Handbuch zur Serverkonfiguration für ESX - VMware

Kapitel 13 Authentifizierung und Benutzerverwaltung
Weiter
1 Hängen Sie das Profil an die Hosts an, wie unter „Anhängen von Elementen über den Host“, auf Seite 250
beschrieben.
2 Wenden Sie das Profil an die Hosts an, wie unter „Anwenden eines Profils über den Host“, auf Seite 251
beschrieben.
Verschlüsselungs- und Sicherheitszertifikate für ESX
ESX unterstützt SSL, Version 3, und TLS, Version 1, die anschließend als SSL (Secure Socket Layer) bezeichnet
werden. Bei aktiviertem SSL sind die Daten vertraulich, geschützt und können nicht unbemerkt bei der Übertragung
geändert werden.
Sämtlicher Netzwerkdatenverkehr wird verschlüsselt, solange die folgenden Bedingungen gelten:
• Der Web-Proxy-Dienst wurde nicht so geändert, dass er unverschlüsselten Datenverkehr für den Port
durchlässt.
• Bei der Firewall der Servicekonsole wurde die mittlere oder hohe Sicherheit eingestellt.
Die Hostzertifikatsüberprüfung ist standardmäßig aktiviert. Für die Verschlüsselung des Netzwerkverkehrs
werden SSL-Zertifikate verwendet. ESX verwendet jedoch automatisch generierte Zertifikate, die als Teil des
Installationsprozesses erstellt und auf dem Host gespeichert werden. Zwar sind diese Zertifikate eindeutig
und ermöglichen die Verwendung des Servers, sie können jedoch nicht verifiziert werden und wurden nicht
von einer bekannten, vertrauenswürdigen Zertifizierungsstelle (CA) signiert. Diese Standardzertifikate sind
anfällig für mögliche Man-in-the-Middle-Angriffe.
Um die Vorteile der Zertifikatsüberprüfung voll nutzen zu können, insbesondere, wenn Sie vorhaben, verschlüsselte
Remoteverbindungen extern zu verwenden, installieren Sie neue Zertifikate, die von einer gültigen
internen Zertifizierungsstelle (CA) signiert wurden, oder erwerben Sie ein Zertifikat von einer vertrauenswürdigen
Zertifizierungsstelle.
HINWEIS Bei Verwenden des selbst signierten Zertifikats erhalten Clients eine Warnmeldung zum Zertifikat.
Um dieses Problem zu beheben, installieren Sie ein von einer anerkannten Zertifizierungsstelle signiertes Zertifikat.
Wenn keine von einer CA signierten Zertifikate installiert sind, wird die gesamte Kommunikation
zwischen vCenter Server und den vSphere-Clients mit einem selbst signierten Zertifikat verschlüsselt. Diese
Zertifikate bieten nicht die für eine Produktionsumgebung möglicherweise erforderliche Authentifizierungssicherheit.
Der Standardspeicherort für das Zertifikat ist /etc/vmware/ssl/ auf dem ESX-Host. Das Zertifikat besteht aus
zwei Dateien: dem Zertifikat selbst (rui.crt) und der persönlichen Schlüsseldatei (rui.key).
Aktivieren der Überprüfung von Zertifikaten und Host-Fingerabdrücken
Die Zertifikatüberprüfung ist standardmäßig aktiviert, um Man-in-the-Middle-Angriffe zu verhindern und
sämtliche Sicherheitsfunktionen der Zertifikate zu verwenden. Sie können prüfen, ob die Zertifikatüberprüfung
im vSphere-Client aktiviert ist.
HINWEIS vCenter Server-Zertifikate bleiben bei Upgrades erhalten.
Vorgehensweise
1 Melden Sie sich mit dem vSphere-Client bei einem vCenter Server-System an.
2 Wählen Sie [Verwaltung] > [vCenter Server-Einstellungen] .
3 Klicken Sie im linken Bildschirmbereich auf [SSL-Einstellungen] und überprüfen Sie, dass [Hostzertifikate
prüfen] ausgewählt ist.
VMware, Inc. 205