VMware vSAN 暗号化

VMware vSAN 暗号化は、vSAN データ・ストアにのみ適用できます。 このソリューションでは、 VMware vCenter と VMware ESXi™ ホストが、KMIP for VMware などの鍵管理サーバーに接続して暗号鍵を取得します。 これらの鍵は、vSAN データ・ストアに使用される個々のディスク・ドライブ (キャッシュ・ディスクと容量ディスクの両方を含む) を保護するために使用されます。新規インスタンスの注文時またはクラスターの追加時にこのオプションを選択した場合、vSAN 暗号化は、vSAN の重複排除と圧縮の利点を保持する方法で実装されます。

vSAN 暗号化はデータ・ストアのレベルで行われるので、主な目的は、物理ディスク・ドライブが失われた場合のデータ漏えいを防ぐことです。 また、 vSAN 暗号化は、 vSphere レプリケーション、 cross-vCenter vMotion, VMware HCX™、 HPE Zerto Software および Veeam® など、すべての仮想マシン ( VM ) バックアップおよびレプリケーション技術と完全に互換性があります。

vSphere 暗号化

vSphere 暗号化は、vSAN ストレージ、IBM Cloud エンデュランスのファイル・ストレージ、ブロック・ストレージなど、すべてのタイプの VMware ストレージに適用されます。

このソリューションでは、vCenter Server と ESXi ホストが、KMIP for VMware などの鍵管理サーバーに接続して暗号鍵を取得します。 それらの鍵を使用して、個々の VM ディスクを VM ストレージ・ポリシーに従って保護します。

vSphere 暗号化は VM ディスクのレベルで行われるので、物理ディスク・ドライブと VM ディスクのどちらが失われた場合でもデータ漏えいを防ぐことができます。 バックアップやレプリケーションのテクノロジーによっては、提供されたデータが暗号化されているためにバックアップやレプリケーションを効果的に実行できないものがあります。

vSphere 暗号化は HCX または VMware と互換性が HPE Zerto Software ありません。 vSphere 暗号化は と互換性があり vMotioncross-vCenter、7 以降 vSphere を使用する場合、 vSphere レプリケーションとも互換性があります。 Veeam Backup and Replication も、適切に構成されていれば、vSphere 暗号化と互換性があります。

その他の考慮事項

vSphere クラスターでどちらかのタイプの暗号化を有効にすると、VMware は、ESXi コア・ダンプを暗号化するための追加の鍵を作成します。 これらのコア・ダンプには、鍵管理の資格情報、暗号鍵、復号データなどの機密データが含まれる可能性があります。 詳しくは、 vSphere VM 暗号化とコアダンプを参照。

vSAN 暗号化または vSphere 暗号化に KMIP for VMware を使用する場合は、複数の鍵保護層が存在します。

鍵をローテーションする場合は、鍵をローテーションできるレベルに関する以下の情報を確認してください。

• レベル 1 - すべての VMware 鍵はカスタマー・ルート鍵 (CRK) によって保護されます。 これらの鍵のローテーションは、KMIP for VMware インスタンスに関連付けられている IBM Key Protect インスタンスまたは Hyper Protect Crypto Services インスタンスで行えます。 これらの鍵を IBM Key Protect インスタンスでローテーションする場合は、KMIP for VMware が新しい CRK を自動的に処理するので、VMware や vCenter Server で操作を行う必要はありません。
• レベル 2 - KMIP for VMware は、生成して VMware に配布する鍵を、CRK を使用して保護します。 VMware では、このような鍵を鍵暗号化鍵 (KEK) と見なします。 KEK のローテーションは比較的高速です。 VMware は KMIP にアクセスして新しい鍵を取得し、元の鍵で暗号化した DEK を取り出してその新しい鍵でラップしてから、暗号化した更新版 DEK を保管します。
  • vSphere 暗号化を使用する場合は、PowerShell コマンド Set-VMEncryptionKey を使用して KEK をローテーションできます。
  • vSAN 暗号化を使用する場合は、vSAN ユーザー・インターフェースを使用して KEK をローテーションできます。
• レベル 3 - VMware は、それらの KEK を使用して、ディスク・ドライブや VM ディスクの暗号化に使用する実際の鍵を保護します。 これらの鍵をローテーションするには、VMware で「深い」鍵更新と呼ばれる操作を使用します。 この操作は、すべての暗号化データを暗号化し直すので、長時間かかることがあります。
  • vSphere 暗号化を使用する場合は、PowerShell コマンド Set-VMEncryptionKey を使用して深い鍵更新を実行できます。
  • vSAN 暗号化を使用する場合は、vSAN ユーザー・インターフェースを使用して深い鍵更新を実行できます。

鍵の中の鍵

鍵管理システムは、一般的に、エンベロープ暗号化として知られる手法を使用して、鍵を他の鍵でラップまたは保護します。 これらの鍵は、ルート鍵 または 鍵暗号鍵 (KEK) と呼ばれます。 鍵を利用するときには、その鍵に対応するルート鍵を使用して、鍵を復号またはアンラップします。 ルート鍵を破棄すれば、それまでに保護されていたすべての鍵を効率的に無効化できます。 それらの鍵を、ルート鍵の近くに保管する必要はありません。 ルート鍵へのアクセスの制御が重要になります。

IBM Cloud Key Protect および Hyper Protect Crypto Services は、カスタマー・ルート鍵 (CRK) を使用して、このようなサービスを提供するものです。 Key Protect では、鍵の取り出しが不可能な IBM Cloud CloudHSM ハードウェアの中に CRK を排他的に保管します。Hyper Protect Crypto Services では IBM zSeries HSM に保管します。 保管されたそれらの CRK が、KMIP for VMware で VMware インスタンス用に生成された暗号鍵などの他の暗号鍵をラップするために使用されます。

VMware の鍵にも、この同じ概念が実装されています。 KMIP for VMware は、要求に応じて VMware に鍵を提供します。 すると、VMware はその鍵を KEK として使用して、vSAN ディスク・ドライブまたは VM ディスクの暗号化に最終的に使用される鍵をラップまたは暗号化します。 これらの最終的な鍵をデータ暗号化鍵 (DEK) と呼びます。

つまり、次の暗号化チェーンになります。

• お客様 （CRK）は、 IBM Key Protect または Hyper Protect Crypto Services に永続的に保存される。
• 鍵暗号化キー（KEK）は、KMIP for VMware によって生成され、 vCenter Server およびインスタンス内の ESXi ホストに提供されます。
• データ暗号化キー（DEK）は、 VMware によって生成され、 vSAN ディスクまたは VM ディスクと一緒に保存される。

KMIP for VMware は、ラップされた形式の KEK を IBM Key Protect または Hyper Protect Crypto Services 内部に保管します。 KEK は CRK によって暗号手法で保護されるので、HSM 内部に保管する必要はありません。 それでも、KEK が鍵管理サービスに保管されることで、KEK が可視化されるので、個々の鍵を失効させる必要が生じた場合に削除することが可能です。

認証と許可

ストレージ暗号化ソリューションは、VMware クラスター、KMIP for VMware インスタンス、Key Protect インスタンスまたは Hyper Protect Crypto Services インスタンスという 3 つのコンポーネントで構成されています。

VMware vCenter と ESXi が KMIP for VMware インスタンスから認証を受けるときには、鍵管理サーバー (KMS) 接続の作成時に VMware vCenter にインストールした証明書または VMware vCenter で生成した証明書が使用されます。 KMIP for VMware にパブリック証明書をインストールし、接続を許可する vCenter クライアントを識別する。 各クライアントに、その KMIP for VMware インスタンス内に保管されているすべての鍵へのアクセスが許可されます。

Key Protect インスタンスや Hyper Protect Crypto Services インスタンスへのアクセスを KMIP for VMware インスタンスに許可するために、IBM Cloud の ID およびアクセス管理 (IAM) が使用されます。

KMIP for VMware に Key Protect インスタンスを関連付けた場合は、そのインスタンスに対するアクセス権限を持つサービス ID を使用して、この許可が行われます。 このサービス ID には、少なくとも、鍵マネージャー・インスタンスに対するプラットフォームの Viewer アクセス権限とサービスの Manager アクセス権限が必要です。 KMIP for VMware は、鍵マネージャー・インスタンスにある、お客様が選択したカスタマー・ルート鍵 (CRK) を使用します。 VMware のために生成されるすべての KEK も、ラップされた形式でこの鍵マネージャー・インスタンスに保管されます。

KMIP for VMware に Hyper Protect Crypto Services (HPCS) インスタンスを関連付けた場合は、アカウントの IAM 権限内で付与するサービス許可が使用されます。 HPCS インスタンスに対するプラットフォームの**「ビューアー」役割とサービスの「VMware KMIP マネージャー (VMware KMIP Manager)」**役割の両方を、KMIP for VMware インスタンスに付与する必要があります。

アーキテクチャーおよびトポロジー

どのような場合でも、VMware vCenter サーバーは、IBM Cloud プライベート・ネットワークを介して KMIP for VMware にアクセスします。 プライベート・ネットワークを介して KMIP for VMware にアクセスするために、IBM Cloud インフラストラクチャー・アカウントの Virtual Routing and Forwarding (VRF) を有効にする必要があります。 また、アカウントの VRF ルートに IBM Cloud ネットワーク・サービス・エンドポイントのルートを追加しておく必要があります。 詳しくは、サービス・エンドポイントの有効化を参照してください。

アーキテクチャーとトポロジーは、KMIP for VMware で鍵管理に Key Protect と Hyper Protect Crypto Services のどちらを使用しているかによって異なります。