Szenario: Bereitstellen von überwachten Hosts und geschützten virtuellen Maschinen in VMM
Wichtig
Diese Version von Virtual Machine Manager (VMM) hat das Supportende erreicht. Sie sollten ein Upgrade auf VMM 2019 durchführen.
Dieser Artikel bietet eine Übersicht über die Bereitstellung von überwachten Hyper-V-Hosts und abgeschirmten virtuellen Computern in einem Compute-Fabric von System Center – Virtual Machine Manager (VMM).
Geschützte Fabrics bieten zusätzlichen Schutz für VMs, um Manipulationen und Diebstahl durch böswillige Administratoren und Schadsoftware zu verhindern. Als Clouddienstanbieter oder Administrator einer privaten Cloud können Sie ein geschütztes Fabric bereitstellen, das in der Regel aus folgenden Elementen besteht: Ein Server, auf dem der Host-Überwachungsdienst (Host Guardian Service, HGS) ausgeführt wird, mindestens ein überwachter Hyper-V-Hostserver und mindestens eine abgeschirmte VM, die auf diesen Hosts ausgeführt wird. Erfahren Sie mehr zu überwachten Fabrics.
Warum muss ich VMs schützen?
Virtuelle Computer enthalten vertrauliche Daten und Konfigurationen, die der Besitzer des virtuellen Computers möglicherweise vor einem Fabricadministrator verbergen möchte. Da jedoch alle Daten für VMs in Dateien gespeichert sind, können die Daten problemlos von Schadsoftware oder einem böswilligen Administrator kopiert und untersucht werden. Mit abgeschirmten VMs in Windows Server können derartige Angriffe durch strenge Nachweise der Integrität eines Hyper-V-Hosts vor dem Starten einer VM vermieden werden. So wird sichergestellt, dass die VM nur in Rechenzentren gestartet werden kann, die durch den VM-Besitzer autorisiert wurden, und es wird ermöglicht, dass das Gastbetriebssystem eigene Daten durch die Verwendung eines neuen, virtuellen TPM verschlüsseln kann. Der VM-Besitzer kann beim Erstellen einer sicherheitsrelevanten VM die folgenden zwei Arten von Schutz aktivieren:
- Verschlüsselung unterstützt: Ideal für Szenarien mit privaten Unternehmensclouds, in denen die Verschlüsselung von Daten, ruhend und während der Übertragung, erforderlich ist und die Fabricadministratoren als vertrauenswürdig gelten. Die VM-Konsole und weitere Verwaltungsfunktionen stehen Fabricadministratoren weiterhin zur Verfügung.
- Geschützt: Dies ist die sicherste Bereitstellungsoption. Durch den Schutz können Fabricadministratoren keine Verbindung mit der VM-Konsole herstellen und keine Sicherheitsaspekte der VM-Konfiguration ändern. VM-Besitzer können auf die VM nur über Remoteverwaltungstools zugreifen, die sie aktiviert haben. Dies empfiehlt sich für Mandanten, die vertrauliche Arbeitsauslastungen auf einer öffentlichen oder gemeinsam genutzten Infrastruktur ausführen.
Verwalten eines geschützten Fabrics mit VMM
Die Kerninfrastruktur für geschützte Fabrics (bestehend aus einem oder mehreren überwachten Hyper-V-Hosts, dem Host-Überwachungsdienst und den erforderlichen Artefakten zum Erstellen abgeschirmter VMs) ist in Windows Server 2016 und höher enthalten und muss entsprechend der Dokumentation zu geschützten Fabrics konfiguriert werden. Nach der Einrichtung können Sie optional System Center – Virtual Machine Manager verwenden, um die Verwaltung des geschützten Fabrics zu vereinfachen.
VMM kann für folgende Aufgaben verwendet werden:
- Bereitstellen und Verwalten von überwachten Hosts im VMM-Fabric: Sie können überwachte Hosts zum VMM-Fabric hinzufügen und dort verwalten. Ein geschützter Host ist ein Hyper-V-Server, für den Folgendes gilt:
- Er erfüllt die Voraussetzungen für überwachte Hosts.
- Er ist durch den Host-Überwachungsdienst für das Fabric autorisiert, abgeschirmte VMs auszuführen. Der HGS-Administrator bestimmt die Anforderungen für Hosts, damit sie erfolgreich bestätigt und „überwacht“ werden.
- Er wird in VMM als überwacht gekennzeichnet, indem er für die Verwendung der gleichen HGS-URLs konfiguriert wird, die in den globalen VMM-Einstellungen angegeben sind.
- Konfigurieren einer geschützten virtuellen Festplatte und optional einer VM-Vorlage: Signierte Vorlagendatenträger (VHDX), die zum Bereitstellen neuer abgeschirmter VMs verwendet werden, können in der VMM-Bibliothek zur Vereinfachung der Bereitstellung gespeichert werden. Anschließend können Sie diese VHDX in einer VM-Vorlage verwenden.
- Bereitstellen und Verwalten von abgeschirmten VMs: VMM unterstützt den gesamten Lebenszyklus der abgeschirmten VMs. Dies schließt Folgendes ein:
- Erstellen neuer abgeschirmter VMs aus einem signierten Vorlagendatenträger (VHDX) und optional Verwenden einer VM-Vorlage.
- Konvertieren vorhandener VMs in abgeschirmte VMs.