As tarefas de criptografia de máquina virtual são possíveis apenas em ambientes que incluem vCenter Server. Além disso, o host ESXi deve ter o modo de criptografia ativado para a maioria das tarefas de criptografia. O usuário que executa a tarefa deve ter os privilégios apropriados. Um conjunto de privilégios de Operações Criptográficas permite um controle refinado. Se as tarefas de criptografia da máquina virtual exigirem uma alteração no modo de criptografia do host, serão necessários privilégios adicionais.

Observação: vSphere Trust Authority tem pré-requisitos adicionais e privilégios necessários. Consulte Pré-requisitos e privilégios necessários para vSphere Trust Authority.

Como usar privilégios e funções de criptografia

Por padrão, o usuário com a função de Administrador vCenter Server tem todos os privilégios, incluindo privilégios de operações criptográficas. A função Sem administrador de criptografia não tem os seguintes privilégios necessários para operações criptográficas.
Importante: Os usuários de ESXi Shell também têm privilégios de operação criptográfica.
  • Adicione privilégios de Operações Criptográficas.
  • Global.Diagnóstico
  • Host.Inventário.Adicionar host ao cluster
  • Host.Inventário.Adicionar host autônomo
  • Host.Operações locais.Gerenciar grupos de usuários

Você pode atribuir a função Sem administrador de criptografia a vCenter Server administradores que não precisam dos privilégios de Operações criptográficas.

Para impor mais limites ao que os usuários podem fazer, você pode clonar a função Sem administrador de criptografia e criar uma função personalizada com apenas alguns dos privilégios de Operações criptográficas. Por exemplo, você pode criar uma função que permita que os usuários criptografem, mas não descriptografam, máquinas virtuais. Consulte Usando vCenter Server Funções para Atribuir Privilégios.

O que é o modo de criptografia de host

O modo de criptografia do host determina se um host ESXi está pronto para aceitar material criptográfico para criptografar máquinas virtuais e discos virtuais. Antes que qualquer operação criptográfica possa ocorrer em um host, o modo de criptografia deve ser ativado. O modo de criptografia do host geralmente é definido automaticamente quando necessário, mas você pode defini-lo explicitamente. Você pode verificar e definir explicitamente o modo de criptografia do host atual do vSphere Client ou usando o vSphere API.

Quando o modo de criptografia do host está ativado, o vCenter Server instala uma chave de host no host, o que garante que o host seja criptograficamente "seguro". Com a chave do host no local, outras operações criptográficas podem prosseguir, incluindo vCenter Server obter chaves do provedor de chaves e enviá-las para os hosts ESXi.

No modo "seguro", os mundos do usuário (ou seja, hostd) e as máquinas virtuais criptografadas têm seus despejos principais criptografados. As máquinas virtuais não criptografadas não têm seus despejos de memória criptografados.

Para obter mais informações sobre dumps de memória criptografados e como eles são usados pelo VMware suporte técnico, consulte o artigo da base de conhecimento VMware em http://kb.vmware.com/kb/2147388.

Para obter instruções, consulte Ativar o modo de criptografia do host explicitamente.

Depois que o modo de criptografia do host for definido, ele não poderá ser desativado facilmente. Consulte Desativar o modo de criptografia do host usando a API.

As alterações automáticas ocorrem quando as operações de criptografia tentam definir o modo de criptografia do host. Por exemplo, suponha que você adicione uma máquina virtual criptografada a um host autônomo. O modo de criptografia do host não está definido. Se você tiver os privilégios necessários no host, o modo de criptografia será definido automaticamente.

Suponha que um cluster tenha três hosts ESXi, host A, B e C. Você cria uma máquina virtual criptografada no host A. O que acontece depende de vários fatores.

  • Se os hosts A, B e C já tiverem o modo de criptografia de host definido, você precisará apenas dos privilégios Operações criptográficas.Criptografar novos para criar a máquina virtual.
  • Se os hosts A e B estiverem definidos para criptografia de host e C não estiver, o sistema continuará da seguinte maneira.
    • Suponha que você tenha as Operações criptográficas.Criptografar novo e as Operações criptográficas.Registrar host privilégios em cada host. Nesse caso, o processo de criptografia define o modo de criptografia do host no host C e envia a chave para cada host no cluster.

      Nesse caso, você também pode definir explicitamente o modo de criptografia do host no host C.

    • Suponha que você tenha apenas Operações criptográficas.Criptografar novos privilégios na máquina virtual ou na pasta da máquina virtual. Nesse caso, a criação da máquina virtual é bem-sucedida e a chave fica disponível no host A e no host B. O host C permanece desativado para criptografia e não tem a chave da máquina virtual.
  • Se nenhum dos hosts tiver o modo de criptografia de host definido, e você tiver privilégios de Operações criptográficas.Registrar host no host A, o processo de criação da máquina virtual definirá a criptografia do host modo nesse host. Caso contrário, para os hosts B e C, ocorrerá um erro.
  • Você também pode usar o vSphere API para definir o modo de criptografia de um cluster como "forçar a ativação". A ativação forçada faz com que todos os hosts no cluster sejam criptograficamente "seguros", ou seja, vCenter Server instalou uma chave de host no host. Consulte vSphere Web Services SDKGuia de programação.

Requisitos de espaço em disco ao criptografar máquinas virtuais

Ao criptografar uma máquina virtual existente, você precisa de pelo menos o dobro do espaço que a máquina virtual está usando no momento.