Video-Tipp: Shielded-VMs – Teil 2 Shielded-VMs in Windows Server 2019

Geschützte VMs, auch Shielded-VMs genannt, bieten in Windows Server 2019 die Möglichkeit Serverdienste und deren Daten in Hyper-V-VMs abzuschirmen und zu verschlüsseln. Wir zeigen in diesem Video-Tipp, wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Moxa Europe GmbH

Um VMs zu verschlüsseln und von anderen VMs abzuschotten, wird der Host Guardian Service (HGS) auf einem Server im Netzwerk installiert. Der HGS wird dabei als Cluster bereitgestellt, die Einrichtung wird über die PowerShell vorgenommen. Ist der HGS im Einsatz, stellt er eine eigenen Active Directory-Gesamtstruktur zur Verfügung, die mit der produktiven Gesamtstruktur im Netzwerk verbunden wird. Im Anschluss werden die Hyper-V-Hosts an den HGS angebunden. Danach können VMs auf diese angebundenen Hosts geschützt werden.

Da der Host Guardian Service eine eigene AD-Gesamtstruktur erstellt, inklusive eigenem Namensraum, muss darauf geachtet werden, dass sich die beiden AD-Gesamtstrukturen gegenseitig per DNS auflösen können. Das kann zum Beispiel über eine bedingte Weiterleitung im DNS erreicht werden. Außerdem sollte eine Vertrauensstellung zwischen den Gesamtstrukturen erstellt werden. Hier reicht eine einseitige Vertrauensstellung aus. Außerdem sollten die Ports 443 und 80 zwischen dem HGS und der Active Directory-Gesamtstruktur mit den Hyper-V-Hosts in der Firewall geöffnet sein.

Wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 9 Bildern

Hosts an den Host Guardian Service anbinden

Damit auf einem Hyper-V-Host VMs als Shielded-VMs betrieben werden können, müssen die Hosts an den HGS angebunden werden. Die Hosts werden in diesem Zusammenhang zu „Guarded Hosts“ des „Host Guardian Service“-Clusters. Generell gibt es zwei Möglichkeiten die Autorisierung von Hosts durchzuführen. Ist auf den Servern ein TPM-Chip verbaut, kann die TPM-Trusted Attestation verwendet werden. Alternativ wird die Überprüfung durch die Mitgliedschaft in einer Active Directory-Gruppe vorgenommen. Wichtig ist in diesem Zusammenhang auch eine Vertrauensstellung zwischen der Active Directory-Gesamtstruktur und der Gesamtstruktur des HGS-Servers.

In der Gesamtstruktur mit den Hyper-V-Hosts, auch Fabric genannt, wird dazu eine globale Gruppe erstellt, in der die Computerkonten der Hyper-V-Hosts aufgenommen werden. Für die weitere Konfiguration wird die SID der Gruppe benötigt. Diese kann zum Beispiel in der Fabric mit der PowerShell angezeigt werden:

Im Anschluss wird diese Gruppe über ihre SID auf dem HGS registriert. Dazu wird auf dem HGS in der PowerShell eine neue HGS Attestation Group erstellt, und die SID der Gruppe registriert, in der sich in der Fabric die Computerkonten der Hyper-V-Server befinden:

Natürlich lassen sich weitere Gruppen erstellen, ebenfalls mit diesem Befehl und dann jeweils einem eigenständigen Namen.

Die Daten der Gruppe können wiederum mit Get-HgsAttestationHostGroup angezeigt werden. Damit die Verbindung funktioniert, muss auf den Hyper-V-Hosts noch das Feature für die Anbindung an HGS installiert werden. Das kann zusammen mit Hyper-V erfolgen:

Beim Einsatz von Windows Server 2019 als HGS-Server kann mit der Host Key Attestation gearbeitet werden. Dazu wird ein Schlüsselpaar zwischen den Hosts und dem HGS erstellt. Microsoft beschreibt die Vorgehensweise auf der Seite „Create a host key and add it to HGS“.

Weitere Daten für die Einrichtung lassen sich auf dem HGS-Server mit dem CMDlet Get-HgsServer anzeigen.

Auf dem Hyper-V-Host wird danach die Anbindung mit folgendem Befehl vorgenommen:

Die URLs werden wiederum auf dem HGS-Server mit dem CMDlet Get-HgsServer angezeigt. Danach kann die Einrichtung mit get-hgsclientconfiguration überprüft werden. Wird der Client nicht als „True“ bei „IsHostGuarded“ angezeigt, kann die Konfiguration mit dem folgenden Befehl überprüft werden:

Shielded-VMs bereitstellen

Sobald der HGS einsatzbereit ist und die Hyper-V-Hosts über eine der drei verfügbaren Methoden mit dem HGS verbunden sind, lassen sich Shielded-VMs erstellen. Dabei besteht die Möglichkeit bereits vorhandene VMs zu Shielded-VMs zu konvertieren, oder neue VMs zu erstellen. Für die Bereitstellung wird das Feature „VM-Abschirmungstools für die Fabricverwaltung“ benötigt.

Mit den Tools können geschützte Linux-VMs und Windows-VMs erstellt werden. Die Installation kann mit dem Server-Manager, dem Windows Admin Center oder über die PowerShell erfolgen:

Wenn die Tools installiert sind, kann über die Verwaltungstools auf dem Server der Assistent zum Erstellen von neuen Festplattenvorlagen für Shielded-VMs gestartet werden. Die komplette Vorgehensweise wird auf der Seite „Deploy shielded VMs“ beschrieben.

Wie man Hosts an den Host Guardian Service anbindet und Shielded-VMs bereitstellt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 9 Bildern

(ID:46220644)