No vSphere 7.0 Update 2 e versões posteriores, as máquinas virtuais criptografadas e os TPMs virtuais podem continuar a funcionar mesmo quando o servidor de chaves está temporariamente offline ou indisponível. Os hosts ESXi podem manter as chaves de criptografia para continuar as operações de criptografia e vTPM.
Antes do vSphere 7.0 Update 2, as máquinas virtuais criptografadas e os vTPMs exigem que o servidor de chaves esteja sempre disponível para funcionar. No vSphere 7.0 Update 2 e versões posteriores, os dispositivos criptografados podem funcionar mesmo quando o acesso a um servidor de chaves é interrompido.
A partir do vSphere 7.0 Update 3, os clusters criptografados do vSAN também podem funcionar mesmo quando o acesso a um provedor de chaves é interrompido.
Persistência de chave no host ESXi
Ao usar um provedor de chaves padrão, o host do ESXi depende do vCenter Server para gerenciar as chaves de criptografia. Ao usar um provedor de chave confiável, o host ESXi depende diretamente dos Hosts de Autoridade de Confiança para chaves e vCenter Server não está envolvido.
Independentemente do tipo de provedor de chaves, o host ESXi obtém as chaves inicialmente e as mantém em seu cache de chaves. Se o host ESXi for reinicializado, ele perderá seu cache de chave. Em seguida, o host ESXi solicita as chaves novamente, seja do servidor de chaves (provedor de chaves padrão) ou dos Hosts de Autoridade de Confiança (provedor de chaves confiáveis). Quando o host ESXi tenta obter chaves e o servidor de chaves está offline ou inacessível, os vTPMs e a criptografia de carga de trabalho não podem funcionar. Para implantações de estilo de borda, nas quais um servidor de chave normalmente não é implantado no local, uma perda de conectividade com um servidor de chave pode causar tempo de inatividade desnecessário para cargas de trabalho criptografadas.
No vSphere 7.0 Update 2 e versões posteriores, as cargas de trabalho criptografadas podem continuar a funcionar mesmo quando o servidor de chaves está offline ou inacessível. Se o host ESXi tiver um TPM, as chaves de criptografia serão persistentes no TPM entre as reinicializações. Portanto, mesmo se um host ESXi for reinicializado, o host não precisará solicitar chaves de criptografia. Além disso, as operações de criptografia e descriptografia podem continuar quando o servidor de chaves está indisponível, pois as chaves persistiram no TPM. Basicamente, quando o servidor de chaves ou os Hosts da Autoridade de Confiança não estão disponíveis, você pode continuar executando cargas de trabalho criptografadas "servidor de chaves livre". Além disso, os vTPMs podem continuar a funcionar mesmo quando o servidor de chaves está inacessível.
No vSphere 7.0 Update 2 e versões posteriores, o vSphere Native Key Provider oferece suporte à persistência de chave. Ao usar um vSphere Native Key Provider, o vCenter Server gera as chaves e nenhum servidor de chaves é necessário. Os hosts ESXi obtêm uma chave de derivação de chave (KDK) de vCenter Server, que é usada para derivar outras chaves. Depois de receber o KDK e gerar outras chaves, os hosts ESXi não precisam de acesso a vCenter Server para fazer operações de criptografia. Em essência, um Provedor de Chave Nativa sempre executa o "servidor de chaves gratuitamente".
Para ativar ou desativar a persistência de chave, consulte Ativar e desativar a persistência de chave em um host ESXi.
