Informationen zu Architektur und Workloadisolation von VCF as a Service
Ende der Vermarktung: Ab dem 31. Oktober 2025 sind neue Bereitstellungen von VMware Solutions Angeboten für neue Kunden nicht mehr verfügbar. Bestehende Kunden können ihre aktiven VMware® Workloads weiterhin auf IBM Cloud® nutzen und erweitern. Weitere Informationen finden Sie unter Ende der Vermarktung für VMware auf IBM Cloud.
Die Architektur von IBM Cloud for VMware Cloud Foundation as a Service basiert auf den folgenden logischen Einheiten, die pro unterstützter Cloud-Region erstellt werden.
- Verwaltungsdomäne - Hostet die IBM Betriebs-Tools und alle Single-Tenant-Kundenverwaltungstools mit Ausnahme der Netzwerk-Edges, die von den Kunden-Workloads verwendet werden.
- Kunden-Workload-Domäne - Hostet mandantenfähige und mandantenfähige IBM Cloud IaaS, Netzwerk-Edges und vom Kunden bereitgestellte Netzwerke und Workloads.
Die Architektur enthält Details zu den VMware Cloud Foundation (VCF) as a Service-Lösungskomponenten und verschiedenen Architekturebenen, um eine isolierte und private Implementierung für Kunden bereitzustellen. Die Architektur bietet anpassbare Bereitstellungsoptionen für Infrastruktur und VMware Cloud Director™ -basierte virtuelle Rechenzentrumsumgebungen.
Mit Single-Tenant- und Multi-Tenant-Cloud-Director-Instanzen und seinen virtuellen Rechenzentrumsinstanzen können Kunden VMware® by Broadcom-Workloads in die Cloud auf der IBM-gehosteten und verwalteten VMware by Broadcom-Infrastruktur migrieren oder bereitstellen. Kundenworkloads, die aus Netzkonfigurationen und VMs bestehen, werden in eine isolierte und virtualisierte Infrastruktur getrennt.
Architektur der VCF as a Service-Managementdomäne
Die Managementdomäne enthält die Komponenten für die Verwaltung der virtuellen Infrastruktur der Workloaddomänen in VCF as a Service. Die Managementdomäne bietet auch die Grundlage für die Implementierung von Lösungen für die Workloadbereitstellung und das Betriebsmanagement.
Die Managementdomäne besteht aus Tools zur Unterstützung der virtuellen Infrastruktur, der Cloudoperationen, der Cloudautomatisierung, der Business-Continuity und der Sicherheits-und Compliance-Komponenten für VCF as a Service. VCF as a Service ordnet separate Workloaddomänen pro Kundeninstanz für den Single-Tenant-Service zu und verwendet die Organisationsisolation von Cloud Director für Multi-Tenant-Kunden innerhalb einer einzelnen Workloaddomäne. Jede Workload-Domäne wird von einer separaten vCenter Server-Instanz und einem dedizierten NSX-T™ Manager-Cluster verwaltet, um Skalierbarkeit zu gewährleisten. Die Komponenten vCenter Server und VMware NSX-T Manager für diese Workload-Domänen werden in der Verwaltungsdomäne ausgeführt.
Die Managementdomäne führt alle Managementkomponenten im VCF as a Service-Angebot sowohl für die Managementdomäne als auch für Workloaddomänen aus, mit Ausnahme von NSX-T-Edge-Workloadknoten. VCF as a Service beginnt mit einer ersten Managementdomänenkonfiguration, die mit jeder Workloaddomänenimplementierung erweitert wird.
Architektur der VCF as a Service-Workloaddomäne
Eine Workloaddomäne stellt eine logische Einheit dar, die VMware ESXi™ -Hosts gruppiert, die von vCenter Server, NSX-T und VMware Cloud Director verwaltet werden und einer Workloaddomäneninstanz zugeordnet sind. Workloaddomänen sind in den Grenzen einer IBM Cloud-Region vorhanden.
Die folgenden Typen von Workloaddomänen sind vorhanden:
- Single-Tenant-Workload-Domäne, die vollständig für ein einziges IBM Cloud Kundenkonto bestimmt ist. Die Infrastruktur-und Managementkomponenten sind beide vollständig dediziert.
- Multi-Tenant-Workloaddomäne, die aus Infrastruktur-und Managementkomponenten besteht, die von vielen Kunden verwendet werden. Die Umgebung jedes Kunden VMware by Broadcom ist durch Cloud Director-Organisationen vollständig isoliert.
Jede Workloaddomäne enthält die folgenden Komponenten, die in der Managementdomäne installiert sind:
- NSX-T-Segment zum Isolieren der Managementkomponenten
- Eine VMware vCenter Server®-Instanz
- Eine NSX-T-Rechenzentrumsinstanz
- Eine VMware Cloud Director-Instanz
Durch die Auslagerung der Managementkomponenten der Workloadinstanz des Kunden in die Managementdomäne werden IaaS-Ressourcen in der Workloaddomäne für die Ausführung von Kundenworkloads verfügbar.
Die folgenden Komponenten werden in der Workloaddomäne installiert:
- Mindestens ein VMware vSphere® Cluster mit vSphere HA mit mandantenfähigen ESXi Bare Metal Servern, Netzwerken und gemeinsamem Speicher
- Optional ein NSX-T-Edge-Cluster, der die Workloads in der Domäne für logisches Switching, logisches dynamisches Routing und Lastausgleich verbindet
Die Kundenworkloaddomäne ist für die Verwendung durch Kundenworkloads reserviert, mit Ausnahme von NSX-T-Edge-Clustern, die für Nord-Süd-Netzverkehr verwendet werden.
VCF as a Service-Workloadisolation und -datenschutz
VCF as a Service verwendet vertrauenswürdige Zonen. Trust-Zonen sind eine logische Gruppierung von bekannten, gesteuerten und vertrauenswürdigen Komponenten. Schutzgrenzen werden zwischen vertrauenswürdigen Zonen festgelegt, wie in der folgenden Tabelle beschrieben.
| Name | Beschreibung | Begrenzung |
|---|---|---|
| Managementebene | VCF as a Service Betriebsmanagementkomponenten | Managementebenenressourcen sind in IBM Cloud klassischen IaaS-Regionen vorhanden. Betriebsschnittstellen, die für den Zugriff auf die Managementdomäne verwendet werden, werden durch Firewalls der Netzbetriebsappliance und die Verwendung von Bastionshosts durch das Operationsteam geschützt. Die Konnektivität der Managementkomponente zur Workloadebene erfolgt über Netzeinheiten. Die öffentliche Konnektivität zu allen öffentlichen Serviceschnittstellen des Kunden wird durch die Akamai-Sicherheit geschützt. Kunden greifen auf VMware Cloud Director und zugehörige Serviceportale über die Webbenutzerschnittstelle über die Akamai-Sicherheitsschicht aus dem öffentlichen Netz zu. Diese Schnittstellen sind eingeschränkt und ermöglichen es Kunden nicht, weiter durch das Managementebenennetz zu gelangen. |
| Workloadebene | VMware Cloud Director Virtuelle Rechenzentren bestehend aus vApps, virtuellen Maschinen (VM) und virtuellen Netzwerken | Betriebsmanagementschnittstellen in die Workloadebene werden durch Firewalls und Bastionshosts der Netzbetriebsappliance geschützt. Kundenworkloads können von VMware Cloud Director nur an eingeschränkte, separate virtualisierte NSX-T-Netze angehängt werden, die als Overlays im klassischen IaaS-Netz ausgeführt werden. Daher haben die VMs des Kunden keinen umfassenden Zugriff auf die Management-und Speichernetze der Workloadebene. Der Kundennetzzugriff wird durch NSX-T-Edge-Appliances eingeschränkt. Die Anbindung der Kunden-Workloads an den öffentlichen Bereich erfolgt über NSX-T-Edge-Router, die vom Kunden über eine eingeschränkte VMware Cloud Director-Schnittstelle verwaltet werden. Die Konnektivität der Kundenworkload zum privaten Server erfolgt über von IBMverwaltete NSX-T-Edge-Router, die so konfiguriert sind, dass die Konnektivität auf bekannte private IBM Cloud-Services beschränkt wird. |
Datenschutz
Clientmetadaten werden den VCF as a Service-Instanzen zugeordnet, die der Client erstellt. Wenn die Instanz vom Client gelöscht wird, werden die Metadaten in der Datenbank verwaltet, in der der Instanzstatus auf Deleted gesetzt
ist. Clientmetadaten werden in der Datenbank verwaltet, es sei denn, der Kunde fordert das Entfernen der Daten über ein IBM Support-Ticket an.
Clientmetadaten werden in IBM Cloud-Datenbanken (ICD) gespeichert, die alle Daten während der Übertragung und im Ruhezustand verschlüsseln.
Die Anmeldeinformationen, die für den Zugriff auf das Underlay IaaS und VMware von Broadcom-Komponenten verwendet werden, sind ebenfalls in der Datenbank gespeichert. Sie werden mit einer zweiten Schicht der Envelope-Verschlüsselung zusätzlich zur DB-Verschlüsselung gespeichert, indem IBM Cloud Key Protect-Rootschlüssel mit eingeschlossenem Datenverschlüsselungsschlüssel (DEK) verwendet wird. Der nicht eingeschlossene DEK soll die endgültigen Daten verschlüsseln und entschlüsseln.
Die Envelope-Verschlüsselung verwendet eine eindeutige Key Protect-Instanz pro Region mit eindeutigem Rootschlüssel und DEK pro Mikroservice in der VCF as a Service-Lösung für alle Kundeninstanzen.
Daten-und Datenschutz für kundeneigene Daten
Clienteigene Daten werden nur auf der Datenebene der Workloaddomäneninstanz in kundenisolierten Datenspeichern gehostet.
Ruhende Daten werden entweder im NAS oder auf dedizierten Platten gespeichert, die verwalteten Bare-Metal-Servern zugeordnet sind. IBM stellt Speicherrichtlinien für diese Datenspeicher bereit, die vSphere-Verschlüsselung bieten, und Kunden können diese Richtlinien auf ihre Workloads anwenden, sodass VMs durch vSphere-Verschlüsselung geschützt werden.
Die Verwendung der vSphere-Verschlüsselung wird nicht von IBM umgesetzt, da sie nicht in jeder Instanz wünschenswert ist. Für jede Kundenimplementierung gibt es eindeutige Szenarien, und es ist eine vom Kunden auswählbare Option, um die Plattenverschlüsselung für Workloads zu aktivieren.
VMs, die durch vSphere-Verschlüsselung verschlüsselt werden, sind durch eine IBM-eigene Key Protect-Instanz mit eindeutiger Key Protect-Instanz, eindeutigem Rootschlüssel und eindeutigem Datenverschlüsselungsschlüssel pro Workloaddomäneninstanz geschützt. Darüber hinaus werden Kundensicherungen in einem separaten Speicher gespeichert, der durch Veeam ® -Verschlüsselung geschützt wird, wodurch automatisch Schlüssel für jeden Tenant oder Sicherungsjob generiert werden.
Es gibt mehrere mögliche Instanzen von Kundendaten, die bewegt werden. Kundennetzdaten fließen über virtualisierte NSX-T-Overlay-Netzsegmente und werden für den Kunden isoliert. Der virtualisierte NSX-T-Overlay-Netzbetrieb bietet keine interne Verschlüsselung. Für die Datenvertraulichkeit müssen Sie ein Netzverschlüsselungsverfahren wie IPsec, SSL oder SSH verwenden. Kundenplattendatenverkehr während der Übertragung ist geschützt, wenn Kunden die vSphere-Verschlüsselung verwenden. Der vMotion-Kundendatenverkehr während der Übertragung wird durch die vMotion-Verschlüsselung geschützt.
Kundeneigene Daten umfassen die folgenden Elemente:
- VMs
- Sicherungen
- Bewegte Daten in IBM Cloud-Netzen und SDN-Netzen
- Kundenkonfigurationen, die in der Lösung verwendet werden, z. B. Verbindungen zu lokalen Systemen und Benutzerauthentifizierung in der Lösung
In allen Fällen müssen Daten ausfallsicher sein, um die Kontinuität der Lösung und die Wiederherstellung nach einem Katastrophenfall zu unterstützen.