OpenManage Integration for VMware vCenter 版本 5.2 安全配置指南 October 2020 Rev.
注意、小心和警告 注: “注意”表示帮助您更好地使用该产品的重要信息。 小心: “小心”表示可能会损坏硬件或导致数据丢失，并告诉您如何避免此类问题。 警告: “警告”表示可能会导致财产损失、人身伤害甚至死亡。 © 2010 - 2020 Dell Inc. 或其子公司。保留所有权利。Dell、EMC 和其他商标是 Dell Inc.
目录 图.................................................................................................................................................. 5 表.................................................................................................................................................. 6 章 1: 前言........................................................................................................................................ 7 章 2: 部署模式......................................................
章 4: 其他配置和管理...................................................................................................................... 22 OpenManage Integration for VMware vCenter (OMIVV) 许可....................................................................................22 保护真实性和完整性..........................................................................................................................................................22 管理 OMIVV 中的备份和还原.........................................................
图 1 安全控制图................................................................................................................................................................... 9 2 安全错误消息.............................................................................................................................................................
表 6 1 修订历史记录............................................................................................................................................................... 7 2 权限组..........................................................................................................................................................................15 3 预加载帐户..................................................................................................................................................
1 前言 作为改进其产品线的一项措施，Dell EMC 会定期发布其软件和硬件的修订版。本文档中介绍的有些功能可能只受当前使用的部分软 件或硬件版本支持。产品发行说明提供了有关产品功能的最新信息。 如果某个产品不能正常运行或其功能与本文档的描述不符，请与您的 Dell EMC 技术支持专业人员联系。本文档在发布时准确无误。 要确保您使用的是本文档的最新版本，请转至 https://www.dell.com/support 用途 本文档包含有关 OpenManage Integration for VMware vCenter (OMIVV) 的安全特性和功能的信息。 读者对象 本文档面向负责 OMIVV 安全管理的人员。 修订历史记录 下表呈现了本文档的修订历史。 表. 1: 修订历史记录 修订版 日期 说明 A00 2020 年 10 月 OpenManage Integration for VMware vCenter 5.2 安全配置指南的初始版本。 相关说明文件 除本指南外，您还可以访问 https://www.dell.
2 部署模式 您可以在 VMware vCenter 环境中部署 OpenManage Integration for VMware vCenter (OMIVV) 作为 OVF。 主题： • • 开放式虚拟化格式 (OVF) 部署 安全配置文件 开放式虚拟化格式 (OVF) 部署 如果您已有 VMware vSphere 虚拟机环境，建议您将 OMIVV 部署为开放式虚拟化格式 (OVF)。 OVF 部署模式包括预配置的捆绑包，其中包含 OMIVV 软件和 OMIVV 软件运行所依托的 Linux 操作系统。 OVF 环境还包括预配置的防火墙，该防火墙已针对 OMIVV 与受监测系统之间的通信要求进行调整。 OVF 使用 OVF 模板文件进行部署。有关将 OMIVV 部署为 OVF 的更多信息，请参见 https://www.dell.com/support 上提供的 OpenManage Integration for VMware vCenter 5.
3 产品和子系统安全性 主题： • • • • • • • • • • • • 安全控制图 验证 登录安全设置 身份验证类型和设置注意事项 用户和凭据管理 网络安全性 数据安全 加密 审计和日志记录 可服务性 OMIVV 操作系统更新 产品代码完整性 安全控制图 OMIVV 使用 iDRAC 执行 PowerEdge 服务器的部署、资源清册和更新，并从 iDRAC 接收 SNMP 陷阱。 OMIVV 的用户界面是设备管理 Web 页面。OMIVV 插件 UI 从 VMware vCenter 客户端运行，并提供主机硬件监测和管理功能。 所有系统凭据均存储在 OMIVV 安全存储中。 下图显示了 OMIVV 安全控制图： 图 1: 安全控制图 产品和子系统安全性 9
验证 访问控制 访问控制设置可为资源提供保护，防止它们受到未经授权的访问。具有 VMware vCenter 中配置的适当角色和权限的 VMware vCenter 用户访问 OMIVV 插件页面。为 OMIVV 设备管理员帐户授予 OMIVV 管理控制台访问权限。 默认用户帐户 OMIVV 包括以下默认用户帐户： ● 本地用户帐户 ● 只读用户帐户 ● Root 帐户 本地用户帐户 OMIVV 提供了单个默认本地管理用户帐户。此内部帐户的用户名为 admin。 本地管理员只能访问 Dell EMC OMIVV 管理控制台中的所有操作。 首次部署 OMIVV 时，系统会提示您设置密码。按照屏幕上的说明设置密码。 只读用户帐户 OMIVV 提供单个默认本地只读用户帐户。只读帐户的用户名为只读。 管理员只能使用虚拟机远程控制台登录到 OMIVV。 在故障排除期间可以使用此帐户查看关键设备状态和日志。 root 帐户 OMIVV 设备具有操作系统 root 帐户。 此默认帐户不可访问。技术支持团队使用 root 帐户调试字段问题。 外部用户帐户 当用户在 vCenter 上具有适当的角色和权限时，VMwa
自动会话超时 空闲浏览器会话超时 默认情况下，非活动状态超过 15 分钟，OMIVV 会话就会超时，同时会自动将您注销。 身份验证类型和设置注意事项 vCenter 用户身份验证 OMIVV 依赖于 vCenter 对插件页面访问进行身份验证。插件页面需要在注册过程中 Dell EMC 在 vCenter 上创建的权限。 注册新 vCenter 服务器 前提条件 您的 vCenter 帐户应具有创建用户所需的权限。有关所需权限的更多信息，请参阅所需的非管理员用户的权限 页面上的 12。 关于此任务 安装 OMIVV 后，您可以注册 OMIVV 设备。OMIVV 使用具有必要 vCenter 操作权限的管理员用户帐户或非管理员用户帐户。单个 OMIVV 设备实例可支持 15 台 vCenter 服务器和多达 2,000 台 ESXi 主机。 如果您尝试注册超过 15 个 Vcenter，将显示以下错误消息： 您的许可证仅允许 个 Vcenter，并且它们均已注册。 要注册新 vCenter 服务器，请执行以下步骤： 步骤 1.
结果 注册 vCenter 服务器后，OMIVV 注册为 vCenter 插件，“Dell EMC OpenManage Integration”图标出现在 vSphere Client 中，通过它 可以访问 OMIVV 功能。 注: 对于 OMIVV 设备中的所有 vCenter 操作，OMIVV 使用已注册用户的权限，而不是登录到 VMware vCenter 的用户或 OMIVV 设备本地帐户的权限。 具有必要权限的用户 X 在 vCenter 中注册 OMIVV，用户 Y 仅有 Dell 权限。用户 Y 现在可以登录到 vCenter 并且可以从 OMIVV 触发 固件更新任务。在执行固件更新任务时，OMIVV 使用用户 X 的权限将主机置于维护模式或重新引导主机。 注: 如果您想上传自定义证书颁发机构 (CA) 签名的至证书 OMIVV，请确保先上传新证书再注册 vCenter。如果您在注册 vCenter 后上传新的自定义证书，vSphere Client 会显示通信错误。要解决此问题，请取消注册，然后重新向 vCenter 注册设备。 使用非管理帐户注册 vCenter 服务器 前提条件 您可
○ 注销 ○ 更新 ● 主机 ○ CIM ￭ CIM 交互 ● Host.Config ○ 高级设置 ○ 更改设置 ○ 连接 ○ 维护 ○ 网络配置 ○ 查询补丁程序 ○ 安全配置文件和防火墙 ● 资源清册 ○ 将主机添加到群集 ○ 添加独立主机 ○ 修改群集 ● 生命周期管理器：常规权限 ○ 读取 注: vSphere 生命周期管理器常规权限仅适用于 vCenter 7.0 及更高版本。 ● 主机配置文件 ○ 编辑 ○ 查看 ● 权限 ○ 修改权限 ○ 修改角色 ● 会话 ○ 验证会话 ● 任务 ○ 创建 ○ 更新 注: 如果使用非管理员用户注册 vCenter 服务器以访问任何 OMIVV 功能，则非管理员用户必须具有 Dell 权限。有关查找 Dell 权 限的更多信息，请参阅将 Dell 权限分配给现有角色 页面上的 13。 将 Dell 权限分配给现有角色 关于此任务 如果访问 OMIVV 的特定页面时没有向登录用户分配 Dell 权限，则显示错误 2000000。 您可以编辑现有角色以分配 Dell 权限。 步骤 1. 使用管理权限登录 vSphere Client (HTML-5)。 2.
● ● ● ● Dell.Deploy-Provisioning Dell.Inventory Dell.Monitoring Dell.Reporting 有关 vCenter 内可用的 OMIVV 角色的详细信息，请参阅 中的。 7. 编辑角色名称，然后输入所选角色的说明（如果需要）。 8. 单击完成。 从 vCenter 中注销，然后重新登录。现在，具有必要权限的用户可以执行 OMIVV 操作。 vCenter 用户安全 安全角色和权限 OpenManage Integration for VMware vCenter 以加密格式存储用户凭据。它不会向客户端应用程序提供任何密码，以避免任何不当请 求。备份数据库使用自定义的安全短语进行完全加密，因此数据不会被滥用。 默认情况下，管理员组中的用户具有所有权限。管理员可在 VMware vSphere Web 客户端中使用 OpenManage Integration for VMware vCenter 的所有功能。如果您希望用户有管理产品的必要权限，请执行以下操作： 1. 创建具有必要权限的角色。 2.
表. 2: 权限组 组名称 说明 权限组 - Dell.Configuration 执行主机相关任务、执行 vCenter 相关任务、配置 SelLog、配置 ConnectionProfile、配置 ClearLed、固件更新 权限组 - Dell.Inventory 配置资源清册、配置保修检索、配置只读 权限组 - Dell.Monitoring 配置监测、监测 权限组 - Dell. Reporting (Not used) 创建报告、运行报告 Dell 基础架构部署角色 该角色包含与虚拟机监控程序部署功能相关的权限。 此角色提供的权限为“配置主机凭据配置文件”、“分配标识”和“部署”。 权限组 — Dell.Deploy-Provisioning 配置主机凭据配置文件、分配标识、部署。 关于权限 OpenManage Integration for VMware vCenter 执行的每个操作均与权限相关联。以下部分列出了可用的操作和关联的权限： ● Dell.Configuration.
○ ○ ○ ○ ○ 在固件更新向导页上加载固件存储库和 DUP 文件信息 查询固件资源清册 配置固件存储库设置 配置暂存文件夹和使用暂存功能执行更新 测试网络和存储库连接 ● Dell.Deploy-Provisioning.Create Template ○ ○ ○ ○ ○ 配置硬件配置的配置文件 配置虚拟机监管程序部署配置文件 配置连接配置文件 分配标识 部署 ● Dell.Configuration.Perform host-related tasks ○ 闪烁 LED、清除 LED ○ 启动 iDRAC 控制台 ○ 显示和清除 SEL 日志 ● Dell.Inventory.Configure Inventory ○ ○ ○ ○ ○ ○ 在 Dell 服务器管理选项卡上显示系统资源清册 获得存储详细信息 获得电源监测详细信息 在连接配置文件页上的创建、显示、编辑、删除和测试连接配置文件 计划、更新和删除资源清册计划 在主机上运行资源清册 用户和凭据管理 预加载帐户 下表介绍了预加载的 OMIVV 帐户： 表.
表. 4: 默认凭据 （续） 帐户 用户 密码 只读用户 只读 在部署后的首次启动时设置。在以只读用 户身份登录后，可以使用标准 Linux 密码 更改命令重新配置只读用户密码。 Linux 操作系统 root Root 操作系统 root 密码是在部署 OMIVV 时设 置的。 管理凭据 如果您是第一次登录 Dell EMC 管理控制台，请以管理员身份登录（默认用户名为 admin）。 注: 如果忘记了管理员密码，将无法从 OMIVV 设备恢复。 更改 OMIVV 设备密码 关于此任务 可以在 vSphere 客户端中使用控制台更改 OMIVV 设备密码。 步骤 1. 打开 OMIVV Web 控制台。 2. 在 OpenManage Integration for VMware vCenter 虚拟设备设置实用程序中，单击更改管理员密码。 按照屏幕上的说明设置密码。 3. 在当前密码文本框中，输入当前管理员密码。 4. 在新密码文本框中输入新密码。 5. 在确认新密码文本框中输入新密码。 6.
网络暴露 OpenManage Integration for VMware vCenter 在与远程系统通信时使用入站和出站端口。 出站端口 在连接到远程系统时，OMIVV 可以使用出站端口。 下表中列出的端口是 OMIVV 出站端口。 表.
表.
生成证书签名请求 (CSR) 前提条件 在将 OMIVV 注册到 vCenter 之前，请确保您上传 CSR。 关于此任务 生成新 CSR 可阻止通过以前生成的 CSR 创建的证书上传到设备。要生成 CSR，请执行以下操作： 步骤 1. 在设备管理页面中，单击 HTTPS 证书区域中的生成证书签名请求。 此时将显示一条消息，表明如果生成新请求，则使用以前的 CSR 创建的证书无法再上传到设备。要继续请求，请单击继续。 2. 如果继续请求，则在生成证书签名请求对话框中，输入通用名称、组织、地点、州/省、国家/地区和电子邮件地址。单击继续。 3. 单击下载，然后将所得 CSR 保存到可访问的位置。 上传 HTTPS 证书 前提条件 确保证书使用 PEM 格式。 关于此任务 您可以使用 HTTPS 证书在 OMIVV 设备和主机系统或 vCenter 之间进行安全通信。要设置此类型的安全通信，请将 CSR 证书发送到 签署机构，然后使用管理控制台上载生成的 CSR。还有一个自签名的默认证书可用于安全通信；此证书对于每个安装来说都是唯一 的。 步骤 1.
创建和下载故障排除捆绑包 前提条件 要生成故障排除捆绑包，请确保您登录到管理员门户。 关于此任务 故障排除捆绑包含有 OMIVV 设备日志记录信息，可用于帮助解决问题或将其发送给技术支持部门。OMIVV 不会记录任何用户敏感数 据。 步骤 1. 在支持页面上，单击创建并下载故障排除捆绑包。 此时将显示故障排除捆绑包对话框。 2. 在故障排除捆绑包对话框中，单击创建。 根据日志的大小，创建捆绑包可能需要一些时间。 3. 要保存文件，请单击下载。 可服务性 通过支持网站 https://www.dell.
4 其他配置和管理 主题： • • • OpenManage Integration for VMware vCenter (OMIVV) 许可 保护真实性和完整性 管理 OMIVV 中的备份和还原 OpenManage Integration for VMware vCenter (OMIVV) 许可 OMIVV 有两种类型的许可证： ● 评估许可证 — 当 OMIVV 设备首次开机时，将自动安装评估许可证。试用版包含一个评估许可证，可由 OMIVV 管理五个主机 （服务器）。此 90 天的试用版本是发货时随附的默认许可证。 ● 标准许可证 — 您可以购买由 OMIVV 管理的任意数量的主机许可证。此许可证包括产品支持和 OMIVV 设备更新。标准许可证可 使用三年或五年。购买的任何附加许可证都会延长现有许可证的期限。 单个 XML 密钥的许可证期限基于原始订单的销售日期计算。任何已上传新许可证将在任何先前的到期许可的 90 天宽限期结束后反 映在计数中。 OMIVV 最多支持 15 个 vCenter 实例。从评估许可证升级到完整标准许可证后，您将收到一封订单确认电子邮件，然后便可从 Dell Dig
