ElServicio de tutor de anfitriónes una característica de seguridad que verifica si el host puede ejecutar máquinas virtuales altamente protegidas. Gestiona las claves utilizadas para iniciar máquinas virtuales protegidas, que son máquinas virtuales que proporcionan funciones de seguridad adicionales. En esta guía, aprenderemos cómo puedesconfigurar el servicio Host Guardian en Windows Server.

¿Qué es el servicio Host Guardian?

Host Guardian Service (HGS) es una característica de Windows Server 2016 y posteriores que mejora la seguridad de los entornos virtuales. Garantiza que solo los hosts Hyper-V confiables puedan ejecutar máquinas virtuales (VM) protegidas. Las máquinas virtuales blindadas protegen contra manipulaciones y accesos no autorizados, manteniendo seguros los datos confidenciales y las cargas de trabajo.

Configurar el servicio Host Guardian en Windows Server

Si desea instalar y configurar Host Guardian Service en Windows Server, siga los pasos que se mencionan a continuación.

1. Instalar la función de servicio Host Guardian
2. Prepare el bosque de Active Directory para HGS
3. Crear un certificado de diseño propio
4. Inicialice el HGS y establezca el tipo de certificación que se utilizará

Hablemos de ellos en detalle.

1]Instalar la función de servicio Host Guardian

Antes de continuar e instalar la función de servicio Host Guardian, una breve lección de historia:HGSEs una función de servidor relativamente nueva introducida en Windows Server 2016 para mejorar la seguridad de las máquinas virtuales al proporcionar un tejido guardián.

Para instalar la función del Servicio Host Guardian, debe seguir los pasos que se mencionan a continuación.

1. En primer lugar, abra elAdministrador del servidor.
2. Ahora, ve aAdministrar > Agregar funciones y características.
3. Una vez que elAsistente para agregar roles y característicasaparece, haga clic en Siguiente.
4. Asegúrese de que elInstalación basada en funciones o funcionesSe selecciona la opción y se hace clic en Siguiente.
5. Seleccione el servidor (o manténgalo predeterminado) y haga clic en Siguiente.
6. Una vez que estés en elFunciones del servidorpestaña, marque laServicio de tutor de anfitrióncaja.
7. Verá una ventana emergente que le pedirá que instale funciones relacionadas, haga clic enAgregar funciones.
8. Haga clic en Siguiente.
9. Como ya hemos seleccionado las funciones requeridas, haga clic en Siguiente para omitir la pestaña Funciones.
10. Omita la pestaña AD DS haciendo clic en Siguiente y luego omita la pestaña Servicio Host Guardian haciendo clic en Siguiente.
11. Una vez que estés en elConfirmaciónpestaña, marcaReinicie el servidor de destino automáticamente (si es necesario)(si puede hacerlo) y luego haga clic en Instalar.

Verá la barra de estado de la instalación, espere a que se complete, una vez hecho esto, puede cerrar el asistente de instalación.

2]Prepare el bosque de Active Directory para HGS

Después de agregar la función del servidor HGS, ejecutaremos elInstalar-HgsServercmdlet. Esto preparará el bosque de Active Directory para HGS, así como también configurará el servicio HGS y sus dependencias. Es fundamental asegurarse de que la máquina HGS no esté unida a un dominio antes de iniciar este proceso (la última vista previa técnica antes del lanzamiento del mes anterior). La ejecución de este cmdlet en el primer nodo HGS lo elevará a controlador de dominio principal dentro del dominio elegido. Una vez hecho esto, necesitamos inicializar HGS. Para hacerlo, ejecute los comandos que se mencionan a continuación.

$adminPassword = ConvertTo-SecureString -AsPlainText 'yourPass' –Force

Install-HgsServer -HgsDomainName "myDomain.com" -SafeModeAdministratorPassword $adminPassword –Restart

Asegúrese de reemplazar 'yourPass' con su contraseña real y "myDomain.com" con su nombre de dominio real.

3]Cree un certificado de diseño propio

Para configurar Host Guardian Service (HGS) para cifrado y firma, necesitará certificados. Hay tres formas de obtener estos certificados:Usando su propio certificado PKI y archivo PFX,adquirir un certificado respaldado por un Módulo de Seguridad de Hardware, ocrear certificados autofirmados. Dado que los certificados autofirmados son la opción más sencilla, los usaremos en este tutorial, aunque son más adecuados para escenarios de evaluación y prueba de concepto.

Para hacer lo mismo, necesitas abrir.PowerShellcomo administrador y luego ejecute el siguiente comando.

$certificatePassword = ConvertTo-SecureString -AsPlainText '<password>' –Force

$signingCert = New-SelfSignedCertificate -DnsName "certName.com"

Export-PfxCertificate -Cert $signingCert -Password $certificatePassword -FilePath 'C:\signingCert.pfx'

$encryptionCert = New-SelfSignedCertificate -DnsName "EncryptionCert.com"

Export-PfxCertificate -Cert $encryptionCert -Password $certificatePassword -FilePath 'C:\encryptionCert.pfx'

Esto creará y exportará certificados firmados y cifrados.

Leer:

4]yoinicializar el HGS y establecer el tipo de certificación que se utilizará

A continuación, debemosinicialice el HGS y establezca el tipo de certificación que se utilizará. Para esto, usaremos la atestación de clave de host, que es similar a la atestación de confianza del administrador si está familiarizado con Windows Server 2016. Para resolver el problema, puede ejecutar los siguientes comandos en el modo elevado de PowerShell.

$certificatePassword = ConvertTo-SecureString -AsPlainText 'Yusuf@2411' -Force

Initialize-HGSServer -LogDirectory c:\temp -HgsServiceName HGSService -HTTP -TrustHostKey -SigningCertificatePath C:\signingCert.pfx -SigningCertificatePassword $certificatePassword -EncryptionCertificatePath C:\encryptionCert.pfx -EncryptionCertificatePassword $certificatePassword

Asegúrese de reemplazar todas las variables proporcionadas en la consulta.

Ahora que hemos aprendido cómo iniciar HGSServer, puede seguir adelante y crear un escudo para su máquina virtual Hyper-V y proteger su organización de ataques de malware.

Leer:?

¿Cómo configurar el servidor Windows como servidor NTP?

Hay dos métodos para configurar Windows Server como servidor NTP: puede realizar cambios en el registro o hacer lo mismo usando PowerShell. Solo necesitamos habilitar el servidor NTP, configurar Win32Time y luego reiniciar el servidor NTP. Puede consultar nuestra guía sobre cómo.

Lea también: