Security, Roles & SSO + AD Integration

1. CIS VMware ESXi Benchmark Compliance — Level 1 & Level 2

CIS (Center for Internet Security) benchmark là tiêu chuẩn hardening được chấp nhận rộng rãi — Level 1 bắt buộc cho mọi production, Level 2 cho môi trường sensitive.

### PowerCLI — CIS Hardening Automation (Level 1)
Connect-VIServer vcsa-01.lab.local

Get-VMHost | ForEach-Object {
    $host = $_
    # 1. Disable SSH & Shell
    Get-VMHostService -VMHost $host | Where-Object {$_.Key -in "TSM","TSM-SSH"} |
        Set-VMHostService -Policy Off | Stop-VMHostService -Confirm:$false

    # 2. Enable Lockdown Mode (Normal)
    ($host | Get-View).EnterLockdownMode()

    # 3. Configure Syslog
    Set-VMHostAdvancedConfiguration -VMHost $host `
        -Name "Syslog.global.logHost" -Value "tcp://siem.hoatranlab.io.local:514"

    # 4. Account lockout: max 5 failed logins, 15 min lockout
    Set-VMHostAdvancedConfiguration -VMHost $host `
        -Name "Security.AccountLockFailures" -Value 5
    Set-VMHostAdvancedConfiguration -VMHost $host `
        -Name "Security.AccountUnlockTime" -Value 900
    Write-Host "$($host.Name): Hardening applied"
}

2. ESXi Lockdown Mode — Normal vs Strict

Lockdown Mode buộc mọi thao tác phải đi qua vCenter — ngăn admin dùng SSH/DCUI bypass audit trail. Cần hiểu rõ sự khác nhau giữa Normal và Strict.

### So sánh Lockdown Mode

  ┌─────────────────────────────────────────────────────────────────┐
  │               LOCKDOWN MODE COMPARISON                          │
  ├──────────────────────┬──────────────────┬───────────────────────┤
  │ Access Method        │ Normal Lockdown  │ Strict Lockdown       │
  ├──────────────────────┼──────────────────┼───────────────────────┤
  │ vCenter API          │ ✓ Allowed        │ ✓ Allowed             │
  │ SSH (Exception Users)│ ✓ Allowed        │ ✗ BLOCKED             │
  │ DCUI                 │ ✓ Allowed        │ ✗ BLOCKED             │
  │ Direct API (non-vC)  │ ✗ Blocked        │ ✗ Blocked             │
  │ Exception Users list │ ✓ Can SSH        │ ✓ DCUI only           │
  └──────────────────────┴──────────────────┴───────────────────────┘

### Exception Users — Ai được phép khi Lockdown enabled
# Thêm break-glass account vào Exception Users list:
# vSphere Client → Host → Configure → Security Profile → Lockdown Mode
# → Exception Users → Add: [email protected]

### Bật Lockdown Mode qua PowerCLI
$vmhost = Get-VMHost "esxi-hn-r01-01.hoatranlab.io.local"
($vmhost | Get-View).EnterLockdownMode()    # Normal Lockdown
# Strict: cần set qua API:
# ($vmhost | Get-View).EnterStrictLockdownMode()

### Kiểm tra Lockdown Mode status
Get-VMHost | Select-Object Name, @{N='LockdownMode';E={($_ | Get-View).Config.LockdownMode}}

3. VM Encryption & vSphere Native Key Provider (vNKP) Setup

vNKP (vSphere Native Key Provider) là Key Management Server built-in vCenter từ vSphere 7.0U2 — không cần KMS bên ngoài, phù hợp với hầu hết doanh nghiệp.

### BƯỚC 1: Tạo vSphere Native Key Provider
# vSphere Client → Menu → Administration → Key Providers
# → Add → Native Key Provider
# Name: vNKP-Production
# → Add Key Provider
# → Lần đầu: "Back Up" để export key provider data → lưu an toàn

### BƯỚC 2: Tạo VM Encryption Storage Policy
# vSphere Client → Policies and Profiles → VM Storage Policies
# → Create → VM Encryption Policy
# Name: Policy-VM-Encrypted
# Rules: Encryption = Required
# Key Provider: vNKP-Production

### BƯỚC 3: Enable encryption cho VM mới
# Khi tạo VM: VM Storage Policy → chọn "Policy-VM-Encrypted"
# → vNKP tự động generate DEK (Data Encryption Key) per VM

### BƯỚC 4: Encrypt VM đang chạy (in-place)
# Right-click VM → VM Policies → Edit VM Storage Policy
# → Đổi sang Policy-VM-Encrypted
# → Apply: "Encrypt" — VM tiếp tục chạy trong khi encrypt

### Kiểm tra trạng thái encryption
Get-VM | Where-Object {$_.ExtensionData.Config.KeyId} | Select-Object Name,
    @{N='EncryptionKeyId';E={$_.ExtensionData.Config.KeyId.KeyId}},
    @{N='KMS';E={$_.ExtensionData.Config.KeyId.ProviderId.Id}}

4. Audit Logging đến SIEM — syslog-ng / Splunk Integration

Centralized logging là bắt buộc trong môi trường có compliance — ESXi và vCenter logs phải được forward realtime đến SIEM.

### ESXi → SIEM (Splunk/ELK) — Cấu hình

# 1. ESXi Syslog via esxcli (per host)
esxcli system syslog config set \
    --loghost="ssl://splunk.hoatranlab.io.local:6514" \
    --logdir=/scratch/log \
    --default-rotate=10 \
    --default-size=1024

esxcli system syslog reload
esxcli network firewall ruleset set --ruleset-id syslog --enabled true
esxcli network firewall refresh

# Verify: kiểm tra syslog gửi đi
esxcli system syslog config get | grep loghost

# 2. PowerCLI — Apply cho tất cả hosts trong cluster
Get-VMHost -Location (Get-Cluster "CL-HN-Prod-01") | ForEach-Object {
    Set-VMHostSysLogServer -VMHost $_ -SysLogServer "ssl://splunk.hoatranlab.io.local:6514"
}

# 3. vCenter syslog (VAMI)
# Truy cập https://vcsa:5480 → Syslog → New Forwarding
# Protocol: TLS, Host: splunk.hoatranlab.io.local, Port: 6514

### Events quan trọng cần alert trong SIEM
# vim.event.UserLoginSessionEvent       → mọi login vCenter
# vim.event.UserLogoutSessionEvent      → logout
# vim.event.PermissionAddedEvent        → thêm permission
# vim.event.PermissionRemovedEvent      → xóa permission
# vim.event.VmPoweredOffEvent           → VM bị tắt
# vim.event.HostDisconnectedEvent       → host disconnect

5. Host Certificate Management — VMCA & Custom CA

VMware Certificate Authority (VMCA) tự động quản lý certificate cho ESXi hosts và vCenter services — tích hợp Enterprise CA cho môi trường có PKI.

### Certificate Management Modes

MODE 1: VMCA as Root CA (mặc định)
  - VMCA tự ký cert cho tất cả components
  - Simple, zero config
  - Phù hợp: Lab, non-regulated environments

MODE 2: VMCA as Subordinate CA (recommended production)
  - Enterprise CA (Active Directory CA) sign VMCA cert
  - VMCA sau đó sign component certs
  - Browser trust chain: Enterprise CA → VMCA → ESXi cert
  - Phù hợp: Production doanh nghiệp có AD PKI

MODE 3: Custom Certificates (mỗi component riêng)
  - Enterprise CA sign trực tiếp từng cert
  - Phức tạp nhất, tốn công nhất
  - Phù hợp: PCI-DSS yêu cầu cert riêng từng node

### Subordinate CA Setup (Mode 2) — Recommended
# 1. Export VMCA CSR
# vSphere Client → Administration → Certificate Management → VMCA Root
# → "Generate CSR" → Save vmca.csr

# 2. Sign bởi Enterprise CA (Active Directory)
certreq -submit -attrib "CertificateTemplate:SubCA" vmca.csr vmca-signed.cer

# 3. Import VMCA Subordinate cert
# Certificate Management → "Replace" → Upload vmca-signed.cer + root chain

# 4. Renew tất cả component certs
# Certificate Management → "Renew" → tất cả hosts sẽ nhận cert mới từ VMCA

6. Security Hardening Checklist — Production Deployment

Checklist hoàn chỉnh khi hardening vSphere environment — chạy theo thứ tự để không bỏ sót control quan trọng.