PowerFlex: ESXi Active Directory 통합을 위한 ESXi 보안 강화 설정

이 문서는 ESXi 8.0 U3 이전의 모든 버전과 관련이 있습니다. 

일부 ESXi 고급 설정에는 기본적으로 보안되지 않는 기본값이 있습니다.

AD 그룹 "ESX Admins" ESXi 호스트가 Active Directory 도메인에 연결되면 에 VIM Admin 역할이 자동으로 부여됩니다.

esxcli system permission list 명령을 사용하여 그룹이 있는지 확인하면 다음과 같은 결과가 표시됩니다.

[root@esxifqdn:~] esxcli system permission list
Principal      Is Group  Role   Role Description
-------------  --------  -----  ----------------
yourdomain\esx^admins      true  Admin  Full access rights
cloudadmin        false  Admin  Full access rights
dcui              false  Admin  Full access rights
root              false  Admin  Full access rights
vpxuser           false  Admin  Full access rights

이 문제는 ESXi 8.0 U3에서 해결되었습니다.

이 문제를 해결하려면 다음 ESXi 고급 옵션을 변경합니다.

Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd from true to false
Config.HostAgent.plugins.vimsvc.authValidateInterval from 1440 to 90
Config.HostAgent.plugins.hostsvc.esxAdminsGroup from "ESX Admins" to "" 

해결 방법을 적용하기 전에 ESXi 호스트가 이미 Active Directory에 가입되어 있는 경우 AD 그룹("ESX Admins" 기본적으로) 존재하는 경우. 이 작업은 호스트 클라이언트 UI를 통해 또는 다음 esxcli 명령을 사용하여 수행할 수 있습니다.

 esxcli system permission unset -i 'yourdomain\esx^admins' --group

위의 단계는 해결 방법을 적용한 후에 수행해야 합니다.

현재 할당된 모든 VIM 사용 권한은 호스트 클라이언트 UI 또는 아래 esxcli 명령을 통해 확인할 수 있습니다. 

esxcli system permission list

호스트가 Active Directory에 추가되면 ESX Admins 그룹이 관리자 권한이 있는 호스트에 추가됩니다. 도메인에 가입하기 전에 이러한 설정을 변경하는 것이 좋습니다. 이러한 설정은 1분 이내에 적용됩니다. 재부팅할 필요가 없습니다.

다음 Broadcom KB를 참조하십시오.
ESXi Active Directory 통합을 위한 보안 기본 설정(외부 링크)