So konfigurieren Sie den Host Guardian Service auf Windows Server

Als Sicherheitsfunktion prüft der Host Guardian Service, ob der Host vertrauenswürdig ist, um sehr sichere virtuelle Maschinen auszuführen. Er verwaltet die Startschlüssel für abgeschirmte VMs, die zusätzliche Sicherheit bieten. Mit diesem umfassenden Leitfaden erhalten Sie alle Informationen, die Sie zur Implementierung des Host Guardian Service auf Windows Server benötigen.

Host Guardian Service – was ist das?

Host Guardian Service ist eine Funktion, die in virtuellen Umgebungen verwendet wird, um die Sicherheit auf Windows Server 2016 und höher zu verbessern. Es ermöglicht die Ausführung geschützter virtueller Maschinen nur auf vertrauenswürdigen Hyper-V-Hosts. Geschützte VMs schützen vertrauliche Daten und Workloads vor Manipulation oder Zugriff durch unbefugte Benutzer.

Installieren Sie den Host Guardian Service von Windows Server

Nachfolgend finden Sie eine Schritt-für-Schritt-Anleitung zum Einrichten des Host Guardian Service auf Windows Server.

Initiieren Sie das Host Guardian Role-Programm

Bereiten Sie die Umgebung für HGS mithilfe von Active Directory vor.

Erstellen Sie ein Zertifikat Ihrer Wahl

Schalten Sie das HGS online und wählen Sie den zu verwendenden Bescheinigungstyp aus.

Lassen Sie uns diese nun im Detail erklären.

1. Konfigurieren Sie die Host Guardian-Rolle

Eine kurze Geschichte – ein paar Zeilen aus der Vergangenheit sind angebracht, bevor wir mit der Installation der Host Guardian Service Role beginnen – Eine neue Serverrolle namens HGS, die mit Windows Server 2016 hinzugefügt wurde, fungiert als Guardian Fabric, das die VMs des Betriebssystems wesentlich sicherer macht.

Die folgenden Schritte führen Sie durch die Installation der Host Guardian Service-Rolle.

Starten Sie ganz am Anfang den Server-Manager.

Klicken Sie, um „Verwalten“ > „Rollen und Features hinzufügen“ auszuwählen.

Sobald der Assistent zum Hinzufügen von Rollen und Features angezeigt wird, klicken Sie auf „Weiter“.

Nachdem Sie bestätigt haben, dass Sie die Installation auf Rollen- oder Funktionsbasis durchführen möchten, klicken Sie auf „Weiter“.

Anschließend wählen Sie einen Server aus. Der Standardserver ist normalerweise bereits ausgefüllt.

Um den Host Guardian Service zu aktivieren, klicken Sie auf „Serverrollen“ und setzen Sie anschließend ein Häkchen in das Kontrollkästchen.

Wählen Sie im angezeigten Popup „Funktionen hinzufügen“ aus.

Klicken Sie auf Weiter.

Die Registerkarte „Funktionen“ wird umgangen, da wir die Funktionen bereits ausgewählt haben. Klicken Sie daher einfach auf „Weiter“.

Klicken Sie auf „Weiter“, um die Registerkarte „AD DS“ zu überspringen. Klicken Sie anschließend erneut auf „Weiter“, um die Registerkarte „Host Guardian Service“ zu überspringen.

Wenn Sie die Registerkarte „Bestätigung“ erreicht haben, aktivieren Sie das Kontrollkästchen, um den Zielserver bei Bedarf automatisch neu zu starten, und klicken Sie dann auf „Installieren“.

Sobald die Installation abgeschlossen ist, können Sie den Installationsassistenten abschließen. Behalten Sie einfach die Installationsstatusanzeige im Auge.

2. Vorbereiten der HGS Active Directory-Gesamtstruktur

Das Cmdlet Install-HgsServer wird ausgeführt, sobald die HGS-Serverrolle hinzugefügt wurde. Dadurch wird die Active Directory-Gesamtstruktur für HGS vorbereitet und der Dienst mit allen seinen Abhängigkeiten vorbereitet.

Für diese letzte technische Vorschau vor der Veröffentlichung im letzten Monat ist es wichtig, vor dem Starten des Vorgangs zu überprüfen, dass das HGS-System nicht einer Domäne angehört. Wenn dieses Cmdlet auf dem ersten HGS-Knoten ausgeführt wird, wird dieser zum primären Domänencontroller in der angegebenen Domäne befördert. Danach müssen wir HGS initialisieren. Befolgen Sie diese Anweisungen, um die vorliegende Aufgabe zu erledigen.

Auf Deutsch bedeutet das: „$adminPassword = ConvertTo-SecureString -AsPlainText ‚yourPass‘ -ForceInstall-HgsServer -HgsDomainName ‚myDomain.com‘ -SafeModeAdministratorPassword.“ $administratorPassword -Reboot

Ersetzen Sie „myDomain.com“ durch den tatsächlichen Namen Ihrer Domain und „yourPass“ durch Ihr tatsächliches Passwort.

3. Erstellen Sie Ihr Zertifikat

Für den Host Guardian Service müssen Zertifikate zum Verschlüsseln und Signieren konfiguriert werden. Es gibt drei Möglichkeiten, Zertifikate zu erhalten: durch Generieren selbstsignierter Zertifikate, durch Abrufen von Zertifikaten, die von Hardware-Sicherheitsmodulen unterstützt werden, oder durch Verwenden Ihres eigenen Public Key Infrastructure (PKI)-Zertifikats und Ihrer PFX-Datei. Selbstsignierte Zertifikate haben zwar Einschränkungen, eignen sich jedoch perfekt für Evaluierungs- und Proof-of-Concept-Szenarien. Aufgrund ihrer Einfachheit werden wir sie jedoch in diesem Tutorial verwenden.

Starten Sie PowerShell einfach als Administrator und führen Sie dazu den folgenden Befehl aus.

''

$certificatePassword = ConvertTo-SecureString -AsPlainText '' -Force

<Import-PFXCertificate -Cert $signingCert = Neues Selbstsigniertes Zertifikat -DnsName "certName.com" -Password $signingCert $2 credentialSecure File -FilePath 'C:\signingCert.pfx'

Legen Sie für den Parameter New-SelfSignedCert die Variable $encryptionCert auf den Domänennamen „EncryptionCert.com“ fest.

Passwortgeschütztes PfxCertificate $encryptionCert $2 credentialCode -FilePath 'C:\encryptionCert.pfx'

Erstellen und exportieren Sie mit diesem Tool die Signatur- und Verschlüsselungszertifikate.

Informationen zum Konfigurieren des Dateiservers auf einem Windows Server finden Sie in diesem Artikel.

4] Legen Sie die Parameter von HGS fest und wählen Sie die Art der Bescheinigung aus.

Konfigurieren wir nun den HGS und wählen den Typ der Bestätigung aus. Wenn Sie mit Windows Server 2016 vertraut sind, wissen Sie, dass die Hostschlüsselbestätigung der vom Administrator vertrauenswürdigen Bestätigung ähnelt. Wir werden sie für diesen Zweck verwenden. Das Ausführen der folgenden Befehle im erhöhten Modus von PowerShell sollte das Problem beheben.

Hier ist der Befehl zum Erstellen eines neuen Signaturzertifikats: $certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -ForceInitialize-HGSServer -LogDirectory c: emp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:signingCert.pfx -SigningCertificatePassword -Passwort für das Zertifikat -Zertifikat für die Verschlüsselung -Pfad für das Zertifikat zu C:encryptionCert.pfx Das Passwort für das Zertifikat

Achten Sie darauf, alle Abfragevariablen zu ersetzen.

Mit diesen Informationen zum Starten von HGSServer können Sie jetzt Ihre virtuelle Hyper-V-Maschine vor Malware-Angriffen auf Ihr Unternehmen schützen.