Crittografia VMware vSAN

La crittografia VMware vSAN è applicabile solo ai datastore vSAN. Con questa soluzione, VMware vCenter e gli host ESXi™ VMware si collegano a un server di gestione delle chiavi come KMIP per VMware per ottenere le chiavi di crittografia. Queste chiavi vengono utilizzate per proteggere le singole unità disco utilizzate per il datastore vSAN, compresi i dischi di cache e di capacità. La crittografia di vSAN è implementata in modo da preservare i vantaggi della deduplicazione e della compressione di vSAN, se si sceglie questa opzione quando si ordina una nuova istanza o si aggiunge un cluster.

Poiché la crittografia vSAN funziona al livello del datastore, il suo obiettivo principale è di evitare l'esposizione dei dati se si verifica una perdita delle unità disco fisiche. Inoltre, la crittografia vSAN è pienamente compatibile con tutte le tecnologie di backup e replica delle macchine virtuali ( VM ), come vSphere replication, cross-vCenter vMotion, VMware HCX™, Software HPE Zerto e Veeam®.

Crittografia vSphere

vSphere la crittografia si applica a tutti i tipi di archiviazione VMware, compresa l'archiviazione vSAN e l'archiviazione di file e blocchi IBM Cloud Endurance.

Con questa soluzione, il vCenter Server e i tuoi host ESXi si connettono a un server di gestione delle chiavi come ad esempio KMIP for VMware per ottenere delle chiavi di codifica. Queste chiavi vengono utilizzate per proteggere i singoli dischi VM, in base alle politiche di archiviazione di VM.

vSphere la crittografia opera a livello del disco VM e quindi può impedire l'esposizione dei dati in caso di perdita delle unità disco fisiche o di perdita dei dischi VM. Alcune tecnologie di backup e replica non possono eseguire il backup o la replica in modo efficace perché i dati forniti sono criptati.

vSphere La crittografia non è compatibile con VMware HCX o Software HPE Zerto. vSphere La crittografia è compatibile con cross-vCentervMotion e con vSphere la replica quando si utilizza vSphere 7 o versioni successive. Quando configurata correttamente, Veeam Backup and Replication è compatibile con la codifica vSphere.

Ulteriori considerazioni

Quando uno dei due tipi di crittografia è abilitato nel cluster vSphere, VMware crea una chiave aggiuntiva per crittografare i dump del core ESXi. Questi core dump potrebbero contenere dati sensibili come credenziali di gestione delle chiavi, chiavi di crittografia o dati decifrati. Per ulteriori informazioni, vedere vSphere VM crittografia e core dump.

Quando KMIP for VMware viene utilizzato con la crittografia vSAN o vSphere, sono presenti diversi livelli di protezione della chiave.

Se intendi ruotare le chiavi, rivedi le seguenti informazioni sui livelli a cui possono essere ruotate le chiavi:

• Livello 1 - La chiave radice del cliente (CRK) protegge tutte le chiavi VMware. Queste chiavi possono essere ruotate nell'istanza IBM Key Protect o Hyper Protect Crypto Services associata alla propria istanza KMIP per VMware. Quando queste chiavi vengono ruotate nell'istanza IBM Key Protect, KMIP per VMware gestisce automaticamente il nuovo CRK e non è necessaria alcuna operazione in VMware o vCenter Server.
• Livello 2 - KMIP per VMware utilizza il vostro CRK per proteggere le chiavi che genera e distribuisce a VMware. VMware considera queste chiavi come chiavi di cifratura (KEK). La rotazione del KEK è relativamente veloce. VMware si rivolge a KMIP per ottenere una nuova chiave, prende i DEK crittografati dalla chiave originale e li avvolge in questa nuova chiave, quindi memorizza i DEK crittografati aggiornati.
  • Se si utilizza la crittografia vSphere, è possibile ruotare le KEK utilizzando il comando Set-VMEncryptionKey PowerShell comando.
  • Se si utilizza la crittografia vSAN, è possibile ruotare le KEK utilizzando l'interfaccia utente vSAN.
• Livello 3 - VMware utilizza questi KEK per proteggere le chiavi effettive utilizzate per crittografare le unità disco e i dischi VM. Puoi ruotare queste chiavi utilizzando una cosa nota a VMware come una reimpostazione delle chiavi "approfondita". Questa operazione riesegue la crittografia di tutti tuoi dati crittografati per cui può richiedere molto tempo.
  • Se stai utilizzando la crittografia vSphere, puoi eseguire una reimpostazione delle chiavi approfondita utilizzando il comando Set-VMEncryptionKey PowerShell.
  • Se stai utilizzando la crittografia vSAN, puoi eseguire una reimpostazione delle chiavi approfondita utilizzando l'interfaccia utente vSAN.

Chiavi all'interno di chiavi

I sistemi di gestione delle chiavi normalmente utilizzano una tecnica nota come crittografia envelope per impacchettare o proteggere le chiavi con altre chiavi. Queste chiavi sono denominate chiavi root o chiave di codifica delle chiavi (KEK). Per accedere a una chiave, devi decrittografare o spacchettare la chiave utilizzando la chiave root corrispondente. La distruzione della chiave principale è un modo efficace per invalidare tutte le chiavi precedentemente protette. Non è necessario che queste chiavi siano memorizzate vicino alla chiave principale. Il controllo dell'accesso alla chiave root è importante.

IBM Cloud Key Protect e Hyper Protect Crypto Services forniscono questo servizio utilizzando una chiave root del cliente (CRK). Key Protect archivia le CRK esclusivamente nell'hardware IBM Cloud CloudHSM da cui non possono essere estratte; Hyper Protect Crypto Services archivia le chiavi in HSM di IBM zSeries. Queste CRK vengono poi utilizzate per impacchettare ulteriori chiavi di crittografia come ad esempio quelle generate da KMIP for VMware per la tua istanza VMware.

VMware implementa questo stesso concetto per le proprie chiavi. KMIP per VMware fornisce una chiave a VMware su richiesta. A sua volta, VMware utilizza questa chiave come KEK per avvolgere o criptare le chiavi finali utilizzate per criptare le unità disco vSAN o i dischi VM. Queste chiavi finali sono chiamate chiavi di crittografia dei dati (DEK).

Si ottiene così la seguente catena di crittografia:

• La chiave radice del cliente (CRK) è memorizzata in modo permanente in IBM Key Protect o Hyper Protect Crypto Services.
• La chiave di crittografia (KEK) viene generata da KMIP per VMware e fornita a vCenter Server e agli host ESXi dell'istanza.
• La chiave di crittografia dei dati (DEK) viene generata da VMware e memorizzata accanto al disco vSAN o al disco VM.

KMIP for VMware archivia il formato impacchettato delle KEK in IBM Key Protect o Hyper Protect Crypto Services. Le KEK sono protette crittograficamente dal CRK e non devono essere memorizzate in un HSM. Tuttavia, poiché sono memorizzate nel servizio di gestione delle chiavi, sono visibili all'utente e possono essere eliminate se è necessario revocare le singole chiavi.

Autenticazione ed autorizzazione

La tua soluzione di codifica dell'archiviazione è formata da tre componenti: il tuo cluster VMware, la tua istanza KMIP for VMware e la tua istanza Key Protect o Hyper Protect Crypto Services.

VMware vCenter e ESXi eseguono l'autenticazione con la tua istanza KMIP for VMware utilizzando i certificati che installi o generi in VMware vCenter quando crei una connessione del server di gestione delle chiavi (KMS). Il certificato pubblico viene installato in KMIP per VMware per identificare i client vCenter autorizzati a connettersi. Ogni client viene autorizzato per tutte le chiavi archiviate in tale istanza KMIP for VMware.

L'istanza KMIP per VMware è autorizzata all'istanza Key Protect o Hyper Protect Crypto Services utilizzando IBM Cloud Identity and Access Management (IAM).

Quando KMIP per VMware è associato a un'istanza Key Protect, questa autorizzazione avviene utilizzando un ID di servizio che ha accesso all'istanza. L'ID del servizio deve avere almeno l'accesso alla piattaforma Viewer e l'accesso al servizio Manager per l'istanza del key manager. KMIP per VMware utilizza la chiave root del cliente (CRK) di vostra scelta nell'istanza del gestore di chiavi. Inoltre, memorizza tutti i KEK generati per conto di VMware, in forma impacchettata, nell'istanza del gestore di chiavi.

Quando KMIP per VMware è associato a un'istanza di Hyper Protect Crypto Services (HPCS), utilizza un'autorizzazione di servizio concessa dall'utente nell'ambito dell'autorizzazione IAM del proprio account. È necessario assegnare all'istanza KMIP for VMware sia il ruolo di piattaforma Viewer sia il ruolo di servizio VMware KMIP Manager per l'istanza HPCS.

Architettura e topologia

In tutti i casi, il server VMware vCenter accede a KMIP per VMware attraverso la rete privata IBM Cloud. Per accedere a KMIP per VMware sulla rete privata, l'account dell'infrastruttura IBM Cloud deve essere abilitato per il routing e l'inoltro virtuale (VRF). Inoltre, le rotte degli endpoint del servizio di rete IBM Cloud devono essere aggiunte alle rotte VRF dell'account. Per ulteriori informazioni, vedi Abilitazione degli endpoint del servizio.

L'architettura e la topologia differiscono a seconda che KMIP per VMware utilizzi Key Protect o Hyper Protect Crypto Services per la gestione delle chiavi.