Control remoto de System Center 2012 R2

Se aplica a: System Center 2012 R2 Virtual Machine Manager

La consola remota es una característica que se introdujo en System Center 2012 R2. La consola remota proporciona a los inquilinos la posibilidad de obtener acceso a la consola de sus máquinas virtuales en escenarios en que otras herramientas remotas (o Escritorio remoto) no están disponibles. Los inquilinos pueden utilizar la consola remota para tener acceso a las máquinas virtuales cuando la máquina virtual está en una red aislada, en una red que no es de confianza o a través de Internet.

La consola remota necesita lo siguiente para ejecutarse:

• Microsoft® Hyper-V® Server 2012 R2

• System Center 2012 R2 Virtual Machine Manager

• System Center 2012 R2 Service Provider Foundation

• Paquete de Windows Azure para Windows Server

En esta versión, la consola remota admite la funcionalidad limitada. No se admiten características tales como el portapapeles, el sonido, la redirección de impresoras y la asignación de unidades. La consola remota funciona de forma similar a la de la conexión del teclado, el vídeo y el mouse (KVM) que utilizan los equipos físicos.

Hyper-V en Windows Server 2012 R2 admite la autenticación basada en certificados, que se utiliza para garantizar que los inquilinos sólo tienen acceso a las máquinas virtuales que se les han asignado. El portal web de Paquete de Windows Azure para Windows Server, Service Provider Foundation y Virtual Machine Manager (VMM) autentican y autorizan el acceso a las máquinas virtuales, y ofrecen un token que el host de Hyper-V utiliza para conceder acceso a una única máquina virtual.

El siguiente diagrama ilustra los componentes que son necesarios para el acceso de la consola remota cuando los inquilinos tienen acceso a una máquina virtual a través de una red que no es de confianza, como Internet. La puerta de enlace de Escritorio remoto se omite si este entorno se implementa en una red corporativa.

Las claves privadas y públicas de un certificado se utilizan para establecer una relación de confianza. En la siguientes secciones se describe cómo crear los certificados necesarios.

Creación de un certificado para el acceso remoto

Un certificado se utiliza para crear una relación de confianza entre el servidor de puerta de enlace de Escritorio remoto, los hosts de Hyper-V y VMM. El certificado permite que la puerta de enlace de Escritorio remoto y los hosts de Hyper-V acepten tokens de solicitudes emitidos por la puerta de enlace de Escritorio remoto de VMM. Se puede usar el mismo certificado o certificados diferentes para la validación de la puerta de enlace de Escritorio remoto y los hosts de Hyper-V. Los certificados válidos deben cumplir los siguientes requisitos:

1. El certificado no debe haber expirado.

2. El campo de uso de la clave debe contener una firma digital.

3. El campo de uso mejorado de clave debe contener el siguiente identificador de objeto de autenticación del cliente: (1.3.6.1.5.5.7.3.2)

4. Los certificados raíz para de la entidad de certificación (CA) que emitió el certificado deben instalarse en el almacén de certificados de entidades de certificación raíz de confianza.

5. El proveedor de servicios criptográficos del certificado debe admitir SHA256.

Puede obtener un certificado válido de una entidad de certificación comercial, una entidad de certificación empresarial o con un certificado autofirmado.

Uso de la herramienta MakeCert para crear un certificado de prueba

Con fines de prueba, puede utilizar la herramienta MakeCert para crear un certificado autofirmado. MakeCert forma parte de Windows SDK.

• Para descargar el SDK, consulte Windows SDK for Windows 7 (Windows SDK para Windows 7).

• Para obtener más información, consulte MakeCert en el Centro de desarrollo de Windows.

El código siguiente proporciona un ejemplo de cómo crear un certificado autofirmado:

makecert -n "CN=Remote Console Connect" -r -pe -a sha256 -e <mm/dd/yyyy> -len 2048 -sky signature -eku 1.3.6.1.5.5.7.3.2 -ss My -sy 24 "<CertificateName>.cer"  

donde:

Usar una entidad de certificación

Cuando solicita un certificado de una entidad de certificación, un archivo .inf de plantilla de certificado similar al siguiente puede utilizarse con la herramienta Certreq. Para obtener más información, consulte Certreq.

[Version]  
Signature="$Windows NT$"  
[NewRequest]  
; Change to your,country code, company name and common name  
Subject = "C=US, O=Contoso, CN=wap-rdg.contoso.com"  
; Indicates both encryption and signing  
KeySpec = 1   
; Length of the public and private key, use 2048 or higher  
KeyLength = 2048  
; Certificate will be put into the local computer store  
MachineKeySet = TRUE   
PrivateKeyArchive = FALSE  
RequestType = PKCS10  
UserProtected = FALSE  
; Allow the key to be shared between multiple computers  
Exportable = TRUE  
SMIME = False  
UseExistingKeySet = FALSE   
; ProviderName and ProviderType must be for a CSP that supports SHA256  
ProviderName = "Microsoft Enhanced RSA and AES Cryptographic Provider"  
ProviderType = 24  
; KeyUsage must include DigitalSignature. 0xA0 also includes Key Encipherment  
KeyUsage = 0xa0  
[EnhancedKeyUsageExtension]  
OID=1.3.6.1.5.5.7.3.2  
  

Puede validar que un certificado de un archivo .pfx cumple los requisitos de algoritmo y uso mejorado de clave al ejecutar el siguiente script de Windows PowerShell:

$cert = Get-PfxCertificate <cert.pfx>  
if ($cert.PrivateKey.CspKeyContainerInfo.ProviderName -ne "Microsoft Enhanced RSA and AES Cryptographic Provider")  
{  
       Write-Warning "CSP may not support SHA256"  
}  
if (! (Test-Certificate $cert -EKU "1.3.6.1.5.5.7.3.2") )  
{  
       Write-Warning "Certificate is not valid"  
}  
  

Instalar el certificado

Una vez creado el certificado, debe instalarlo y configurar Virtual Machine Manager para utilizar el certificado para emitir tokens de notificaciones. Después, la clave privada del certificado se importa en la base de datos de Virtual Machine Manager. Para ello, utilice el cmdlet de Windows PowerShell Set-SCVMMServer, por ejemplo:

PS C:\> $mypwd = ConvertTo-SecureString "password" -AsPlainText -Force  
PS C:\> $cert = Get-ChildItem .\RemoteConsoleConnect.pfx   
PS C:\> $VMMServer = VMMServer01.Contoso.com  
PS C:\> Set-SCVMMServer -VMConnectGatewayCertificatePassword $mypwd -VMConnectGatewayCertificatePath $cert -VMConnectHostIdentificationMode FQDN -VMConnectHyperVCertificatePassword $mypwd -VMConnectHyperVCertificatePath $cert -VMConnectTimeToLiveInMinutes 2 -VMMServer $VMMServer  
  

En este ejemplo se utiliza el mismo certificado para la puerta de enlace de Escritorio remoto y los hosts de Hyper-V, y los tokens tienen una duración de dos minutos. Puede seleccionar una duración para los tokens de 1 a 60 minutos.

El servidor de host se identifica por su nombre de dominio completo (FQDN). Como alternativa, los hosts pueden identificarse por la dirección IPv4, la dirección IPv6 y el nombre de host. La identidad del host se incluye en el archivo del Protocolo de escritorio remoto (RDP) que se envía a los inquilinos.

‎%%78%%% ‎

Cuando se actualiza cada host en Virtual Machine Manager, este instala el certificado en el almacén de certificados personales del host de Hyper-V y configura el host de Hyper-V para que valide los tokens usando el certificado. Puede utilizar el siguiente comando de Windows PowerShell para forzar una actualización de todos los hosts de Hyper-V:

PS C:\> Get-SCVMHost -VMMServer "VMMServer01.Contoso.com" | Read-SCVMHost  

Hosts de Hyper-V

Al autenticar tokens, Hyper-V sólo acepta los tokens que están firmados con certificados específicos y algoritmos hash. Virtual Machine Manager realiza la configuración necesaria de los hosts de Hyper-V. Sólo Hyper-V en Windows Server 2012 R2 admite la funcionalidad de la consola remota.

Si utiliza un certificado autofirmado, debe importar la clave pública del certificado en el almacén de certificados de entidades de certificación raíz de confianza del host de Hyper-V. El script siguiente proporciona un ejemplo de cómo usar Windows PowerShell para importar la clave pública:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\Root -Filepath "<certificate path>.cer"  

Debe reiniciar el servicio Administración de máquinas virtuales de Hyper-V si instala un certificado después de configurar Virtual Machine Manager.

Puede comprobar que el host de Hyper-V está configurado correctamente para la consola remota de la siguiente manera:

1. Compruebe que el certificado está en el almacén de certificados personales del host de Hyper-V, y que es de confianza.

2. Compruebe la configuración hash del certificado del emisor de confianza.

El siguiente script proporciona un ejemplo de cómo usar Windows PowerShell para comprobar que el certificado está instalado en el almacén de certificados personales del host de Hyper-V:

PS C:\> dir cert:\localmachine\My\ | Where-Object { $_.subject -eq "CN=Remote Console Connect" }  

El script siguiente proporciona un ejemplo de cómo usar Windows PowerShell para comprobar la configuración hash del certificado del emisor de confianza:

PS C:\> $TSData = Get-WmiObject -computername $Server -NameSpace "root\virtualization\v2" -Class "Msvm_TerminalServiceSettingData"  

La matriz TrustedIssuerCertificateHashes debe contener la huella digital del certificado que se utiliza para conectar la consola remota. La matriz AllowedHashAlgorithms debe estar vacía o contener el algoritmo SHA256. Cuando la matriz está vacía, los valores predeterminados son SHA256 o SHA512.

Puerta de enlace de Escritorio remoto

La puerta de enlace de Escritorio remoto sólo puede utilizarse para el acceso de la consola a las máquinas virtuales. Al configurar la puerta de enlace de Escritorio remoto, se produce un cambio de configuración, lo que hace que la puerta de enlace quede inutilizable para otros fines. Las siguientes tareas se completan al configurar la puerta de enlace de Escritorio remoto:

1. Implemente la puerta de enlace de Escritorio remoto e instale el complemento de autenticación.

2. Instale el certificado.

3. Configure los certificados del emisor de confianza (mediante WMI).

4. Cree un certificado para la puerta de enlace de Escritorio remoto.

Para admitir la autenticación federada, es necesario instalar la puerta de enlace de conexión de la consola de Microsoft System Center Virtual Machine Manager en el servidor de puerta de enlace de Escritorio remoto. Empiece por crear una máquina virtual y, a continuación, habilite los Servicios de Escritorio remoto.

A continuación, instale el componente de la puerta de enlace de conexión de la consola de System Center Virtual Machine Manager. Encontrará los archivos binarios de instalación de este componente en la siguiente carpeta de medios de instalación de Virtual Machine Manager: CDLayout.EVAL\amd64\Setup\msi\RDGatewayFedAuth. Para una configuración de alta disponibilidad, instale varias cantidades de puertas de enlace de Escritorio remoto con el componente de la puerta de enlace de conexión de la consola detrás de un equilibrador de carga.

A continuación, importe la clave pública del certificado en el almacén de certificados personales en cada servidor de puerta de enlace de Escritorio remoto. Para ello, puede usar Windows PowerShell como se muestra en el ejemplo siguiente:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\My -Filepath "<certificate path>.cer"  

Al utilizar un certificado autofirmado, debe importar la clave pública del certificado en el almacén de certificados de entidades de certificación raíz de confianza de la cuenta de equipo. Para ello, puede usar Windows PowerShell como se muestra en el ejemplo siguiente:

PS C:\> Import-Certificate -CertStoreLocation cert:\LocalMachine\Root -Filepath "<certificate path>.cer"  

Al autenticar tokens, la puerta de enlace de Escritorio remoto sólo acepta los tokens que están firmados con certificados específicos y algoritmos hash. Para esto, es necesario definir la configuración de las propiedades TrustedIssuerCertificateHashes y AllowedHashAlgorithms de la clase FedAuthSettings de WMI. Debe tener credenciales administrativas para definir estas propiedades.

La propiedad TrustedIssuerCertificateHashes es una matriz de huellas digitales de certificado que se almacenan en el servidor de puerta de enlace de Escritorio remoto. Puede utilizar el siguiente comando de Windows PowerShell para establecer la propiedad TrustedIssuerCertificateHashes:

$Server = "rdgw.contoso.com"  
$Thumbprint = "95442A6B58EB5E443313C1B4AFD2665991D354CA"  
$TSData = Get-WmiObject -computername $Server -NameSpace "root\TSGatewayFedAuth2" -Class "FedAuthSettings"  
$TSData.TrustedIssuerCertificates = $Thumbprint  
$TSData.Put()  

El último paso consiste en seleccionar o crear un certificado autofirmado para la puerta de enlace de Escritorio remoto. Para ello, abra el Administrador de puerta de enlace de Escritorio remoto, haga clic con el botón secundario en Puerta de enlace de Escritorio remoto y, a continuación, haga clic en Propiedades. En el cuadro de diálogo Propiedades, haga clic en la pestaña Certificado SSL.

Este certificado lo utilizan los equipos cliente inquilinos para comprobar la identidad del servidor de puerta de enlace de Escritorio remoto. El nombre CN del certificado debe coincidir con el FQDN del servidor de puerta de enlace de Escritorio remoto. Abra el Administrador de puerta de enlace de Escritorio remoto y asigne o cree un certificado autofirmado.

Puede comprobar la configuración de la puerta de enlace de Escritorio remoto mediante los pasos siguientes:

1. Asegúrese de que la puerta de enlace de Escritorio remoto está configurada para utilizar la puerta de enlace de conexión de la consola a efectos de autenticación y autorización. Para ello, puede usar Windows PowerShell como se muestra en el ejemplo siguiente:

   PS C:\> Get-WmiObject -Namespace root\CIMV2\TerminalServices -Class Win32_TSGatewayServerSettings  
   

   Compruebe que las propiedades AuthenticationPlugin y AuthorizationPlugin están definidas como FedAuthorizationPlugin.

2. Asegúrese de que se ha instalado un certificado en el almacén de certificados personales de la cuenta de la máquina. Para ello, puede usar Windows PowerShell como se muestra en el ejemplo siguiente:

   PS C:\> dir cert:\localmachine\My\ | Where-Object { $_.subject -eq "CN=Remote Console Connect" }  
   

3. Compruebe la configuración de la puerta de enlace de conexión de la consola. Para ello, puede usar Windows PowerShell como se muestra en el ejemplo siguiente:

   PS C:\> Get-WmiObject -computername $Server -NameSpace "root\TSGatewayFedAuth2" -Class "FedAuthSettings"  
   

   La matriz TrustedIssuerCertificates debe contener la huella digital de certificado de la puerta de enlace de conexión de la consola.

Paquete de Windows Azure para Windows Server para la consola remota

Puede habilitar el acceso a la consola remota según el plan de que se trate a través del servicio de nubes de máquinas virtuales del módulo de Windows Azure para Windows Server. En el panel del plan, seleccione Nubes de máquina virtual en los servicios del plan y seleccione Conectar a la consola de las máquinas virtuales en la configuración adicional.

Si ha instalado una puerta de enlace de Escritorio remoto, lea el procedimiento Configurar el Paquete de Windows Azure para utilizar Puerta de enlace de Escritorio remoto.

Recomendamos que realice las tareas siguientes para mejorar la seguridad:

Configurar el Paquete de Windows Azure para utilizar Puerta de enlace de Escritorio remoto