VMWARE ESXi - 6.7 Instruction Manual [fr]

Sécurité vSphere

17 avril 2018 VMware vSphere 6.7 VMware ESXi 6.7 vCenter Server 6.7

Sécurité vSphere

Vous trouverez la documentation technique la plus récente sur le site Web de VMware à l'adresse :

https://docs.vmware.com/fr/

N’hésitez pas à nous transmettre tous vos commentaires concernant cette documentation à l’adresse suivante :

docfeedback@vmware.com

VMware, Inc.

3401 Hillview Ave. Palo Alto, CA 94304 www.vmware.com

VMware, Inc.

100-101 Quartier Boieldieu 92042 Paris La Défense France www.vmware.com/fr

VMware, Inc. 2

Table des matières

À propos de la sécurité de vSphere 8

Sécurité dans l'environnement vSphere 10

Sécurisation de l'hyperviseur ESXi 10 Sécurisation des systèmes vCenter Server et services associés 13 Sécurisation des machines virtuelles 14 Sécurisation de la couche de mise en réseau virtuelle 15 Mots de passe dans votre environnement vSphere 17 Meilleures pratiques en matière de sécurité et ressources de sécurité 19

Tâches de gestion des utilisateurs et des autorisations de vSphere 21

Présentation des autorisations dans vSphere 22 Gestion des autorisations des composants vCenter 30 Autorisations globales 33 Utilisation des rôles pour assigner des privilèges 36 Meilleures pratiques pour les rôles et les autorisations 40 Privilèges requis pour les tâches courantes 41

Sécurisation des hôtes ESXi 45

Recommandations générales de sécurité pour ESXi 46 Gestion de certificats pour les hôtes ESXi 59 Personnalisation des hôtes avec le profil de sécurité 76 Attribution de privilèges pour les hôtes ESXi 94 Utilisation d'Active Directory pour gérer des utilisateurs ESXi 96 Utiliser vSphere Authentication Proxy 99 Configuration de l'authentification par carte à puce pour ESXi 107 Utilisation du ESXi Shell 110 Démarrage sécurisé UEFI des hôtes ESXi 115 Sécurisation des hôtes ESXi avec un module de plate-forme sécurisée 117 Fichiers journaux ESXi 119

VMware, Inc.

Sécurisation des systèmes vCenter Server 123

Meilleures pratiques de sécurité de vCenter Server 123 Vérifier les empreintes des hôtes ESXi hérités 130 Vérifier que la validation des certificats SSL sur Network File Copy est activée 131 Ports requis pour vCenter Server et l'instance de Platform Services Controller 132 Ports TCP et UDP supplémentaires pour vCenter Server 137

Sécurité vSphere

Sécurisation des machines virtuelles 141

Activer ou désactiver le démarrage sécurisé UEFI pour une machine virtuelle 141 Limiter les messages d'information des machines virtuelles vers les fichiers VMX 143 Empêcher la réduction de disque virtuel 143 Recommandations en matière de sécurité des machines virtuelles 144

Chiffrement des machines virtuelles 156

Méthodologie utilisée par le chiffrement de machine virtuelle vSphere pour protéger votre

environnement 157 Composants du chiffrement des machines virtuelles vSphere 159 Flux de chiffrement 161 Chiffrement des disques virtuels 163 Conditions préalables et privilèges requis pour les tâches de chiffrement 164 vSphere vMotion chiffré 166 Meilleures pratiques de chiffrement, mises en garde et interopérabilité 167

Utiliser le chiffrement dans votre environnement vSphere 174

Configurer le cluster du serveur de gestion des clés 175 Créer une stratégie de stockage de chiffrement 184 Activer explicitement le mode de chiffrement de l'hôte 185 Désactiver le mode de chiffrement de l'hôte 185 Créer une machine virtuelle chiffrée 185 Cloner une machine virtuelle chiffrée 187 Chiffrer une machine ou un disque virtuel existant 188 Déchiffrer une machine ou un disque virtuel 189 Modifier la stratégie de chiffrement des disques virtuels 191 Résoudre les problèmes de clés manquantes 192 Déverrouiller les machines virtuelles verrouillées 194 Résoudre les problèmes du mode de chiffrement de l'hôte ESXi 195 Réactiver le mode de chiffrement de l'hôte ESXi 196 Définir le seuil d'expiration du certificat du serveur KMS 197 Chiffrement de machines virtuelles vSphere et vidages mémoire 197

Sécurisation des machines virtuelles avec le TPM 202

Ajouter un module de plate-forme sécurisée virtuel à une machine virtuelle 204 Activer le module de plate-forme sécurisée virtuel pour une machine virtuelle existante 205 Supprimer le module de plate-forme sécurisée virtuel d'une machine virtuelle 206 Identifier les machines virtuelles activées par la plate-forme sécurisée virtuelle 206 Afficher les certificats de périphérique de module vTPM 207 Exporter et remplacer les certificats des périphériques vTPM 208

VMware, Inc. 4

Sécurité vSphere

Sécurisation des systèmes d'exploitation invités Windows avec la sécurité

basée sur la virtualisation 209

Recommandations sur la sécurité basée sur la virtualisation 210 Activer la sécurité basée sur la virtualisation sur une machine virtuelle 211 Activer la sécurité basée sur la virtualisation sur une machine virtuelle existante 212 Activer la sécurité basée sur la virtualisation sur le système d'exploitation invité 213 Désactiver la sécurité basée sur la virtualisation 213 Identifier les machines virtuelles sur lesquelles la sécurité basée sur la virtualisation est activée 214

Sécurisation de la mise en réseau vSphere 215

Introduction à la sécurité du réseau vSphere 215 Sécurisation du réseau avec des pare-feu 217 Sécuriser le commutateur physique 220 Sécurisation des ports du commutateur standard à l'aide de stratégies de sécurité 221 Sécuriser les commutateurs vSphere standard 221 Protection des commutateurs standard et VLAN 224 Sécuriser les vSphere Distributed Switches et les groupes de ports distribués 225 Sécurisation des machines virtuelles avec des VLAN 227 Création de plusieurs réseaux sur un hôte ESXi 229 Sécurité du protocole Internet 231 Garantir une configuration SNMP appropriée 235 Meilleures pratiques en matière de sécurité de la mise en réseau vSphere 236

Meilleures pratiques concernant plusieurs composants vSphere 242

Synchronisation des horloges sur le réseau vSphere 242 Meilleures pratiques en matière de sécurité du stockage 246 Vérifier que l'envoi des données de performances de l'hôte aux invités est désactivé 250 Configuration de délais d'expiration pour ESXi Shell et vSphere Web Client 250

Gestion de la configuration du protocole TLS avec l'utilitaire de configuration de

TLS 252

Ports prenant en charge la désactivation des versions TLS 252 Activation ou désactivation des versions de TLS dans vSphere 254 Effectuer une sauvegarde manuelle facultative 255 Activer ou désactiver les versions TLS sur les systèmes vCenter Server 256 Activer ou désactiver les versions de TLS sur les hôtes ESXi 257 Activer ou désactiver les versions de TLS sur les systèmes Platform Services Controller externes 259 Analyser vCenter Server pour les protocoles TLS activés 261 Restaurer les modifications de l'utilitaire de configuration TLS 261 Activer ou désactiver les versions de TLS sur vSphere Update Manager sous Windows 263

VMware, Inc. 5

Sécurité vSphere

Privilèges définis 268

Privilèges d'alarmes 269 Privilèges Auto Deploy et privilèges de profil d'image 270 Privilèges de certificats 272 Privilèges de bibliothèque de contenu 272 Privilèges d'opérations de chiffrement 274 Privilèges de centre de données 276 Privilèges de banque de données 277 Privilèges de cluster de banques de données 278 Privilèges de Distributed Switch 278 Privilèges de gestionnaire d'agent ESX 279 Privilèges d'extension 280 Privilèges de fournisseur de statistiques externes 280 Privilèges de dossier 280 Privilèges globaux 281 Privilèges de fournisseur de mises à jour de santé 282 Privilèges CIM d'hôte 282 Privilèges de configuration d'hôte 282 Inventaire d'hôte 284 Privilèges d'opérations locales d'hôte 285 Privilèges de réplication d'hôte vSphere 285 Privilèges de profil d'hôte 286 Privilèges de réseau 286 Privilèges de performances 287 Privilèges d'autorisations 287 Privilèges de stockage basé sur le profil 288 Privilèges de ressources 288 Privilèges de tâche planifiée 289 Privilèges de sessions 290 Privilèges de vues de stockage 290 Privilèges de tâches 291 Privilèges Transfer Service 291 Privilèges de configuration de machine virtuelle 291 Privilèges d'opérations d'invité de machine virtuelle 293 Privilèges d'interaction de machine virtuelle 295 Privilèges d'inventaire de machine virtuelle 304 Privilèges de provisionnement de machine virtuelle 304 Privilèges de configuration de services de machine virtuelle 306 Privilèges de gestion des snapshots d'une machine virtuelle 307 Privilèges vSphere Replication de machine virtuelle 307 Privilèges du groupe dvPort 308 Privilèges de vApp 308

VMware, Inc. 6

Sécurité vSphere

Privilèges vServices 310 Privilèges de balisage vSphere 310

VMware, Inc. 7

À propos de la sécurité de vSphere

Sécurité vSphere fournit des informations sur la sécurisation de votre environnement vSphere® pour VMware® vCenter® Server et VMware ESXi.

Pour vous aider à protéger votre environnement vSphere, cette documentation décrit les fonctionnalités de sécurité disponibles et les mesures à prendre pour protéger votre environnement des attaques.

Tableau 1. Faits saillants sur

Sécurité vSphere

Rubriques Points forts du contenu

Gestion des autorisations et des utilisateurs

Fonctionnalités relatives à la sécurité de l'hôte

Modèle d'autorisations (rôles, groupes et objets).

Création de rôles personnalisés.

Définition des autorisations.

Gestion des autorisations globales.

Mode de verrouillage et autres fonctionnalités de profil de sécurité.

Authentification des hôtes par carte à puce.

vSphere Authentication Proxy.

Démarrage sécurisé UEFI.

TPM (Trusted Platform Module).

Chiffrement des machines virtuelles

Comment fonctionne le chiffrement des machines virtuelles ?

Configuration de KMS.

Chiffrement et déchiffrement des machines virtuelles.

Dépannage et meilleures pratiques.

Sécurité du système d'exploitation invité

vTPM (Virtual Trusted Platform Module)

Sécurité basée sur la virtualisation (VBS).

Gestion de la configuration du protocole TLS Modification de la configuration du protocole TLS à l'aide d'un

utilitaire de ligne de commande.

Meilleures pratiques en matière de sécurité et de sécurisation renforcée

Meilleures pratiques et avis des experts en sécurité VMware.

Sécurité de vCenter Server

Sécurité de l'hôte

Sécurité des machines virtuelles

Sécurité de la mise en réseau

Privilèges vSphere Liste complète de tous les privilèges vSphere pris en charge

dans cette version.

VMware, Inc. 8

Sécurité vSphere

Documentation connexe

Un document complément, Administration de Platform Services Controller , explique comment utiliser les services de Platform Services Controller, par exemple pour gérer l'authentification avec vCenter Single Sign-On et pour gérer les certificats dans l'environnement vSphere.

Outre ces documents, VMware publie un Guide de sécurisation renforcée pour chaque version de vSphere. Ces guides sont disponibles à la page http://www.vmware.com/security/hardening-guides.html. Le Guide de sécurisation renforcée est une feuille de calcul comprenant des entrées pour différents problèmes potentiels de sécurité. Il offre des éléments pour trois profils de risque. Ce document Sécurité vSphere ne contient pas d'informations concernant le profil de risque 1 (environnement imposant une sécurité maximale, comme les installations gouvernementales top secrètes).

Public cible

Ces informations sont destinées aux administrateurs système Windows ou Linux expérimentés qui maîtrisent les technologies de machine virtuelle et les opérations de centre de données.

vSphere Web Client et vSphere Client (client basé sur HTML5)

Les instructions relatives aux tâches présentées dans ce guide se basent sur vSphere Web Client. Vous pouvez également exécuter la plupart des tâches de ce guide en utilisant vSphere Client. La terminologie, la topologie et le workflow de l'interface utilisateur de vSphere Client correspondent fidèlement aux aspects et éléments de l'interface utilisateur de vSphere Web Client. Vous pouvez appliquer les instructions de vSphere Web Client à vSphere Client sauf mention du contraire.

Remarque Dans vSphere 6.7, la plupart des fonctionnalités de vSphere Web Client sont implémentées

dans vSphere Client. Pour obtenir une liste actualisée des fonctionnalités non prises en charge, consultez le Guide de mise à jour des fonctionnalités de vSphere Client.

VMware, Inc. 9

Sécurité dans l'environnement

vSphere 1

Les composants d'un environnement vSphere sont sécurisés d'origine par plusieurs fonctionnalités telles que l'authentification, l'autorisation, un pare-feu sur chaque hôte ESXi, etc. Vous pouvez modifier la configuration par défaut de plusieurs manières. Vous pouvez notamment définir des autorisations sur des objets vCenter, ouvrir des ports de pare-feu ou modifier les certificats par défaut. Vous pouvez prendre des mesures de sécurité sur différents objets dans la hiérarchie d'objets vCenter, comme les systèmes vCenter Server, les hôtes ESXi, les machines virtuelles et les objets du réseau et de stockage.

Une présentation globale des différentes parties de vSphere à surveiller vous aide à planifier votre stratégie de sécurité. Vous pouvez également tirer parti d'autres ressources de sécurité de vSphere sur le site Web VMware.

Ce chapitre aborde les rubriques suivantes :

Sécurisation de l'hyperviseur ESXi

Sécurisation des systèmes vCenter Server et services associés

Sécurisation des machines virtuelles

Sécurisation de la couche de mise en réseau virtuelle

Mots de passe dans votre environnement vSphere

Meilleures pratiques en matière de sécurité et ressources de sécurité

Sécurisation de l'hyperviseur ESXi

L'hyperviseur ESXi est sécurisé par défaut. Vous pouvez renforcer la protection des hôtes ESXi en utilisant le mode de verrouillage et d'autres fonctionnalités intégrées. À des fins d'uniformité, vous pouvez définir un hôte de référence et laisser tous les hôtes en synchronisation avec le profil de l'hôte de référence. Vous pouvez également protéger votre environnement en effectuant une gestion chiffrée, qui garantit que les modifications sont appliquées à tous les hôtes.

VMware, Inc.

Sécurité vSphere

Vous pouvez renforcer la protection des hôtes ESXi qui sont gérés par vCenter Server en effectuant les actions suivantes. Consultez le livre blanc Sécurité de VMware vSphere Hypervisor pour accéder à des informations de fond et des détails.

Limiter l'accès à ESXi Par défaut, les services ESXi Shell et SSH ne s'exécutent pas et seul

l'utilisateur racine peut se connecter à l'interface utilisateur de la console directe (DCUI). Si vous décidez d'activer l'accès à ESXi ou SSH, vous pouvez définir des délais d'expiration pour limiter le risque d'accès non autorisé.

Les hôtes pouvant accéder à l'hôte ESXi doivent disposer d'autorisations de gestion de l'hôte. Ces autorisations se définissent sur l'objet hôte du système vCenter Server qui gère l'hôte.

Utiliser des utilisateurs nommés et le moindre privilège

Réduire le nombre de ports de pare-feu ESXi ouverts

Automatiser la gestion des hôtes ESXi

Par défaut, l'utilisateur racine peut effectuer de nombreuses tâches. N'autorisez pas les administrateurs à se connecter à l'hôte ESXi en utilisant le compte d'utilisateur racine. Au lieu de cela, créez des utilisateurs Administrateur nommés à partir de vCenter Server et attribuez-leur le rôle d'administrateur. Vous pouvez également attribuer à ces utilisateurs un rôle personnalisé. Reportez-vous à la section Créer un rôle personnalisé.

Si vous gérez les utilisateurs directement sur l'hôte, les options de gestion des rôles sont limitées. Consultez la documentation de Gestion individuelle des hôtes vSphere - VMware Host Client.

Par défaut, les ports de pare-feu de votre hôte ESXi sont uniquement ouverts lorsque vous démarrez un service correspondant. Vous pouvez utiliser les commandes de vSphere Web Client, ESXCLI ou PowerCLI pour vérifier et gérer l'état des ports du pare-feu.

Reportez-vous à la section ESXi.

Parce qu'il est souvent important que les différents hôtes d'un même centre de données soient synchronisés, utilisez l'installation basée sur scripts ou vSphere Auto Deploy pour provisionner les hôtes. Vous pouvez gérer les hôtes à l'aide de scripts. Les profils d'hôte sont une alternative à la gestion chiffrée. Vous définissez un hôte de référence, exportez le profil d'hôte et appliquez celui-ci à tous les hôtes. Vous pouvez appliquer le profil d'hôte directement ou dans le cadre du provisionnement avec Auto Deploy.

Consultez Utiliser des scripts pour gérer des paramètres de configuration

d'hôte et Installation et configuration de vCenter Server pour plus

d'informations sur vSphere Auto Deploy.

VMware, Inc. 11

Sécurité vSphere

Exploiter le mode de verrouillage

Vérifier l'intégrité du module VIB

Gérer les certificats ESXi

En mode de verrouillage, les hôtes ESXi sont, par défaut, uniquement accessibles par le biais de vCenter Server. À partir de vSphere 6.0, vous avez le choix entre un mode de verrouillage strict et un mode de verrouillage normal. Vous pouvez également définir des utilisateurs exceptionnels pour permettre un accès direct aux comptes de service tels que les agents de sauvegarde.

Reportez-vous à la section Mode verrouillage.

Un niveau d'acceptation est associé à chaque module VIB. Vous pouvez ajouter un VIB à un hôte ESXi uniquement si son niveau d'acceptation est identique ou supérieur au niveau d'acceptation de l'hôte. Vous ne pouvez pas ajouter un VIB CommunitySupported ou PartnerSupported à un hôte à moins d'avoir explicitement modifié le niveau d'acceptation de l'hôte.

Reportez-vous à la section Vérifier les niveaux d'acceptation des hôtes et

des fichiers VIB.

Dans vSphere 6.0 et version ultérieure, VMware Certificate Authority (VMCA) provisionne chaque hôte ESXi à l'aide d'un certificat signé dont l'autorité de certification racine par défaut est VMCA. Si la stratégie de l'entreprise l'exige, vous pouvez remplacer les certificats existants par des certificats signés par une autorité de certification d'entreprise ou tierce.

Envisager l'authentification par carte à puce

Envisager le verrouillage des comptes ESXi

Reportez-vous à la section Gestion de certificats pour les hôtes ESXi.

À partir de vSphere 6.0, ESXi prend en charge l'utilisation de l'authentification par carte à puce plutôt que l'authentification par nom d'utilisateur et mot de passe. Pour une sécurité renforcée, vous pouvez configurer l'authentification par carte à puce. L'authentification à deux facteurs est également prise en charge pour vCenter Server.

Reportez-vous à la section Configuration de l'authentification par carte à

puce pour ESXi.

À partir de vSphere 6.0, le verrouillage des comptes est pris en charge pour l'accès via SSH et vSphere Web Services SDK. Par défaut, un nombre maximal de 10 tentatives de connexion échouées est autorisé avant le verrouillage du compte. Par défaut, le compte est déverrouillé au bout de deux minutes.

Remarque L'interface de console directe (DCUI) et ESXi Shell ne

prennent pas en charge le verrouillage de compte.

Reportez-vous à la section Verrouillage des mots de passe et des comptes

ESXi.

Les considérations de sécurité pour les hôtes autonomes sont identiques, bien que les tâches de gestion puissent différer. Consultez la documentation de Gestion individuelle des hôtes vSphere - VMware Host Client.

VMware, Inc. 12

Sécurité vSphere

Sécurisation des systèmes vCenter Server et services associés

Votre système vCenter Server et les services associés sont protégés par l'authentification via vCenter Single Sign-On, ainsi que par l'autorisation via le modèle d'autorisations vCenter Server. Vous pouvez modifier le comportement par défaut et prendre des mesures supplémentaires pour limiter l'accès à votre environnement.

Lorsque vous protégez votre environnement vSphere, tenez compte du fait que tous les services associés aux instances de vCenter Server doivent être protégés. Dans certains environnements, vous pouvez protéger plusieurs instances de vCenter Server et une ou plusieurs instances de Platform Services Controller.

Renforcer toutes les machines hôtes vCenter

En savoir plus sur le modèle de certificat vCenter

Configurer vCenter Single Sign-On

Pour protéger votre environnement vCenter, vous devez commencer par renforcer chaque machine qui exécute vCenter Server ou un service associé. Ceci s'applique aussi bien à une machine physique qu'à une machine virtuelle. Installez toujours les derniers correctifs de sécurité pour votre système d'exploitation et mettez en œuvre les meilleures pratiques standard de l'industrie pour protéger la machine hôte.

Par défaut, l'autorité de certification VMware provisionne chaque hôte ESXi, chaque machine de l'environnement et chaque utilisateur de solution à l'aide d'un certificat signé par VMCA (VMware Certificate Authority). L'environnement fourni est prêt à l'emploi, mais vous pouvez modifier le comportement par défaut si la stratégie de l'entreprise l'exige. Pour plus d'informations, reportez-vous à la documentation Administration de Platform Services Controller .

Pour une protection supplémentaire, supprimez explicitement les certificats révoqués ou qui ont expiré, ainsi que les installations qui ont échoué.

vCenter Server et les services associés sont protégés par la structure d'authentification vCenter Single Sign-On. Lors de la première installation des logiciels, vous devez spécifier un mot de passe pour l'administrateur du domaine vCenter Single Sign-On (par défaut, administrator@vsphere.local). Seul ce domaine est disponible initialement comme source d'identité. Vous pouvez ajouter d'autres sources d'identité (Active Directory ou LDAP) et définir une source d'identité par défaut. Dorénavant, les utilisateurs qui peuvent s'authentifier auprès d'une de ces sources d'identité ont la possibilité d'afficher des objets et d'effectuer des tâches, dans la mesure où ils y ont été autorisés. Pour plus d'informations, reportez-vous à la documentation Administration de Platform Services Controller .

VMware, Inc. 13

Sécurité vSphere

Attribuer des rôles à des utilisateurs ou groupes nommés

Configurer NTP Configurez NTP pour chaque nœud de votre environnement.

Pour optimiser la journalisation, chaque autorisation octroyée pour un objet peut être associée à un utilisateur ou groupe nommé, ainsi qu'à un rôle prédéfini ou personnalisé. Le modèle d'autorisations vSphere 6.0 procure une grande flexibilité en offrant la possibilité d'autoriser les utilisateurs et les groupes de diverses façons. Reportez-vous aux sections Présentation

des autorisations dans vSphere et Privilèges requis pour les tâches courantes.

Limitez les privilèges d'administrateur et l'utilisation du rôle d'administrateur. Dans la mesure du possible, évitez d'utiliser l'utilisateur Administrateur anonyme.

L'infrastructure de certificats exige un horodatage précis et ne fonctionne correctement que si les nœuds sont synchronisés.

Reportez-vous à Synchronisation des horloges sur le réseau vSphere.

Sécurisation des machines virtuelles

Pour sécuriser vos machines virtuelles, appliquez tous les correctifs appropriés aux systèmes d'exploitation invités et protégez votre environnement, de même que vous protégez votre machine physique. Pensez à désactiver toutes les fonctionnalités inutiles, à minimiser l'utilisation de la console de machine virtuelle et à suivre toute autre meilleure pratique.

Protéger le système d'exploitation invité

Désactiver les fonctionnalités inutiles

Utiliser les modèles et la gestion basée sur des scripts

Pour protéger votre système d'exploitation invité, assurez-vous qu'il utilise les correctifs les plus récents et, le cas échéant, des applications de logiciel anti-espion et anti-programme malveillant. Reportez-vous à la documentation du fournisseur de votre système d'exploitation invité et, le cas échéant, à d'autres informations disponibles dans des manuels ou sur Internet pour ce système d'exploitation.

Vérifiez que toute fonctionnalité inutile est désactivée pour minimiser les points d'attaque potentiels. De nombreuses fonctionnalités peu utilisées sont désactivées par défaut. Supprimez le matériel inutile et désactivez certaines fonctionnalités, comme HFSG (host-guest filesystem) ou la fonction de copier/coller entre la machine virtuelle et une console distante.

Reportez-vous à Désactiver les fonctions inutiles à l'intérieur des machines

virtuelles.

Les modèles de machine virtuelle vous permettent de configurer le système d'exploitation afin qu'il respecte des conditions requises spécifiques, puis de créer d'autres machines virtuelles avec les mêmes paramètres.

VMware, Inc. 14

Sécurité vSphere

Pour modifier les paramètres de machine virtuelle après le déploiement initial, vous pouvez utiliser les scripts (PowerCLI, par exemple). Cette documentation explique comment effectuer des tâches à l'aide de l'interface utilisateur graphique. Vous pouvez utiliser des scripts au lieu de l'interface utilisateur graphique pour maintenir la cohérence de votre environnement. Dans les environnements de grande envergure, vous pouvez grouper les machines virtuelles dans des dossiers pour optimiser les scripts.

Pour plus d'informations sur les modèles, reportez-vous à la section Utiliser

des modèles pour déployer des machines virtuelles et au document

Administration d'une machine virtuelle vSphere. Pour plus d'informations sur PowerCLI, consultez la documentation de VMware PowerCLI.

Minimiser l'utilisation de la console de machine virtuelle

Activer le démarrage sécurisé UEFI

La console de machine virtuelle joue, pour la machine virtuelle, le même rôle que le moniteur sur un serveur physique. Les utilisateurs qui ont accès à une console de machine virtuelle ont accès à la gestion d'alimentation des machines virtuelles et aux contrôles de la connectivité des périphériques amovibles. Par conséquent, la console de machine virtuelle devient vulnérable aux attaques malveillantes sur une machine virtuelle.

À partir de vSphere 6.5, vous pouvez configurer votre machine virtuelle pour qu'elle utilise le démarrage UEFI. Si le système d'exploitation prend en charge le démarrage UEFI sécurisé, vous pouvez sélectionner cette option pour vos machines virtuelles pour plus de sécurité. Reportez-vous à

Activer ou désactiver le démarrage sécurisé UEFI pour une machine virtuelle.

Sécurisation de la couche de mise en réseau virtuelle

La couche de mise en réseau virtuelle comprend des adaptateurs réseau virtuels, des commutateurs virtuels, des commutateurs virtuels distribués, des ports et des groupes de ports. ESXi utilise la couche réseau virtuelle pour les communications entre les machines virtuelles et leurs utilisateurs. En outre, ESXi utilise cette couche de mise en réseau pour communiquer avec les SAN iSCSI, le stockage NAS, etc.

VMware, Inc. 15

Sécurité vSphere

vSphere offre toutes les fonctionnalités pour garantir une infrastructure de mise en réseau sécurisée. Vous pouvez sécuriser séparément chacun des éléments de l'infrastructure (commutateurs virtuels, commutateurs virtuels distribués ou adaptateurs réseau virtuels, par exemple). En outre, tenez compte des directives suivantes, détaillées dans la section Chapitre 10 Sécurisation de la mise en réseau

vSphere.

Isoler le trafic réseau L'isolation du trafic réseau est essentielle pour un environnement ESXi

sécurisé. Des réseaux différents requièrent un accès et un niveau d'isolation distincts. Un réseau de gestion isole le trafic client, le trafic de l'interface de ligne de commande ou de l'API ou le trafic des logiciels tiers du trafic normal. Assurez-vous que seuls les administrateurs système, réseau et de la sécurité peuvent accéder au réseau de gestion.

Reportez-vous à Recommandations de sécurité pour la mise en réseau

d'ESXi.

Utiliser des pare-feu pour sécuriser les éléments du réseau virtuel

Envisager des stratégies de sécurité du réseau

Vous pouvez ouvrir et fermer les ports de pare-feu et sécuriser les différents éléments du réseau virtuel séparément. Pour les hôtes ESXi, les règles de pare-feu associent les services avec les pare-feu correspondants et peuvent ouvrir et fermer le pare-feu en fonction de l'état du service. Reportez-vous à ESXi.

Vous pouvez également ouvrir explicitement des ports sur les instances de Platform Services Controller et vCenter Server. Reportez-vous aux sections

Ports requis pour vCenter Server et l'instance de Platform Services Controller et Ports TCP et UDP supplémentaires pour vCenter Server.

Les stratégies de sécurité du réseau assurent la protection du trafic contre l'emprunt d'identité d'adresse MAC et l'analyse des ports indésirables. La règle de sécurité d'un commutateur standard ou distribué est mise en œuvre au niveau de la couche 2 (couche de liaison de données) de la pile de protocole réseau. Les trois éléments de la stratégie de sécurité sont le mode Proximité, les changements d'adresse MAC et les Transmissions forgées.

Les instructions sont disponibles dans la documentation Mise en réseau vSphere.

Sécuriser la mise en réseau de machines virtuelles

Les méthodes qui vous permettent de sécuriser la mise en réseau de machines virtuelles dépendent de plusieurs facteurs, notamment :

du système d'exploitation invité qui est installé ;

de l'utilisation d'un environnement approuvé pour les machines virtuelles.

Les commutateurs virtuels et les commutateurs virtuels distribués offrent un niveau de protection élevé lorsqu'ils sont utilisés avec d'autres mesures de sécurité courantes (installation de pare-feu, notamment).

VMware, Inc. 16

Sécurité vSphere

Reportez-vous à Chapitre 10 Sécurisation de la mise en réseau vSphere.

Envisager les VLAN pour protéger votre environnement

Sécuriser les connexions du stockage virtualisé

ESXi prend en charge les VLAN IEEE 802.1q. Les VLAN vous permettent de segmenter un réseau physique. Vous pouvez les utiliser pour renforcer la protection de la configuration du stockage ou du réseau de machines virtuelles. Lorsque des VLAN sont utilisés, deux machines sur le même réseau physique ne peuvent pas s'envoyer mutuellement des paquets ni en recevoir, sauf s'ils se trouvent sur le même réseau VLAN.

Reportez-vous à Sécurisation des machines virtuelles avec des VLAN.

Une machine virtuelle stocke les fichiers du système d'exploitation, les fichiers de programme et d'autres données sur un disque virtuel. Chaque disque virtuel apparaît sur la machine virtuelle en tant que lecteur SCSI connecté au contrôleur SCSI. Une machine virtuelle n'a pas accès aux détails du stockage ni aux informations relatives au LUN sur lequel réside son disque virtuel.

Le système VMFS (Virtual Machine File System) combine un système de fichiers distribué et un gestionnaire de volumes qui présente les volumes virtuels à l'hôte ESXi. La sécurisation de la connexion avec le stockage relève de votre responsabilité. Par exemple, si vous utilisez un stockage iSCSI, vous pouvez configurer votre environnement pour utiliser le protocole CHAP. Si la stratégie de l'entreprise l'exige, vous pouvez configurer une authentification CHAP mutuelle. Utilisez vSphere Web Client ou les interfaces de ligne de commande pour configurer CHAP.

Reportez-vous à Meilleures pratiques en matière de sécurité du stockage.

Évaluer l'utilisation d'IPSec

De plus, déterminez si VMware NSX for vSphere est une solution adéquate pour sécuriser la couche de mise en réseau dans votre environnement.

ESXi prend en charge IPSec sur IPv6. Vous ne pouvez pas utiliser IPSec sur IPv4.

Reportez-vous à Sécurité du protocole Internet.

Mots de passe dans votre environnement vSphere

Les restrictions de mot de passe, l'expiration du mot de passe et le verrouillage du compte dans votre environnement vSphere dépendent de plusieurs facteurs : système visé par l'utilisateur, identité de l'utilisateur et mode de définition des stratégies.

Mots de passe d' ESXi

Les restrictions de mot de passe ESXi sont déterminées par le module PAM Linux pam_passwdqc. Pour le module pam_passwdqc, reportez-vous à la page du manuel Linux et à Verrouillage des mots de passe

et des comptes ESXi.

VMware, Inc. 17

Sécurité vSphere

Mots de passe pour vCenter Server et autres services de vCenter

vCenter Single Sign-On gère l'authentification pour tous les utilisateurs qui se connectent à vCenter Server et à d'autres services de vCenter. Les restrictions de mot de passe, l'expiration du mot de passe et le verrouillage du compte dépendent du domaine de l'utilisateur et de l'identité de l'utilisateur.

Administrateur de vCenter Single Sign-On

Autres utilisateurs du domaine Single SignOn vCenter

Le mot de passe de l'administrateur vCenter Single Sign-On est administrator@vsphere.local par défaut ou administrator@mydomain si vous avez spécifié un domaine différent lors de l'installation. Ce mot de passe n'expire pas. À tous les autres niveaux, le mot de passe doit respecter les restrictions définies dans la stratégie de mot de passe vCenter Single Sign-On. Reportez-vous à Administration de Platform Services Controller pour plus de détails.

Si vous oubliez le mot de passe de cet utilisateur, recherchez dans le système de la base de connaissances VMware des informations sur la réinitialisation de ce mot de passe. Pour réinitialiser le mot de passe, des privilèges supplémentaires comme un accès racine sont nécessaires pour accéder au système vCenter Server.

Les mots de passe des autres utilisateurs vsphere.local ou des utilisateurs du domaine que vous avez spécifiés au cours de l'installation doivent respecter les restrictions qui sont définies par la stratégie de mot de passe et de verrouillage de vCenter Single Sign-On. Consultez Administration de Platform Services Controller pour plus d'informations. Ces mots de passe expirent après 90 jours par défaut. Les administrateurs peuvent modifier l'expiration dans le cadre de la stratégie de mot de passe.

Si vous oubliez votre mot de passe vsphere.local, un administrateur peut réinitialiser ce mot de passe à l'aide de la commande dir-cli.

Autres utilisateurs Les restrictions de mot de passe, l'expiration du mot de passe et le

verrouillage du compte de tous les autres utilisateurs sont déterminés par le domaine (source d'identité) auprès duquel l'utilisateur peut s'authentifier.

vCenter Single Sign-On prend en charge une source d'identité par défaut. Les utilisateurs peuvent se connecter au domaine correspondant à vSphere Web Client simplement avec leur nom d'utilisateur. Si des utilisateurs veulent se connecter à un domaine qui n'est pas le domaine par défaut, ils peuvent inclure le nom de domaine, c'est-à-dire spécifier utilisateur@domaine ou domaine\utilisateur. Les paramètres de mot de passe d'accès au domaine s'appliquent à chaque domaine.

VMware, Inc. 18

Sécurité vSphere

Mots de passe pour les utilisateurs de l'interface utilisateur de la console directe de vCenter Server Appliance

vCenter Server Appliance est une machine virtuelle basée sur Linux préconfigurée et optimisée pour l'exécution de vCenter Server et des services associés sur Linux.

Lorsque vous déployez le dispositif vCenter Server Appliance, vous devez spécifier ces mots de passe.

Mot de passe de l'utilisateur racine du système d'exploitation Linux du dispositif.

Mot de passe de l'administrateur du domaine vCenter Single Sign-On, administrator@vsphere.local par défaut.

Vous pouvez modifier le mot de passe de l'utilisateur racine et effectuer d'autres tâches de gestion d'utilisateur local du dispositif vCenter Server Appliance depuis la console de celui-ci. Reportez-vous à Configuration de vCenter Server Appliance.

Meilleures pratiques en matière de sécurité et ressources de sécurité

Si vous suivez les meilleures pratiques, votre ESXi et vCenter Server peuvent être au moins aussi sûr qu'un environnement non virtualisé.

Ce manuel répertorie les meilleures pratiques pour les différents composants de votre infrastructure vSphere.

Tableau 1‑1. Meilleures pratiques de sécurité

Composant de vSphere Ressource

hôte ESXi Chapitre 3 Sécurisation des hôtes ESXi

Système vCenter Server Meilleures pratiques de sécurité de vCenter Server

Machine virtuelle Recommandations en matière de sécurité des machines

virtuelles

Mise en réseau vSphere Meilleures pratiques en matière de sécurité de la mise en

réseau vSphere

Ce manuel ne représente que l'une des sources dont vous avez besoin pour assurer la sécurité de l'environnement.

Les ressources de sécurité VMware, notamment les alertes et les téléchargements de sécurité, sont disponibles en ligne.

VMware, Inc. 19

Sécurité vSphere

Tableau 1‑2. Ressources de sécurité VMware disponibles sur le Web

Rubrique Ressource

Stratégie de sécurité VMware, alertes de sécurité à jour, téléchargements de sécurité et discussions sur des thèmes liés à la sécurité.

Politique de l'entreprise en matière de réponse sécuritaire

Politique de support logiciel tiers http://www.vmware.com/support/policies/

Standards de sécurité et de conformité, ainsi que solutions partenaires et contenu détaillé sur la virtualisation et la conformité

http://www.vmware.com/go/security

http://www.vmware.com/support/policies/security_response.html

VMware s'engage à vous aider à maintenir un environnement sécurisé. Dans ce cadre, les problèmes de sécurité sont corrigés rapidement. La politique VMware en matière de réponse sécuritaire fait état de notre engagement lié à la résolution d'éventuelles vulnérabilités de nos produits.

VMware prend en charge un grand nombre de systèmes de stockage et d'agents logiciels (tels que les agents de sauvegarde ou les agents de gestion système). Vous trouverez la liste des agents, outils et autres logiciels prenant en charge ESXi en cherchant sur

http://www.vmware.com/vmtn/resources/ les guides de compatibilité ESXi.

Il existe sur le marché un nombre de produits et de configurations tel quel VMware ne peut pas tous les tester. Si un produit ou une configuration spécifique ne figure pas dans l'un des guides de compatibilité, contactez le Support technique, qui pourra vous aider à résoudre les problèmes rencontrés ; en revanche, il ne pourra pas vous garantir que ce produit ou cette configuration peut être utilisé. Vous devez toujours évaluer les risques de sécurité liés aux produits ou aux configurations non pris en charge.

http://www.vmware.com/go/compliance

Informations sur les certifications et les validations de sécurité telles que CCEVS et FIPS pour les différentes versions des composants de vSphere.

Guides de sécurisation renforcée pour les différentes versions de vSphere et d'autres produits VMware.

Livre blanc Sécurité de VMware vSphere

Hypervisor

https://www.vmware.com/support/support-resources/certifications.html

https://www.vmware.com/support/support-resources/hardening-guides.html

http://www.vmware.com/files/pdf/techpaper/vmw-wp-secrty-vsphr-hyprvsruslet-101.pdf

VMware, Inc. 20

Tâches de gestion des utilisateurs et des autorisations

de vSphere 2

L'authentification et l'autorisation gouvernent l'accès. vCenter Single Sign-On prend en charge l'authentification, ce qui signifie qu'il détermine si un utilisateur peut accéder à l'intégralité des composants vSphere ou pas. Chaque utilisateur doit également être autorisé à afficher ou à manipuler des objets vSphere.

vSphere prend en charge différents mécanismes d'autorisation abordés dans Présentation des

autorisations dans vSphere. Cette section aborde essentiellement le fonctionnement du modèle

d'autorisation vCenter Server et le mode d'exécution des tâches de gestion des utilisateurs.

vCenter Server permet un contrôle plus complet des permissions en général grâce aux autorisations et aux rôles. Lorsque vous attribuez une autorisation à un objet de la hiérarchie d'objets de vCenter Server, vous spécifiez les privilèges dont l'utilisateur ou le groupe dispose sur cet objet. Pour spécifier les privilèges, vous utilisez des rôles, qui sont des ensembles de privilèges.

À l'origine, seul l'administrateur du domaine vCenter Single Sign-On, administrator@vsphere.local par défaut, est autorisé à se connecter au système vCenter Server. Cet utilisateur peut alors procéder comme suit :

1 Ajouter une source d'identité dans laquelle les utilisateurs et les groupes sont définis sur vCenter

Single Sign-On. Consultez la documentation de Administration de Platform Services Controller .

2 Accordez des privilèges à un utilisateur ou à un groupe en sélectionnant un objet tel qu'une machine

virtuelle ou un système vCenter Server et en attribuant un rôle de cet objet à l'utilisateur ou au groupe.

Rôles, privilèges et autorisations (http://link.brightcove.com/services/player/bcpid2296383276001?

bctid=ref:video_roles_privileges_permissions_vsphere_web_client)

Ce chapitre aborde les rubriques suivantes :

Présentation des autorisations dans vSphere

Gestion des autorisations des composants vCenter

Autorisations globales

Utilisation des rôles pour assigner des privilèges

Meilleures pratiques pour les rôles et les autorisations

VMware, Inc.

Sécurité vSphere

Privilèges requis pour les tâches courantes

Présentation des autorisations dans vSphere

vSphere prend en charge plusieurs modèles avec un contrôle précis pour déterminer si un utilisateur est autorisé à effectuer une tâche. vCenter Single Sign-On utilise l'appartenance au groupe dans un groupe vCenter Single Sign-On afin de décider de ce que vous êtes autorisé à faire. Votre rôle sur un objet ou votre autorisation globale détermine si vous êtes autorisé à effectuer d'autres tâches dans vSphere.

Présentation des autorisations

Dans vSphere 6.0 et versions ultérieures, des utilisateurs privilégiés peuvent accorder à d'autres utilisateurs des autorisations leur permettant d'effectuer des tâches. Vous pouvez exploiter les autorisations globales ou les autorisations vCenter Server locales pour permettre à d'autres utilisateurs d'utiliser des instances vCenter Server individuelles.

Autorisations vCenter Server

Autorisations globales Les autorisations globales sont appliquées à un objet racine global qui peut

Le modèle d'autorisation des systèmes vCenter Server repose sur l'attribution d'autorisations à des objets dans la hiérarchie d'objets. Chaque autorisation accorde à un utilisateur ou à un groupe un ensemble de privilèges, c'est-à-dire un rôle sur l'objet sélectionné. Par exemple, vous pouvez sélectionner une machine virtuelle et sélectionner Ajouter une autorisation pour attribuer un rôle à un groupe d'utilisateurs dans un domaine que vous sélectionnez. Ce rôle accorde à ces utilisateurs les privilèges correspondants sur cette VM.

couvrir plusieurs solutions à la fois. Par exemple, si vCenter Server et vRealize Orchestrator sont installés, vous pouvez utiliser les autorisations globales. Par exemple, vous pouvez accorder à un groupe d'utilisateurs des autorisations de lecture sur tous les objets dans les deux hiérarchies d'objets.

Les autorisations globales sont répliquées dans le domaine vsphere.local. Les autorisations globales ne fournissent pas d'autorisations pour les services gérés via des groupes vsphere.local. Reportez-vous à la section

Autorisations globales.

Appartenance au groupe dans les groupes vCenter Single Sign-On

Autorisations d'hôte ESXi local

VMware, Inc. 22

Les membres d'un groupe vsphere.local peuvent effectuer certaines tâches. Par exemple, vous pouvez effectuer la gestion de licences si vous êtes membre du groupe LicenseService.Administrators. Consultez la documentation de Administration de Platform Services Controller .

Si vous gérez un système ESXi autonome qui n'est pas géré par un système vCenter Server, vous pouvez attribuer l'un des rôles prédéfinis aux utilisateurs. Consultez la documentation de Gestion individuelle des hôtes vSphere - VMware Host Client.

Sécurité vSphere

Pour les hôtes gérés, attribuez des rôles à l'objet hôte ESXi dans l'inventaire vCenter Server.

Présentation du modèle d'autorisation de niveau objet

Vous autorisez un utilisateur ou un groupe d'utilisateurs à effectuer des tâches sur les objets vCenter en utilisant des autorisations sur l'objet. Le modèle d'autorisation vSphere repose sur l'attribution d'autorisations à des objets dans la hiérarchie d'objets vSphere. Chaque autorisation accorde un ensemble de privilèges à un utilisateur ou à un groupe, c'est-à-dire un rôle pour l'objet sélectionné. Par exemple, un groupe d'utilisateurs peut avoir le rôle lecture seule sur une machine virtuelle et le rôle d'administrateur sur une autre machine virtuelle.

Les concepts suivants sont importants.

Autorisations Chaque objet de la hiérarchie des objets vCenter Server a des

autorisations associées. Chaque autorisation spécifie pour un groupe ou un utilisateur les privilèges dont dispose ce groupe ou cet utilisateur sur l'objet.

Utilisateurs et groupes Sur les systèmes vCenter Server, vous ne pouvez attribuer des privilèges

qu'aux utilisateurs ou aux groupes d'utilisateurs authentifiés. Les utilisateurs sont authentifiés via vCenter Single Sign-On. Les utilisateurs et les groupes doivent être définis dans la source d'identité utilisée par vCenter Single Sign-On pour l'authentification. Définissez les utilisateurs et les groupes à l'aide des outils de votre source d'identité, par exemple Active Directory.

Privilèges Les privilèges sont des contrôles d'accès précis. Vous pouvez regrouper

ces privilèges dans des rôles, que vous pouvez ensuite mapper à des utilisateurs ou à des groupes.

Rôles Les rôles sont des ensembles de privilèges. Les rôles vous permettent

d'attribuer des autorisations sur un objet en fonction d'un ensemble de tâches par défaut exécutées par les utilisateurs. Les rôles par défaut, par exemple Administrateur, sont prédéfinis sur vCenter Server et ne peuvent pas être modifiés. D'autres rôles, par exemple Administrateur de pool de ressources, sont des exemples de rôles prédéfinis. Vous pouvez créer des rôles personnalisés totalement nouveaux, ou cloner et modifier des exemples de rôles. Reportez-vous à la section Créer un rôle personnalisé.

VMware, Inc. 23

Autorisation

Objet vSphere

Utilisateur ou groupe

Rôle

Privilège

Sécurité vSphere

Figure 2‑1. Autorisations de vSphere

Pour attribuer des autorisations à un objet, suivez les étapes suivantes :

1 Sélectionnez l'objet auquel vous souhaitez appliquer l'autorisation dans la hiérarchie des objets

vCenter.

2 Sélectionnez le groupe ou l'utilisateur qui doit avoir des privilèges sur l'objet.

3 Sélectionnez des privilèges individuels ou un rôle, c'est-à-dire un ensemble de privilèges, que le

groupe ou l'utilisateur doit avoir sur l'objet.

Par défaut, les autorisations se propagent, c'est-à-dire que le groupe ou l'utilisateur a le rôle sélectionné sur l'objet sélectionné et ses objets enfants.

vCenter Server offre des rôles prédéfinis qui combinent les ensembles de privilèges fréquemment utilisés. Vous pouvez également créer des rôles personnalisés en combinant un ensemble de rôles.

Les autorisations doivent souvent être définies à la fois sur un objet source et un objet de destination. Par exemple, si vous déplacez une machine virtuelle, vous devez disposer de privilèges sur cette machine virtuelle ainsi que sur le centre de données de destination.

Consultez les informations suivantes.

Pour savoir comment... Reportez-vous à...

Création de rôles personnalisés. Créer un rôle personnalisé

Tous les privilèges et objets auxquels vous pouvez appliquer les privilèges

Ensembles de privilèges requis sur des objets différents pour des tâches différentes.

Chapitre 13 Privilèges définis

Privilèges requis pour les tâches courantes

Le modèle d'autorisations des hôtes ESXi autonomes est plus simple. Reportez-vous à la section

Attribution de privilèges pour les hôtes ESXi.

VMware, Inc. 24

Sécurité vSphere

Héritage hiérarchique des autorisations

Quand vous assignez une autorisation à un objet, vous pouvez choisir si l'autorisation propage la hiérarchie d'objet. Vous définissez la propagation pour chaque autorisation. La propagation n'est pas universellement appliquée. Les autorisations définies pour un objet enfant ignorent toujours les autorisations qui sont propagées à partir des objets parent.

La figure illustre la hiérarchie d'inventaire et les chemins par lesquels les autorisations peuvent être propagées.

Remarque Les autorisations globales prennent en charge l'attribution de privilèges dans plusieurs

solutions à partir d'un objet racine global. Reportez-vous à Autorisations globales.

VMware, Inc. 25

modèle

hôte

VDS

banque de

cluster

vApp

vApp vApp

machine

virtuelle

machine

virtuelle

pool de

ressources

pool de

ressources

machine

virtuelle

machine

virtuelle

pool de

ressources

commutateur

standard

cluster de

banques de

groupe

distribués

Dossier de VM dossier d'hôte

centre de données

vCenter Server

(niveau de l'instance de vCenter Server)

dossier

réseau

dossier de banque

de données

dossier de centre

de données

objet racine

(niveau d'autorisations global)

catégorie de

balise

bibliothèque

élément de

balises

données

de ports

données

bibliothèque

de contenu

Sécurité vSphere

Figure 2‑2. Hiérarchie d'inventaire de vSphere

La plupart des objets d'inventaire héritent des autorisations d'un objet parent unique dans la hiérarchie. Par exemple, un centre de données hérite des autorisations de son dossier parent du centre de données ou du centre de données de parent. Les machines virtuelles héritent des autorisations du dossier parent de machine virtuelle et simultanément l'hôte, le cluster ou le pool de ressources parent.

Par exemple, pour définir des autorisations pour un Distributed Switch et ses groupes de ports distribués associés, définissez les autorisations sur un objet parent, tel qu'un dossier ou un centre de données. Vous devez également sélectionner l'option pour propager ces autorisations aux objets enfant.

VMware, Inc. 26

Sécurité vSphere

Les autorisations prennent plusieurs formes dans la hiérarchie :

Entités gérées Les utilisateurs privilégiés peuvent définir des autorisations sur des entités

gérées.

Clusters

Centres de données

Banques de données

Clusters de banques de données

Dossiers

Hôtes

Réseaux (excepté vSphere Distributed Switches)

Groupes de ports distribués

Pools de ressources

Modèles

Machines virtuelles

vSphere vApps

Entités globales Vous ne pouvez pas modifier les autorisations sur des entités qui dérivent

les autorisations du système vCenter Server racine.

Champs personnalisés

Licences

Rôles

Intervalles de statistiques

Sessions

Paramètres d'autorisation multiples

Les objets peuvent avoir des autorisations multiples, mais seulement une autorisation pour chaque utilisateur ou groupes. Par exemple, une autorisation peut spécifier que le groupe A dispose des privilèges d'administrateur sur un objet. Une autre autorisation peut spécifier que le groupe B peut avoir des privilèges d'administrateur de machines virtuelles sur le même objet.

Si un objet hérite des autorisations de deux objets parents, les autorisations d'un objet sont ajoutées à celles de l'autre objet. Par exemple, supposons qu'une machine virtuelle se trouve dans un dossier de machines virtuelles et qu'elle appartient également à un pool de ressources. Cette machine virtuelle hérite de tous les paramètres d'autorisation du dossier de machines virtuelles et du pool de ressources.

VMware, Inc. 27

groupe B + rôle 2

l'utilisateur 1 a des privilèges du rôle 1 et du rôle 2

groupe A + rôle 1

VM A

VM B

Dossier VM

Sécurité vSphere

Les autorisations appliquées sur un objet enfant ignorent toujours les autorisations qui sont appliquées sur un objet parent. Reportez-vous à Exemple 2 : Autorisations d'enfant ignorant des autorisations de

parent.

Si des autorisations multiples de groupes sont définies sur le même objet et qu'un utilisateur appartient à au moins deux de ces groupes, deux situations sont possibles :

Aucune autorisation n'est définie directement sur l'objet pour l'utilisateur. Dans ce cas, l'utilisateur dispose des privilèges dont les groupes disposent sur cet objet.

Une autorisation est définie directement sur l'objet pour l'utilisateur. Dans ce cas, l'autorisation de l'utilisateur est prioritaire sur toutes les autorisations de groupe.

Exemple 1 : Héritage d'autorisations multiples

Cet exemple illustre comment un objet peut hériter d'autorisations multiples de groupes auxquels ont été accordés l'autorisation sur un objet parent.

Dans cet exemple, deux autorisations sont assignées sur le même objet pour deux groupes différents.

Le rôle 1 peut mettre des machines virtuelles sous tension.

Le rôle 2 peut prendre des snapshots de machines virtuelles.

On accorde au groupes A le rôle 1 sur le dossier de VM, avec l'autorisation définie pour propager aux objets enfant.

On accorde au groupes B le rôle 2 sur le dossier de VM, avec l'autorisation définie pour propager aux objets enfant.

Aucun privilège spécifique n'est attribué à l'utilisateur 1.

L'utilisateur 1, qui appartient aux groupes A et B, se connecte. L'utilisateur 1 peut mettre sous tension et prendre des snapshots de VM A et de VM B.

Figure 2‑3. Exemple 1 : Héritage d'autorisations multiples

Exemple 2 : Autorisations d'enfant ignorant des autorisations de parent

Cet exemple illustre comment les autorisations qui sont assignées sur un objet enfant peuvent ignorer les autorisations qui sont assignées sur un objet parent. Vous pouvez utiliser ce comportement de non prise en compte pour limiter l'accès client à des zones spécifiques de l'inventaire.

Dans cet exemple, des autorisations sont définies sur deux objets différents pour deux groupes différents.

Le rôle 1 peut mettre des machines virtuelles sous tension.

VMware, Inc. 28

VM A

VM B

Dossier VM

groupe B + rôle 2

l'utilisateur 1 a des privilèges du rôle 1 seulement

l'utilisateur 1 a des privilèges du rôle 2 seulement

groupe A + rôle 1

VM A

VM B

Dossier de VM

utilisateur 1 + aucun accès

l'utilisateur 1 n'a aucun accès au dossier ou les machines virtuelles

groupes A + le rôle 1

Sécurité vSphere

Le rôle 2 peut prendre des snapshots de machines virtuelles.

On accorde au groupes A le rôle 1 sur le dossier de VM, avec l'autorisation définie pour propager aux objets enfant.

On accorde le groupes B le rôle 2 sur VM B.

L'utilisateur 1, qui appartient aux groupes A et B, se connecte. Puisque le rôle 2 est assigné à un point inférieur dans la hiérarchie que le rôle 1, il ignore le rôle 1 sur VM B. L'utilisateur 1 peut mettre sous tension VM A, mais ne peut pas prendre des snapshots. L'utilisateur 1 peut prendre des snapshots de VM B, mais ne peut pas les mettre sous tension.

Figure 2‑4. Exemple 2 : Autorisations d'enfant ignorant des autorisations de parent

Exemple 3 : Rôle d'utilisateur supprimant un rôle de groupe

Cet exemple illustre comment le rôle attribué directement à un utilisateur individuel remplace les privilèges associés à un rôle attribué à un groupe.

Dans cet exemple, les autorisations sont définies sur le même objet. Une autorisation associe un groupe à un rôle et l'autre l'autorisation associe un utilisateur individuel à un rôle. L'utilisateur est un membre du groupe.

Le rôle 1 peut mettre des machines virtuelles sous tension.

On accorde au groupes A le rôle 1 sur le dossier de VM.

On accorde à l'utilisateur 1 un rôle Aucun accès sur le dossier de VM.

L'utilisateur 1, qui appartient au groupes A, se connecte. Le rôle Aucun accès accordé à l'utilisateur 1 sur le dossier de VM remplace le rôle attribué au groupe. L'utilisateur 1 n'a aucun accès au dossier ou aux VM A et B. de VM.

Figure 2‑5. Exemple 3 : Autorisations d'utilisateurs ignorant des autorisations de groupes

VMware, Inc. 29

Sécurité vSphere

Gestion des autorisations des composants vCenter

Une autorisation est définie sur une hiérarchie d'objets vCenter. Chaque autorisation associe l'objet à un groupe ou un utilisateur et aux rôles d'accès correspondants. Par exemple, vous pouvez sélectionner un objet de machine virtuelle, ajouter une autorisation qui accorde le rôle en lecture seule au Groupe 1 et ajouter une deuxième autorisation qui accorde le rôle d'administrateur à l'utilisateur 2.

En attribuant un rôle différent à un groupe d'utilisateurs sur différents objets, vous contrôlez les tâches que les utilisateurs peuvent effectuer dans votre environnement vSphere. Par exemple, pour autoriser un groupe à configurer la mémoire de l'hôte, sélectionnez l'hôte et ajoutez une autorisation qui accorde à ce groupe un rôle incluant le privilège Hôte.Configuration.Configuration mémoire.

Pour gérer les autorisations de vSphere Web Client, vous devez comprendre les concepts suivants :

Autorisations Chaque objet de la hiérarchie des objets vCenter Server a des

autorisations associées. Chaque autorisation spécifie pour un groupe ou un utilisateur les privilèges dont dispose ce groupe ou cet utilisateur sur l'objet.

Utilisateurs et groupes Sur les systèmes vCenter Server, vous ne pouvez attribuer des privilèges

Privilèges Les privilèges sont des contrôles d'accès précis. Vous pouvez regrouper

ces privilèges dans des rôles, que vous pouvez ensuite mapper à des utilisateurs ou à des groupes.

Rôles Les rôles sont des ensembles de privilèges. Les rôles vous permettent

Vous pouvez attribuer des autorisations à des objets sur différents niveaux de la hiérarchie. Vous pouvez, par exemple, attribuer des autorisations à un objet d'hôte ou de dossier qui inclut tous les objets d'hôte. Reportez-vous à Héritage hiérarchique des autorisations. Vous pouvez également attribuer des autorisations à un objet racine global pour appliquer les autorisations à l'ensemble des objets dans toutes les solutions. Reportez-vous à Autorisations globales.

VMware, Inc. 30

+ 281 hidden pages