Cómo configurar el servicio Host Guardian en Windows Server

Como función de seguridad, el servicio Host Guardian comprueba si el host es confiable para ejecutar máquinas virtuales muy seguras. Administra las claves de inicio para las máquinas virtuales protegidas que brindan seguridad adicional. Obtenga toda la información que necesita para implementar el servicio Host Guardian en Windows Server con esta guía completa.

Servicio de Tutela Anfitrión: ¿Qué es?

El servicio Host Guardian es una función que se utiliza en entornos virtuales para mejorar la seguridad en Windows Server 2016 y versiones posteriores. Permite ejecutar máquinas virtuales protegidas solo en hosts Hyper-V de confianza. Las máquinas virtuales protegidas protegen los datos y las cargas de trabajo confidenciales para que no sean manipulados ni accedidos por usuarios no autorizados.

Instalar el servicio Host Guardian de Windows Server

A continuación se muestra una guía paso a paso para configurar el servicio Host Guardian en Windows Server.

Iniciar el programa de rol de tutor anfitrión

Prepare el entorno para HGS mediante Active Directory.

Crea un certificado que se te ocurra

Conecte el HGS en línea y elija qué tipo de certificación utilizar.

Ahora, vamos a explicar esto en detalle.

1. Configurar la función de guardián del host

Una breve historia: conviene recordar algunas líneas del pasado antes de comenzar la instalación del rol de servicio Host Guardian: un nuevo rol de servidor agregado con Windows Server 2016, concretamente HGS, actúa como una estructura protectora que hace que las máquinas virtuales del sistema operativo sean mucho más seguras.

Los siguientes pasos lo guiarán a través de la instalación de la función de Servicio de protección de host.

Inicie el Administrador de servidor desde el principio.

Haga clic para seleccionar Administrar > Agregar roles y funciones.

Una vez que aparezca el asistente para agregar roles y funciones, haga clic en Siguiente.

Después de confirmar que desea realizar la instalación en función de roles o características, haga clic en Siguiente.

A continuación, seleccionará un servidor (normalmente el valor predeterminado ya está completado).

Para activar el Servicio Host Guardian, haga clic en Roles del servidor y luego marque la casilla.

En la ventana emergente que aparece, seleccione Agregar funciones.

Haga clic en Siguiente.

La pestaña Características se omitirá porque ya hemos seleccionado las características, así que simplemente haga clic en Siguiente.

Haga clic en Siguiente para omitir la pestaña AD DS; una vez hecho, haga clic en Siguiente nuevamente para omitir la pestaña Servicio de protección de host.

Una vez que haya llegado a la pestaña Confirmación, marque la casilla para reiniciar automáticamente el servidor de destino si es necesario y luego haga clic en Instalar.

Una vez que se complete la instalación, podrá completar el asistente de instalación. Simplemente controle el indicador de estado de la instalación.

2. Preparar el bosque de Active Directory de HGS

El cmdlet Install-HgsServer se ejecutará una vez que se haya agregado la función de servidor HGS. Esto preparará el bosque de Active Directory para HGS y preparará el servicio junto con todas sus dependencias.

Para esta última vista previa técnica antes del lanzamiento del mes pasado, es fundamental verificar que el sistema HGS no esté unido a un dominio antes de iniciar el proceso. Cuando se ejecuta en el primer nodo HGS, este cmdlet lo promoverá al rol de controlador de dominio principal en el dominio especificado. Debemos inicializar HGS después de esto. Siga estas instrucciones para realizar la tarea en cuestión.

Esto, en español, significa "$adminPassword = ConvertTo-SecureString -AsPlainText 'yourPass' -ForceInstall-HgsServer -HgsDomainName "myDomain.com" -SafeModeAdministratorPassword." $administratorPassword -Reboot

Reemplace "myDomain.com" con el nombre real de su dominio y "yourPass" con su contraseña real.

3. Crea tu certificado

El servicio Host Guardian requiere que los certificados estén configurados para cifrar y firmar. Hay tres formas de obtener certificados: generando certificados autofirmados, obteniendo certificados respaldados por módulos de seguridad de hardware o utilizando su propio certificado de infraestructura de clave pública (PKI) y archivo PFX. Si bien los certificados autofirmados tienen limitaciones, son perfectos para escenarios de evaluación y prueba de concepto; sin embargo, los usaremos en este tutorial debido a su simplicidad.

Simplemente inicie PowerShell como administrador y ejecute el siguiente comando para lograr lo mismo.

"

$certificatePassword = Convertir a cadena segura -AsPlainText '' -Forzar

<Import-PFXCertificate -Cert $signingCert = New-SelfSignedCertificate -DnsName "certName.com" -Password $signingCert $2 credentialSecure Archivo -FilePath 'C:signingCert.pfx'

Establezca la variable $encryptionCert en el nombre de dominio "EncryptionCert.com" para el parámetro New-SelfSignedCertificate.

Certificado Pfx protegido con contraseña $encryptionCert $2 credentialCode -FilePath 'C:encryptionCert.pfx'

Con esta herramienta crea y exporta los certificados de firma y cifrado.

Para saber cómo configurar el servidor de archivos en un Windows Server, consulte este artículo.

4] Configure los parámetros de HGS y seleccione el tipo de certificación.

Ahora, configuremos el HGS y seleccionemos el tipo de certificación. Si está acostumbrado a Windows Server 2016, entonces sabrá que la certificación de clave de host es similar a la certificación de confianza del administrador. La usaremos para este propósito. Ejecutar los siguientes comandos en modo elevado de PowerShell debería resolver el problema.

Este es el comando para crear un nuevo certificado de firma: $certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -ForceInitialize-HGSServer -LogDirectory c: emp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:signingCert.pfx -SigningCertificatePassword -Contraseña para el certificado -Certificado para cifrado -Ruta para el certificado a C:encryptionCert.pfx La contraseña para el certificado

Asegúrese de reemplazar todas las variables de consulta.

Con esta información sobre cómo se inicia HGSServer, ahora puede proteger su máquina virtual Hyper-V de ataques de malware contra su empresa.