PowerFlex: ESXi Active Directory entegrasyonu için ESXi Güvenlik Sağlamlaştırma Ayarları
Summary: Bir ESXi ana bilgisayarı Active Directory etki alanına katıldığında, "ESX Admins" AD grubuna otomatik olarak VIM Yöneticisi rolü atanır. Not: Bazı ESXi gelişmiş ayarları, varsayılan olarak güvenli olmayan varsayılan değerlere sahiptir. ...
Instructions
Bu makale, ESXi 8.0 U3 öncesindeki tüm sürümlerle ilgilidir.
Bazı ESXi gelişmiş ayarları, varsayılan olarak güvenli olmayan varsayılan değerlere sahiptir.
AD grubu "ESX Admins" bir ESXi ana bilgisayarı Active Directory etki alanına katıldığında otomatik olarak VIM Yöneticisi rolü atanır.
Aşağıdaki esxcli system permission list komutunu kullanarak grubun varlığını kontrol etmek sonucu verir:
[root@esxifqdn:~] esxcli system permission list
Principal Is Group Role Role Description
------------- -------- ----- ----------------
yourdomain\esx^admins true Admin Full access rights
cloudadmin false Admin Full access rights
dcui false Admin Full access rights
root false Admin Full access rights
vpxuser false Admin Full access rights
Bu sorun ESXi 8.0 U3 te düzeltilmiştir.
Soruna geçici bir çözüm getirmek için aşağıdaki ESXi gelişmiş seçeneklerini değiştirin:
Config.HostAgent.plugins.hostsvc.esxAdminsGroupAutoAdd from true to false
Config.HostAgent.plugins.vimsvc.authValidateInterval from 1440 to 90
Config.HostAgent.plugins.hostsvc.esxAdminsGroup from "ESX Admins" to "" ESXi ana bilgisayarı geçici çözüm uygulanmadan önce Active Directory'ye katılmışsa AD grubu ("ESX Admins" varsayılan olarak) varsa. Bu, Ana Bilgisayar İstemcisi kullanıcı arayüzü aracılığıyla veya aşağıdaki esxcli komutuyla yapılabilir:
esxcli system permission unset -i 'yourdomain\esx^admins' --groupGeçici çözüm uygulandıktan sonra yukarıdaki adımın uygulanması gerekir.
Şu anda atanmış olan tüm VIM izinleri, Ana Bilgisayar İstemcisi Kullanıcı Arayüzü veya aşağıdaki esxcli komutu aracılığıyla doğrulanabilir:
esxcli system permission list
ESX Admins grubu, ana bilgisayar Active Directory'ye eklendikten sonra Yönetici ayrıcalıklarıyla ana bilgisayara eklenir. Etki alanına katılmadan önce bu ayarları değiştirmeniz önerilir. Bu ayarlar bir dakika içinde etkin olur. Yeniden başlatma gerekmez.
Aşağıdaki Broadcom KB makalesine bakın.
ESXi Active Directory entegrasyonu için Güvenli Varsayılan Ayarlar (Harici Bağlantı)