Støtte for distribusjon av Hyper-V utvidet porten tilgangskontrollistene (ACLene) i System Center 2012 R2 VMM med oppdateringen samleoppdatering 8

Definere nye ACL-port og port ACL reglene

Du kan nå opprette tilgangskontrollister (ACLer) og deres ACL-regler direkte fra i VMM ved hjelp av PowerShell-cmdleter.

Opprett en ny Tilgangskontrolliste

Følgende nye PowerShell-cmdleter er lagt til:

Ny SCPortACL – navnet <streng> [– beskrivelse <streng>]

– Navn: Navn på port ACL

– Beskrivelse: Beskrivelse av port ACL (valgfri parameter)

Get-SCPortACL

Henter alle port-tilgangskontrollister

– Navn: Du kan også filtrere etter navn

– ID: du kan også filtrere etter ID

Eksempel på kommandoer

New-SCPortACL -Name Samplerule -Description SampleDescription 

$acl = Get-SCPortACL -Name Samplerule 

Ny PowerShell-cmdleter som er lagt til

Ny-SCPortACLrule - PortACL <PortACL>-navnet <streng> [-beskrivelse < streng >]-typen < inngående | Utgående >-handling < tillate | Avslå >-prioritet < uint16 >-protokollen < Tcp | UDP | Alle > [-SourceAddressPrefix < streng: IP-adresse | IPSubnet >] [-SourcePortRange < streng: X | X-Y | Alle >] [-DestinationAddressPrefix < streng: IP-adresse | IPSubnet >] [-DestinationPortRange < streng: X | X-Y | Alle >]

Get-SCPortACLrule

Henter port ACL-regler.

• Navn: Du kan også filtrere etter navn

• ID: Du kan også filtrere etter ID

• PortACL: Du kan også filtrere etter port ACL

Eksempel på kommandoer

New-SCPortACLrule -Name AllowSMBIn -Description "Allow inbound TCP Port 445" -Type Inbound -Protocol TCP -Action Allow -PortACL $acl -SourcePortRange 445 -Priority 10 

New-SCPortACLrule -Name AllowSMBOut -Description "Allow outbound TCP Port 445" -Type Outbound -Protocol TCP -Action Allow -PortACL $acl -DestinationPortRange 445 -Priority 10 

New-SCPortACLrule -Name DenyAllIn -Description "All Inbould" -Type Inbound -Protocol Any -Action Deny -PortACL $acl -Priority 20 

New-SCPortACLrule -Name DenyAllOut -Description "All Outbound" -Type Outbound  -Protocol Any -Action Deny -PortACL $acl -Priority 20

Tilkobling og frakobling av port tilgangskontrollistene (ACLene)

Tilgangskontrollistene (ACLene) kan knyttes til følgende:

• Globale innstillinger (gjelder alle VM-nettverkskort. Bare kan alle administratorer gjøre dette.)

• VM-nettverk (Full administratorer/leier administratorer/SSUs kan gjøre dette.)

• VM-delnett (Full administratorer/leier administratorer/SSUs kan gjøre dette.)

• Virtuelle nettverkskort (Full administratorer/leier administratorer/SSUs kan gjøre dette.)

Globale innstillinger

Disse port ACL-regler gjelder for alle VM virtuelle nettverkskort i infrastrukturen.

Eksisterende PowerShell-cmdleter ble oppdatert med nye parametere for tilkobling og frakobling av port ACLer.

Sett SCVMMServer – VMMServer <VMMServer> [-PortACL <NetworkAccessControlList> | - RemovePortACL]

• PortACL: Ny valgfri parameter som konfigurerer den angitte porten ACL globale innstillinger.

• RemovePortACL: Ny valgfri parameter som fjerner alle konfigurert ACL-porten fra globale innstillinger.

Get-SCVMMServer: returnerer den konfigurerte ACL-porten i det returnerte objektet.

Eksempel på kommandoer

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -PortACL $acl 

Set-SCVMMServer -VMMServer "VMM.Contoso.Local" -RemovePortACL 

VM-nettverk

Disse reglene vil brukes på alle VM virtuelle nettverkskort som er koblet til dette nettverket VM.

Eksisterende PowerShell-cmdleter ble oppdatert med nye parametere for tilkobling og frakobling av port ACLer.

Nye SCVMNetwork [– PortACL <NetworkAccessControlList>] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til VM-nettverk under oppretting.

Sett SCVMNetwork [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til VM-nettverket.

-RemovePortACL: ny valgfri parameter som fjerner alle konfigurert port ACL fra VM-nettverket.

Get-SCVMNetwork: returnerer den konfigurerte ACL-porten i det returnerte objektet.

Eksempel på kommandoer

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -PortACL $acl 

Get-SCVMNetwork -name VMNetworkNoIsolation | Set-SCVMNetwork -RemovePortACL 

VM-delnett

Disse reglene vil brukes på alle VM virtuelle nettverkskort som er koblet til delnettet VM.

Eksisterende PowerShell-cmdleter ble oppdatert med ny parameter for tilkobling og frakobling av port ACLer.

Nye SCVMSubnet [– PortACL <NetworkAccessControlList>] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til VM delnettet under oppretting.

Sett SCVMSubnet [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til VM-delnettverk.

-RemovePortACL: ny valgfri parameter som fjerner alle konfigurert port ACL fra VM-nettverksmaske.

Get-SCVMSubnet: returnerer den konfigurerte ACL-porten i det returnerte objektet.

Eksempel på kommandoer

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet -PortACL $acl 

Get-SCVMSubnet -name VM2 | Set-SCVMSubnet-RemovePortACL 

VM virtuelle nettverkskort (vmNIC)

Eksisterende PowerShell-cmdleter ble oppdatert med nye parametere for tilkobling og frakobling av port ACLer.

Nye SCVirtualNetworkAdapter [– PortACL <NetworkAccessControlList>] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til det virtuelle nettverkskortet mens du oppretter en ny vNIC.

Sett SCVirtualNetworkAdapter [– PortACL <NetworkAccessControlList> | - RemovePortACL] [resten av parametere]

-PortACL: ny valgfri parameter som lar deg angi en ACL-port til det virtuelle nettverkskortet.

-RemovePortACL: ny valgfri parameter som fjerner alle konfigurert ACL-porten fra det virtuelle nettverkskortet.

Get-SCVirtualNetworkAdapter: returnerer den konfigurerte ACL-porten i det returnerte objektet.

Eksempel på kommandoer

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter -PortACL $acl 

Get-SCVirtualMachine -Name VM0001 | Get-SCVirtualNetworkAdapter | Set-SCVirtualNetworkAdapter –RemovePortACL 

Bruker port ACL-regler

Når du oppdaterer de virtuelle maskiner når du legger ved port tilgangskontrollistene (ACLene), du legge merke til at statusen for de virtuelle maskiner vises som "Ikke kompatible" i Virtual Machine visning av stoffet-arbeidsområdet. (Hvis du vil bytte til visning for virtuell maskin, du må først gå til enten noden Logiske nettverk eller den Logiske bytter noden av stoffet arbeidsområdet). Vær oppmerksom på at VM-oppdateringen skjer automatisk i bakgrunnen (etter planen). Derfor, selv om du ikke oppdaterer VMs eksplisitt, de går inn i en ikke-samsvarende tilstand til slutt.



På dette tidspunktet port tilgangskontrollistene ennå ikke har kjørt til virtuelle maskiner og de aktuelle virtuelle nettverkskortene. Hvis du vil bruke port tilgangskontrollistene (ACLene), må du utløse en prosess kjent som utbedring. Dette aldri skjer automatisk og eksplisitt skal startes når brukeren ber om.

Hvis du vil starte utbedring, du klikker Remediate på båndet eller kjøre Reparer-SCVirtualNetworkAdapter -cmdleten. Det er ingen bestemt endringer til cmdleten syntaksen for denne funksjonen.

Reparer-SCVirtualNetworkAdapter - VirtualNetworkAdapter <VirtualNetworkAdapter>

Remediating disse VMs merke dem som kompatible og sørge for at ACL-er utvidet porten brukes. Vær oppmerksom på at port tilgangskontrollistene (ACLene) ikke vil gjelde for alle VMs i området før du reparerer dem eksplisitt.

Viser porten ACL-regler

Vise tilgangskontrollister (ACLer) og ACL-regler, kan du bruke følgende PowerShell-cmdleter.

Oppdatere port ACL-regler

Når du oppdaterer ACL som er knyttet til nettverkskort, gjenspeiles endringene i alle nettverkskort forekomster som bruker denne ACL. For en ACL som er knyttet til en VM delnett eller nettverk for VM, oppdateres alle nettverkskort forekomster som er koblet til dette delnettverket med endringene.

Obs! Oppdatere ACL-regler for enkelte nettverkskort utføres parallelt i et oppsett for én prøve beste forsøk. Kort som ikke kan oppdateres eller annen grunn er merket "security incompliant", og avsluttes med en feilmelding som sier at nettverkskortene ikke ble oppdatert. "Security incompliant" refererer her til en feil i forventet sammenlignet med faktiske ACL-regler. Kortet har en tilstand for overholdelse av "Ikke kompatibel" sammen med relevante feilmeldinger. Se forrige avsnitt for mer informasjon om remediating ikke-samsvarende virtuelle maskiner.

Sletting av ACL-port og port ACL-regler

En ACL kan slettes bare hvis det ikke finnes noen avhengigheter som er knyttet til den. Avhengigheter inkluderer VM nettverk/VM delnettet/virtuelle nettverk adapter/globale innstillinger som er knyttet til ACL. Når du prøver å slette en ACL-port ved hjelp av PowerShell-cmdlet, vil du oppdage cmdleten om porten ACL er knyttet til noen av avhengigheter og vil iverksette passende feilmeldinger.

Fjerne porten tilgangskontrollistene (ACLene)

Ny PowerShell-cmdleter ble lagt til:

Fjern SCPortACL - PortACL <NetworkAccessControlList>

Fjerner ACL portregler

Ny PowerShell-cmdleter ble lagt til:

Fjern SCPortACLRule - PortACLRule <NetworkAccessControlListRule>

Vær oppmerksom på at hvis du sletter en VM delnettet/VM nettverk/nettverkskort automatisk fjerner tilknytningen til denne ACL.

Også kan lenger en ACL fra VM delnettet/VM nettverk/nettverkskortet ved å endre de respektive nettverk VMM-objektet. Hvis du vil gjøre dette, bruker du cmdleten Set- sammen med bryteren - RemovePortACL , som beskrevet i tidligere deler. I dette tilfellet porten ACL vil bli koblet fra det respektive nettverk-objektet, men slettes ikke fra VMM-infrastruktur. Derfor, den kan brukes på nytt senere.

Out-of-band-endringer i ACL-regler

Hvis vi gjør endringer for out-of-band (OOB) til ACL-regler fra Hyper-V virtuelle svitsjport (ved hjelp av opprinnelig Hyper-V-cmdleter for eksempel Legg til VMNetworkAdapterExtendedAcl), vises VM oppdatere nettverkskortet som "Security Incompliant." Nettverkskortet kan deretter utbedres fra VMM som beskrevet i delen "Aktiverer ACL-port". Imidlertid overskriver utbedring alle port ACL-reglene som er definert utenfor VMM med de som forventes av VMM.

Core konsepter

Hver port ACL-regel i en ACL-porten har en egenskap som heter "Prioritet." Reglene brukes i rekkefølge basert på prioritet. De følgende prinsippene for core definere regler prioritet:

• Jo lavere prioritet nummer, jo høyere prioriteten for er. Det vil si hvis flere portregler ACL avviker hver en annen, vinner regelen med lavere prioritet.

• Regelhandlingen påvirker ikke prioriteten. Det vil si i motsetning til NTFS-tilgangskontrollister har (for eksempel), her vi ikke et konsept som "Deny alltid har prioritet over Tillat".

• På samme prioritet (samme numerisk verdi), du kan ikke ha to regler med samme retning. Denne virkemåten hindrer en hypotetisk situasjon der en kan definere "Deny" og "Tillat" regler med samme prioritet, fordi dette vil resultere i i tvetydighet eller en konflikt.

• En konflikt er definert som to eller flere regler har samme prioritet og samme retning. En konflikt kan oppstå hvis det finnes to port ACL-regler med samme prioritet og retning i to (ACLer) som brukes på forskjellige nivåer, og hvis de forskjellige nivåene delvis overlapper hverandre. Det vil si, kan det være et objekt (for eksempel vmNIC) som faller innenfor området for begge nivåer. Et vanlig eksempel på overlappende er et VM nettverk og VM-undernett i det samme nettverket.

Bruke flere port tilgangskontrollister (ACLer) på én enhet

Fordi porten ACLene kan bruke forskjellige VMM nettverk objekter (eller på ulike nivåer, som beskrevet tidligere), kan et enkelt VM virtuelle nettverkskort (vmNIC) havner i omfanget av flere port-ACLer. I dette scenariet brukes port ACL-regler fra alle port-tilgangskontrollister. Rangeringen av disse reglene kan imidlertid være forskjellige, avhengig av flere nye VMM finjustere innstillingene som er nevnt senere i denne artikkelen.

Registerinnstillinger

Disse innstillingene er definert som Dword-verdier i Windows-registret under følgende nøkkel i VMM management server:

HKLM\Software\Microsoft\Microsoft System Center Virtual Machine Manager Server\Settings
Vær oppmerksom på at disse innstillingene påvirker virkemåten til port tilgangskontrollister (ACLer) på tvers av hele VMM-infrastrukturen.

Prioritet for effektiv port ACL-regel

I denne diskusjonen, vil vi beskrive operatorenes ACL portregler flere port tilgangskontrollister (ACLer) som brukes til en enkelt enhet som effektive regelen prioritet. Vær oppmerksom på at det er ingen egen innstilling eller objektet i VMM til å definere eller vise gjeldende regel prioritet. Det beregnes i runtime.

Det finnes to globale modi effektive regelen prioritet kan beregnes. Modusene er slått av registerinnstillingen:

PortACLAbsolutePriority
Gyldige verdier for denne innstillingen er 0 (null) eller 1, der 0 angir standardvirkemåte.

Relativ prioritet (standardvirkemåte)

Hvis du vil aktivere denne modusen, kan du angi egenskapen PortACLAbsolutePriority i registret til en verdi på 0 (null). Denne modusen brukes også hvis innstillingen ikke er definert i registret (det vil si hvis egenskapen ikke er opprettet).

I denne modusen bruker de følgende prinsippene i tillegg til core-konsepter som ble beskrevet tidligere:

• Prioritet i samme port ACL beholdes. Prioritetsverdier som er definert i hver enkelt regel er derfor behandlet som relative i ACL.

• Når du bruker flere ACLer for port, brukes reglene i bøtter. Reglene fra samme ACL (knyttet til et gitt objekt) brukes sammen i samme minneområde. Rangeringen av bestemt bøtter, avhenger av objektet som er tilknyttet port ACL.

• Her, forrang eventuelle regler som er definert i de globale innstillingene ACL (uavhengig av sine egne prioritet som er definert i porten ACL) alltid over reglene som er definert i Tilgangskontrollisten som er brukt på vmNIC og så videre. Med andre ord laget separasjon trer i kraft.
  
  

Til syvende og sist, effektive regelen prioritet kan avvike fra den numeriske verdien som du definerer i kategorien Egenskaper for port-ACL-regelen. Hvis du vil ha mer informasjon om hvordan dette gjennomføres, og hvordan du kan endre dens logikk følger.

1. Du kan endre rekkefølgen som har tre nivåer for "object-specific" (det vil si vmNIC, VM delnett og VM nettverk) forrang.
   
   

   1. Kan ikke endre rekkefølgen på globale innstillinger. Det tar alltid høyest prioritet (eller ordre = 0).

   2. Du kan angi følgende innstillinger for de andre tre nivåene, til en numerisk verdi mellom 0 og 3, der 0 er høyest prioritet (lik globale innstillinger) og 3 er den laveste prioriteten:
      
      

      • PortACLVMNetworkAdapterPriority (standardverdien er 1)

      • PortACLVMSubnetPriority (standard er 2)

      • PortACLVMNetworkPriority (standard er 3)

   3. Hvis du tilordner samme verdi (0 til 3) til disse flere registerinnstillinger, eller hvis du tilordner en verdi utenfor området 0 til 3, mislykkes VMM tilbake til standardvirkemåte.

2. Måten at bestilling er iverksatt er effektive regelen prioritet er endret slik at ACL-regler som er definert på et høyere nivå får høyere prioritet (det vil si en mindre numerisk verdi). Når effektiv ACL beregnes, økes hver relative regel prioritetsverdi"" av nivå-spesifikke verdien eller "trinn".

3. Nivå-spesifikke verdien er "trinn" som skiller ulike nivåer. Størrelsen på "trinn" er 10000 som standard og er konfigurert med følgende registerinnstilling:
   

   PortACLLayerSeparation

4. Dette betyr at hver enkelt regel prioritet i ACL (det vil si en regel som skal behandles som relative) i denne modusen ikke kan overskride verdien for følgende innstilling:
   

   PortACLLayerSeparation (som standard 10000)

Relativ prioritet

Hvis du vil aktivere denne modusen, kan du angi egenskapen PortACLAbsolutePriority i registret til en verdi på 1.

I denne modusen bruker de følgende prinsippene i tillegg til core begrepene som er beskrevet tidligere:

• Hvis et objekt faller innenfor området for flere ACLer (for eksempel VM nettverk og VM delnett), brukes alle reglene som er definert i alle tilknyttede tilgangskontrollister (ACLer) i Samlet rekkefølge (eller som en enkelt bucket). Det finnes ingen nivå separasjon og ingen "sine" noen art.

• Prioriteringer i regler for alle behandles som absolutt, nøyaktig slik de er definert i prioritet for hver regel. Med andre ord, er effektive prioriteten for hver regel det samme som det er definert i selve regelen og er ikke endret VMM-motoren før den brukes.

• Alle andre registerinnstillingene som beskrives i den forrige delen har ingen virkning.

• Hver enkelt regel prioritet i en Tilgangskontrolliste (det vil si en regel-prioritet som behandles som absolutt) kan ikke overstige 65535 i denne modusen.