HX クラスタに含まれるコントローラ VM、ESXi ホスト、および vCenter の STIG パラメータを設定するための STIG 自動化スクリプトは、コントローラ VM または次の仕様を備えたサーバのいずれかから実行できます。

• Ubuntu のバージョン：16.04.4 LTS（Xenial Xerus）

• Python のバージョン：2.7.12

• 必要なパッケージ：pyvmomi

スクリプト、設定ファイル、およびログ ファイルは次の場所にあるコントローラ VM に存在します。/usr/share/springpath/storfs-misc/hx-scripts/。

ファイル名は次のようになります。

• stig_security_settings.py

• stig_config.ini

（注）	上記の 2 つのファイルをスクリプトの実行元となるマシンにコピーする必要があります。

STIG 自動化スクリプトを実行するには、次のコマンドを入力します。

python stig_security_settings.py

次の STIG パラメータはスクリプトによって設定されます。

• ESXi ホスト：

  ESXiShellTimeOut:900DcuiTimeOut:900
  DVFilterBindIpAddress:
  BlockGuestBPDU:1
  PasswordQualityControl:similar=deny retry=3 min=disabled,disabled,disabled,disabled,15
  SyslogDir:[]/scratch/log
  SyslogHost:udp://localhost
  issue:This is a monitored system subject to Federal and International regulation. Specific settings based on DISA STIGs have been implemented.
  WelcomeMessage:This is a monitored system subject to Federal and International regulation. Specific settings based on DISA STIGs have been implemented.
  AccountLockFailures:3
  AccountUnlockTime:900
  

• コントローラ VM：

  isolation.tools.hgfsServerSet.disable:true
  RemoteDisplay.maxConnections:1
  RemoteDisplay.vnc.enabled:false
  isolation.device.connectable.disable:true
  isolation.device.edit.disable:true
  tools.guestlib.enableHostInfo:false
  isolation.tools.copy.disable:true
  isolation.tools.dnd.disable:true
  isolation.tools.setGUIOptions.enable:false
  isolation.tools.paste.disable:true
  isolation.tools.ghi.autologon.disable:true
  isolation.bios.bbs.disable:true
  isolation.tools.getCreds.disable:true
  isolation.tools.ghi.launchmenu.change:true
  isolation.tools.memSchedFakeSampleStats.disable:true
  isolation.tools.ghi.protocolhandler.info.disable:true
  isolation.ghi.host.shellAction.disable:true
  isolation.tools.dispTopoRequest.disable:true
  isolation.tools.trashFolderState.disable:true
  isolation.tools.ghi.trayicon.disable:true
  isolation.tools.unity.disable:true
  isolation.tools.unityInterlockOperation.disable:true
  isolation.tools.unity.push.update.disable:true
  isolation.tools.unity.taskbar.disable:true
  isolation.tools.unityActive.disable:true
  isolation.tools.unity.windowContents.disable:true
  isolation.tools.vmxDnDVersionGet.disable:true
  isolation.tools.guestDnDVersionSet.disable:true
  isolation.tools.vixMessage.disable:true
  isolation.tools.autoInstall.disable:true
  tools.setinfo.sizeLimit:1048576
  

• vCenter：

  config.nfc.useSSL:true

• ESXi ウェルカム メッセージの場合、スクリプトはデフォルト値に設定されます。

セキュリティを強化するために STIG パラメータを手動で設定するには、次の項を参照してください。

• ESXi ホストについては、ESXi ホストの STIG パラメータの設定を参照してください。

• コントローラ VM については、コントローラ VM の STIG パラメータの設定を参照してください。

• vCenter については、vCenter の STIG パラメータの設定を参照してください。

• ESXi ウェルカム メッセージについては、ESXi ウェルカム メッセージの設定を参照してください。

（注）	1. HX クラスタが展開されると、STIG 設定は新しく追加されたホストと VM に自動的には適用されません。スクリプトを再度実行するか、設定を手動で適用する必要があります。 2. ユーザが STIG 設定のリセットを希望する場合、現時点では、手動で実行する必要があります。

ここでは、ESXi ホストの STIG パラメータを手動で設定するための手順について説明します。

警告	この設定により、ESXi シェルが 900 秒後に無効になり、HX アップグレードが失敗します。

ESXi ホストの STIG パラメータを手動で設定するには、次の手順を実行します。

vSphere Web クライアントを使用した vCenter バージョン 6.0 の手順：

1. vSphere Web クライアントのインベントリでホストを特定します。

2. [Manage] タブをクリックし、[Settings] をクリックします。

3. [System] で [Advanced System Settings] を選択します。

4. [UserVars.ESXiShellTimeOut] を選択し、[Edit] アイコンをクリックします。

5. アイドル タイムアウト設定を入力します。

6. タイムアウトを有効にするために、SSH サービスを再起動します。

   1. ホストを選択します。

   2. [Manage] タブをクリックし、[Settings] をクリックします。

   3. [System] で、[Security profile] を選択します。

   4. [Services] セクションで、[Edit] をクリックします。

   5. [SSH] を選択します。

   6. [Restart] をクリックします。

   7. [OK] をクリックします。

7. [OK] をクリックします。

vSphere Web クライアントを使用した vCenter バージョン 6.5 の手順：

1. VSphere Web Client のインベントリでホストを特定します。

2. [Configure] をクリックします。

3. [System] で [Advanced System Settings] を選択します。

4. [UserVars.ESXiShellTimeOut] を選択し、[Edit] アイコンをクリックします。

5. [Value] を入力します。

6. タイムアウトを有効にするために、SSH サービスを再起動します。

   1. ホストを選択します。

   2. [Manage] タブをクリックし、[Settings] をクリックします。

   3. [System] で、[Security profile] を選択します。

   4. [Services] セクションで、[Edit] をクリックします。

   5. [SSH] を選択します。

   6. [Restart] をクリックします。

   7. [OK] をクリックします。