Video-Tipp: Shielded-VMs – Teil 2

Shielded-VMs in Windows Server 2019

| Autor / Redakteur: Thomas Joos / Peter Schmitz

VMs als Shielded-VMs auf einem Hyper-V-Host zu betreiben bringt ein großes Maß zusätzlicher Sicherheit, ist aber kein leichtes Unterfangen.
VMs als Shielded-VMs auf einem Hyper-V-Host zu betreiben bringt ein großes Maß zusätzlicher Sicherheit, ist aber kein leichtes Unterfangen. (© Skórzewiak - stock.adobe.com)

Geschützte VMs, auch Shielded-VMs genannt, bieten in Windows Server 2019 die Möglichkeit Serverdienste und deren Daten in Hyper-V-VMs abzuschirmen und zu verschlüsseln. Wir zeigen in diesem Video-Tipp, wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt.

Um VMs zu verschlüsseln und von anderen VMs abzuschotten, wird der Host Guardian Service (HGS) auf einem Server im Netzwerk installiert. Der HGS wird dabei als Cluster bereitgestellt, die Einrichtung wird über die PowerShell vorgenommen. Ist der HGS im Einsatz, stellt er eine eigenen Active Directory-Gesamtstruktur zur Verfügung, die mit der produktiven Gesamtstruktur im Netzwerk verbunden wird. Im Anschluss werden die Hyper-V-Hosts an den HGS angebunden. Danach können VMs auf diese angebundenen Hosts geschützt werden.

Da der Host Guardian Service eine eigene AD-Gesamtstruktur erstellt, inklusive eigenem Namensraum, muss darauf geachtet werden, dass sich die beiden AD-Gesamtstrukturen gegenseitig per DNS auflösen können. Das kann zum Beispiel über eine bedingte Weiterleitung im DNS erreicht werden. Außerdem sollte eine Vertrauensstellung zwischen den Gesamtstrukturen erstellt werden. Hier reicht eine einseitige Vertrauensstellung aus. Außerdem sollten die Ports 443 und 80 zwischen dem HGS und der Active Directory-Gesamtstruktur mit den Hyper-V-Hosts in der Firewall geöffnet sein.

Wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Hosts an den Host Guardian Service anbinden

Damit auf einem Hyper-V-Host VMs als Shielded-VMs betrieben werden können, müssen die Hosts an den HGS angebunden werden. Die Hosts werden in diesem Zusammenhang zu „Guarded Hosts“ des „Host Guardian Service“-Clusters. Generell gibt es zwei Möglichkeiten die Autorisierung von Hosts durchzuführen. Ist auf den Servern ein TPM-Chip verbaut, kann die TPM-Trusted Attestation verwendet werden. Alternativ wird die Überprüfung durch die Mitgliedschaft in einer Active Directory-Gruppe vorgenommen. Wichtig ist in diesem Zusammenhang auch eine Vertrauensstellung zwischen der Active Directory-Gesamtstruktur und der Gesamtstruktur des HGS-Servers.

In der Gesamtstruktur mit den Hyper-V-Hosts, auch Fabric genannt, wird dazu eine globale Gruppe erstellt, in der die Computerkonten der Hyper-V-Hosts aufgenommen werden. Für die weitere Konfiguration wird die SID der Gruppe benötigt. Diese kann zum Beispiel in der Fabric mit der PowerShell angezeigt werden:

Get-ADGroup "GuardedHosts"

Im Anschluss wird diese Gruppe über ihre SID auf dem HGS registriert. Dazu wird auf dem HGS in der PowerShell eine neue HGS Attestation Group erstellt, und die SID der Gruppe registriert, in der sich in der Fabric die Computerkonten der Hyper-V-Server befinden:

Add-HgsAttestationHostGroup -Name "<GuardedHostGroup>" -Identifier "<SID>"

Natürlich lassen sich weitere Gruppen erstellen, ebenfalls mit diesem Befehl und dann jeweils einem eigenständigen Namen.

Die Daten der Gruppe können wiederum mit Get-HgsAttestationHostGroup angezeigt werden. Damit die Verbindung funktioniert, muss auf den Hyper-V-Hosts noch das Feature für die Anbindung an HGS installiert werden. Das kann zusammen mit Hyper-V erfolgen:

Install-WindowsFeature Hyper-V, HostGuardian -IncludeManagementTools -Restart

Beim Einsatz von Windows Server 2019 als HGS-Server kann mit der Host Key Attestation gearbeitet werden. Dazu wird ein Schlüsselpaar zwischen den Hosts und dem HGS erstellt. Microsoft beschreibt die Vorgehensweise auf der Seite „Create a host key and add it to HGS“.

Weitere Daten für die Einrichtung lassen sich auf dem HGS-Server mit dem CMDlet Get-HgsServer anzeigen.

Auf dem Hyper-V-Host wird danach die Anbindung mit folgendem Befehl vorgenommen:

Set-HgsClientConfiguration -AttestationServerUrl 'http://hgs.hgs.com/Attestation' -KeyProtectionServerUrl 'http://hgs.hgs.com/KeyProtection'

Die URLs werden wiederum auf dem HGS-Server mit dem CMDlet Get-HgsServer angezeigt. Danach kann die Einrichtung mit get-hgsclientconfiguration überprüft werden. Wird der Client nicht als „True“ bei „IsHostGuarded“ angezeigt, kann die Konfiguration mit dem folgenden Befehl überprüft werden:

Get-HgsTrace -RunDiagnostics -Detailed

Shielded-VMs bereitstellen

Sobald der HGS einsatzbereit ist und die Hyper-V-Hosts über eine der drei verfügbaren Methoden mit dem HGS verbunden sind, lassen sich Shielded-VMs erstellen. Dabei besteht die Möglichkeit bereits vorhandene VMs zu Shielded-VMs zu konvertieren, oder neue VMs zu erstellen. Für die Bereitstellung wird das Feature „VM-Abschirmungstools für die Fabricverwaltung“ benötigt.

Mit den Tools können geschützte Linux-VMs und Windows-VMs erstellt werden. Die Installation kann mit dem Server-Manager, dem Windows Admin Center oder über die PowerShell erfolgen:

Install-WindowsFeature RSAT-Shielded-VM-Tools -Restart

Wenn die Tools installiert sind, kann über die Verwaltungstools auf dem Server der Assistent zum Erstellen von neuen Festplattenvorlagen für Shielded-VMs gestartet werden. Die komplette Vorgehensweise wird auf der Seite „Deploy shielded VMs“ beschrieben.

Wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46220644 / Betriebssystem)