LeService de tuteur hôteest une fonctionnalité de sécurité qui vérifie si l'hôte peut exécuter des machines virtuelles hautement protégées. Il gère les clés utilisées pour démarrer les VM protégées, qui sont des VM offrant des fonctionnalités de sécurité supplémentaires. Dans ce guide, nous allons apprendre comment vous pouvezconfigurer le service Host Guardian sur Windows Server.

Qu'est-ce que le service de tuteur hôte ?

Le Host Guardian Service (HGS) est une fonctionnalité de Windows Server 2016 et versions ultérieures qui améliore la sécurité des environnements virtuels. Il garantit que seuls les hôtes Hyper-V de confiance peuvent exécuter des machines virtuelles (VM) protégées. Les machines virtuelles protégées protègent contre la falsification et les accès non autorisés, garantissant ainsi la sécurité des données et des charges de travail sensibles.

Configurer le service Host Guardian sur Windows Server

Si vous souhaitez installer et configurer Host Guardian Service sur Windows Server, suivez les étapes mentionnées ci-dessous.

1. Installer le rôle de service de tuteur hôte
2. Préparer la forêt Active Directory pour HGS
3. Créer un certificat auto-conçu
4. Initialisez le HGS et définissez le type d'attestation qui sera utilisé

Parlons-en en détail.

1] Installer le rôle de service Host Guardian

Avant de procéder à l'installation du rôle de service Host Guardian, une brève leçon d'histoire :HGSest un rôle de serveur relativement nouveau introduit dans Windows Server 2016 afin d'améliorer la sécurité des machines virtuelles en fournissant une structure gardienne.

Pour installer le rôle Host Guardian Service, vous devez suivre les étapes mentionnées ci-dessous.

1. Tout d'abord, ouvrez leGestionnaire de serveur.
2. Maintenant, allez àGérer > Ajouter des rôles et des fonctionnalités.
3. Une fois leAssistant Ajouter des rôles et des fonctionnalitésapparaît, cliquez sur Suivant.
4. Assurez-vous que leInstallation basée sur des rôles ou des fonctionnalitésL'option est sélectionnée et cliquez sur Suivant.
5. Sélectionnez le serveur (ou conservez-le par défaut) et cliquez sur Suivant.
6. Une fois que vous êtes auRôles de serveuronglet, cochez la caseService de tuteur hôtecase à cocher.
7. Vous verrez une fenêtre contextuelle vous demandant d'installer les fonctionnalités associées, cliquez surAjouter des fonctionnalités.
8. Cliquez sur Suivant.
9. Puisque nous avons déjà sélectionné les fonctionnalités requises, cliquez sur Suivant pour ignorer l'onglet Fonctionnalités.
10. Ignorez l'onglet AD DS en cliquant sur Suivant, puis ignorez l'onglet Host Guardian Service en cliquant sur Suivant.
11. Une fois que vous êtes sur leConfirmationonglet, cocherRedémarrez automatiquement le serveur de destination (si nécessaire)(si vous pouvez le faire), puis cliquez sur Installer.

Vous verrez la barre d'état de l'installation, attendez qu'elle soit terminée, une fois terminé, vous pourrez fermer l'assistant d'installation.

2] Préparer la forêt Active Directory pour HGS

Après avoir ajouté le rôle de serveur HGS, nous exécuterons leInstaller-HgsServerapplet de commande. Cela préparera la forêt Active Directory pour HGS, ainsi que configurera le service HGS et ses dépendances. Il est crucial de s'assurer que la machine HGS n'est pas jointe à un domaine avant de lancer ce processus lors de la dernière préversion technique avant la sortie du mois précédent. L’exécution de cette applet de commande sur le premier nœud HGS l’élèvera au rang de contrôleur de domaine principal au sein du domaine choisi. Une fois cela fait, nous devons initialiser HGS. Pour ce faire, exécutez les commandes mentionnées ci-dessous.

$adminPassword = ConvertTo-SecureString -AsPlainText 'yourPass' –Force

Install-HgsServer -HgsDomainName "myDomain.com" -SafeModeAdministratorPassword $adminPassword –Restart

Assurez-vous de remplacer « yourPass » par votre mot de passe actuel et « myDomain.com » par votre nom de domaine actuel.

3] Créer un certificat auto-conçu

Pour configurer le Host Guardian Service (HGS) pour le chiffrement et la signature, vous aurez besoin de certificats. Il existe trois manières d'obtenir ces certificats :Utilisation de votre propre certificat PKI et fichier PFX,acquérir un certificat soutenu par un module de sécurité matériel, oucréation de certificats auto-signés. Étant donné que les certificats auto-signés constituent l'option la plus simple, nous allons les utiliser pour ce didacticiel, bien qu'ils soient mieux adaptés aux scénarios d'évaluation et de preuve de concept.

Pour faire de même, vous devez ouvrirPowerShellen tant qu'administrateur, puis exécutez la commande suivante.

$certificatePassword = ConvertTo-SecureString -AsPlainText '<password>' –Force

$signingCert = New-SelfSignedCertificate -DnsName "certName.com"

Export-PfxCertificate -Cert $signingCert -Password $certificatePassword -FilePath 'C:\signingCert.pfx'

$encryptionCert = New-SelfSignedCertificate -DnsName "EncryptionCert.com"

Export-PfxCertificate -Cert $encryptionCert -Password $certificatePassword -FilePath 'C:\encryptionCert.pfx'

Cela créera et exportera des certificats signés et cryptés.

Lire:

4] Jeinitialiser le HGS et définir le type d'attestation qui sera utilisé

Ensuite, nous devonsinitialisez le HGS et définissez le type d’attestation qui sera utilisé. Pour cela, nous utiliserons l'attestation de clé d'hôte, qui est similaire à l'attestation de confiance par l'administrateur si vous êtes familier avec Windows Server 2016. Pour résoudre le problème, vous pouvez exécuter les commandes suivantes en mode élevé de PowerShell.

$certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -Force

Initialize-HGSServer -LogDirectory c:\temp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:\signingCert.pfx -SigningCertificatePassword $certificatePassword -EncryptionCertificatePath C:\encryptionCert.pfx -EncryptionCertificatePassword $certificatePassword

Assurez-vous de remplacer toutes les variables données dans la requête.

Maintenant que nous avons appris comment lancer HGSServer, vous pouvez créer un bouclier pour votre machine virtuelle Hyper-V et protéger votre organisation contre les attaques de logiciels malveillants.

Lire:?

Comment configurer le serveur Windows comme serveur NTP ?

Il existe deux méthodes pour configurer Windows Server en tant que serveur NTP : vous pouvez soit apporter des modifications au registre, soit faire de même à l'aide de PowerShell. Nous devons simplement activer le serveur NTP, configurer Win32Time, puis redémarrer le serveur NTP. Vous pouvez consulter notre guide sur la façon de.

Lire aussi :