Hyper-V Security Konfiguration mit AZMAN

Article
07/14/2010

Für den Blog Artikel “Hyper-V Security Konfiguration mit AZMAN” konnte ich den sehr erfahrenen Kollegen Jörg Ostermann aus dem Microsoft Services Bereich gewinnen. Jörg arbeitete bereits in sehr vielen Virtualisierungsprojekten und möchte zukünftig auf diesem Blog ein wenig unterstützen.

Artikel von Jörg Ostermann:

Nachdem ich immer mal wieder Anfragen zum Thema Hyper-V und lokale Konfiguration von Sicherheitseinstellungen per AZMAN (Authorization Manager) bekommen habe, habe ich mich entschlossen dazu einen Beitrag zu schreiben. Mittels AZMAN können lokale Berechtigungen auf einem Hyper-V System konfiguriert werden, was über die grafische Oberfläche des Hyper-V Managers nicht möglich ist. So ist es zum Beispiel möglich, Benutzern den Zugriff auf die virtuelle Maschine mittels VMConnect zu gestatten, ohne dass sie die Möglichkeit haben, die Einstellungen der VM aufzurufen.

Anhand eines Beispiels werde ich durch die notwendigen Konfigurationsschritte gehen, die benötigt werden, um einem Benutzer eingeschränkte Zugriffsrechte auf einen Hyper-V Server zu ermöglichen. Unserem Demobenutzer werden wir dabei die folgenden Rechte zuweisen:

Starten und stoppen der VMs
Pause und Neustart

Um dies zu ermöglichen benötigt er neben den „selbsterklärenden“ Berechtigungen noch einige ergänzende. Dazu aber an späterer Stelle mehr.

Für die Konfiguration habe ich einen lokalen Benutzer mit dem Namen “Contoso_User” gewählt. Natürlich können hier aber auch Domänenbenutzer und –Gruppen verwendet werden.

Als erste öffnen wir die Verwaltungskonsole für AZMAN über die Suchleiste oder den Punkt Ausführen im Startmenü. Dazu einfach AZMAN.MSC eingeben und bestätigen. Alternativ kann das Snap-In über die Managementkonsole (MMC) geladen werden.

Anschließend muss die InitialStore.xml geladen werden. Dies ist die lokale Konfigurationsdatei für die Sicherheitseinstellungen unter Hyper-V und ist unter folgendem Pfad zu finden: <C:\ProgramData\Microsoft\Windows\Hyper-V\InitialStore.xml>

Achtung: Beim Einsatz von SCVMM wird eine weitere XML Konfigurationsdatei auf dem Server abgelegt. Die Datei HyperVAuthStore.xml, welche dann unter dem Pfad <C:\ProgramData\Microsoft\Virtual Machine Manager\HyperVAuthStore.xml> zu finden ist. Auch nach einer Deinstallation des SCVMM Agenten, ist diese Datei weiter vorhanden. Weitere Informationen sind hier zu finden.

Ist diese Datei vorhanden, ignoriert Hyper-V die Einstellungen in der InitialStore.xml!

Nachdem die InitialStore.xml geladen wurde, beginnen wir die entsprechenden Einstellungen vorzunehmen. Als erstes wird eine neue Aufgabendefinition angelegt, um eine Sammlung von einzelnen Berechtigungen zu definieren.

Als Namen habe ich hier VM Basis Zugriff gewählt.

Die Eingabe bestätigen und anschließend die Eigenschaften der Definition aufrufen.

Über den Punkt “Hinzufügen” unter der dem Karteireiter “Definition” wählen wir dann die entsprechenden Berechtigungen aus, die für diese Aufgabendefinition hinterlegt werden sollen.

Für unser Beispiel wählen wir aus der Liste die folgenden Berechtigungen aus:

Allow Input to Virtual Machine
Allow Output from Virtual Machine
Pause and Restart Virtual Machine
Read Service Configuration
Start Virtual Machine
Stop Virtual Machine

Die Berechtigungen “Allow Input to Virtual Machine” und “Allow Output from Virtual Machine” werden für die Interaktion mit der VM benötigt, das Recht “Read Service Configuration” für das Einlesen der VMs.

Anschließend die Fenster mit OK schließen.

Nachdem wir nun die möglichen Aufgaben definiert haben, müssen wir eine Rollendefinition anlegen.

Als Namen für die Gruppe habe ich “Contoso User” gewählt. Um nun die zuvor angelegte Aufgabedefinition zuzuweisen, einfach auf “Hinzufügen“ klicken …

Unter dem Karteireiter “Aufgaben“ die Aufgabendefinition auswählen und bestätigen.

Die noch offenen Fenster der Rollendefinition mit OK schließen.

Zu guter Letzt müssen wir in AZMAN die Gruppen oder Benutzer hinterlegen, die auf dem lokalen Hyper-V Server berechtigt werden sollen. Dazu müssen wir eine neue Rollenzuweisung anlegen, welche unserer Rollendefinition mit einer Gruppe oder an unserer Stelle einem Benutzer verbindet.

Dazu einfach mit der rechten Maustaste auf “Rollenzuweisung“ klicken und den Punkt “Rollen zuweisen… “ auswählen. Danach die entsprechende Rollendefinition auswählen und bestätigen.