組織の要件に従って、VMware Cloud Foundation のアクセス制御、証明書、およびアカウントの管理を設計します。
VMware Cloud Foundation のアクセス管理
VMware Cloud Foundation のアクセス管理は、業界標準および組織の要件に従って設計します。
コンポーネント |
アクセス方法 |
追加情報 |
---|---|---|
SDDC Manager |
|
SSH はデフォルトでアクティブになっています。root ユーザー アクセスは許可されていません。 |
NSX ローカル マネージャ |
|
SSH はデフォルトで無効になっています。 |
NSX Edge |
|
SSH はデフォルトで無効になっています。 |
NSX グローバル マネージャ |
|
SSH 設定は展開時に定義されます。 |
vCenter Server |
|
SSH はデフォルトでアクティブになっています。 |
ESXi |
|
SSH および ESXi Shell は、デフォルトで無効になっています。 |
VMware Aria Suite Lifecycle |
|
SSH はデフォルトでアクティブになっています。 |
Workspace ONE Access |
|
SSH はデフォルトでアクティブになっています。 |
VMware Cloud Foundation のアカウント管理の設計
業界標準および組織の要件に従って、VMware Cloud Foundation のアカウント管理を設計します。
パスワード管理方法
SDDC Manager は、VMware Cloud Foundation インスタンスに含まれるコンポーネントのパスワードのライフサイクルを管理します。パスワード ライフサイクルを管理するための複数の方法がサポートされています。
方法 |
説明 |
---|---|
ローテーション |
自動生成されたパスワードを使用して 1 つ以上のアカウントを更新します |
更新 |
手動で入力したパスワードを使用して 1 つのアカウントのパスワードを更新します |
修正 |
コンポーネントで手動で設定されたパスワードを使用して、単一のアカウントを調整します。 |
スケジュール |
選択した 1 つ以上のアカウントの自動ローテーションをスケジュール設定します。 |
手動 |
コンポーネントでパスワードを手動で直接更新します。 |
アカウントとパスワード管理
VMware Cloud Foundation は、複数のタイプのインタラクティブ アカウント、ローカル アカウント、サービス アカウントで構成されます。各アカウントには異なる属性があり、次の方法で管理できます。
パスワードの複雑さ、アカウントのロックアウト、または追加の ID プロバイダとの統合の詳細については、「VMware Cloud Foundation のための ID およびアクセス管理」を参照してください。
コンポーネント |
ユーザー アカウント |
パスワードの管理 |
追加情報 |
---|---|---|---|
SDDC Manager |
admin@local |
|
|
vcf |
|
|
|
root |
|
|
|
backup |
|
|
|
|
|
||
NSX ローカル マネージャ |
admin |
|
|
root |
|
|
|
audit |
|
|
|
NSX Edge |
admin |
|
|
root |
|
|
|
audit |
|
|
|
NSX グローバル マネージャ |
admin |
|
|
root |
|
|
|
audit |
|
|
|
vCenter Server |
root |
|
|
|
|
||
svc-sddc-manager-hostname-vcenter-server-hostname@vsphere.local |
|
SDDC Manager と vCenter Server 間のサービス アカウント | |
svc-nsx-manager-hostname-vcenter-server-hostname@vsphere.local |
|
NSX Manager と vCenter Server 間のサービス アカウント |
|
svc-vrslcm-hostname-vcenter-server-hostname@vsphere.local |
|
VMware Aria Suite Lifecycle と vCenter Server 間のサービス アカウント |
|
ESXi |
root |
|
手動 |
svc-vcf-esxi-hostname |
|
SDDC Manager と ESXi ホスト間のサービス アカウント |
|
VMware Aria Suite Lifecycle |
vcfadmin@local |
|
API およびアプリケーション アクセス |
root |
|
|
|
Workspace ONE Access |
root |
|
|
sshuser |
|
|
|
admin(ポート 8443) |
VMware Aria Suite Lifecycle によって管理 |
システム管理者 |
|
管理者(ポート 443) |
|
デフォルトのアプリケーション管理者 |
|
configadmin |
|
アプリケーションの構成管理者 |
アカウント管理設計の推奨事項
アカウント管理の設計では、特定のベスト プラクティスを適用できます。
推奨 ID |
設計の推奨事項 |
理由 |
影響 |
---|---|---|---|
VCF-ACTMGT-REQD-SEC-001 |
スケジュール設定されたローテーションをサポートするすべてのアカウントで、SDDC Manager でスケジュール設定されたパスワード ローテーションを有効にします。 |
|
アカウントをインタラクティブに使用する必要がある場合は、API を使用して新しいパスワードを取得する必要があります。 |
VCF-ACTMGT-REQD-SEC-003 |
SDDC Manager のスケジュール設定されたローテーションをサポートしていないコンポーネントで、SDDC Manager を使用してパスワードをローテーションする運用方法を確立します。 |
パスワードをローテーションし、それらのユーザー アカウントの SDDC Manager データベースを自動的に修正します。 |
なし。 |
VCF-ACTMGT-REQD-SEC-003 |
SDDC Manager によってローテーションできないコンポーネントで、パスワードを手動でローテーションする運用方法を確立します。 |
SDDC Manager のパスワード管理で処理されないコンポーネント間でパスワード ポリシーを維持します。 |
なし。 |
VMware Cloud Foundation の証明書管理
VMware Cloud Foundation の証明書管理は、業界標準および組織の要件に従って設計します。
管理コンポーネント インターフェイスへのすべてのアクセスは、Secure Socket Layer (SSL) 接続を介して行う必要があります。展開時、各コンポーネントにはデフォルトの署名 CA からの証明書が割り当てられます。各コンポーネントへの安全なアクセスを実現するには、デフォルトの証明書を、信頼できる CA 署名付きエンタープライズ証明書に置き換えます。
コンポーネント |
デフォルトの署名 CA |
CA 署名付きエンタープライズ証明書のライフサイクル |
---|---|---|
SDDC Manager |
管理ドメイン VMCA |
SDDC Manager の使用 |
NSX ローカル マネージャ |
管理ドメイン VMCA |
SDDC Manager の使用 |
NSX Edge |
該当なし |
該当なし |
NSX グローバル マネージャ |
自己署名済み |
手動 |
vCenter Server |
ローカル ワークロード ドメイン VMCA |
SDDC Manager の使用 |
ESXi |
ローカル ワークロード ドメイン VMCA |
手動* |
VMware Aria Suite Lifecycle |
管理ドメイン VMCA |
SDDC Manager の使用 |
* ESXi で CA 署名付きエンタープライズ証明書を使用するには、信頼済みルート証明書を提供する API を使用して、VMware Cloud Foundation の初期展開を行う必要があります。
推奨 ID |
設計の推奨事項 |
理由 |
影響 |
---|---|---|---|
VCF-SDDC-RCMD-SEC-001 |
すべての管理仮想アプライアンスにあるデフォルトの VMCA または署名付き証明書を、内部認証局によって署名された証明書に置き換えます。 |
すべての管理コンポーネントとの通信が安全であることを確認します。 |
デフォルトの証明書を認証局からの信頼済み CA 署名付き証明書に置き換える場合は、証明書要求の生成と送信が必要になるため、展開の準備にかかる時間が長くなる場合があります。 |
VCF-SDDC-RCMD-SEC-002 |
署名付き証明書には SHA-2 以上のアルゴリズムを使用します。 |
SHA-1 アルゴリズムは安全性が低いと見なされるため、廃止されました。 |
すべての認証局が SHA-2 以上をサポートしているわけではありません。 |
VCF-SDDC-RCMD-SEC-003 |
SDDC Manager を使用して、すべての管理アプライアンスの SSL 証明書ライフサイクル管理を実行します。 |
SDDC Manager は、手動による一連の手順の代わりに、SSL 証明書のライフサイクル管理の自動化をサポートします。 |
NSX グローバル マネージャ インスタンスの証明書管理は手動で行う必要があります。 |