As tarefas de criptografia estão possivelmente apenas em ambientes que incluem vCenter Server. Além disso, o host ESXi deve ter o modo de criptografia habilitado para a maioria das tarefas de criptografia. O usuário que executa a tarefa deve ter os privilégios apropriados. Um conjunto de privilégios de Operações criptográficas permite um controle refinado. Se as tarefas de criptografia da máquina virtual exigirem uma alteração no modo de criptografia do host, serão necessários privilégios adicionais.

Observação: vSphere Trust Authority tem pré-requisitos adicionais e privilégios necessários. Consulte o Pré-requisitos e privilégios necessários para vSphere Trust Authority.

Privilégios e funções de criptografia

Por padrão, o usuário com a função de Administrador vCenter Server tem todos os privilégios. A função Nenhum administrador de criptografia não tem os seguintes privilégios que são necessários para operações criptográficas.
  • Adicione privilégios de Operações criptográficas .
  • Diagnóstico . global
  • Host . Inventory . Add host to cluster
  • Host . Inventário . Adicionar host autônomo
  • Hospedar . Operações locais . Gerenciar grupos de usuários

Você pode atribuir a função Nenhum administrador de criptografia a vCenter Server administradores que não precisam de privilégios de Operações criptográficas .

Para impor mais limites sobre o que os usuários podem fazer, você pode clonar a função Nenhum administrador de criptografia e criar uma função personalizada com apenas alguns dos privilégios de Operações criptográficas . Por exemplo, você pode criar uma função que permite aos usuários criptografar, mas não descriptografar máquinas virtuais. Consulte Usando funções para atribuir privilégios.

Modo de criptografia do host

O modo de criptografia do host determina se um host ESXi está pronto para aceitar material criptográfico para criptografar máquinas virtuais e discos virtuais. Antes que qualquer operação criptográfica possa ocorrer em um host, o modo de criptografia do host deve ser ativado. O modo de criptografia do host geralmente é ativado automaticamente quando necessário, mas você pode ativá-lo explicitamente. Você pode verificar e definir explicitamente o modo de criptografia do host atual no vSphere Client ou usando o vSphere API.

Quando o modo de criptografia do host está ativado, o vCenter Server instala uma chave de host no host, o que garante que o host seja criptograficamente "seguro". Com a chave do host em vigor, outras operações criptográficas podem prosseguir, incluindo vCenter Server obter chaves do provedor de chaves e enviá-las para os hosts ESXi.

No modo "seguro", os mundos do usuário (ou seja, hostd) e as máquinas virtuais criptografadas têm seus despejos de núcleo criptografados. As máquinas virtuais não criptografadas não têm seus despejos principais criptografados.

Para obter mais informações sobre despejos de memória criptografados e como eles são usados pelo VMware Suporte Técnico, consulte o artigo da base de conhecimento do VMware em http://kb.vmware.com/kb/2147388 .

Para obter instruções, consulte Habilitar o modo de criptografia do host explicitamente.

Depois que o modo de criptografia do host é ativado, ele não pode ser desativado facilmente. Consulte Desativar o modo de criptografia do host.

As alterações automáticas ocorrem quando as operações de criptografia tentam ativar o modo de criptografia do host. Por exemplo, suponha que você adicione uma máquina virtual criptografada a um host independente. O modo de criptografia do host não está ativado. Se você tiver os privilégios necessários no host, o modo de criptografia será ativado automaticamente.

Suponha que um cluster tenha três hosts ESXi, host A, B e C. Você cria uma máquina virtual criptografada no host A. O que acontece depende de vários fatores.

  • Se os hosts A, B e C já tiverem a criptografia ativada, você precisará apenas de operações criptográficas . Criptografar novos privilégios para criar a máquina virtual.
  • Se os hosts A e B estiverem habilitados para criptografia e C não estiver habilitado, o sistema continuará da seguinte maneira.
    • Suponha que você tenha as operações criptográficas . Criptografar novo e as operações criptográficas . Registrar o host privilégios em cada host. Nesse caso, o processo de criação da máquina virtual habilita a criptografia no host C. O processo de criptografia habilita o modo de criptografia do host no host C e envia a chave para cada host no cluster.

      Para esse caso, você também pode ativar explicitamente a criptografia de host no host C.

    • Suponha que você tenha apenas operações criptográficas . Criptografe novos privilégios na máquina virtual ou na pasta da máquina virtual. Nesse caso, a criação da máquina virtual é bem-sucedida e a chave se torna disponível no host A e no host B. O host C permanece desativado para criptografia e não tem a chave da máquina virtual.
  • Se nenhum dos hosts tiver criptografia habilitada e você tiver privilégios de operações criptográficas . Register host no host A, o processo de criação da máquina virtual habilitará a criptografia de host nesse host host. Caso contrário, ocorrerá um erro.
  • Você também pode usar o vSphere API para definir o modo de criptografia de um cluster como "ativação forçada". A ativação forçada faz com que todos os hosts no cluster sejam criptograficamente "seguros", ou seja, vCenter Server tenha instalado uma chave de host no host. Consulte o vSphere Web Services SDK Guia de programação .

Requisitos de espaço em disco

Ao criptografar uma máquina virtual existente, você precisa de pelo menos o dobro do espaço que a máquina virtual está usando no momento.