Bundesamt für Sicherheit in der Informationstechnik

M 2.446 Aufteilung der Administrationstätigkeiten bei Virtualisierungsservern

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Bei Virtualisierungsinfrastrukturen kommen zusätzlich zu den üblichen Rollen und Administrationstätigkeiten (siehe M 2.38 Aufteilung der Administrationstätigkeiten ) weitere administrative Aufgaben im Rechenzentrumsbetrieb hinzu.

Die Besonderheit der Rolle von Administratoren in einer virtuellen Infrastruktur besteht darin, dass diese potenziell eine sehr weitgehende Machtbefugnis über die virtuellen IT-Systeme, die in der virtuellen Infrastruktur betrieben werden, haben können. Dies schließt mit ein, dass sie

  • die Kontrolle über die emulierte Hardwareausstattung haben,
  • die virtuellen IT-Systeme mit Netzen verbinden können,
  • den virtuellen IT-Systemen Speicherressourcen aus dem Speichernetz zuweisen können und
  • meist Zugriff auf die Konsolen der virtuellen IT-Systeme

haben.

Eine Aufteilung der Administratorrolle ermöglicht die gegenseitige Kontrolle der unterschiedlichen Administratorengruppen in einem arbeitsteiligen Rechenzentrumsbetrieb.

So können bei einigen Virtualisierungsprodukten, wie z. B. Citrix XENCenter, Microsoft System Center Virtual Machine Manager oder VMware vSphere, Administratorrollen definiert werden, die bestimmten Benutzergruppen eine Auswahl von Rechten in der virtuellen Infrastruktur zuweisen. Hier können beispielsweise bestimmte Benutzergruppen daran gehindert werden, virtuelle IT-Systeme aus der virtuellen Infrastruktur zu exportieren. Des Weiteren können Berechtigungen zum Ein- und Ausschalten von virtuellen IT-Systemen oder zur Erzeugung von Snapshots erteilt oder entzogen werden.

Es ist zu prüfen, ob für die virtuell zu betreibenden IT-Systeme eine Aufteilung der Administratorrollen notwendig ist. Dies kann beispielsweise der Fall sein, wenn eine bestimmte Administratorengruppe keine Berechtigung für die Zuweisung von Netzen für ein virtuelles IT-System mit erhöhtem Schutzbedarf bezüglich Vertraulichkeit erhalten soll.

Wird die Aufteilung der Administratorrollen benötigt, so ist die Definition entsprechender Administratorrollen für die Virtualisierungsinfrastruktur zu nutzen. Einige Virtualisierungsprodukte bieten eine solche Möglichkeit nicht. In diesem Fall ist zu prüfen, ob eine Aufteilung der Administratorrollen ausschließlich organisatorisch, das heißt z. B. mittels einer Richtlinie ausreicht.

Prüffragen:

  • Wurde geprüft, ob eine Aufteilung der Administratorrollen für die virtuelle Infrastruktur notwendig ist?

  • Wurde die Aufteilung der Administratorrollen, wenn sie notwendig ist, organisatorisch oder, falls möglich, mit technischen Mitteln des Virtualisierungsproduktes umgesetzt?

Stand: 12. EL Stand 2011

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK