|
该过程大都可以通过脚本和System Center 2016或者其他工具实现自动化，然而不要期待Nano Sever会有什么友好的“向导”手把手教你怎么做。并且，如果你计划将Nano Serve载入vSphere或者其他虚拟化技术，这就需要更多的虚拟机和虚拟磁盘转换的训练，因为脚本只能产生.VHD和.VHDX虚拟磁盘输出。评测者称其试图将Nano Server磁盘映像转换为一个vSphere实例的过程并不顺利。 Server 2016安全升级 Nano Server增强的安全性只是Server 2016安全性增强的一个开端，还有很多新的方法保护用户免遭攻击者窃取证书获得广泛访问服务器基础架构的权利——现实世界中常常发生这种攻击。还有一些新的功能称为Guarded Hosts和Shielded Virtual Machines，阻止拥有服务器访问权的用户访问其上运行的虚拟机。 今年早些时候，微软发布了一项功能称为“JustEnough Administration”（JEA），作为Windows Management Framework 5.0的一部分。JEA使用更加精细的访问控制授予个人权限来运行特定的管理任务。JEA通过PowerShell配置文件授予特定任务权限，而不是必须要授予使用者在Active Directory中更广泛的管理权。 例如，这能允许DevOps团队的成员通过特定的Power Shell命令集 "cmdlets"来诊断服务器实例的问题，而不需要授予其服务器完全管理权限。这样，可以大大减少完全管理权限账户的数量，减少许可证书被窃取和恶意利用的概率。 除此之外，JEA还意味着Server 2012 R2 中引入的“Just in Time Admin”功能，该功能允许通过特定任务的工作流程授予用户基于时间的管理权限。Server 2016也采用了最初由Windows 10 Enterprise 部署的Credential Guard技术。该技术是一项基于虚拟化的安全功能，利用Hyper-V分割其他操作系统的证书管理来帮助保护证书免受窃取。 Server 2016在物理和虚拟机上都得到了强化。Device Guard利用Hyper-V层作为操作系统（OS）和硬件的缓冲层，通过Windows组策略编辑器配置的组策略可以添加内核级别（kernel-level）和用户级别（user-level）软件的代码完整性检查。管理程序层增强了这种检查，只允许信任代码在系统上执行，正确的引导加载程序。Device Guard的代码完整性策略也能设置为允许通常被“阻塞”的应用程序以“审核模式”（audit mode）运行，并创建一个记录其详细活动的事件日志。 HostGuard服务是主机上运行Hyper-V虚拟机的一个服务器角色，提供另一级的保护。本质上，Host Guard就是基于软件的可信任平台模组（Trusted PlatformModule，TPM)，用于“屏蔽”虚拟机。一旦在受保护的主机上创建“屏蔽”虚拟机账户，其位元锁加密（Bitlocker-encrypted）虚拟磁盘不能被任何具有本服务器访问权限的用户加载或读取。
设置Device Guard代码完整性策略限制可加载代码类型——内核级和用户级。
利用虚拟机管理程序和处理器虚拟接口设置“虚拟化安全性”（Virtualization-Based Security），监控代码执行和故障问题。
试图安装“屏蔽”虚拟机磁盘——失败。 当然，只有虚拟机（VMs）会要求这类安全强化,因为虚拟机运行在通用操作系统上，并且已经可以用“虚拟存储网络”（virtual SAN）功能加密运行在vSphere上的VMs虚拟磁盘。但是，这些功能至少给Server 2016和Hyper-V带来了虚拟机软件(VM Ware)的某种安全校验。 扩展Hyper-V 只要涉及到字符“v”，指的就是有关微软Windows Server虚拟化技术大大小小的变化——包括传统的虚拟机以及Server2016新引入的应用程序容器。虚拟化现已成为数据存储领域的一个趋势焦点，称为“超级集成系统存储”（hyperconverged storage），这种趋势很可能使得某些存储区域网络供应商的销售人员大大受挫。 Hyper-V最大的卖点在于：相较于VMWare平台，Hyper-V在小型虚拟机部署中的易用性。然而，这种优势在过去几年逐渐降低，因为vSphere能为小型虚拟机部署提供更好更便捷的管理工具。vSphere 6的网络管理，再加上最新的VMWare远程控制台，几乎与Hyper-V管理器在易用性上旗鼓相当。 (责任编辑：本港台直播) |
