Informazioni sull'architettura VCF as a Service e sull'isolamento del carico di lavoro
Fine della commercializzazione: A partire dal 31 ottobre 2025, le nuove implementazioni delle offerte VMware Solutions non saranno più disponibili per i nuovi clienti. I clienti esistenti possono ancora utilizzare ed espandere i loro carichi di lavoro attivi su VMware® su IBM Cloud®. Per ulteriori informazioni, vedere Fine della commercializzazione per VMware su IBM Cloud.
L'architettura di IBM Cloud for VMware Cloud Foundation as a Service si basa sulle seguenti entità logiche, create per ogni regione cloud supportata.
- Dominio di gestione - Ospita gli strumenti operativi di IBM e tutti gli strumenti di gestione dei clienti single-tenant, ad eccezione dei bordi di rete utilizzati dai carichi di lavoro dei clienti.
- Dominio del carico di lavoro del cliente - Ospita carichi di lavoro single-tenant e multitenant IBM Cloud IaaS, bordi di rete, rete e carichi di lavoro distribuiti dal cliente.
L'architettura descrive nei dettagli i componenti della soluzione VMware Cloud Foundation (VCF) as a Service e i diversi livelli di architettura per fornire ai clienti un'implementazione privata e isolata. L'architettura fornisce scelte di distribuzione personalizzabili dell'infrastruttura e degli ambienti di data center virtuali basati su VMware Cloud Director™ .
Con le istanze Cloud Director single-tenant e multitenant e le sue istanze di virtual data center, i clienti possono migrare o implementare i carichi di lavoro di VMware® by Broadcom nel cloud sull'infrastruttura IBM- ospitata e gestita da VMware by Broadcom. I carichi di lavoro dei clienti che consistono in configurazioni di rete e VM sono separati in un'infrastruttura isolata e virtuale.
Architettura del dominio di gestione VCF as a Service
Il dominio di gestione contiene i componenti per la gestione dell'infrastruttura virtuale dei domini del carico di lavoro in VCF as a Service. Il dominio di gestione fornisce anche la base per la distribuzione di soluzioni per il provisioning del workload e la gestione delle operazioni.
Il dominio di gestione consiste in strumenti per supportare l'infrastruttura virtuale, le operazioni cloud, l'automazione cloud, la business continuity e i componenti di sicurezza e conformità per VCF as a Service. VCF as a Service assegna domini di carico di lavoro separati per istanza del cliente per il servizio a singolo tenant e utilizza l'isolamento organizzativo di Cloud Director per i clienti multitenant all'interno di un singolo dominio del carico di lavoro. Ogni dominio di carico di lavoro è gestito da un'istanza separata di vCenter Server e da un cluster NSX-T™ Manager dedicato per garantire la scalabilità. I componenti vCenter Server e VMware NSX-T Manager per questi domini di carico di lavoro vengono eseguiti nel dominio di gestione.
Il dominio di gestione esegue tutti i componenti di gestione nell'offerta VCF as a Service sia per il dominio di gestione che per i domini del carico di lavoro, tranne per i nodi edge NSX-T del carico di lavoro. VCF as a Service inizia con una configurazione del dominio di gestione iniziale che viene estesa con ogni distribuzione del dominio del carico di lavoro.
Architettura del dominio del carico di lavoro VCF as a Service
Un dominio del carico di lavoro rappresenta un'unità logica che raggruppa host VMware ESXi™ gestiti da vCenter Server, NSX-T e VMware Cloud Director dedicati a un'istanza del dominio del carico di lavoro. I domini del carico di lavoro esistono nei limiti di una regione IBM Cloud.
Esistono i seguenti tipi di domini del carico di lavoro:
- Dominio di carico di lavoro single-tenant, completamente dedicato a un singolo account cliente IBM Cloud. I componenti dell'infrastruttura e della gestione sono entrambi completamente dedicati.
- Dominio del carico di lavoro multitenant, costituito da componenti di infrastruttura e di gestione utilizzati da molti clienti. Ogni ambiente dei clienti VMware by Broadcom è completamente isolato attraverso le organizzazioni di Cloud Director.
Ogni dominio del carico di lavoro contiene i seguenti componenti installati nel dominio di gestione:
- Segmento NSX - T per isolare i componenti di gestione
- Un'istanza di VMware vCenter Server®
- Un'istanza del data center NSX-T
- Un'istanza VMware Cloud Director
Lo scaricamento dei componenti di gestione dell'istanza del carico di lavoro del cliente nel dominio di gestione rende disponibili le risorse IaaS nel dominio del carico di lavoro per l'esecuzione dei carichi di lavoro del cliente.
I seguenti componenti sono installati nel dominio del carico di lavoro:
- Almeno un cluster VMware vSphere® con vSphere HA con server ESXi bare metal single-tenant, networking e storage condiviso
- Facoltativamente, un cluster edge NSX-T che connette i carichi di lavoro nel dominio per la commutazione logica, l'instradamento dinamico logico e il bilanciamento del carico
Il dominio del carico di lavoro del cliente è riservato per l'utilizzo da parte dei carichi di lavoro del cliente ad eccezione dei cluster edge NSX-T utilizzati per il traffico di rete Nord - Sud.
Isolamento del carico di lavoro VCF as a Service e protezione dei dati
VCF as a Service utilizza le zone attendibili. Le zone sicure sono un raggruppamento logico di componenti noti, controllati e attendibili. I limiti di protezione sono stabiliti tra le zone trust come descritto nella seguente tabella.
| Nome | Descrizione | Limite |
|---|---|---|
| Piano di gestione | Componenti di gestione operativa VCF as a Service | Le risorse del piano di gestione esistono nelle regioni IBM Cloud classiche IaaS. Le interfacce operative utilizzate per accedere al dominio di gestione sono protette dai firewall del dispositivo di rete e dall'utilizzo degli host bastion da parte del team operativo. La connettività del componente di gestione al piano del carico di lavoro avviene tramite le applicazioni di rete. La connettività pubblica a tutte le interfacce del servizio pubblico del cliente è protetta tramite la protezione Akamai. I clienti accedono a VMware Cloud Director e ai portali di servizio associati utilizzando l'IU web attraverso il livello di sicurezza Akamai dalla rete pubblica. Queste interfacce sono limitate e non consentono ai clienti di transitare ulteriormente attraverso la rete del piano di gestione. |
| Piano del carico di lavoro | VMware Cloud Director Virtual Data Center composto da vApps, macchine virtuali (VM) e reti virtuali | Le interfacce di gestione delle operazioni nel piano del carico di lavoro sono protette da firewall del dispositivo di rete e host bastion. I carichi di lavoro del cliente sono consentiti da VMware Cloud Director per il collegamento solo a reti virtualizzate NSX-T separate e limitate in esecuzione come sovrapposizioni sulla rete IaaS classica. Pertanto, le macchine virtuali del cliente non hanno un ampio accesso alle reti di gestione e archiviazione del piano del carico di lavoro. L'accesso alla rete del cliente è limitato dai dispositivi edge NSX-T. La connettività del carico di lavoro del cliente al pubblico avviene tramite router edge NSX-T gestiti dal cliente attraverso un'interfaccia riservata VMware Cloud Director. La connettività del carico di lavoro del cliente al privato avviene tramite i router edge NSX-T gestiti da IBMconfigurati per limitare la connettività ai noti servizi privati IBM Cloud. |
Protezione dei dati
I metadati del cliente sono associati alle istanze VCF as a Service create dal client. Quando l'istanza viene eliminata dal client, i metadati vengono conservati nel database in cui lo stato dell'istanza è impostato su Deleted.
I metadati client vengono conservati nel database a meno che il client non richieda la rimozione dei dati tramite un ticket di supporto IBM.
I metadati client sono archiviati nei database IBM Cloud (ICD) che crittografano tutti i dati sia in transito che inattivi.
Anche le credenziali utilizzate per accedere all'underlay IaaS e VMware dai componenti Broadcom sono memorizzate nel database. Vengono archiviati con un secondo livello di crittografia envelope in aggiunta alla crittografia DB utilizzando IBM Cloud Key Protect Chiave root con DEK (Data Encryption Key) impacchettato. La DEK non impacchettata deve codificare e decodificare i dati finali.
La crittografia envelope utilizza un'istanza Key Protect univoca per regione con chiave root univoca e DEK per microservizio nella soluzione VCF as a Service in tutte le istanze del cliente.
Dati e protezione dei dati per i dati di proprietà del client
I dati di proprietà del client si trovano solo nel piano dei dati dell'istanza del dominio del carico di lavoro su archivi dati isolati dal cliente.
I dati inattivi vengono archiviati sull'archiviazione collegata alla rete o su dischi dedicati associati ai server bare metal gestiti. IBM fornisce le politiche di archiviazione per questi archivi dati che offrono la crittografia vSphere e i clienti possono scegliere di applicare queste politiche ai loro carichi di lavoro in modo che le VM siano protette dalla crittografia vSphere.
La crittografia vSphere non viene applicata da IBM perché non è desiderabile in ogni istanza. Esistono scenari univoci per ogni distribuzione del cliente ed è un'opzione selezionabile dal cliente per abilitare la crittografia del disco per i carichi di lavoro.
Le VM crittografate dalla crittografia vSphere sono protette dall'istanza Key Protect di proprietà di IBMcon l'istanza Key Protect univoca, la chiave root univoca e la chiave di crittografia dei dati univoca per istanza del dominio del carico di lavoro. Inoltre, i backup dei clienti vengono archiviati in un'archiviazione separata protetta dalla crittografia Veeam ®, che genera automaticamente le chiavi per ogni tenant o lavoro di backup.
Esistono diverse possibili istanze dei dati del cliente in movimento. I dati di rete del cliente fluiscono su segmenti di rete di sovrapposizione virtualizzati NSX-T ed è isolato per il cliente. La rete di sovrapposizione virtualizzata NSX-T non fornisce la crittografia intrinseca, per la riservatezza dei dati, devi utilizzare una tecnica di crittografia di rete come IPsec, SSL o SSH. Il traffico del disco del cliente in volo è protetto se i clienti utilizzano la crittografia vSphere. Il traffico in volo del cliente vMotion è protetto dalla crittografia vMotion.
I dati di proprietà del client includono i seguenti elementi:
- VM
- Backup
- Data - in - motion sulle reti IBM Cloud e sulle reti SDN
- Le configurazioni del cliente utilizzate nella soluzione, ad esempio le connessioni in loco e l'autenticazione utente nella soluzione
In tutti i casi, i dati devono essere resilienti per supportare la continuità della soluzione e il recupero in caso di emergenza.