Comment configurer le service Host Guardian sur Windows Server

En tant que fonction de sécurité, le service Host Guardian vérifie si l'hôte est autorisé à exécuter des machines virtuelles très sécurisées. Il gère les clés de démarrage des machines virtuelles protégées qui offrent une sécurité supplémentaire. Obtenez toutes les informations dont vous avez besoin pour implémenter le service Host Guardian sur Windows Server avec ce guide complet.

Service de gardiennage d'hôte : qu'est-ce que c'est ?

Host Guardian Service est une fonctionnalité utilisée dans les environnements virtuels pour améliorer la sécurité sur Windows Server 2016 et versions ultérieures. Elle permet l'exécution de machines virtuelles protégées uniquement sur des hôtes Hyper-V approuvés. Les machines virtuelles protégées protègent les données et charges de travail sensibles contre toute manipulation ou accès par des utilisateurs non autorisés.

Installer le service Host Guardian de Windows Server

Vous trouverez ci-dessous un guide étape par étape pour configurer le service Host Guardian sur Windows Server.

Lancer le programme de rôle de tuteur d'accueil

Préparez l’environnement pour HGS à l’aide d’Active Directory.

Créez un certificat auquel vous pensez

Mettez le HGS en ligne et choisissez le type d’attestation à utiliser.

Maintenant, expliquons-les en détail.

1. Configurer le rôle de gardien de l'hôte

Un bref historique - quelques lignes du passé s'imposent avant de commencer l'installation du rôle de service Host Guardian - Un nouveau rôle de serveur ajouté avec Windows Server 2016, à savoir HGS, agit comme une structure gardienne qui rend les machines virtuelles du système d'exploitation beaucoup plus sécurisées.

Les étapes suivantes vous guideront tout au long de l’installation du rôle Host Guardian Service.

Lancez le gestionnaire de serveur au tout début.

Cliquez pour sélectionner Gérer > Ajouter des rôles et des fonctionnalités.

Une fois que l’assistant d’ajout de rôles et de fonctionnalités apparaît, cliquez sur Suivant.

Après avoir confirmé que vous souhaitez effectuer l’installation en fonction des rôles ou des fonctionnalités, cliquez sur Suivant.

Vous sélectionnerez ensuite un serveur, celui par défaut étant généralement déjà renseigné.

Pour activer le service Host Guardian, cliquez sur Rôles du serveur, puis cochez la case.

Dans la fenêtre contextuelle qui s’affiche, sélectionnez Ajouter des fonctionnalités.

Cliquez sur Suivant.

L'onglet Fonctionnalités sera contourné puisque nous avons déjà sélectionné les fonctionnalités, alors cliquez simplement sur Suivant.

Cliquez sur Suivant pour ignorer l’onglet AD DS; une fois terminé, cliquez à nouveau sur Suivant pour ignorer l’onglet Service Host Guardian.

Une fois que vous avez atteint l’onglet Confirmation, cochez la case pour redémarrer automatiquement le serveur cible si nécessaire, puis cliquez sur Installer.

Une fois l'installation terminée, vous pourrez suivre l'assistant d'installation. Il vous suffit de surveiller l'indicateur d'état de l'installation.

2. Préparez la forêt HGS Active Directory

L'applet de commande Install-HgsServer s'exécutera une fois le rôle de serveur HGS ajouté. Cela préparera la forêt Active Directory pour HGS et préparera le service ainsi que toutes ses dépendances.

Pour ce dernier aperçu technique avant la sortie du mois dernier, il est essentiel de vérifier que le système HGS n'est pas joint à un domaine avant de démarrer le processus. Lorsqu'elle est exécutée sur le premier nœud HGS, cette applet de commande le promeut au rôle de contrôleur de domaine principal dans le domaine spécifié. Nous devons ensuite initialiser HGS. Suivez ces instructions pour accomplir la tâche à accomplir.

En anglais, cela signifie « $adminPassword = ConvertTo-SecureString -AsPlainText 'yourPass' -ForceInstall-HgsServer -HgsDomainName "myDomain.com" -SafeModeAdministratorPassword. » $administratorPassword -Reboot

Remplacez «myDomain.com» par le nom réel de votre domaine et «yourPass» par votre mot de passe réel.

3. Créez votre certificat

Le service Host Guardian nécessite que des certificats soient configurés pour chiffrer et signer. Il existe trois façons d'obtenir des certificats: en générant des certificats auto-signés, en obtenant des certificats soutenus par des modules de sécurité matérielle ou en utilisant votre propre certificat d'infrastructure à clé publique (PKI) et votre fichier PFX. Bien que les certificats auto-signés présentent des limites, ils sont parfaits pour les scénarios d'évaluation et de preuve de concept. Cependant, nous les utiliserons dans ce didacticiel en raison de leur simplicité.

Démarrez simplement PowerShell en tant qu’administrateur et exécutez la commande suivante pour obtenir le même résultat.

''

$certificatePassword = ConvertTo-SecureString -AsPlainText '' -Force

<Import-PFXCertificate -Cert $signingCert = Nouveau-Certificat auto-signé -DnsName "certName.com" -Mot de passe $signingCert $2 credentialSecure File -Chemin du fichier 'C:signingCert.pfx'

Définissez la variable $encryptionCert sur le nom de domaine « EncryptionCert.com » pour le paramètre New-SelfSignedCertificate.

Certificat Pfx protégé par mot de passe $encryptionCert $2 credentialCode -FilePath 'C:encryptionCert.pfx'

Avec cet outil, créez et exportez les certificats de signature et de cryptage.

Pour savoir comment configurer le serveur de fichiers sur un Windows Server, reportez-vous à cet article.

4] Définissez les paramètres de HGS et sélectionnez le type d’attestation.

Maintenant, configurons le HGS et sélectionnons le type d'attestation. Si vous êtes habitué à Windows Server 2016, vous saurez que l'attestation de clé d'hôte est similaire à l'attestation approuvée par l'administrateur. Nous l'utiliserons à cette fin. L'exécution des commandes suivantes en mode élevé de PowerShell devrait résoudre le problème.

Voici la commande pour créer un nouveau certificat de signature : $certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -ForceInitialize-HGSServer -LogDirectory c: emp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:signingCert.pfx -SigningCertificatePassword -Mot de passe du certificat -Certificat de chiffrement -Chemin du certificat vers C:encryptionCert.pfx Le mot de passe du certificat

Assurez-vous de remplacer toutes les variables de requête.

Grâce à ces informations sur le démarrage de HGSServer, vous pouvez désormais protéger votre machine virtuelle Hyper-V contre les attaques de logiciels malveillants contre votre entreprise.