虚拟化平台管理后台需从身份、通道、权限、审计四维度加固：禁用内置账号、启用mfa、分配最小权限角色、清理闲置账户；强制https与tls1.2+、限制运维网段访问、禁用未用协议；禁用ssh或严格管控，日志实时转发至siem，定期执行cis基线扫描。
虚拟化平台的管理后台（如 vCenter Server、Web UI、API 接口）是整个虚拟化环境的“大脑”，一旦失守，攻击者可批量控制所有 ESXi 主机和虚拟机。加固管理后台不能只靠改密码或开防火墙，得从身份、通道、权限、审计四个维度同步收紧。
vCenter 账户与认证强化
管理后台最常被爆破、撞库或提权，必须打破“一个账号走天下”的习惯：
- 禁用内置管理员账户
administrator@vsphere.local的直接登录，改用域账户（Active Directory 或 LDAP）统一纳管； - 启用多因素认证（MFA），vCenter 7.0U3+ 原生支持 RADIUS 或 TOTP（如 Google Authenticator），需在“单点登录→身份源→启用 MFA”中配置；
- 创建最小权限角色：比如给监控人员只分配“只读”+“性能查看”权限，给备份人员仅授权“虚拟机备份”策略相关权限，避免全员给 Administrator 角色；
- 定期清理闲置账户（如离职人员、测试账号），可通过 PowerCLI 快速导出：
Get-VIAccount | Where-Object {$_.LastLoginTime -lt (Get-Date).AddDays(-90)} | Select-Object Name, LastLoginTime
访问入口与通信链路加固
管理流量必须加密、收敛、可追溯：
- 关闭 HTTP 重定向（默认 80→443），强制所有访问走 HTTPS，并禁用 TLS 1.0/1.1，仅启用 TLS 1.2+；
- 将 vCenter Web Client 和 API 端口（443）限制为仅允许运维网段（如
10.10.20.0/24）访问，通过 vCenter 自带防火墙或前置负载均衡器（如 NSX Load Balancer、F5）实现 IP 白名单； - 禁用未使用的管理协议：如关闭 vSphere Client（Flash 版）、vSphere Update Manager（如不升级补丁）、Auto Deploy（如不用 PXE 部署）；
- 若使用反向代理（如 Nginx）暴露管理界面，务必配置
X-Forwarded-For校验和请求头过滤，防止伪造源 IP 绕过白名单。
系统级与日志审计闭环
后台本身也是操作系统，需按服务器标准加固：
- 禁用 vCenter Appliance（VCSA）上的 SSH，默认仅用于紧急排错；若启用，必须改默认端口（非22）、限制登录 IP、禁用密码登录（只允密钥）；
- 启用 vCenter 日志转发，将审计日志（
/var/log/vmware/vpxd/vpxd.log、/var/log/vmware/sso/ssoAdminServer.log）实时推送到 SIEM（如 Splunk、ELK），重点监控：
• 多次失败登录后成功（疑似爆破成功）
• 非工作时间的管理员权限变更
• 批量导出虚拟机、快照、配置的操作记录 - 每季度执行一次 vCenter 安全基线扫描（可用 VMware vRealize Operations 或 CIS Benchmark 工具），检查是否符合最新 CIS vCenter Server v7.x 基线要求。
不复杂但容易忽略
