KMIP for VMware 实现和管理
营销结束: 自 2025 年 10 月 31 日起，新客户将无法再部署 VMware Solutions 的相关服务。 现有客户仍可在 IBM Cloud® 上继续使用并扩展其正在运行的 VMware® 工作负载。 欲了解更多信息，请参阅 IBM Cloud 上的 VMware 营销结束。
Key Management Interoperability Protocol (KMIP™) for VMware® 产品支持将于 2026 年 12 月 31 日终止，之后 KMIP for VMware 服务将不再运行。 迁移到 IBM® Key Protect 为 IBM Cloud®。
计划
KMIP™ for VMware 服务不收取任何费用。 要查看 Hyper Protect Crypto Services 定价计划，请参阅 Hyper Protect Crypto Services 目录页面。
如果使用 VMware vSAN™ 加密，计划在 Hyper Protect Crypto Services 中使用一个根密钥，并为加密的每个 vSAN 群集使用两个标准密钥。
如果使用 VMware vSphere® 加密，计划使用一个根密钥，每个 vSphere 群集使用一个标准密钥，每个加密虚拟机 ( VM ) 使用一个标准密钥。
Hyper Protect Crypto Services 仅适用于多区区域 (MZR)。 Hyper Protect Crypto Services (HPCS) 仅适用于部分 MZR。 VMware® 的 KMIP 会自动部署在与 HPCS 实例相同的区域。 VMware vCenter Server® 可以承受 KMIP 服务的高延迟，因此通常不会担心距离问题。
连接密钥管理服务器
要使用 KMIP for VMware 来启用 vSphere 加密或 vSAN 加密，需要完成以下任务：
- 在帐户中启用服务端点。
- 创建密钥管理器实例，方法是使用 IBM Cloud Hyper Protect Crypto Services. 如果使用 Hyper Protect Crypto Services (HPCS)，请确保 初始化加密实例，以便 Hyper Protect Crypto Services 可以提供与密钥相关的功能。
- 在密钥管理器实例中创建客户根密钥 (CRK)。
- 从 IBM Cloud for VMware Solutions 控制台为 VMware 实例创建 KMIP。
- 如果使用的是 HPCS，请为您的 KMIP for VMware 实例创建一个 IAM 服务授权，以连接到您的 HPCS 实例。 为 VMware 实例授予平台 查看器访问权限和服务 VMware KMIP 管理器访问权限。
- 配置 KMIP for VMware 实例以连接到 HPCS 实例，并选择与 KMIP 一起使用的 CRK。
- 在 vCenter 服务器中，创建密钥提供程序集群。
- 如果使用 HPCS，请配置此群集以连接到唯一分配给 VMware 实例的 KMIP 的主机名和端口。
- 选择 VMware 方法之一，在 vCenter Server 中生成或安装 KMS 客户端证书。
- 导出证书的公共版本，并在 KMIP for VMware 实例中将其配置为允许的客户机证书。 密钥管理器实例获取已配置客户证书的最长时间间隔为 5 分钟。 因此，如果无法向 vCenter 服务器建立 KMS 信任，请等待 5 分钟再试。
启用加密
要使用 vSAN 加密，请在 vCenter 服务器群集中编辑 vSAN 常规设置，并选择加密复选框。
vSAN 健康检查可能会定期发出警告，称无法从一台或多台 vSphere 主机连接到 KMS 群集。 出现这些警告是因为 vSAN 运行状况检查连接超时过快。 您可以忽略这些警告。 如需了解更多信息，请参阅 vSAN KMS 健康检查间歇性失败，出现 SSL 握手超时错误。
要使用 vSphere 加密，请编辑 VM 存储策略，要求进行磁盘加密。
重要注意事项
有些虚拟机需要特别的加密规划，尤其是如果它们涉及到可能的循环依赖关系，以获取密钥材料来运行自己。 请考虑以下信息：
- vCenter 服务器参与检索加密密钥。 该 VM 不得使用 vSphere 加密，也不得位于加密的 vSAN 数据存储上。
- 环境中的 Microsoft Windows® Active Directory 控制器用于主机名解析，以连接到密钥管理。 请勿使用 vSphere 加密对它们进行加密，或将它们放在加密的 vSAN 数据存储上，除非您准备好在需要重新启动环境时提供备用主机名解析。
- VMware 不建议通过使用 vSphere 加密来加密 VMware NSX® 虚拟机。
密钥轮换
轮换您的 Hyper Protect Crypto Services 使用 IBM Cloud 控制台或 API 旋转客户根密钥 (CRK)。
- 对于vSAN加密，请从vCenter服务器群集的vSAN常规设置中旋转VMware密钥加密密钥和数据加密密钥（可选）。
- 对于 vSphere 加密，请使用 Set-VMEncryptionKey PowerShell 命令旋转 VMware 密钥加密密钥和数据加密密钥（可选）。
密钥撤销
您可以通过从密钥管理器中删除所选 CRK 来撤销 KMIP for VMware 使用的所有密钥。
撤销密钥后，受这些密钥和 KMIP for VMware 实例保护的所有数据都会通过此方法以加密方式粉碎。 ESXi 主机处于电源打开状态时，VMware 会保留一些密钥，因此您需要重新启动 vSphere 集群，以确保不再使用所有加密数据。
KMIP for VMware 使用与 VMware 已知的密钥 ID 相关联的名称，在 Hyper Protect Crypto Services 实例中存储单个封装的 KEK。 您可以删除单个密钥，以撤销单个磁盘或驱动器的加密。
从清单中除去具有加密磁盘的 VM 时，VMware 不会从 KMS 中删除密钥。 这个过程是为了从备份中恢复 VM，或者在恢复库存时恢复。 如果要收回这些密钥并从加密角度使所有备份失效，则需要在删除虚拟机后从密钥管理器实例中删除密钥。