1. vSphere安全威胁模型与合规要求

在传统物理数据中心中，安全边界相对清晰：机房门禁、交换机ACL、服务器本地账户构成了层层防线。而vSphere把计算、存储、网络抽象为软件定义资源后，攻击面发生了根本变化——管理平面成为新的"皇冠上的明珠"，虚拟机之间的东西向流量不再经过物理防火墙，hypervisor本身也成了需要防护的操作系统。理解这些威胁从何而来、合规框架又提出了哪些硬性要求，是建立安全基线与访问控制体系的第一步。

一、vSphere环境的三类主要威胁

1. 管理平面攻击。vCenter Server与ESXi主机的管理接口（vSphere Client、ESXi Shell、SSH、DCUI、API）一旦被攻陷，攻击者即可创建、删除、迁移任意虚拟机，挂载任意数据存储，甚至关闭审计日志。常见入口包括：管理网络与业务网络共用同一VLAN、vCenter使用默认自签名证书且未校验证书链、管理员账户未启用多因素认证、SSH长期开启且允许密码登录。一个典型场景是攻击者通过钓鱼获取了vCenter的SSO账户口令，随后利用vSphere API批量导出虚拟机磁盘文件，整个过程在vCenter任务列表中只留下"导出OVF模板"这类看似正常的记录。

2. 虚拟机逃逸。逃逸指攻击者从Guest OS内部突破隔离边界，获得hypervisor或其它虚拟机的控制权。它通常依赖虚拟化组件的漏洞，例如虚拟设备（如VMXNET3网卡、PVSCSI控制器）的驱动缺陷、VMware Tools的越权接口、或CPU侧信道（如L1TF、MDS）。虽然逃逸利用门槛高，但一旦成功，影响范围覆盖同一ESXi主机上的所有虚拟机。防御重点在于及时打补丁、禁用不必要的虚拟硬件、限制VMware Tools的安装与升级权限，以及通过EVC/CPU微码缓解侧信道风险。

3. 未授权访问与横向移动。这包括弱口令、共享本地账户、过度授权的vSphere角色、以及虚拟机之间缺乏微分段。攻击者常先控制一台业务虚拟机，再通过同网段扫描找到vCenter或ESXi管理地址，利用凭据复用进入管理平面。此外，快照文件、OVA模板、备份介质中可能残留明文凭据或敏感数据，也是常被忽视的泄露路径。

二、合规框架对虚拟化的具体要求

等保2.0（三级）在"安全计算环境"和"安全管理中心"层面对虚拟化提出明确条款：应对登录vCenter和ESXi的用户进行身份标识与鉴别，口令复杂度与定期更换有量化要求；应启用访问控制策略，按最小权限分配角色；应开启审计功能，审计记录需包含事件日期、时间、用户、事件类型、结果，并保护审计记录不被未授权删除、修改或覆盖。落到vSphere上，对应的是SSO强口令策略、基于角色的访问控制（RBAC）、以及ESXi与vCenter的syslog外发。

ISO 27001更强调管理体系与风险处置。其附录A.9要求对信息访问进行策略制定与权限评审，A.12要求记录事件并保护日志，A.13要求网络隔离。映射到vSphere，就是定期做权限复核（谁拥有Administrator角色、哪些账户是直接授权而非通过组）、管理网络与业务网络分离、以及变更管理流程覆盖虚拟化配置。

PCI DSS v4.0面向持卡人数据环境（CDE）。若CDE中包含虚拟机，则要求：Req.7按业务需要最小授权，禁止共享账户；Req.8多因素认证覆盖所有进入CDE的管理访问；Req.10日志留存至少12个月且最近3个月可即时查询；Req.2禁止使用厂商默认口令与不必要服务。这意味着vCenter的SSO账户必须启用MFA，ESXi的默认root口令必须修改，SSH与ESXi Shell默认关闭。

三、安全基线与访问控制的整体框架

面对上述威胁与合规要求，本课程将围绕"一个基线、两条主线、三层防护"展开。一个基线指以VMware Security Configuration Guide与vSphere Hardening Guide为蓝本，形成可落地的配置基线；两条主线是访问控制（身份、角色、权限、MFA、会话）与安全基线（主机加固、网络隔离、日志审计、补丁与完整性）；三层防护指管理平面、hypervisor层、虚拟机与数据层分别设防。

具体到可执行层面，后续章节会依次覆盖：SSO域与身份源集成、角色与权限的精细化分配、基于标签的权限与微分段、ESXi主机加固项（如禁用SSH、锁定DCUI、配置防火墙规则集）、vCenter证书与信任链管理、审计日志外发与告警、以及合规检查与持续监控。学习目标不是记住所有配置项，而是能够判断"当前环境在哪个环节存在暴露面、对应哪条合规要求、应该用哪个控制措施收敛"。