读书频道 > 系统 > 其他综合 > VMware vSphere设计(原书第2版)
3.3.5 安全性
2015-10-26 16:50:02     我来说两句 
收藏    我要投稿   
《VMware vSphere设计(原书第2版)》共12章,第1章介绍vSphere的设计流程,涉及如何理解基本需求和如何评估并设计一个成功有效的实施方案。第2章介绍ESXi管理程序的基本设计选择,主要研究ESXi背后的架构。第3  立即去当当网订购

也许安全性应该放在第一个来讲解,但先后顺序并不代表其重要性。vSphere管理员中,十有八九都会把安全性放在虚拟化基础设施设计的首位。

如何设计vCenter Server的安全性呢?需要考虑如下三点:

隔离。

权限。

SSL证书。

下面将逐个详细介绍。

隔离

从安全性角度看,vCenter Server是虚拟化基础设施中最重要的组件。如果有人危害到vCenter Sever,例如关闭虚拟机、删除虚拟机中的数据、删除虚拟机甚至整个数据存储,将导致巨大的损失。

不应该让企业网中所有的工作站都能访问vCenter Server,你可以采取如下任一措施来实现:

把vCenter放在一个独立管理的VLAN中。

把vCenter置于防火墙之后。

在交换机上定义访问列表。

在vCenter Server上设置防火墙规则。

权限

默认情况下,vCenter Server上的Administrators Security组用户对整个虚拟化环境具有完全访问权限。你希望让vCenter上的管理员能控制所有的虚拟机吗?这并不一定是个好主意。你可以通过如下方法来限制管理员的默认访问权限:

1. 在vCenter Server上创建一个本地安全组(vi-admins)。

2. 在vCenter Sever上创建一个本地用户(viadmin-local)。这样,如果域账号不可用或者vCenter无法连接到域时,你还可以控制虚拟化环境。

3. 创建一个域用户(viadmin)。

4. 将viadmin和viadmin-local用户添加到vi-admins组。

5. 将管理员的默认权限修改为vi-admins组。

此外,请遵循最小权限原则,即只给用户赋予完成任务所需的必要权限。完全没有必要给只需要访问VM控制台的用户赋予管理员权限,最好创建一个仅包含该任务所需权限的自定义角色,然后再赋予该用户这个角色。

VM访问就是个很好的例子。假设有人为了能随时给一个服务器上电,向你索要服务器机房的密码。你会给他吗?显然,给他密码是很不明智的做法。

请将vCenter Server视为数据中心的安全区域。不能让所有人都可以访问vSphere基础设施。

如果要让某个用户访问服务器,那么他可以通过远程桌面或者SSH连接实现。

在虚拟机上启用VNC客户端是不推荐的方式,这需要额外配置所有ESXi host来允许远程管理。如果真的需要,请使用自定义角色。

SSL证书

客户端与vCenter Server之间的会话可以从任意vSphere API客户端发起,例如vSphere 客户端和PowerCLI。默认情况下,所有通信都是经过SSL加密的,但是默认的证书并不是由受信任的证书机构签署的,因此无法提供生产环境所需的校验安全性。这些自签名证书很容易受到中间人攻击,因此客户端连接到vCenter Server时会收到警告信息。

如果想在企业网外部使用加密的远程连接,那么请从受信任的证书机构获取证书,或者使用企业域自己的PKI设施来为SSL连接提供有效证书。

VMware的官方指导信息下载地址:

www.vmware.com/files/pdf/vsp_4_vcserver_certificates.pdf (撰写本书时的最新版本)。

点击复制链接 与好友分享!回本站首页
分享到: 更多
您对本文章有什么意见或着疑问吗?请到论坛讨论您的关注和建议是我们前行的参考和动力  
上一篇:3.3.4 可恢复性
下一篇:3.4 小结
相关文章
图文推荐
2.7.12 使用仿真器查
2.7.11 栈和寄存器组
2.7.8 出栈
2.7.7 压栈
排行
热门
文章
下载
读书

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训
版权所有: 红黑联盟--致力于做最好的IT技术学习网站