Dependendo de qual provedor de chaves você usa, um servidor de chaves externo, o sistema vCenter Server e seus hosts ESXi estão potencialmente contribuindo para a solução de criptografia.
Os seguintes componentes compreendem vSphere Virtual Machine Encryption:
- Um servidor de chaves externo, também chamado de KMS (não necessário para vSphere Native Key Provider)
- vCenter Server
- ESXi hosts
Qual é a função de um servidor de chaves no vSphere Virtual Machine Encryption
O servidor de chaves é um servidor de gerenciamento KMIP (Key Management Interoperability Protocol) que está associado a um provedor de chaves. Um provedor de chaves padrão e um provedor de chaves confiável exigem um servidor de chaves. vSphere Native Key Provider não requer um servidor de chaves. A tabela a seguir descreve as diferenças na interação do provedor de chaves e do servidor de chaves.
| Provedor de chaves | Interação com o servidor de chaves |
|---|---|
| Provedor de chaves padrão | Um provedor de chaves padrão usa vCenter Server para solicitar chaves de um servidor de chaves. O servidor de chaves gera e armazena as chaves e as passa para vCenter Server para distribuição aos hosts ESXi. |
| Provedor de chaves confiável | Um provedor de chaves confiável usa um Serviço de Provedor de Chaves que permite que os hosts ESXi confiáveis busquem as chaves diretamente. Consulte O que é o serviço de provedor de chaves vSphere Trust Authority. |
| vSphere Native Key Provider | vSphere Native Key Provider não requer um servidor de chaves. vCenter Server gera uma chave primária e a envia por push para os hosts ESXi. Os hosts ESXi então geram chaves de criptografia de dados (mesmo quando não estão conectados a vCenter Server). Consulte vSphere Native Key Provider Visão geral. |
Você pode usar o vSphere Client ou o vSphere API para adicionar instâncias de provedor de chave ao sistema vCenter Server. Se você usar várias instâncias de provedor de chaves, todas as instâncias deverão ser do mesmo fornecedor e devem replicar chaves.
Se o seu ambiente usar fornecedores de servidores de chaves diferentes em ambientes diferentes, você poderá adicionar um provedor de chaves para cada servidor de chaves e especificar um provedor de chaves padrão. O primeiro provedor de chaves adicionado torna-se o provedor de chaves padrão. Você pode especificar explicitamente o padrão posteriormente.
Como cliente KMIP, o vCenter Server usa o Key Management Interoperability Protocol (KMIP) para facilitar o uso do servidor de chaves de sua escolha.
Qual é a função de vCenter Server em vSphere Virtual Machine Encryption
A tabela a seguir descreve a função de vCenter Server no processo de criptografia.
| Provedor de chaves | Função de vCenter Server | Como os privilégios são verificados |
|---|---|---|
| Provedor de chaves padrão | Somente vCenter Server tem as credenciais para fazer login no servidor de chaves. Seus hosts ESXi não têm essas credenciais. vCenter Server obtém chaves do servidor de chaves e as envia por push para os hosts ESXi. vCenter Server não armazena as chaves do servidor de chaves, mas mantém uma lista de IDs de chaves. | vCenter Server verifica os privilégios dos usuários que realizam operações criptográficas. |
| Provedor de chaves confiável | vSphere Trust Authority elimina a necessidade de vCenter Server solicitar chaves do servidor de chaves e condiciona o acesso às chaves de criptografia ao estado de atestado de um cluster de carga de trabalho. Você deve usar sistemas vCenter Server separados para o Cluster Confiável e o Cluster do Trust Authority. | vCenter Server verifica os privilégios dos usuários que realizam operações criptográficas. Somente os usuários que são membros do grupo de SSO TrustedAdmins podem realizar operações administrativas. |
| vSphere Native Key Provider | O vCenter Server gera as chaves. | vCenter Server verifica os privilégios dos usuários que realizam operações criptográficas. |
Você pode usar o vSphere Client para atribuir privilégios de operação criptográfica ou para atribuir a função personalizada Sem administrador de criptografia a grupos de usuários. Consulte Pré-requisitos e privilégios necessários para tarefas de criptografia de máquina virtual.
vCenter Server adiciona eventos de criptografia à lista de eventos que você pode visualizar e exportar do vSphere Client Console de Eventos. Cada evento inclui o usuário, a hora, a ID da chave e a operação criptográfica.
As chaves que vêm do servidor de chaves são usadas como chaves de criptografia de chaves (KEKs).
Qual é a função de ESXi hosts em vSphere Virtual Machine Encryption
Os hosts ESXi são responsáveis por vários aspectos do fluxo de trabalho de criptografia.
| Provedor de chaves | ESXi Aspectos do host |
|---|---|
| Provedor de chaves padrão |
|
| Provedor de chaves confiável | Os hosts ESXi executam serviços vSphere Trust Authority, dependendo se são Hosts Confiáveis ou Hosts do Trust Authority. Os hosts ESXi confiáveis executam máquinas virtuais de carga de trabalho que podem ser criptografadas usando provedores de chaves publicados pelos Hosts do Trust Authority. Consulte vSphere Trust Authority Infraestrutura confiável. |
| vSphere Native Key Provider | Os hosts ESXi buscam chaves diretamente do vSphere Native Key Provider. |
As chaves que o host ESXi gera são chamadas de chaves internas neste documento. Essas chaves normalmente agem como chaves de criptografia de dados (DEKs).
