Cómo administrar usuarios en ESXi: una guía completa 2025

Introducción

VMware ESXi es un potente hipervisor bare-metal que forma la base de muchas infraestructuras de virtualización. Ya sea que esté administrando un entorno de pequeña empresa o un centro de datos a nivel empresarial, la administración adecuada de usuarios en ESXi es crucial para mantener la seguridad, garantizar los niveles de acceso adecuados y facilitar una administración eficiente.

Esta guía completa lo guiará a través de todo lo que necesita saber sobre la administración de usuarios en ESXi, desde conceptos básicos hasta técnicas avanzadas. Aprenderá a crear y configurar usuarios, asignar los permisos adecuados, implementar las mejores prácticas de seguridad y solucionar problemas comunes que puedan surgir durante la administración de usuarios.

Una administración de usuarios eficaz es esencial para las organizaciones que buscan mantener entornos de virtualización seguros y bien organizados. Con los servidores dedicados de TildaVPS optimizados para cargas de trabajo de virtualización, puede implementar estas estrategias de administración de usuarios en una infraestructura robusta y confiable diseñada específicamente para implementaciones de ESXi.

Sección 1: Comprensión de la administración de usuarios de ESXi

Introducción a la administración de usuarios de ESXi

La administración de usuarios de ESXi implica la creación, modificación y mantenimiento de cuentas de usuario que tienen acceso a su entorno de virtualización. Comprender los fundamentos de cómo ESXi maneja los usuarios y los permisos es esencial antes de profundizar en tareas de administración específicas.

Explicación: Piense en la administración de usuarios de ESXi como algo similar a la construcción de seguridad en un complejo de oficinas. Así como diferentes empleados necesitan diferentes niveles de acceso a varias áreas del edificio (algunos pueden acceder solo a su piso, mientras que otros podrían necesitar acceso a salas de servidores u oficinas ejecutivas), los usuarios de ESXi necesitan diferentes niveles de acceso a varias partes de su infraestructura de virtualización.

Detalles técnicos: ESXi proporciona dos tipos principales de administración de usuarios:

1. Administración local de usuarios: Usuarios creados y administrados directamente en el host ESXi.
2. Integración de servicios de directorio: Autenticación a través de fuentes de identidad externas como Active Directory.

El sistema de administración de usuarios de ESXi consta de varios componentes clave:

• Usuarios: Cuentas individuales que pueden iniciar sesión en el host ESXi.
• Grupos: Colecciones de usuarios que comparten los mismos permisos.
• Roles: Conjuntos de privilegios que definen qué acciones pueden realizar los usuarios.
• Permisos: Asignaciones de roles a usuarios o grupos para objetos específicos.

Arquitectura de administración de usuarios de ESXi

La arquitectura de administración de usuarios de ESXi está diseñada para proporcionar un control flexible y granular sobre quién puede acceder a qué dentro de su entorno de virtualización.

Usuarios y grupos locales: Estos se almacenan directamente en el host ESXi en el archivo /etc/passwd y archivos de configuración relacionados. La administración local de usuarios es adecuada para entornos más pequeños o cuando los servicios de autenticación externos no están disponibles.

Servicios de directorio: Para entornos más grandes, ESXi puede integrarse con servicios de directorio como Active Directory, lo que permite la administración centralizada de usuarios en varios hosts.

Privilegios y roles: ESXi utiliza un sistema de control de acceso basado en roles (RBAC) donde los privilegios (permisos individuales para realizar acciones específicas) se agrupan en roles, que luego se asignan a usuarios o grupos.

Herencia de permisos: Los permisos en ESXi siguen un modelo jerárquico, donde los permisos asignados en un nivel superior (como un centro de datos) pueden propagarse a objetos de nivel inferior (como máquinas virtuales).

Beneficios de una administración de usuarios adecuada en ESXi

La implementación de una administración de usuarios adecuada en su entorno ESXi ofrece numerosas ventajas:

1. Seguridad mejorada: Limitar el acceso según el principio del privilegio mínimo reduce el riesgo de acciones no autorizadas.
2. Responsabilidad mejorada: Las cuentas de usuario individuales facilitan el seguimiento de quién realizó qué acciones.
3. Eficiencia operativa: Los roles bien definidos agilizan las tareas administrativas y reducen el riesgo de errores.
4. Soporte de cumplimiento: La administración adecuada de usuarios ayuda a cumplir con los requisitos reglamentarios para el control de acceso y los registros de auditoría.
5. Solución de problemas simplificada: Los roles de usuario claros facilitan el diagnóstico de problemas relacionados con los permisos.

Elemento visual: [Imagen: Diagrama que muestra la estructura jerárquica de la administración de usuarios de ESXi, incluida la relación entre usuarios, grupos, roles, privilegios y objetos.]

Usuarios predeterminados en ESXi

ESXi viene con varias cuentas de usuario predeterminadas que sirven para propósitos específicos:

1. root: La cuenta de superusuario con privilegios administrativos completos.
2. vpxuser: Utilizada por vCenter Server para administrar el host ESXi.
3. dcui: Utilizada para el acceso a la interfaz de usuario de la consola directa (Direct Console User Interface).
4. shell: Utilizada para el acceso SSH al shell de ESXi.

Comprender estas cuentas predeterminadas y sus propósitos es importante para mantener la seguridad y el funcionamiento correcto de su entorno ESXi.

Resumen de la sección: La administración de usuarios de ESXi implica la creación y el mantenimiento de cuentas de usuario con los niveles de acceso adecuados. El sistema utiliza un modelo de control de acceso basado en roles con usuarios locales o integración de servicios de directorio. La administración adecuada de usuarios mejora la seguridad, la responsabilidad y la eficiencia operativa en su entorno de virtualización.

Mini-Preguntas Frecuentes:

¿Cuál es la diferencia entre usuarios locales y usuarios de servicios de directorio en ESXi?

Los usuarios locales se crean y almacenan directamente en el host ESXi, mientras que los usuarios de servicios de directorio se autentican a través de sistemas externos como Active Directory. Los usuarios locales son más fáciles de configurar, pero deben administrarse individualmente en cada host, mientras que los usuarios de servicios de directorio proporcionan una administración centralizada en varios hosts.

¿Puedo deshabilitar por completo la cuenta root en ESXi por razones de seguridad?

Si bien no puede eliminar por completo la cuenta root, puede mejorar la seguridad cambiando su contraseña a un valor fuerte y único, limitando su uso e implementando políticas de bloqueo. Para la administración diaria, es mejor crear cuentas individuales con nombre con los permisos adecuados en lugar de compartir la cuenta root.

Sección 2: Acceso a la interfaz de administración de usuarios de ESXi

Descripción general de las interfaces de administración de ESXi

Antes de poder administrar usuarios en ESXi, necesita comprender las diferentes interfaces disponibles para la administración. ESXi proporciona múltiples formas de acceder y administrar cuentas de usuario:

1. vSphere Client/vCenter Server: La interfaz gráfica para administrar hosts ESXi y sus usuarios.
2. Cliente de host ESXi directo: Interfaz basada en web para administrar un solo host ESXi.
3. Interfaz de línea de comandos (CLI): Uso de SSH o la interfaz de usuario de consola directa (DCUI).
4. PowerCLI: La interfaz de línea de comandos basada en PowerShell de VMware para la automatización.

Cada interfaz tiene sus fortalezas y es adecuada para diferentes escenarios.

Acceso al cliente de host ESXi

El cliente de host ESXi es una interfaz basada en web que le permite administrar un solo host ESXi directamente. Así es como se accede a él:

1. Abra un navegador web en una computadora que tenga acceso de red a su host ESXi.
2. Ingrese la dirección IP o el nombre de host de su host ESXi en el formato: https://su-ip-o-nombre-de-host-esxi/ui
3. Acepte cualquier advertencia de seguridad relacionada con el certificado SSL.
4. Ingrese su nombre de usuario (por ejemplo, root) y contraseña.
5. Una vez que haya iniciado sesión, verá el panel del cliente de host ESXi.

Detalles técnicos: El cliente de host ESXi se ejecuta en HTML5 y reemplazó al cliente vSphere anterior (cliente C#) para la administración directa del host. Proporciona una interfaz moderna y receptiva que funciona en diferentes navegadores y sistemas operativos.

Acceso a la administración de usuarios a través de vCenter Server

Para entornos con múltiples hosts ESXi, vCenter Server proporciona una administración centralizada. Para acceder a la administración de usuarios a través de vCenter:

1. Abra un navegador web y navegue hasta el cliente web de su vCenter Server: https://su-ip-o-nombre-de-host-de-vcenter/ui
2. Inicie sesión con sus credenciales de vCenter.
3. Navegue al "Menú" y seleccione "Administración".
4. En la sección "Control de acceso", encontrará opciones para "Usuarios y grupos" y "Roles".

Beneficios y aplicaciones: El uso de vCenter Server para la administración de usuarios ofrece varias ventajas:

• Administración centralizada de usuarios en varios hosts ESXi.
• Opciones más avanzadas de control de acceso basado en roles.
• Integración con dominios de inicio de sesión único (SSO).
• Administración de permisos simplificada en toda la infraestructura.

Acceso de línea de comandos para la administración de usuarios

Para los administradores que prefieren las interfaces de línea de comandos o necesitan automatizar las tareas de administración de usuarios, ESXi proporciona opciones de CLI:

1. Acceso SSH:

   • Habilite SSH en su host ESXi a través del cliente de host (Host > Administrar > Servicios > Habilitar SSH).
   • Conéctese usando un cliente SSH como PuTTY o la terminal.
   • Inicie sesión con sus credenciales de ESXi.
   • Use comandos como esxcli system account para administrar usuarios.

2. PowerCLI:

   • Instale VMware PowerCLI en su estación de trabajo de administración.
   • Conéctese a su host ESXi o vCenter Server:

     Connect-VIServer -Server su-ip-o-nombre-de-host-esxi -User nombredeusuario -Password contraseña
     

   • Use cmdlets de PowerCLI para administrar usuarios y permisos.

Elemento visual: [Imagen: Captura de pantalla que muestra la pantalla de inicio de sesión del cliente de host ESXi con la URL y los campos de inicio de sesión resaltados.]

Paso a paso: habilitación y protección del acceso de administración remota

Para asegurarse de que puede acceder a las interfaces de administración de usuarios manteniendo la seguridad:

1. Habilite el cliente de host ESXi:

   • Esto está habilitado de forma predeterminada, pero si se ha deshabilitado:
   • Conéctese al host usando SSH.
   • Ejecute vim-cmd hostsvc/enable_esx_shell
   • Ejecute vim-cmd hostsvc/start_esx_shell

2. Configure el firewall de ESXi:

   • En el cliente de host ESXi, navegue a Redes > Reglas de firewall.
   • Asegúrese de que los servicios necesarios (Cliente web, SSH si es necesario) estén habilitados.
   • Considere restringir el acceso a direcciones IP específicas para mayor seguridad.

3. Configure las políticas de bloqueo:

   • En el cliente de host ESXi, vaya a Administrar > Sistema > Configuración avanzada.
   • Configure ajustes como Security.AccountLockFailures y Security.AccountUnlockTime.

4. Habilite el registro centralizado:

   • Configure un servidor syslog para capturar los intentos de autenticación.
   • En el cliente de host ESXi, vaya a Administrar > Sistema > Configuración avanzada.
   • Establezca Syslog.global.logHost en la dirección de su servidor syslog.

Resumen de la sección: ESXi proporciona múltiples interfaces para la administración de usuarios, incluido el cliente de host ESXi basado en web, vCenter Server y las herramientas de línea de comandos. Elegir la interfaz correcta depende del tamaño de su entorno y de sus preferencias de administración. Asegurar adecuadamente estas interfaces de administración es crucial para mantener la seguridad general de su infraestructura de virtualización.

Mini-Preguntas Frecuentes:

¿Qué interfaz de administración debo usar para mi entorno ESXi?

Para entornos pequeños con uno o pocos hosts ESXi, el cliente de host ESXi proporciona una interfaz basada en web sencilla. Para entornos más grandes con múltiples hosts, vCenter Server ofrece una administración centralizada y características más avanzadas. Las herramientas de línea de comandos como PowerCLI son ideales para la automatización y las tareas de scripting.

¿Es seguro habilitar SSH en mis hosts ESXi?

Si bien SSH proporciona poderosas capacidades de administración, también introduce riesgos de seguridad si no se configura correctamente. Habilite SSH solo cuando sea necesario, restrinja el acceso a direcciones IP específicas, use una autenticación fuerte y considere deshabilitarlo cuando no esté en uso. Para la administración continua, las interfaces web son generalmente opciones más seguras.

Sección 3: Creación y configuración de usuarios de ESXi

Creación de usuarios locales en el cliente de host ESXi

Crear usuarios locales directamente en su host ESXi es sencillo utilizando el cliente de host ESXi. Siga estos pasos:

1. Inicie sesión en el cliente de host ESXi utilizando sus credenciales de administrador.
2. Navegue a "Administrar" en la barra lateral izquierda.
3. Seleccione la pestaña "Seguridad y usuarios".
4. Haga clic en "Usuarios".
5. Haga clic en el botón "Agregar usuario".
6. Complete los campos obligatorios:
   • Nombre de usuario: cree un nombre de usuario único (evite los nombres comunes).
   • Contraseña: establezca una contraseña segura siguiendo la política de su organización.
   • Confirmar contraseña: vuelva a ingresar la contraseña.
   • Descripción: campo opcional para describir el propósito del usuario.
7. Haga clic en "Agregar" para crear el usuario.

Detalles técnicos: Cuando crea un usuario local, ESXi agrega una entrada al archivo /etc/passwd en el host. Las contraseñas se almacenan en un formato hash para mayor seguridad. Los usuarios locales son específicos del host ESXi individual y deben volver a crearse en cada host si no está utilizando vCenter o servicios de directorio.

Convenciones de nomenclatura de usuarios y mejores prácticas

La implementación de convenciones de nomenclatura consistentes para sus usuarios de ESXi ayuda a mantener un entorno organizado:

1. Formato estandarizado: considere formatos como [departamento]-[rol]-[nombre] o [función]-[nivel].
2. Nombres descriptivos: use nombres que indiquen el propósito o el rol del usuario.
3. Evite los nombres genéricos: en lugar de "admin1", use identificadores más específicos.
4. Documentación: mantenga la documentación de su convención de nomenclatura y su inventario de usuarios.

Beneficios y aplicaciones: Las buenas convenciones de nomenclatura:

• Facilitan la auditoría de quién tiene acceso a qué.
• Simplifican la solución de problemas de permisos.
• Ayudan a mantener la seguridad al identificar claramente los propósitos del usuario.
• Facilitan transiciones más fluidas durante los cambios de personal.

Creación de usuarios a través de vCenter Server

Para entornos con vCenter Server, la creación de usuarios a través de esta interfaz centralizada ofrece beneficios adicionales:

1. Inicie sesión en el cliente web de vCenter Server.
2. Navegue a Menú > Administración.
3. En "Control de acceso", seleccione "Usuarios y grupos".
4. Seleccione el dominio apropiado (vsphere.local para usuarios de SSO).
5. Haga clic en el botón "Agregar usuario".
6. Complete los detalles del usuario:
   • Nombre de usuario
   • Contraseña
   • Correo electrónico (opcional)
   • Nombre y apellido (opcional)
   • Descripción (opcional)
7. Haga clic en "Agregar" para crear el usuario.

Elemento visual: [Tabla: Comparación de las características de administración de usuarios entre el cliente de host ESXi y vCenter Server, que muestra las ventajas y limitaciones de cada enfoque.]

Administración de usuarios de línea de comandos

Para los administradores que prefieren las interfaces de línea de comandos o necesitan automatizar la creación de usuarios, ESXi proporciona opciones de CLI:

Uso de comandos de ESXi Shell:

# Agregar un nuevo usuario
esxcli system account add -i nombredeusuario -p contraseña -c "Descripción del usuario"

# Lista de usuarios existentes
esxcli system account list

# Eliminar un usuario
esxcli system account remove -i nombredeusuario

Uso de PowerCLI:

# Conectar al host ESXi
Connect-VIServer -Server ip-del-host-esxi -User root -Password contraseña

# Crear un nuevo usuario
New-VMHostAccount -Id nuevousuario -Password (ConvertTo-SecureString "contraseña" -AsPlainText -Force) -Description "Descripción del nuevo usuario"

# Obtener usuarios existentes
Get-VMHostAccount

# Eliminar un usuario
Remove-VMHostAccount -Id nombredeusuario -Confirm:$false

Paso a paso: creación de un usuario administrador estándar

Crear un usuario administrador dedicado (en lugar de usar siempre root) es una mejor práctica de seguridad:

1. Planifique la cuenta de usuario:

   • Elija un nombre de usuario siguiendo su convención de nomenclatura.
   • Prepare una contraseña segura.
   • Determine qué nivel de acceso necesita este administrador.

2. Cree el usuario:

   • Inicie sesión en el cliente de host ESXi como root.
   • Navegue a Administrar > Seguridad y usuarios > Usuarios.
   • Haga clic en "Agregar usuario".
   • Ingrese el nombre de usuario y la contraseña.
   • Agregue una descripción como "Administrador principal de ESXi".
   • Haga clic en "Agregar".

3. Asigne permisos de administrador:

   • Navegue a Host > Administrar > Permisos.
   • Haga clic en el icono "+" para agregar un nuevo permiso.
   • Seleccione su usuario recién creado.
   • Asigne el rol de "Administrador".
   • Asegúrese de que "Propagar a los hijos" esté marcado.
   • Haga clic en "Agregar".

4. Pruebe la nueva cuenta:

   • Cierre la sesión de la cuenta root.
   • Inicie sesión con la nueva cuenta de administrador.
   • Verifique que pueda realizar tareas administrativas.

5. Documente la cuenta:

   • Registre la creación de la cuenta en la documentación de su sistema.
   • Anote el propósito y los permisos asignados.
   • Almacene la contraseña de forma segura de acuerdo con las políticas de su organización.

Resumen de la sección: La creación y configuración de usuarios en ESXi se puede hacer a través del cliente de host ESXi, vCenter Server o las interfaces de línea de comandos. Seguir las mejores prácticas para la nomenclatura de usuarios y la creación ayuda a mantener un entorno organizado y seguro. Crear cuentas de administrador dedicadas en lugar de usar siempre root mejora la seguridad y la responsabilidad.

Mini-Preguntas Frecuentes:

¿Cuántos usuarios locales puedo crear en un host ESXi?

ESXi no tiene un límite estricto en el número de usuarios locales que puede crear, pero como mejor práctica, debe mantener el número manejable. Para entornos con muchos usuarios, considere usar servicios de directorio como Active Directory en lugar de usuarios locales.

¿Debo crear cuentas individuales para cada administrador o usar una cuenta de administrador compartida?

Siempre cree cuentas con nombre individuales para cada administrador en lugar de cuentas compartidas. Esta práctica mejora la responsabilidad al permitirle rastrear quién realizó qué acciones, simplifica la administración de permisos cuando ocurren cambios de personal y se alinea con las mejores prácticas de seguridad y los requisitos de cumplimiento.

Sección 4: Administración de permisos y roles de usuario

Comprensión del modelo de permisos de ESXi

ESXi utiliza un robusto sistema de control de acceso basado en roles (RBAC) para administrar los permisos. La comprensión de este modelo es esencial para una administración de usuarios eficaz.

Explicación: El modelo de permisos de ESXi funciona como una matriz tridimensional, que combina tres elementos:

1. Usuario o grupo: A quién se le concede el acceso.
2. Rol: Qué acciones pueden realizar (una colección de privilegios).
3. Objeto de inventario: Dónde pueden realizar esas acciones (qué máquinas virtuales, almacenes de datos, etc.).

Cuando estos tres elementos se combinan, crean un permiso. Por ejemplo, puede otorgar al Usuario A el rol de Administrador en VM-1, mientras que otorga al Usuario B solo el rol de Usuario de Máquina Virtual en la misma VM.

Detalles técnicos: El sistema de permisos en ESXi es jerárquico. Los permisos asignados en un nivel superior (como un centro de datos) pueden propagarse a objetos de nivel inferior (como las máquinas virtuales dentro de ese centro de datos). Esta propagación se puede controlar con la opción "Propagar a los hijos" al asignar permisos.

Roles predeterminados en ESXi

ESXi viene con varios roles predefinidos que cubren casos de uso comunes:

1. Sin acceso: No puede ver ni cambiar el objeto asignado.
2. Solo lectura: Puede ver el estado y los detalles del objeto, pero no puede realizar cambios.
3. Usuario de máquina virtual: Puede encender, apagar e interactuar con la consola de una VM.
4. Usuario avanzado de máquina virtual: Puede crear y modificar configuraciones de VM, además de los privilegios de Usuario de VM.
5. Administrador: Acceso completo a todos los objetos y acciones.
6. Administrador de grupo de recursos: Puede crear y administrar grupos de recursos y asignarles VM.

Beneficios y aplicaciones: Uso de estos roles predeterminados:

• Simplifica la administración de permisos para escenarios comunes.
• Proporciona un punto de partida para la creación de roles personalizados.
• Garantiza la asignación de permisos coherentes en todo su entorno.

Creación de roles personalizados

Si bien los roles predeterminados cubren muchos escenarios, es posible que deba crear roles personalizados para requisitos específicos:

En el cliente de host ESXi:

1. Navegue a "Administrar" > "Seguridad y usuarios" > "Roles".
2. Haga clic en "Agregar rol".
3. Ingrese un nombre para el nuevo rol.
4. Seleccione los privilegios que se incluirán en este rol.
5. Haga clic en "Agregar" para crear el rol.

En vCenter Server:

1. Navegue a "Menú" > "Administración".
2. En "Control de acceso", seleccione "Roles".
3. Haga clic en el icono "+" para crear un nuevo rol.
4. Ingrese un nombre y una descripción.
5. Seleccione los privilegios que se incluirán.
6. Haga clic en "Aceptar" para crear el rol.

Elemento visual: [Tabla: Ejemplos de roles personalizados para escenarios comunes, incluidos el nombre del rol, la descripción, los privilegios clave y los casos de uso típicos.]

Asignación de permisos a usuarios

Una vez que haya creado usuarios y definido roles, debe asignar permisos a objetos de inventario específicos:

En el cliente de host ESXi:

1. Navegue al objeto de inventario (host, VM, almacén de datos, etc.).
2. Seleccione la pestaña "Permisos".
3. Haga clic en el icono "+" para agregar un nuevo permiso.
4. Seleccione el usuario o grupo.
5. Elija el rol para asignar.
6. Marque o desmarque "Propagar a los hijos" según sea necesario.
7. Haga clic en "Agregar" para aplicar el permiso.

En vCenter Server:

1. Navegue al objeto de inventario en vSphere Client.
2. Seleccione la pestaña "Permisos".
3. Haga clic en el icono "+".
4. Seleccione o busque el usuario o grupo.
5. Seleccione el rol en el menú desplegable.
6. Configure los ajustes de propagación.
7. Haga clic en "Aceptar" para aplicar el permiso.

Herencia y propagación de permisos

Comprender cómo se propagan los permisos a través de la jerarquía de inventario es crucial para una administración eficaz:

Explicación: Piense en el inventario de ESXi como un árbol genealógico. Cuando asigna permisos a un objeto principal (como una carpeta que contiene VM) y habilita la propagación, todos los "hijos" (las VM en esa carpeta) heredan esos permisos. Esta herencia puede ahorrar mucho tiempo al administrar permisos para entornos grandes.

Detalles técnicos:

• Los permisos se propagan hacia abajo a través de la jerarquía.
• Los objetos secundarios heredan los permisos de los objetos primarios cuando la propagación está habilitada.
• Los permisos más específicos (asignados directamente a un objeto) anulan los permisos heredados.
• Se pueden asignar múltiples permisos al mismo objeto para diferentes usuarios.

Paso a paso: creación de un rol de operador de VM y asignación de permisos

Creemos un rol personalizado para los operadores de VM que necesitan administrar máquinas virtuales pero no deben tener acceso de administrador completo:

1. Defina los requisitos del rol:

   • Determine qué acciones deben poder realizar los operadores de VM.
   • Considere qué acciones deben restringirse.

2. Cree el rol personalizado:

   • Inicie sesión en el cliente de host ESXi o vCenter Server.
   • Navegue a la administración de roles.
   • Cree un nuevo rol llamado "Operador de VM".
   • Seleccione los privilegios que incluyen:
     • Máquina virtual > Interacción (todo)
     • Máquina virtual > Aprovisionamiento > Implementar plantilla
     • Máquina virtual > Administración de instantáneas (todo)
     • Máquina virtual > Configuración (opciones seleccionadas)
   • Guarde el rol.

3. Cree un grupo de operadores de VM (si usa servicios de directorio):

   • Cree un grupo de seguridad en su servicio de directorio.
   • Agregue los usuarios apropiados a este grupo.

4. Asigne permisos:

   • Navegue a la carpeta de VM o al grupo de recursos que contiene las VM.
   • Abra la pestaña Permisos.
   • Agregue un nuevo permiso.
   • Seleccione el usuario o grupo de operadores de VM.
   • Asigne el rol "Operador de VM".
   • Habilite "Propagar a los hijos".
   • Guarde el permiso.

5. Pruebe los permisos:

   • Inicie sesión como usuario operador de VM.
   • Verifique que puedan realizar las acciones permitidas.
   • Verifique que no puedan realizar las acciones restringidas.
   • Ajuste los privilegios del rol si es necesario.

Resumen de la sección: El modelo de permisos de ESXi combina usuarios, roles y objetos de inventario para controlar el acceso. Los roles predeterminados cubren escenarios comunes, mientras que los roles personalizados permiten conjuntos de permisos más específicos. La comprensión de la herencia y la propagación de permisos es clave para una administración de permisos eficiente. Crear roles especializados como Operador de VM ayuda a implementar el principio del privilegio mínimo en su entorno.

Mini-Preguntas Frecuentes:

¿Qué sucede cuando un usuario tiene múltiples permisos en el mismo objeto?

Cuando un usuario tiene múltiples permisos en el mismo objeto (ya sea directamente oa través de la membresía de grupo), ESXi combina los privilegios de todos los roles aplicables. Esto significa que el usuario obtiene efectivamente la unión de todos los privilegios de los roles asignados.

¿Cómo puedo ver rápidamente qué permisos tiene un usuario específico en todo mi entorno?

En vCenter Server, puede filtrar los permisos por un usuario específico: Navegue a Administración > Control de acceso > Permisos globales, luego use la función de búsqueda para encontrar el usuario. Para una vista completa, las herramientas de terceros o los scripts de PowerCLI pueden generar informes que muestren todos los permisos para un usuario específico en todo el entorno.

Sección 5: Implementación de mejores prácticas de autenticación

Políticas de contraseña y seguridad de la cuenta

La implementación de políticas de contraseña sólidas es un aspecto fundamental de la seguridad de ESXi:

Detalles técnicos: ESXi le permite configurar varios ajustes relacionados con la contraseña a través de la configuración avanzada del sistema:

1. Complejidad de la contraseña: Configure los requisitos para la longitud de la contraseña, los tipos de caracteres y la complejidad.
2. Bloqueo de cuenta: Establezca los umbrales para los intentos fallidos de inicio de sesión y la duración del bloqueo.
3. Caducidad de la contraseña: Haga cumplir los cambios de contraseña a intervalos regulares.

Para configurar estos ajustes en el cliente de host ESXi:

1. Navegue a "Administrar" > "Sistema" > "Configuración avanzada".
2. Busque "Seguridad" para encontrar los ajustes relevantes.
3. Modifique ajustes como:
   • Security.PasswordQualityControl: Controla los requisitos de complejidad de la contraseña.
   • Security.PasswordHistory: Número de contraseñas anteriores que no se pueden reutilizar.
   • Security.PasswordMaxDays: Antigüedad máxima de la contraseña en días.
   • Security.AccountLockFailures: Número de intentos fallidos antes del bloqueo de la cuenta.
   • Security.AccountUnlockTime: Tiempo en segundos antes de que una cuenta bloqueada se desbloquee automáticamente.

Beneficios y aplicaciones: Las políticas de contraseña sólidas:

• Reducen el riesgo de acceso no autorizado a través de la adivinación de contraseñas o los ataques de fuerza bruta.
• Ayudan a cumplir con los requisitos de cumplimiento para los sistemas que manejan datos confidenciales.
• Establecen una línea de base de seguridad para su entorno de virtualización.

Integración con servicios de directorio

Para entornos con múltiples hosts ESXi, la integración con servicios de directorio como Active Directory ofrece ventajas significativas:

Explicación: Piense en la integración del servicio de directorio como la creación de una única base de datos de empleados centralizada para toda su organización, en lugar de mantener listas de empleados separadas para cada departamento. Esta centralización simplifica la administración, garantiza la coherencia y reduce la sobrecarga administrativa.

Configuración de la integración de Active Directory:

1. Prepare Active Directory:

   • Asegúrese de que sus hosts ESXi puedan resolver sus controladores de dominio a través de DNS.
   • Cree una cuenta de servicio para la autenticación de ESXi (opcional pero recomendado).

2. Una ESXi a Active Directory:

   • En el cliente de host ESXi, navegue a "Administrar" > "Seguridad y usuarios" > "Autenticación".
   • Seleccione "Unirse al dominio".
   • Ingrese su nombre de dominio, nombre de usuario y contraseña.
   • Haga clic en "Unirse al dominio".

3. Configure los permisos para los usuarios/grupos de AD:

   • Navegue a la sección de permisos para los objetos de inventario apropiados.
   • Agregue nuevos permisos utilizando usuarios o grupos de AD.
   • Asigne los roles apropiados.
   • Habilite la propagación según sea necesario.

Elemento visual: [Imagen: Diagrama que muestra el flujo de autenticación entre los hosts ESXi, Active Directory y los usuarios, lo que ilustra cómo funciona la autenticación centralizada.]

Implementación de autenticación multifactor

Para una mayor seguridad, considere la posibilidad de implementar la autenticación multifactor (MFA) para el acceso a ESXi:

Detalles técnicos: El propio ESXi no admite de forma nativa MFA, pero puede implementarlo a través de:

1. vCenter Server con integración de proveedor de identidad:

   • Configure vCenter Server para usar un proveedor de identidad externo que admita MFA.
   • Los proveedores comunes incluyen Okta, Microsoft Azure AD y RSA SecurID.

2. Autenticación con tarjeta inteligente:

   • ESXi admite la autenticación con tarjeta inteligente cuando está configurado correctamente.
   • Esto requiere:
     • Configuración adecuada del certificado.
     • Lectores de tarjetas inteligentes para los administradores.
     • Configuración del host ESXi para aceptar tarjetas inteligentes.

3. VPN con MFA como puerta de enlace:

   • Requiere MFA para el acceso VPN a la red de administración.
   • Restrinja las interfaces de administración de ESXi para que solo sean accesibles a través de esta VPN.

Auditoría y supervisión de la actividad del usuario

Mantener la visibilidad de las acciones del usuario es crucial para la seguridad y la solución de problemas:

1. Habilite y configure el registro:

   • En el cliente de host ESXi, navegue a "Administrar" > "Sistema" > "Configuración avanzada".
   • Configure Syslog.global.logHost para enviar registros a un servidor syslog central.
   • Establezca los niveles de registro apropiados para los eventos de autenticación.

2. Revisión periódica de registros:

   • Establezca un proceso para la revisión periódica de los registros de autenticación.
   • Busque patrones de intentos fallidos de inicio de sesión o tiempos de acceso inusuales.
   • Considere la posibilidad de usar herramientas automatizadas de análisis de registros para marcar las actividades sospechosas.

3. Implemente la supervisión de cambios:

   • Realice un seguimiento de los cambios en las cuentas de usuario y los permisos.
   • Documente todas las actividades de administración de usuarios.
   • Considere la posibilidad de usar procesos de administración de cambios para las modificaciones del acceso de usuario.

Beneficios y aplicaciones: La auditoría adecuada:

• Ayuda a detectar posibles incidentes de seguridad.
• Proporciona responsabilidad por las acciones administrativas.
• Admite los requisitos de cumplimiento.
• Ayuda en la solución de problemas de acceso.

Paso a paso: implementación de una estrategia de autenticación segura

Implementemos una estrategia de autenticación integral para su entorno ESXi:

1. Evalúe el estado actual y los requisitos:

   • Inventaríe los usuarios existentes y sus necesidades de acceso.
   • Identifique los requisitos de cumplimiento para su entorno.
   • Determine los métodos de autenticación apropiados.

2. Implemente políticas de contraseña sólidas:

   • Configure los requisitos de complejidad de la contraseña:

     Security.PasswordQualityControl = "retry=3 min=8,8,8,7,6 passphrase=0 similar=deny digit=1 upper=1 lower=1 special=1"
     

   • Establezca los umbrales de bloqueo de la cuenta:

     Security.AccountLockFailures = 5
     Security.AccountUnlockTime = 900
     

3. Configure la integración del servicio de directorio:

   • Una los hosts ESXi a Active Directory.
   • Cree grupos de seguridad en AD para diferentes roles de ESXi.
   • Asigne permisos usando grupos de AD en lugar de usuarios individuales.

4. Implemente controles de acceso:

   • Restrinja el acceso de administración a redes específicas.
   • Configure el firewall de ESXi para limitar el acceso a las interfaces de administración.
   • Considere la posibilidad de implementar un jump box para el acceso administrativo.

5. Configure el registro centralizado:

   • Configure un servidor syslog.
   • Dirija los registros de ESXi a este servidor.
   • Implemente políticas de retención de registros.
   • Configure alertas para eventos de autenticación sospechosos.

6. Documente y pruebe:

   • Documente la estrategia de autenticación.
   • Pruebe el acceso de usuario para verificar los permisos adecuados.
   • Realice revisiones de seguridad periódicas.

Resumen de la sección: La implementación de las mejores prácticas de autenticación implica el establecimiento de políticas de contraseña sólidas, la integración con los servicios de directorio, la consideración de las opciones de autenticación multifactor y el establecimiento de procedimientos de auditoría adecuados. Una estrategia de autent icación integral mejora la seguridad, simplifica la administración y ayuda a cumplir con los requisitos de cumplimiento de su entorno ESXi.

Mini-Preguntas Frecuentes:

¿Es mejor usar cuentas locales o Active Directory para la autenticación de ESXi?

Para entornos con múltiples hosts ESXi, generalmente se prefiere la integración de Active Directory, ya que proporciona una administración centralizada de usuarios, controles de acceso consistentes en todos los hosts y una administración de usuarios simplificada. Las cuentas locales deben mantenerse para el acceso de emergencia en caso de que el servicio de directorio no esté disponible.

¿Cómo puedo asegurarme de que los administradores no compartan la contraseña de root?

Implemente estas prácticas: cree cuentas con nombre individuales con privilegios administrativos para cada administrador; habilite el registro y la auditoría detallados; implemente una solución de bóveda de contraseñas para el acceso root de emergencia; rote periódicamente la contraseña de root; y establezca políticas claras contra el intercambio de contraseñas con consecuencias por violaciones.

Sección 6: Solución de problemas comunes de administración de usuarios

Diagnóstico de problemas de permisos

Los problemas de permisos son de los problemas más comunes en la administración de usuarios de ESXi. Aquí le mostramos cómo diagnosticarlos y resolverlos:

Explicación: Los problemas de permisos en ESXi a menudo se manifiestan como errores de "Acceso denegado" o usuarios que no pueden realizar las acciones esperadas. La solución de problemas de estos problemas requiere comprender la jerarquía de permisos y cómo se combinan los permisos.

Problemas de permisos comunes y soluciones:

1. Permisos propagados faltantes:

   • Síntoma: El usuario tiene acceso a un objeto primario, pero no a los objetos secundarios.
   • Diagnóstico: Verifique si "Propagar a los hijos" estaba habilitado cuando se asignó el permiso.
   • Solución: Modifique el permiso para habilitar la propagación o asigne permisos directamente a los objetos secundarios.

2. Conflictos de permisos:

   • Síntoma: El usuario tiene niveles de acceso inesperados.
   • Diagnóstico: Verifique si hay múltiples entradas de permisos que podrían estar combinándose de maneras inesperadas.
   • Solución: Simplifique la estructura de permisos, elimine los permisos redundantes.

3. Problemas de membresía de grupo:

   • Síntoma: El usuario debería tener acceso a través de la membresía de grupo, pero no lo tiene.
   • Diagnóstico: Verifique la membresía de grupo en el servicio de directorio.
   • Solución: Actualice la membresía de grupo o asigne permisos directamente.

Detalles técnicos: Al solucionar problemas de permisos, recuerde:

• Los permisos más restrictivos no anulan los menos restrictivos; en cambio, los privilegios se combinan.
• Los permisos asignados directamente a un objeto tienen prioridad sobre los permisos heredados.
• El rol "Sin acceso" es una excepción; sí anula los permisos heredados.

Fallas de autenticación

Los problemas de autenticación impiden que los usuarios inicien sesión en el entorno ESXi:

Problemas de autenticación comunes y soluciones:

1. Bloqueo de cuenta:

   • Síntoma: Las credenciales válidas se rechazan después de múltiples intentos fallidos.
   • Diagnóstico: Verifique los registros en busca de mensajes de bloqueo de cuenta.
   • Solución: Espere a que expire el período de bloqueo o desbloquee manualmente la cuenta.

2. Conectividad del servicio de directorio:

   • Síntoma: Los usuarios de AD no pueden autenticarse.
   • Diagnóstico: Verifique la conectividad de red a los controladores de dominio y la resolución de DNS.
   • Solución: Resuelva los problemas de red o vuelva a unir el host al dominio.

3. Caducidad de contraseña:

   • Síntoma: Las credenciales que funcionaban anteriormente fallan repentinamente.
   • Diagnóstico: Verifique si las políticas de caducidad de contraseña están en efecto.
   • Solución: Restablezca la contraseña del usuario.

Elemento visual: [Tabla: Mensajes de error de autenticación comunes, sus causas probables y las soluciones recomendadas.]

Uso de registros para la solución de problemas

Los registros de ESXi contienen información valiosa para diagnosticar problemas de administración de usuarios:

1. Acceso a los registros de autenticación:

   • En el cliente de host ESXi, navegue a "Administrar" > "Sistema" > "Registros".
   • Seleccione "hostd.log" para la mayoría de los problemas de autenticación y permisos.
   • Use grep o herramientas similares para filtrar las entradas relevantes:

     grep -i "auth\|perm\|user" /var/log/hostd.log
     

2. Patrones de registro comunes:

   • Intentos fallidos de autenticación: Busque mensajes de "Falla de autenticación".
   • Problemas de permisos: Busque "Permiso denegado" o "Privilegios insuficientes".
   • Modificaciones de cuenta: Encuentre "Cuenta de usuario" seguida de "creada", "modificada" o "eliminada".

3. Mejores prácticas de análisis de registros:

   • Correlacione las marcas de tiempo con los problemas informados.
   • Busque patrones de fallas repetidas.
   • Verifique los registros tanto en los hosts ESXi como en vCenter Server (si se usa).
   • Considere la posibilidad de enviar los registros a un sistema SIEM para un análisis avanzado.

Recuperación de bloqueos y credenciales perdidas

Incluso con una administración cuidadosa, pueden ocurrir bloqueos y credenciales perdidas:

1. Recuperación de bloqueos de cuenta:

   • Para las cuentas locales, espere a que expire el tiempo de desbloqueo automático.
   • Alternativamente, acceda al host a través de DCUI u otra cuenta de administrador para restablecer el bloqueo.
   • Para problemas persistentes, considere la posibilidad de ajustar las políticas de bloqueo.

2. Restablecimiento de contraseñas perdidas:

   • Para la cuenta root, use la interfaz de usuario de la consola directa.

   Sección 6: Solución de problemas comunes de administración de usuarios (continuación)

Recuperación de bloqueos y credenciales perdidas (continuación)

2. Restablecimiento de contraseñas perdidas:

   • Para la cuenta root, use la interfaz de usuario de la consola directa (DCUI):

     1. Acceda a la consola física o a la consola remota a través de iLO/iDRAC/IPMI.
     2. Presione F2 en la pantalla de bienvenida de ESXi.
     3. Seleccione "Opciones de solución de problemas".
     4. Seleccione "Habilitar ESXi Shell" y "Habilitar SSH" si es necesario.
     5. Salga al menú principal y seleccione "Restablecer la configuración del sistema".
     6. Siga las indicaciones para restablecer la contraseña de root.

   • Para otras cuentas locales:

     1. Inicie sesión como root u otro administrador.
     2. Use el cliente de host ESXi para restablecer la contraseña, o
     3. Use el comando ESXi Shell: esxcli system account set -i nombredeusuario -p nuevacontraseña

3. Planificación de acceso de emergencia:

   • Mantenga la documentación de los procedimientos de acceso de emergencia.
   • Considere la posibilidad de implementar una bóveda de contraseñas para las credenciales críticas.
   • Establezca un proceso para la autorización de acceso de emergencia.

Detalles técnicos: Al restablecer la contraseña de root, tenga en cuenta que esta acción se registra y puede activar alertas de seguridad si tiene habilitada la supervisión. Siempre siga los procedimientos de administración de cambios de su organización para tales operaciones confidenciales.

Resolución de problemas de integración del servicio de directorio

La integración del servicio de directorio a veces puede encontrar problemas:

1. Solución de problemas de uniones de dominio fallidas:

   • Síntoma: No se puede unir el host ESXi a Active Directory.
   • Diagnóstico:
     • Verifique la configuración de DNS en el host ESXi.
     • Verifique la conectividad de red a los controladores de dominio.
     • Asegúrese de que la cuenta utilizada tenga permiso para unir equipos al dominio.
   • Solución:
     • Corrija la configuración de DNS.
     • Resuelva los problemas de red.
     • Use una cuenta con los permisos apropiados.

2. Manejo de retrasos de autenticación:

   • Síntoma: Tiempos de inicio de sesión lentos para los usuarios de AD.
   • Diagnóstico: Verifique la latencia de red a los controladores de dominio.
   • Solución:
     • Optimice la conectividad de red.
     • Asegúrese de que los controladores de dominio sean accesibles con baja latencia.
     • Considere la posibilidad de agregar controladores de dominio más cerca de sus hosts ESXi.

3. Abordaje de las actualizaciones de membresía de grupo:

   • Síntoma: Las nuevas membresías de grupo no se reflejan en los permisos.
   • Diagnóstico: Los cambios en la membresía de grupo pueden tardar en propagarse.
   • Solución:
     • Espere la replicación de AD y la actualización del token.
     • Haga que el usuario cierre sesión y vuelva a iniciar sesión.
     • En casos urgentes, asigne permisos directamente al usuario.

Paso a paso: solución de problemas de un problema de acceso de usuario

Revisemos un enfoque sistemático para la solución de problemas cuando un usuario informa que no puede realizar una acción para la que cree que debería tener permiso:

1. Recopile información:

   • Identifique la cuenta de usuario específica que tiene el problema.
   • Determine la acción exacta que está intentando realizar.
   • Identifique el objeto al que está intentando acceder (qué VM, almacén de datos, etc.).
   • Anote cualquier mensaje de error que esté recibiendo.

2. Verifique la autenticación:

   • Confirme que el usuario puede iniciar sesión correctamente en el cliente de host ESXi o vSphere Client.
   • Si la autenticación falla, verifique el estado de la cuenta, la caducidad de la contraseña y el estado de bloqueo.
   • Para los usuarios de AD, verifique la conectividad de dominio y la membresía de grupo.

3. Verifique los permisos directos:

   • Navegue hasta el objeto específico al que el usuario está intentando acceder.
   • Revise la pestaña Permisos.
   • Busque entradas que incluyan al usuario directamente o a través de la membresía de grupo.
   • Verifique que el rol asignado tenga los privilegios necesarios para la acción intentada.

4. Verifique los permisos heredados:

   • Navegue hacia arriba en la jerarquía del inventario (carpetas, clústeres, centro de datos).
   • Verifique los permisos en cada nivel.
   • Verifique los ajustes de propagación.

5. Revise los registros:

   • Verifique hostd.log en busca de entradas relacionadas con los permisos.
   • Filtre los registros para el nombre de usuario en cuestión.
   • Busque "permiso denegado" o mensajes similares.

6. Pruebe con diferentes cuentas:

   • Pruebe la misma acción con una cuenta de administrador para verificar que sea posible.
   • Si está disponible, pruebe con otro usuario que debería tener permisos similares.

7. Implemente la solución:

   • Según los hallazgos, ajuste los permisos según sea necesario.
   • Considere la posibilidad de crear un rol personalizado si los roles existentes no coinciden con los requisitos.
   • Documente la solución para referencia futura.

8. Verifique la resolución:

   • Haga que el usuario pruebe la acción nuevamente.
   • Confirme que el problema está resuelto.
   • Supervise si hay problemas recurrentes.

Elemento visual: [Imagen: Diagrama de flujo que muestra el árbol de decisión para la solución de problemas de acceso de usuarios en ESXi, desde el informe del problema inicial hasta la verificación de la solución.]

Resumen de la sección: La solución de problemas de administración de usuarios en ESXi implica el diagnóstico de problemas de permisos, la resolución de fallas de autenticación, el análisis de registros y la recuperación de bloqueos o credenciales perdidas. Los problemas de integración del servicio de directorio requieren una atención especial a la configuración de redes y dominio. Un enfoque sistemático para la solución de problemas ayuda a identificar y resolver rápidamente los problemas de acceso de usuarios.

Mini-Preguntas Frecuentes:

¿Qué debo hacer si todas las cuentas de administrador están bloqueadas en ESXi?

Si todas las cuentas de administrador están bloqueadas, puede acceder a la interfaz de usuario de la consola directa (DCUI) a través de la consola física o la tarjeta de administración remota (iLO/iDRAC/IPMI). Desde allí, puede habilitar ESXi Shell, restablecer la contraseña de root si es necesario y luego usar la cuenta root para desbloquear o recrear otras cuentas de administrador.

¿Cómo puedo saber si un problema de permisos se debe a privilegios faltantes o a problemas de herencia?

Verifique el rol asignado al usuario para el objeto específico al que está intentando acceder. Compare los privilegios en ese rol con los requisitos para la acción que está intentando. Luego, verifique si los permisos se heredan correctamente de los objetos primarios verificando el ajuste "Propagar a los hijos" en los permisos asignados a los objetos primarios en la jerarquía.

Glosario

• ESXi: El hipervisor bare-metal de VMware que se instala directamente en servidores físicos para virtualizarlos.
• vCenter Server: La plataforma de administración centralizada de VMware para múltiples hosts ESXi.
• Control de acceso basado en roles (RBAC): Un método para regular el acceso basado en los roles asignados a los usuarios.
• Privilegio: Un permiso específico para realizar una acción en ESXi.
• Rol: Una colección de privilegios que se pueden asignar a usuarios o grupos.
• Permiso: La combinación de un usuario/grupo, un rol y un objeto de inventario.
• Propagación: La herencia de permisos de objetos primarios a objetos secundarios.
• Servicio de directorio: Un sistema centralizado para almacenar y administrar la información de identidad del usuario.
• Active Directory (AD): El servicio de directorio de Microsoft para las redes de dominio de Windows.
• Inicio de sesión único (SSO): Un proceso de autenticación que permite a los usuarios acceder a múltiples sistemas con un conjunto de credenciales.
• DCUI: Interfaz de usuario de la consola directa, la interfaz de consola local para los hosts ESXi.
• Política de bloqueo: Ajustes que determinan cuándo se bloquean las cuentas después de intentos fallidos de inicio de sesión.
• Autenticación multifactor (MFA): Un método de autenticación que requiere dos o más factores de verificación.

Lectura adicional

• Documentación de VMware ESXi
• Guías de refuerzo de seguridad de VMware
• Mejores prácticas de integración de Active Directory
• Base de conocimientos de TildaVPS: Mejores prácticas de virtualización
• Administración de la línea de comandos de ESXi con PowerCLI
• Auditoría y cumplimiento en entornos virtualizados