4. vCenter Server安全基线配置

vCenter Server是整个vSphere环境的“大脑”，它保存着清单、权限、证书、任务历史与SSO身份源等关键资产。一旦vCenter被攻破，攻击者往往可以横向控制所有ESXi主机和虚拟机。因此，vCenter的安全基线不能只停留在“装好即用”的默认状态，而应围绕身份、凭据、会话、证书、日志与备份六个维度逐项加固。本节以vSphere Client和vCenter Server Management Interface（简称VAMI，即5480端口管理界面）为操作入口，给出可落地的配置路径与验证方法。

一、SSO域策略：身份入口的第一道闸门

SSO（Single Sign-On）域是vCenter身份认证的核心。默认的vsphere.local域内置了Administrator@vsphere.local账户，很多环境长期不修改其密码，这是高风险点。加固时应先确认身份源策略：若企业已有AD/LDAP，应将其配置为SSO身份源，并让日常管理通过AD账户完成，Administrator@vsphere.local仅作为紧急破窗账户保留。

在vSphere Client中，进入系统管理 → Single Sign On → 配置，可设置“登录锁定策略”和“密码策略”。建议将vsphere.local的密码策略设为：最小长度14位、至少包含大写字母、小写字母、数字、特殊字符中的3类、不允许与用户名相同、历史密码记忆5次。锁定策略建议设为“连续5次失败后锁定”，锁定时间15分钟。这样既抵御暴力破解，又不会因误输入导致管理员长时间被锁。

二、密码复杂度与账户锁定：从SSO延伸到本地账户

SSO策略只覆盖SSO域账户，vCenter的本地操作系统账户（如root）需要在VAMI中单独加固。登录https://<vcenter>:5480，进入访问 → 访问设置，可编辑root、appliance等账户的密码策略与锁定策略。建议将root密码设为16位以上，并启用“锁定前失败尝试次数=3、解锁时间=900秒”。

需要注意的是，vCenter的root账户与SSO的Administrator是两套独立凭据。日常运维应使用SSO账户登录vSphere Client，root仅用于VAMI管理、SSH排障和备份恢复。若启用SSH，应在排障完成后立即关闭，避免长期开放22端口。

三、会话超时：缩短暴露窗口

会话超时分为两类：vSphere Client的Web会话超时和SSO令牌生命周期。在vSphere Client的系统管理 → 部署 → 客户端配置中，可设置“会话超时”为15分钟；在SSO配置中可调整“令牌过期”时间。对于安全要求较高的环境，建议Web会话超时不超过15分钟，SSO令牌有效期不超过8小时，并启用“空闲会话自动注销”。

验证方法：登录vSphere Client后静置超过设定时间，刷新页面应跳转到登录页；同时可在监控 → 会话中观察活动会话数量是否随超时下降。

四、证书替换：消除浏览器告警与中间人风险

vCenter默认使用VMware自签名证书，浏览器会提示不受信任，且不利于审计。生产环境应替换为受信任CA签发的证书。替换路径有两种：一是通过VAMI的证书 → 证书管理导入自定义证书；二是使用certificate-manager工具批量替换。替换前需准备包含vCenter FQDN的CSR，由企业CA签发后导入。

替换完成后，应验证：浏览器访问https://<vcenter>/ui不再出现证书告警；在VAMI中查看证书链完整、有效期正确；ESXi主机与vCenter的通信证书也需同步更新，否则会出现“证书不匹配”告警。

五、日志转发：让审计数据离开vCenter

vCenter的日志默认保存在本地，一旦设备故障或磁盘损坏，审计记录可能丢失。加固时应将日志转发到独立的syslog服务器。在VAMI中进入系统 → 日志记录，添加远程syslog主机，协议建议使用TCP 514或TLS 6514，并设置转发级别为info或warning。

配置完成后，可在syslog服务器上使用tail -f /var/log/remote/vcenter.log观察是否收到vCenter日志。同时应在vCenter的监控 → 日志中确认无“转发失败”告警。对于合规环境，建议日志留存不少于180天，并启用日志完整性校验。

六、备份加密：保护恢复通道

vCenter支持基于文件的备份（File-Based Backup），可在VAMI的备份 → 立即备份中配置。备份内容应包含“所有”或至少包含“配置、清单、任务、统计、事件”。关键点是启用加密：设置加密口令后，备份文件以加密形式存储，即使备份介质泄露也无法直接读取。

建议备份策略：每日增量、每周全量，备份目标使用SMB/NFS/FTPS等远程存储，并异地保留一份。恢复时需输入加密口令，因此口令必须单独保管在密码管理器中，不能与备份文件放在同一位置。验证方式是执行一次恢复演练，确认vCenter可正常启动、SSO登录正常、清单完整。

七、加固后的整体验证清单