Hardening VMware vSphere 7

Non sono certo io a dover spiegare che parlare di security è ormai entrato nel day by day dei consulenti dei manager IT. Anche VMware da alcuni anni sta rilasciando  guide di come rafforzare l'hardening degli ambienti vSphere. Ormai è da diffidare di chi considera l'installazione  di ESXi e vCenter come dei semplici avanti avanti avanti ....

Riporto qui sotto il link alla guida di VMware per l'hardening degli ambienti vSphere 7 comprensivo anche dei dettagli dei parametri da configurare e  dei comandi per modificarli.

Hardening vSphere 7

HARD STOP VM

Quante volte in passato  non siamo riuscuti a spegnere una virtual machine con:

 

 

Quindi ci siamo trovati nella necessita' di utilizzare la command line per killare un'istanza di una VM (Collegarsi via SSH ecc..) vedi KB 1014565

 

Dalla versione 7 del vCenter possiamo utilizzare  l'opzione HARD STOP

 

 

 

 

Horizon Personalizzazioni WEB

È possibile eseguire delle personalizzazioni relative alla pagina HTML di accesso ai Connection Broker:

 

 

Nel dettaglio:

 

·         Background  

C:\Program Files\Vmware\VMware View\Server\broker\webapps\portal\webclient\icons-5622958\bg_image.jpg

·         Icona Horizon 

C:\Program Files\Vmware\VMware View\Server\broker\webapps\portal\webclient\icons-5622958\logo.png

·         Testo  VMware

C:\Program Files\Vmware\View\Server\broker\webapps\portal\WEB-INF\classes\com\vmware\vdi\installer\i18n\bundle_en.properties

  

FSLOGIX e HORIZON

Nelle nuove versioni di Horizon 8  (Formalmente chiamato anche 2006) ci troveremo per l'ultima volta il supporto per i linked clone. Dalle prossime versioni siamo  indirizzati ad utilizzare le funzionalità di instant clone.

L'utilizzo di macchine non persistenti (ovvero che alla disconnessione dell'utente è possibile distruggere) ci porta  spostare tutte le informazioni statiche  (come profili e dati) esternamente al nostro ambiente VDI.

La funzionalità Microsoft degli FSLOGIX ci possono venire comodi per effettuare questa operazione.

Per sfruttare questa funzionalità dovremo eseguire alcune attività propedeutiche e modificare la nostra goldimage. Per cui:

- Definire un Server su cui ospitare i nostri "container" (così vengono chiamati) e installare il componente FSLOGIX.

- Configurare una GPO (Il template si trova nel pacchetto FSLOGIX) apposita per identificare dove risiedono i nostri profili (anche i log ricordandosi, se si vuole avere i log divisi per client, aggiungere la wildcard %computername%) e applicarla alla OU dove verranno posizionate gli istant clone creati da Horizon 

- Installare l'agent FSLOGIX sulla Goldimage

Testare il tutto .

Upgrade Standalone ESXi 7.0 to 7.0b

 Check ESXi version:

Check on https://my.vmware.com/group/vmware/patch if there are new patches

There is a new patch (7.0b), download it

After download upload file to ESXi host

Create a SSH connection to ESXi Host

Put in maintenance mode

esxcli system maintenanceMode set --enable true

Update Host 

esxcli software vib update -d /vmfs/volumes/5ed278ae-6001ab57-ac5b-1c697a61ab69/ISO/VMware-ESXi-7.0b-16324942-depot.zip

and finally

After reboot the version is:

exit to maintenance mode....

#####

or update from internet

esxcli software profile update -p ESXi-7.0b-16324942-standard -d https://hostupdate.vmware.com/software/VUM/PRODUCTION/main/vmw-depot-index.xml

Prima impressione vSphere vCenter 7

Nel mio home lab ho installato la mia prima versione di vCenter 7.0

A caldo subito 2 impressioni:

- Finalmente ho solamente l'opzione di accesso HTML5

- Ho immediata visibilità se ho aggiornamento a dispisizione del vCenter