Sie können verschiedene Best Practices anwenden, um Compute Engine-Instanzen zu optimieren, auf denen Microsoft SQL Server ausgeführt wird. In diesem Dokument wird beschrieben, wie Sie andere Produkte nutzen können, die in Google Cloud verfügbar sind, und sicherstellen, dass Ihre Windows-Instanzen eine optimale Leistung, Sicherheit, Redundanz und Verfügbarkeit erzielen. Weitere Informationen zur Konfiguration und Einrichtung von Windows-Instanzen finden Sie unter Windows-Arbeitslasten. Informationen zu Microsoft SQL-Instanzen finden Sie unter Best Practices für SQL Server.
Allgemeine Best Practices für Compute Engine
- Informieren Sie sich, welche Versionen von Windows Server unterstützt werden und welche sich am besten für Ihren Anwendungsfall eignen und welche Versionen bis zum Ende der Windows Server-Unterstützung in Google Cloud verfügbar sein werden. Weitere Informationen finden Sie in den häufig gestellten Fragen zum Lebenszyklus von Microsoft.
- Nichtflüchtigen Speicher zu einer Windows-VM hinzufügen.
- Aktivieren oder deaktivieren Sie die Windows Server-Betriebssystemfunktionen, die für die von Ihrer Organisation ausgeführten Dienste nicht erforderlich sind. Nicht verwendete Features verbrauchen Ressourcen, die Sie möglicherweise nicht verwenden.
- Starten Sie neue Instanzen mit der neuesten Image-Version, die von öffentlichen Google Cloud-Images bereitgestellt wird, wenn Sie die Pay-As-You-Go-Lizenz (PAYG) verwenden.
Sicherheit
- Wenn Sie Windows ausführen, sollten Sie eine Virenschutzsoftware verwenden. Malware und Softwareviren stellen eine beträchtliche Gefahr für jedes System in einem Netzwerk dar und Virenschutzsoftware ist eine einfache Maßnahme zur Schadensbegrenzung, die Sie zum Schutz Ihrer Daten einsetzen können. Microsoft informiert Sie über Antivirensoftware.
- Erfahren Sie, wie Sie neue lokale Nutzer erstellen und Administratorberechtigungen für lokale Konten erteilen/aufheben, um wichtige Anwendungen und Systemdateien einzuschränken.
- Wenn Sie Active Directory verwenden, verwenden Sie Nutzerzugriffssteuerung und Berechtigungen konfigurieren, um das Prinzip der geringsten Berechtigung für Nutzerberechtigungen innerhalb des Windows-Betriebssystems zu implementieren. Weitere Informationen finden Sie unter Best Practices für Active Directory.
Best Practices zum Sichern von Windows-VMs mit BitLocker
BitLocker bietet einen verbesserten Schutz für Ihr Windows-Betriebssystem und Ihre Datenlaufwerke. Die erhöhte Sicherheit birgt jedoch das zusätzliche Risiko, dass Sie versehentlich den Zugriff auf Ihre eigenen Daten verlieren. Sie sind dafür verantwortlich, dass Ihr Wiederherstellungsschlüssel gesichert wird. Verlassen Sie sich in einem Notfallwiederherstellungsszenario nicht ausschließlich auf das vTPM für nahtlose Starts. Sie sollten den BitLocker-Wiederherstellungsschlüssel immer extern speichern.
Damit Sie nicht den Zugriff auf Ihre Daten verlieren, sollten Sie diese Best Practices befolgen, um Ihre BitLocker-Wiederherstellungsschlüssel sicher zu speichern.
- Achten Sie darauf, dass Sie die BitLocker-Verschlüsselung erst starten, wenn der Wiederherstellungsschlüssel in Managed Service for Microsoft Active Directory gespeichert ist. Weitere Informationen finden Sie unter BitLocker-Escrow mit einem Gruppenrichtlinienobjekt (GPO) erzwingen.
- Stellen Sie Ihre Active Directory-Instanz in mehreren Regionen bereit, damit Sie auch bei einem regionalen Ausfall auf Ihre Wiederherstellungsschlüssel zugreifen können.
- Exportieren Sie Ihre Wiederherstellungsschlüssel regelmäßig an einen sicheren, versionierten Speicherort wie einen Cloud Storage-Bucket in einem anderen Projekt oder eine Secret Manager-Instanz.
- Bestimmte Vorgänge oder Änderungen an Shielded VM-Instanzen, z. B. das Ändern des vTPM oder das Neuerstellen einer Instanz aus einem Laufwerk, lösen den Wiederherstellungsmodus aus. Sobald sich die Instanz im Wiederherstellungsmodus befindet, können Sie erst wieder darauf zugreifen, wenn Sie den Wiederherstellungsschlüssel eingegeben haben. Daher müssen Sie immer eine externe Kopie des Wiederherstellungsschlüssels aufbewahren.
BitLocker-Escrow mit einem Gruppenrichtlinienobjekt (GPO) erzwingen
Damit Sie den Zugriff auf Ihre BitLocker-verschlüsselten Laufwerke nicht verlieren, konfigurieren Sie Ihre Instanzen so, dass die Verschlüsselung nur dann gestartet wird, wenn der Wiederherstellungsschlüssel sicher in Managed Service for Microsoft Active Directory gespeichert ist.
- Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole: Öffnen Sie auf Ihrem Domaincontroller oder Ihrer Verwaltungs-VM
gpmc.msc. - Erstellen Sie ein Gruppenrichtlinienobjekt: Erstellen Sie ein neues Gruppenrichtlinienobjekt, das mit der Organisationseinheit verknüpft ist, die Ihre Compute Engine-Windows-Instanzen enthält.
- BitLocker-Richtlinien öffnen: Klicken Sie auf Computerkonfiguration > Richtlinien.
- Klicken Sie auf Administrative Vorlagen.
- Klicken Sie auf Windows-Komponenten.
- Klicken Sie auf BitLocker-Datenträgerverschlüsselung.
- Klicken Sie auf Betriebssystemlaufwerke.
- Sicherungsanforderungen konfigurieren:
- Öffnen Sie Auswählen, wie durch BitLocker geschützte Betriebssystemlaufwerke wiederhergestellt werden können.
- Wählen Sie Aktiviert aus.
- Wählen Sie BitLocker erst dann aktivieren, wenn die Wiederherstellungsinformationen für Betriebssystemlaufwerke in Active Directory DS gespeichert wurden aus.
- Achten Sie darauf, dass BitLocker-Wiederherstellungsinformationen in AD DS speichern ausgewählt ist und sowohl Wiederherstellungspasswörter als auch Schlüsselpakete gespeichert werden.
- Wiederholen Sie diese Schritte für den Ordner Fixed Data Drives, um sekundäre Laufwerke zu schützen.
Ausführliche Informationen zum Konfigurieren von BitLocker finden Sie unter BitLocker konfigurieren.
Informationen zum Wiederherstellen einer Windows-VM, für die ein BitLocker-Wiederherstellungsschlüssel erforderlich ist, finden Sie unter Windows-VM wiederherstellen, für die ein BitLocker-Wiederherstellungsschlüssel erforderlich ist.
Sicherung und Wiederherstellung
- Prüfen Sie Ihre Sicherungs- und Wiederherstellungsstrategie regelmäßig.
- Aktivieren Sie reguläre Laufwerk-Snapshots, um bei einem VM-Fehler eine schnelle Wiederherstellung aus einer vorherigen Sicherung durchzuführen.
- Aktivieren Sie VSS-Snapshots nur auf Datenvolumen, die VSS-kompatibel sind. Vermeiden Sie das Erstellen von VSS-Snapshots auf dem Betriebssystemlaufwerk, da dieser VSS-Dienst dieses Laufwerk als schreibgeschützt markiert.
Patchverwaltung
- Prüfen Sie, ob Ihr Windows-Betriebssystem auf die neueste Version aktualisiert wurde und alle System- und Qualitätsupdates (auch als „kumulative Updates“ oder „kumulative Qualitätsupdates“ bezeichnet) installiert sind.
- Verwenden Sie das automatische Windows-Update auf Ihrer Instanz. Microsoft veröffentlicht mindestens jeden zweiten Dienstag jedes Monats Patches. Sie sollten eine Strategie zur Anwendung dieser Updates haben, um das System vor bekannten Programmfehlern und Sicherheitslücken zu schützen. Wenn keine automatischen Neustarts möglich sind, sollten Sie Patchjobs mit VM Manager erstellen, mit dem Updates geplant und die Instanzen zu einem geeigneten Zeitpunkt neu gestartet werden können.
Logging und Monitoring
- Aktivieren Sie virtuelle Anzeigen, um den aktuellen Status des Betriebssystems besser zu verstehen und die Console aufzurufen, falls Ihre Instanz nicht zugänglich ist.
- Wenn Ihre VM-Instanz angehalten wurde, sind die Logs der seriellen Konsole nicht mehr verfügbar. Damit diese Logs aufbewahrt werden, können Sie die Ausgabe des seriellen Ports an Cloud Logging streamen.. Verwenden Sie die gespeicherte Ausgabe, um Hilfe bei der Fehlerbehebung und Prüfung zu erhalten.
- Sie können den Ops-Agent so konfigurieren, dass die Logs, die in der Ereignisanzeige angezeigt werden, durch Streaming von Logs an Cloud Logging zentralisiert werden. Dies erleichtert den Abruf der Logs und sorgt für eine einheitliche Aufbewahrung. Dieser Schritt ist optional, wird aber empfohlen.
- Erwägen Sie die Installation des Ops-Agents zum Monitoring und zur Aufbewahrung der Monitoringdaten der Instanzleistung.
- Prüfen Sie das Streamen von Logs von Drittanbieteranwendungen.
Treiber, Agents und Funktionen von Google
- Wenn Sie Microsoft-Software verwenden, sind Sie für die Kenntnis und Einhaltung der Lizenzvereinbarungen mit Microsoft selbst verantwortlich. Informationen zu den Anforderungen und Optionen für die Lizenzierung finden Sie in der Dokumentation zu Microsoft-Lizenzen.
- Passen Sie die Gastumgebung an Ihre Windows-Update-Strategie an. Durch regelmäßiges Aktualisieren der Gastumgebung Ihrer Windows-Instanz wird sichergestellt, dass Sie die neueste und stabilste Version aller erforderlichen Google Cloud Agents und -Treiber ausführen.