Come configurare il servizio Host Guardian su Windows Server

Come funzionalità di sicurezza, Host Guardian Service verifica se l'host è attendibile per eseguire macchine virtuali molto sicure. Gestisce le chiavi di avvio per le VM schermate che forniscono sicurezza aggiuntiva. Ottieni tutte le informazioni necessarie per implementare Host Guardian Service su Windows Server con questa guida completa.

Servizio Host Guardian: di cosa si tratta?

Host Guardian Service è una funzionalità utilizzata negli ambienti virtuali per migliorare la sicurezza su Windows Server 2016 e versioni successive. Consente l'esecuzione di macchine virtuali protette solo su host Hyper-V attendibili. Le VM schermate proteggono i dati sensibili e i carichi di lavoro da manipolazioni o accessi da parte di utenti non autorizzati.

Installa il servizio Host Guardian di Windows Server

Di seguito è riportata una guida dettagliata per configurare il servizio Host Guardian su Windows Server.

Avviare il programma del ruolo di Host Guardian

Preparare l'ambiente per HGS utilizzando Active Directory.

Crea un certificato che ti viene in mente

Attivare l'HGS e scegliere il tipo di attestazione da utilizzare.

Ora spieghiamoli in dettaglio.

1. Configurare il ruolo di Host Guardian

Una breve cronistoria: prima di iniziare l'installazione del ruolo Host Guardian Service, è opportuno fare qualche cenno al passato. Un nuovo ruolo del server aggiunto con Windows Server 2016, ovvero HGS, funge da struttura di guardiano che rende le VM del sistema operativo molto più sicure.

I seguenti passaggi ti guideranno nell'installazione del ruolo Host Guardian Service.

Avviare Server Manager dall'inizio.

Fare clic per selezionare Gestisci > Aggiungi ruoli e funzionalità.

Una volta visualizzata la procedura guidata per aggiungere ruoli e funzionalità, fare clic su Avanti.

Dopo aver confermato che si desidera effettuare l'installazione in base ai ruoli o alle funzionalità, fare clic su Avanti.

Successivamente selezionerai un server: solitamente, quello predefinito è già compilato.

Per attivare il servizio Host Guardian, fare clic su Ruoli del server, quindi selezionare la casella.

Nella finestra pop-up che si apre, seleziona Aggiungi funzionalità.

Fare clic su Avanti.

La scheda Funzionalità verrà ignorata poiché abbiamo già selezionato le funzionalità, quindi basta fare clic su Avanti.

Fare clic su Avanti per saltare la scheda AD DS; una volta terminato, fare nuovamente clic su Avanti per saltare la scheda Host Guardian Service.

Una volta raggiunta la scheda Conferma, seleziona la casella per riavviare automaticamente il server di destinazione se necessario, quindi fai clic su Installa.

Una volta completata l'installazione, ti sarà consentito di completare la procedura guidata di installazione. Basta monitorare il misuratore dello stato di installazione.

2. Preparare la foresta HGS Active Directory

Il cmdlet Install-HgsServer verrà eseguito una volta aggiunto il ruolo server HGS. Ciò renderà la foresta di Active Directory pronta per HGS e preparerà il servizio insieme a tutte le sue dipendenze.

Per questa ultima anteprima tecnica prima della release del mese scorso, è fondamentale verificare che il sistema HGS non sia unito a un dominio prima di avviare il processo. Quando eseguito sul primo nodo HGS, questo cmdlet lo promuoverà al ruolo di controller di dominio primario nel dominio specificato. Dopo questo, dobbiamo inizializzare HGS. Seguire queste istruzioni per completare l'attività in questione.

In italiano, questo significa "$adminPassword = ConvertTo-SecureString -AsPlainText 'yourPass' -ForceInstall-HgsServer -HgsDomainName "myDomain.com" -SafeModeAdministratorPassword." $administratorPassword -Reboot

Sostituisci "myDomain.com" con il nome effettivo del tuo dominio e "yourPass" con la tua password effettiva.

3. Crea il tuo certificato

Host Guardian Service richiede che i certificati siano configurati per crittografare e firmare. Esistono tre modi per ottenere certificati: generando certificati autofirmati, ottenendo certificati supportati da Hardware Security Modules o utilizzando il tuo certificato Public Key Infrastructure (PKI) e il file PFX. Sebbene i certificati autofirmati abbiano delle limitazioni, sono perfetti per scenari di valutazione e proof-of-concept; tuttavia, li utilizzeremo in questo tutorial per la loro semplicità.

Per ottenere lo stesso risultato, basta avviare PowerShell come amministratore ed eseguire il seguente comando.

''

$certificatePassword = ConvertTo-SecureString -AsPlainText '' -Force

<Import-PFXCertificate -Cert $signingCert = New-SelfSignedCertificate -DnsName "certName.com" -Password $signingCert $2 credentialSecure File -FilePath 'C:signingCert.pfx'

Impostare la variabile $encryptionCert sul nome di dominio "EncryptionCert.com" per il parametro New-SelfSignedCertificate.

PfxCertificate protetto da password $encryptionCert $2 credentialCode -FilePath 'C:encryptionCert.pfx'

Con questo strumento puoi creare ed esportare i certificati di firma e crittografia.

Per sapere come configurare il file server su un Windows Server, fare riferimento a questo articolo.

4] Impostare i parametri di HGS e selezionare il tipo di attestazione.

Ora, configuriamo l'HGS e selezioniamo il tipo di attestazione. Se sei abituato a Windows Server 2016, allora saprai che l'attestazione della chiave host è simile all'attestazione di fiducia dell'amministratore. La useremo per questo scopo. L'esecuzione dei seguenti comandi in modalità elevata di PowerShell dovrebbe risolvere il problema.

Ecco il comando per creare un nuovo certificato di firma: $certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -ForceInitialize-HGSServer -LogDirectory c: emp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:signingCertificate.pfx -SigningCertificatePassword -Password per il certificato -Certificate for Encryption -Path per il certificato in C:encryptionCert.pfx La password per il certificato

Assicuratevi di sostituire tutte le variabili di query.

Grazie a queste informazioni su come avviare HGSServer, puoi proteggere la tua macchina virtuale Hyper-V dagli attacchi malware contro la tua azienda.