Verschlüsseltes vSphere vMotion sichert die Vertraulichkeit, Integrität und Authentizität der mit vSphere vMotion übertragenen Daten. vSphere unterstützt verschlüsseltes vMotion nicht verschlüsselter und verschlüsselter virtueller Maschinen für vCenter Server-Instanzen.
vSphere vMotion verwendet beim Migrieren verschlüsselter virtueller Maschinen immer Verschlüsselung. Bei nicht verschlüsseln virtuellen Maschinen können Sie eine der verschlüsselten vSphere vMotion-Optionen auswählen.
Was wird in verschlüsseltem vSphere vMotion verschlüsselt
- Wenn Festplattendaten innerhalb eines Hosts übertragen werden, also ohne den Host zu ändern, ändern Sie nur den Datenspeicher; die Übertragung wird nicht verschlüsselt.
- Wenn Festplattendaten zwischen Hosts übertragen und verschlüsseltes vMotion verwendet wird, wird die Übertragung verschlüsselt. Wenn verschlüsseltes vMotion nicht verwendet wird, wird die Übertragung unverschlüsselt.
Bei verschlüsselten virtuellen Maschinen wird für die Migration mit vSphere vMotion immer verschlüsseltes vSphere vMotion verwendet. Sie können verschlüsseltes vSphere vMotion für verschlüsselte virtuelle Maschinen nicht deaktivieren.
Zustände von verschlüsseltem vSphere vMotion für unverschlüsselte virtuelle Maschinen
- Deaktiviert
- Verschlüsseltes vSphere vMotion wird nicht verwendet.
- Opportunistisch
- Verschlüsseltes vSphere vMotion wird verwendet, wenn diese Funktion von Quell- und Zielhosts unterstützt wird. Nur ESXi-Hosts der Version 6.5 und höher unterstützen verschlüsseltes vSphere vMotion.
- Erforderlich
- Nur verschlüsseltes vSphere vMotion zulassen. Wenn der Quell- oder Zielhost verschlüsseltes vSphere vMotion nicht unterstützt, ist die Migration mit vSphere vMotion nicht zulässig.
Wenn Sie eine virtuelle Maschine verschlüsseln, speichert die virtuelle Maschine einen Eintrag der aktuellen Verschlüsselungseinstellung von vSphere vMotion. Wenn Sie zu einem späteren Zeitpunkt die Verschlüsselung der virtuellen Maschine deaktivieren, verbleibt die verschlüsselte vMotion-Einstellung im Zustand „Erforderlich“, bis Sie diese Einstellung explizit ändern. Sie können diese Einstellungen über Einstellungen bearbeiten ändern.
Migrieren oder Klonen verschlüsselter virtueller Maschinen über vCenter Server-Instanzen hinweg
vSphere vMotion bietet Unterstützung für die Migration und das Klonen verschlüsselter virtueller Maschinen über vCenter Server-Instanzen hinweg.
Beim Migrieren oder Klonen verschlüsselter virtueller Maschinen über vCenter Server-Instanzen müssen die Quell- und Zielinstanz von vCenter Server für die gemeinsame Nutzung des Schlüsselanbieters konfiguriert werden, der zum Verschlüsseln der virtuellen Maschine verwendet wurde. Darüber hinaus muss der Name des Schlüsselanbieters sowohl auf der Quell- als auch auf der Zielinstanz in vCenter Server identisch sein und folgende Eigenschaften aufweisen:
- Standardschlüsselanbieter: Derselbe Schlüsselserver (oder mehrere Schlüsselserver) muss sich im Schlüsselanbieter befinden.
- Vertrauenswürdiger Schlüsselanbieter: Derselbe vSphere Trust Authority-Dienst muss auf dem Zielhost konfiguriert werden.
- vSphere Native Key Provider: Muss denselben KDK aufweisen.
Hinweis: Sie können eine verschlüsselte virtuelle Maschine nicht mithilfe des vSphere Native Key Provider auf einen eigenständigen Host klonen oder migrieren, unabhängig davon, ob sich der Quellhost in einem Cluster befindet.
Der Ziel-vCenter Server stellt sicher, dass auf dem ESXi-Host der Verschlüsselungsmodus festgelegt ist. Dadurch wird sichergestellt, dass der Host kryptografisch „sicher“ ist.
Die folgenden Rechte sind erforderlich, wenn Sie vSphere vMotion verwenden, um eine verschlüsselte virtuelle Maschine über vCenter Server-Instanzen hinweg zu migrieren oder zu klonen.
- Migrieren: auf der virtuellen Maschine
- Klonen: auf der virtuellen Maschine
Außerdem muss der Ziel-vCenter Server die Berechtigung aufweisen. Wenn der ESXi-Zielhost nicht im sicheren Modus ausgeführt wird, muss sich die Berechtigung ebenfalls auf dem Ziel-vCenter Server befinden.
Bestimmte Aufgaben sind nicht zulässig, wenn virtuelle Maschinen (nicht verschlüsselt oder verschlüsselt) auf demselben vCenter Server oder auf mehreren vCenter Server-Instanzen migriert werden.
- Sie können die VM-Speicherrichtlinie nicht ändern.
- Sie können keine Schlüsseländerung vornehmen.
Mindestanforderungen zum Migrieren oder Klonen verschlüsselter virtueller Maschinen über vCenter Server-Instanzen hinweg
Die Mindestanforderungen an die Version zum Migrieren oder Klonen verschlüsselter virtueller Maschinen des Standardschlüsselanbieters über vCenter Server-Instanzen mithilfe von vSphere vMotion lauten:
- Auf der Quell- und Zielinstanz von vCenter Server muss Version 7.0 oder höher installiert sein.
- Auf dem Quell- und Zielhost von ESXi muss Version 6.7 oder höher installiert sein.
Die Mindestanforderungen an die Version zum Migrieren oder Klonen verschlüsselter virtueller Maschinen des vertrauenswürdigen Schlüsselanbieters über vCenter Server-Instanzen mithilfe von vSphere vMotion lauten:
- Der vSphere Trust Authority-Dienst muss für den Zielhost konfiguriert werden und der Zielhost muss bestätigt sein.
- Die Verschlüsselung kann bei der Migration nicht geändert werden. Eine nicht verschlüsselte Festplatte kann beispielsweise nicht verschlüsselt werden, während die virtuelle Maschine auf den neuen Speicher migriert wird.
- Sie können eine verschlüsselte virtuelle Standardmaschine auf einen vertrauenswürdigen Host migrieren. Der Name des Schlüsselanbieters muss sowohl auf der Quell- als auch auf der Zielinstanz von vCenter Server identisch sein.
- Sie können eine verschlüsselte virtuelle vSphere Trust Authority-Maschine nicht auf einen nicht vertrauenswürdigen Host migrieren.
vMotion des vertrauenswürdigen Schlüsselanbieters und vCenter Server-übergreifendes vMotion
Der vertrauenswürdige Schlüsselanbieter bietet vollständige Unterstützung für vMotion über mehrere ESXi-Hosts hinweg.
vCenter Server übergreifendes vMotion wird mit den folgenden Einschränkungen unterstützt.
- Der benötigte vertrauenswürdige Dienst muss auf dem Zielhost konfiguriert und der Zielhost muss bestätigt werden.
- Die Verschlüsselung kann bei der Migration nicht geändert werden. Eine Festplatte kann beispielsweise nicht verschlüsselt werden, während die virtuelle Maschine auf den neuen Speicher migriert wird.
Bei der Durchführung von vCenter Server-übergreifendem vMotion überprüft vCenter Server, ob der vertrauenswürdige Schlüsselanbieter auf dem Zielhost verfügbar ist und ob der Host darauf zugreifen kann.
vMotion des vSphere Native Key Providers und vCenter Server-übergreifendes vMotion
vSphere Native Key Provider unterstützt vMotion und Verschlüsseltes vMotion für ESXi-Hosts. vCenter Server-übergreifendes vMotion wird unterstützt, wenn vSphere Native Key Provider auf dem Zielhost konfiguriert ist.
Verfahrensweise zum Aktivieren von verschlüsseltem vSphere vMotion auf Ihrer virtuellen Maschine
Beim Erstellen einer virtuellen Maschine können Sie verschlüsseltes vMotion aktivieren. Den verschlüsselten vMotion-Zustand können Sie zu einem späteren Zeitpunkt in den Einstellungen der virtuellen Maschine ändern. Sie können den verschlüsselten vMotion-Zustand jedoch nur für virtuelle Maschinen ändern, die nicht verschlüsselt sind.
Weitere Informationen zur Verschlüsselung von virtuellen Maschinen finden Sie unter Was ist verschlüsseltes vSphere vMotion.
Voraussetzungen
Verschlüsseltes vMotion wird nur in vSphere 6.5 und höher unterstützt.
