No vSphere 7.0 Update 1 e versões posteriores, você pode ativar o Secure Encrypted Virtualization-Encrypted State (SEV-ES) em CPUs compatíveis com AMD e sistemas operacionais convidados.

Atualmente, o SEV-ES suporta apenas CPUs AMD EPYC 7xx2 (codinome "Roma") e CPUs posteriores, e apenas versões de kernels Linux que incluem suporte específico para SEV-ES.

Componentes e arquitetura do SEV-ES

A arquitetura SEV-ES consiste nos seguintes componentes.

  • CPU AMD, especificamente, o Processador de Segurança de Plataforma (PSP) que gerencia chaves de criptografia e lida com criptografia.
  • Sistema operacional esclarecido, ou seja, um sistema operacional que usa chamadas iniciadas por guest para o hipervisor.
  • Virtual Machine Monitor (VMM) e Virtual Machine Executable (VMX), para inicializar um estado de máquina virtual criptografada durante a inicialização da máquina virtual e também para lidar com chamadas do sistema operacional convidado.
  • Driver VMkernel, para comunicar dados não criptografados entre o hipervisor e o sistema operacional convidado.

Implementação e gerenciamento do SEV-ES no ESXi

Você deve primeiro habilitar o SEV-ES na configuração do BIOS do sistema. Consulte a documentação do seu sistema para obter mais informações sobre como acessar a configuração do BIOS. Depois de ativar o SEV-ES no BIOS do sistema, você pode adicionar o SEV-ES a uma máquina virtual.

Use os comandos vSphere Client (a partir do vSphere 7.0 Update 2) ou PowerCLI para ativar e desativar o SEV-ES em máquinas virtuais. Você pode criar novas máquinas virtuais com o SEV-ES ou habilitar o SEV-ES em máquinas virtuais existentes. Os privilégios para gerenciar máquinas virtuais habilitadas com SEV-ES são os mesmos para o gerenciamento de máquinas virtuais regulares.

Recursos VMware sem suporte no SEV-ES

Os seguintes recursos não são suportados quando o SEV-ES está ativado.

  • Modo de gerenciamento do sistema
  • vMotion
  • Instantâneos ligados (no entanto, instantâneos sem memória são suportados)
  • Adição ou remoção dinâmica de CPU ou memória
  • Suspender / retomar
  • VMware Tolerância a falhas
  • Clones e clones instantâneos
  • Integridade do convidado
  • UEFI Secure Boot