Szenario: Bereitstellen von überwachten Hosts und geschützten virtuellen Maschinen in VMM

Wichtig

Diese Version von Virtual Machine Manager (VMM) hat das Ende des Supports erreicht. Es wird empfohlen, ein Upgrade auf VMM 2022 durchzuführen.

Dieser Artikel bietet eine Übersicht über die Bereitstellung von überwachten Hyper-V-Hosts und abgeschirmten virtuellen Computern in einem Compute-Fabric von System Center – Virtual Machine Manager (VMM).

Geschützte Fabrics bieten zusätzlichen Schutz für VMs, um Manipulationen und Diebstahl durch böswillige Administratoren und Schadsoftware zu verhindern. Als Clouddienstanbieter oder Administrator einer privaten Cloud können Sie ein geschütztes Fabric bereitstellen, das in der Regel aus folgenden Elementen besteht: Ein Server, auf dem der Host-Überwachungsdienst (Host Guardian Service, HGS) ausgeführt wird, mindestens ein überwachter Hyper-V-Hostserver und mindestens eine abgeschirmte VM, die auf diesen Hosts ausgeführt wird. Erfahren Sie mehr zu überwachten Fabrics.

Warum muss ich VMs schützen?

Virtuelle Computer enthalten vertrauliche Daten und Konfigurationen, die der Besitzer des virtuellen Computers möglicherweise vor einem Fabricadministrator verbergen möchte. Da jedoch alle Daten für VMs in Dateien gespeichert sind, können die Daten problemlos von Schadsoftware oder einem böswilligen Administrator kopiert und untersucht werden.

Abgeschirmte VMs in Windows Server helfen, solche Angriffe zu verhindern, indem sie die Integrität eines Hyper-V-Hosts vor dem Starten eines virtuellen Computers gründlich nachweisen, sicherstellen, dass die VM nur in Rechenzentren gestartet werden kann, die vom VM-Besitzer autorisiert sind, und dem Gastbetriebssystem die Verschlüsselung eigener Daten mithilfe eines neuen, virtuellen TPM ermöglichen. Der VM-Besitzer kann beim Erstellen einer sicherheitsrelevanten VM die folgenden zwei Arten von Schutz aktivieren:

  • Verschlüsselung unterstützt: Ideal für Szenarien mit privaten Unternehmensclouds, in denen die Verschlüsselung von Daten, ruhend und während der Übertragung, erforderlich ist und die Fabricadministratoren als vertrauenswürdig gelten. Die VM-Konsole und weitere Verwaltungsfunktionen stehen Fabricadministratoren weiterhin zur Verfügung.
  • Geschützt: Dies ist die sicherste Bereitstellungsoption. Durch den Schutz können Fabricadministratoren keine Verbindung mit der VM-Konsole herstellen und keine Sicherheitsaspekte der VM-Konfiguration ändern. VM-Besitzer können auf die VM nur über Remoteverwaltungstools zugreifen, die sie aktiviert haben. Dies empfiehlt sich für Mandanten, die vertrauliche Arbeitsauslastungen auf einer öffentlichen oder gemeinsam genutzten Infrastruktur ausführen.

Verwalten eines geschützten Fabrics mit VMM

Die kerngeschützte Fabric-Infrastruktur (bestehend aus einem oder mehreren überwachten Hyper-V-Hosts, dem Host Guardian-Dienst und den Artefakten, die zum Erstellen von abgeschirmten VMs erforderlich sind) ist in Windows Server 2016 und höher enthalten und muss gemäß der Dokumentation zum geschützten Fabric konfiguriert werden. Nach der Einrichtung können Sie optional System Center – Virtual Machine Manager verwenden, um die Verwaltung des geschützten Fabrics zu vereinfachen.

Die kerngeschützte Fabric-Infrastruktur (bestehend aus einem oder mehreren bewachten Hyper-V-Hosts, dem Host Guardian-Dienst und den Artefakten, die zum Erstellen von abgeschirmten VMs erforderlich sind) ist in der entsprechenden Windows Server-Version enthalten und muss gemäß der Dokumentation zum geschützten Fabric konfiguriert werden. Nach der Einrichtung können Sie optional System Center – Virtual Machine Manager verwenden, um die Verwaltung des geschützten Fabrics zu vereinfachen.

VMM kann für folgende Aufgaben verwendet werden:

  • Bereitstellen und Verwalten von überwachten Hosts im VMM-Fabric: Sie können überwachte Hosts zum VMM-Fabric hinzufügen und dort verwalten. Ein geschützter Host ist ein Hyper-V-Server, für den Folgendes gilt:
    • Er erfüllt die Voraussetzungen für überwachte Hosts.
    • Er ist durch den Host-Überwachungsdienst für das Fabric autorisiert, abgeschirmte VMs auszuführen. Der HGS-Administrator bestimmt die Anforderungen für Hosts, damit sie erfolgreich bestätigt und „überwacht“ werden.
    • Er wird in VMM als überwacht gekennzeichnet, indem er für die Verwendung der gleichen HGS-URLs konfiguriert wird, die in den globalen VMM-Einstellungen angegeben sind.
  • Konfigurieren einer geschützten virtuellen Festplatte und optional einer VM-Vorlage: Signierte Vorlagendatenträger (VHDX), die zum Bereitstellen neuer abgeschirmter VMs verwendet werden, können in der VMM-Bibliothek zur Vereinfachung der Bereitstellung gespeichert werden. Anschließend können Sie diese VHDX in einer VM-Vorlage verwenden.
  • Bereitstellen und Verwalten von abgeschirmten VMs: VMM unterstützt den gesamten Lebenszyklus der abgeschirmten VMs. Dies schließt Folgendes ein:
    • Erstellen neuer abgeschirmter VMs aus einem signierten Vorlagendatenträger (VHDX) und optional Verwenden einer VM-Vorlage.
    • Konvertieren der vorhandenen VMs in abgeschirmte VMs

Nächste Schritte