vSphere、暗号化されたVMを新しい鍵プロバイダーに移行する

vCenter Server 8と vSphere 7ホストが混在している場合、または vSphere 8ホストが 8u3e より前のバージョンで動作している場合、仮想マシンのリキーによって再起動する可能性があります。 この問題を解決するには、 変更ブロック追跡（CBT）を有効にした暗号化 VM、浅いリキー操作後に予期せず電源が切れるを参照してください。

新しいキー・プロバイダをデフォルトに設定した後、インベントリ内の任意の VM。 次に、 Actions > VM Policies > Re-encryptと進み、仮想マシンを新しい鍵プロバイダに浅く再暗号化します。

次のサンプルスクリプトのような PowerCLI スクリプトを使用して、暗号化された複数の仮想マシンを同時にリキーすることもできます：

$kp = Get-KeyProvider <new-kmip>

foreach($vm in Get-VM) {
  if($vm.ExtensionData.Config.KeyId) {
    Set-VM $vm -KeyProvider $kp -Confirm:$false
  }
}

vSAN、新しい鍵プロバイダーに暗号化を移行する

新しいキー・プロバイダをデフォルトに設定した後、 vSAN クラスターとホストの暗号化キーの両方を、 vCenter Server コンソールでクラスター用にリキーします。

1. Configure > vSAN > Servicesを選択し、Data Servicesセクションで Editをクリックする。
2. Data-At-Rest暗号化で、メニューから新しいキープロバイダを選択し、 適用をクリックします。 vSAN、そのクラスターのホスト暗号化キーの浅いリキーが完了する。

新しい鍵プロバイダーへのホスト暗号化の移行

vSAN 暗号化ではなく vSphere 暗号化のみを使用している場合は、 PowerCLI ツールを使用して、環境内の暗号化されたホストをリキーする必要があります。 以下のサンプルスクリプトは、 セーフモード、つまりコアダンプを暗号化するためのホスト鍵が発行された環境において、暗号化されたホストをすべてリキーする方法を示しています：

$kp = Get-KeyProvider <new-kmip>

foreach($vmhost in Get-VMHost) {
  if($vmhost.ExtensionData.Runtime.CryptoState -eq "safe") {
    Set-VMHost $vmhost -KeyProvider $kp
  }
}

キー・プロバイダの設定の確認

元の鍵プ ロ バ イ ダーを削除す る 前に、 以下の PowerCLI ス ク リ プ ト を実行 し てすべての リ ソ ース の鍵プ ロ バ イ ダーを表示 し、 リ ソ ース が正 し く リ キー さ れた こ と を確認す る 必要があ り ます：

$vmlist = @()

foreach($vm in Get-VM) {
  $vmlist += [pscustomobject]@{ vm = $vm.name; provider = $vm.ExtensionData.Config.KeyId.ProviderId.Id}
}

$vmlist | Format-Table
$hostlist = @()

foreach($vmhost in Get-VMHost) {
  $vmhostview = Get-View $vmhost
  $hostlist += [pscustomobject]@{ host = $vmhost.name; provider = $vmhostview.Runtime.CryptoKeyId.ProviderId.Id}
}

$hostlist | Format-Table
$clusterlist = @()
$vsanclusterconfig = Get-VsanView -Id "VsanVcClusterConfigSystem-vsan-cluster-config-system"

foreach($cluster in Get-Cluster) {
  $encryption = $vsanclusterconfig.VsanClusterGetConfig($cluster.ExtensionData.MoRef).DataEncryptionConfig
  $clusterlist += [pscustomobject]@{ cluster = $cluster.name; provider = $encryption.KmsProviderId.Id }
}

$clusterlist | Format-Table

古いキー・プロバイダの削除

1. VMware Solutions コンソールの IBM Cloud。

2. 古いKMIPプロバイダでプロビジョニングされているKMIP for VMware インスタンスを削除する。

   HPCSの場合、HPCSからの移行を計画しており、既存のHPCSインスタンスが不要になった場合は、そのインスタンスを削除します。

念のため、 vCenter Server コンソールで、古い KMIP for VMware アダプタによって作成された古い未使用キーをすべて削除する。 手動でキーを削除するか、CLIコマンドを使用する。 これらのキーの名前は、 vmware_kmip をプレフィックスとして含んでいるため、名前で識別することができる。

新しいネイティブ・アダプタで作成される KMIP 鍵は、KMIP アダプタの [Adapter details] > [KMIP symmetric keys] タブに表示されます。