari solo per l'installazione e l'aggiornamento. È possibile rimuovere questi privilegi dall'amministratore del database dopo l'installazione o l'aggiornamento di vCenter Server.
Limitazione dell'accesso al browser del datastore
Assegnare il privilegio solo agli utenti o ai gruppi che realmente necessitano di tale privilegio. Gli utenti con tale privilegio possono visualizzare, caricare o scaricare i file nei datastore associati alla distribuzione di vSphere tramite il browser Web o vSphere Client.
Restrizioni per gli utenti relative all'esecuzione di comandi in una macchina virtuale
Per impostazione predefinita, un utente con ruolo di amministratore può interagire con i file e i programmi di un sistema operativo guest all'interno di una macchina virtuale. Per ridurre il rischio di violazioni della riservatezza, della disponibilità o dell'integrità del sistema guest, creare un ruolo di accesso non guest personalizzato senza il privilegio . Vedere Impedire agli utenti di eseguire comandi in una macchina virtuale.
Modifica del criterio della password per vpxuser
Verifica dei privilegi dopo il riavvio di vCenter Server
Verificare la riassegnazione dei privilegi quando si riavvia vCenter Server. Se l'utente o il gruppo con il ruolo di amministratore nella cartella root non può essere convalidato durante il riavvio, il ruolo viene rimosso da tale utente o gruppo. Al suo posto, vCenter Server concede il ruolo di amministratore all'amministratore di vCenter Single Sign-On, ovvero [email protected] per impostazione predefinita. Questo account può quindi fungere da amministratore di vCenter Server.
Ridefinire un account amministratore denominato e assegnare il ruolo di amministratore a tale account in modo da non dover utilizzare l'account amministratore di vCenter Single Sign-On anonimo ([email protected] per impostazione predefinita).
Utilizzare livelli di crittografia elevati per il protocollo Desktop remoto
In ogni computer Windows dell'infrastruttura, assicurarsi che le impostazioni di configurazione dell'host del Remote Desktop Protocol (RDP) siano specificate per garantire il livello di crittografia più elevato adeguato all'ambiente in uso.
Verifica dei certificati di vSphere Client
Assicurarsi che gli utenti di vSphere Client o di altre applicazioni client prestino attenzione agli avvisi di verifica dei certificati. Senza verifica del certificato, l'utente potrebbe essere oggetto di un attacco MiTM.
Impostazione dei criteri della password vCenter Server
Per impostazione predefinita, vCenter Server modifica automaticamente la password di vpxuser ogni 30 giorni. È possibile modificare tale valore da vSphere Client.
Procedura
- Accedere al sistema vCenter Server utilizzando vSphere Client.
- Selezionare il sistema vCenter Server nella gerarchia di oggetti.
- Fare clic su Configura.
- Fare clic su Impostazioni avanzate quindi su Modifica impostazioni.
- Fare clic sull'icona Filtro e immettere VimPasswordExpirationInDays.
- Impostare VirtualCenter.VimPasswordExpirationInDays in modo che sia conforme ai requisiti prescelti.
Rimozione di certificati scaduti o revocati e registri da installazioni non riuscite
Lasciare dei certificati scaduti o revocati oppure lasciare dei vCenter Server registri di installazione per un'installazione non riuscita sul sistema vCenter Server può compromettere l'ambiente.
-
Se i certificati scaduti o revocati non vengono rimossi dal sistema vCenter Server, l'ambiente può essere soggetto a un attacco MiTM
- In alcuni casi, se l'installazione vCenter Server non riesce viene creato un file di registro contenente la password del database in testo normale. Un utente malintenzionato che accede al sistema vCenter Server può accedere a questa password e, contemporaneamente, accedere al database vCenter Server.
