שיטות מומלצות למכונות וירטואליות של Windows Server

יש כמה שיטות מומלצות שאפשר ליישם כדי לבצע אופטימיזציה של מכונות Compute Engine שמריצות את Microsoft Windows Server. במסמך הזה מוסבר איך אפשר להשתמש במוצרים אחרים שזמינים ב- Cloud de Confiance by S3NS כדי לוודא שהביצועים של מופעי Windows יהיו אופטימליים מבחינת ביצועים, אבטחה, יתירות וזמינות. למידע נוסף על הגדרה והתקנה של מכונות Windows, קראו את המאמר עומסי עבודה של Windows. למכונות Microsoft SQL, אפשר לעיין בשיטות מומלצות ל-SQL Server.

שיטות מומלצות כלליות ל-Compute Engine

אבטחה

שיטות מומלצות לאבטחת מכונות וירטואליות של Windows באמצעות BitLocker

‫Bitlocker מספק הגנה משופרת למערכת ההפעלה (OS) של Windows ולכונני הנתונים, אבל האבטחה המשופרת מגיעה עם סיכון נוסף של אובדן גישה לנתונים שלכם בטעות. אתם אחראים לוודא שמפתח השחזור מגובה. אל תסתמכו רק על ה-vTPM להפעלה חלקה בתרחיש של התאוששות מאסון. תמיד צריך לאחסן את מפתח השחזור של BitLocker באופן חיצוני.

כדי למנוע אובדן גישה לנתונים, כדאי לפעול לפי השיטות המומלצות הבאות לאחסון מאובטח של מפתחות השחזור של BitLocker.

  • חשוב לוודא שלא מתחילים בהצפנת BitLocker אלא אם מפתח השחזור מאוחסן בשירות מנוהל ל-Microsoft Active Directory. מידע נוסף זמין במאמר דרישת נאמנות BitLocker באמצעות אובייקט מדיניות קבוצתית (GPO).
  • כדי לוודא שתוכלו לגשת למפתחות השחזור גם במהלך הפסקת חשמל אזורית, כדאי לפרוס את מופע Active Directory בכמה אזורים.
  • מדי פעם, ייצאו את מפתחות השחזור למיקום מאובטח עם ניהול גרסאות, כמו קטגוריה של Cloud Storage בפרויקט אחר או מכונה של Secret Manager.
  • פעולות או שינויים מסוימים במכונות וירטואליות מוגנות, כמו שינוי ה-vTPM או יצירה מחדש של מכונה וירטואלית מדיסק, מפעילים את מצב השחזור. אחרי שהמופע עובר למצב שחזור, אי אפשר לגשת אליו עד שמזינים את מפתח השחזור. לכן, תמיד צריך לשמור עותק חיצוני של מפתח השחזור.

דרישה ל-BitLocker escrow באמצעות אובייקט מדיניות קבוצתית (GPO)

כדי למנוע מצב שבו לא תהיה לכם גישה לדיסקים מוצפנים ב-BitLocker, צריך להגדיר את המופעים כך שההצפנה לא תתחיל אלא אם מפתח השחזור מאוחסן בצורה מאובטחת ב-שירות מנוהל ל-Microsoft Active Directory.

  1. פותחים את מסוף ניהול מדיניות הקבוצות: בבקר הדומיין או במכונה הווירטואלית לניהול, פותחים את gpmc.msc.
  2. יוצרים GPO: יוצרים GPO חדש שמקושר ליחידה הארגונית שמכילה את מכונות Windows של Compute Engine.
  3. פותחים את מדיניות BitLocker: לוחצים על Computer Configuration (הגדרת המחשב) > Policies (מדיניות)
  4. לוחצים על Administrative Templates (תבניות אדמיניסטרטיביות).
  5. לוחצים על רכיבי Windows.
  6. לוחצים על הצפנת הכונן באמצעות BitLocker.
  7. לוחצים על כוננים של מערכת ההפעלה.
  8. מגדירים את דרישות הגיבוי:
    1. פותחים את Choose how BitLocker-protected operating system drives can be recovered.
    2. לוחצים על הפעלה.
    3. בוחרים באפשרות אל תפעיל את BitLocker עד שפרטי השחזור מאוחסנים ב-Active Directory DS עבור כוננים של מערכת הפעלה.
    4. מוודאים שהאפשרות Store BitLocker recovery information in AD DS (אחסון פרטי השחזור של BitLocker ב-AD DS) מסומנת ומוגדרת לאחסון של סיסמאות השחזור ושל חבילות המפתחות.
    5. כדי להגן על דיסקים משניים, חוזרים על השלבים האלה עבור התיקייה Fixed Data Drives (כונני נתונים קבועים).

מידע מפורט על הגדרת BitLocker זמין במאמר הגדרת BitLocker.

כדי לשחזר מכונה וירטואלית של Windows שנדרש לה מפתח שחזור של BitLocker, קראו את המאמר שחזור מכונה וירטואלית של Windows שנדרש לה מפתח שחזור של BitLocker.

גיבוי ושחזור

  • חשוב לבדוק ולאמת באופן שוטף את אסטרטגיית הגיבוי והשחזור.
  • כדאי להפעיל תמונות מצב רגילות של הדיסק כדי להתאושש במהירות מגיבוי קודם במקרה של כשל ב-VM.
    • מומלץ להפעיל צילומי מצב של VSS רק בכרכים של נתונים ובמקרים שבהם האפליקציה תואמת ל-VSS. מומלץ להימנע מיצירת תמונות מצב של VSS בדיסק של מערכת ההפעלה, כי שירות VSS מסמן את הדיסק הזה כקריאה בלבד.

ניהול תיקונים

  • מוודאים שמערכת ההפעלה של Windows מעודכנת לגרסה העדכנית וכל עדכוני המערכת והאיכות (שנקראים גם "עדכונים מצטברים" או "עדכוני איכות מצטברים") מותקנים.
  • להשתמש ב-Windows Update האוטומטי במכונה. מיקרוסופט מפיצה תיקונים לפחות בכל יום שלישי השני בכל חודש. כדאי שתהיה לכם אסטרטגיה להחלת העדכונים האלה כדי להגן על המערכת מפני באגים ונקודות חולשה ידועים. אם אי אפשר להפעיל מחדש באופן אוטומטי, אפשר ליצור הטמעות תיקון באמצעות VM Manager, שמאפשר לתזמן עדכונים ולהפעיל מחדש את המכונות בזמן המתאים.

רישום ביומן ומעקב

  • כשמשתמשים בתוכנה של מיקרוסופט, באחריותכם להבין את הסכמי הרישוי שיש לכם עם מיקרוסופט ולציית להם. כדי להבין את הדרישות והאפשרויות לרישוי, עיינו במסמכי התיעוד של רישיונות מיקרוסופט.
  • חשוב לעדכן את סביבת האורח בהתאם לאסטרטגיית Windows Update. עדכון סביבת האורח של מכונת Windows באופן קבוע יבטיח שאתם מריצים את הגרסה העדכנית והיציבה ביותר של כל הסוכנים ומנהלי ההתקנים הנדרשים של Cloud de Confiance by S3NS .