Puede configurar VMware Cloud Director en Linux para que usen módulos criptográficos validados por FIPS 140-2 y para que se ejecuten en modo conforme con FIPS.

El Estándar federal de procesamiento de información (FIPS) 140-2 es un estándar de los gobiernos de EE. UU. y Canadá que especifica los requisitos de seguridad para módulos criptográficos. El Programa de validación de módulos criptográficos (CMVP) de NIST valida los módulos criptográficos conformes con el estándar FIPS 140-2.

La conformidad con FIPS de VMware Cloud Director tiene como objetivo facilitar las actividades de cumplimiento y seguridad en varios entornos regulados. Para obtener más información sobre la conformidad con FIPS 140-2 de los productos de VMware, consulte https://www.vmware.com/security/certifications/fips.html.

En VMware Cloud Director, la criptografía validada por FIPS está desactivada de forma predeterminada. Al activar el modo FIPS, se configura VMware Cloud Director para que use módulos criptográficos validados por FIPS 140-2 y se ejecute en modo conforme con FIPS.

Importante: Cuando se activa el modo FIPS, la integración con VMware Aria Automation Orchestrator no funciona.

VMware Cloud Director usa los siguientes módulos criptográficos validados por FIPS 140-2:

  • BC-FJA (Bouncy Castle FIPS Java API) de VMware, versión 1.0.2.3: Certificado #3673 (bajo revisión de NIST para 1.0.2.3. Aprobado para la versión 1.0.2.1. Módulo Bouncy Castle FIPS correspondiente aprobado para la versión 1.0.2.3 según Certificado #3514)
  • VMware OpenSSL FIPS Object Module, versión 2.0.20-vmw: certificado #3857

Para obtener información sobre cómo activar el modo FIPS en el dispositivo de VMware Cloud Director, consulte Activar o desactivar el modo FIPS en el dispositivo de VMware Cloud Director.

Requisitos previos

  • Instale y active el conjunto de utilidades rng-tools. Consulte la https://wiki.archlinux.org/index.php/Rng-tools.
  • Si la recopilación de métricas está activada, compruebe que los certificados de Cassandra sigan el estándar de certificados X.509 v3 e incluyan todas las extensiones necesarias. Debe configurar Cassandra con los mismos conjuntos de claves de cifrado que usa VMware Cloud Director. Para obtener información sobre los cifrados SSL permitidos, consulte Administrar la lista de cifrados SSL permitidos.
  • Si desea utilizar el cifrado SAML, debe volver a generar uno de los pares de claves para las organizaciones existentes y volver a intercambiar los metadatos SAML. Las organizaciones creadas con VMware Cloud Director 10.2.x y versiones anteriores tienen dos pares de claves idénticos, y se debe volver a generar uno de los pares de claves. Las organizaciones creadas con VMware Cloud Director 10.3 y versiones posteriores tienen dos pares de claves distintos, y no es necesario volver a generar ninguno de ellos.

Procedimiento

  1. En el panel de navegación principal de la izquierda, seleccione Administración.
  2. En el panel izquierdo, en Configuración, seleccione SSL.
  3. Haga clic en Habilitar.
  4. Confirme que el entorno cumpla todos los requisitos previos para activar el modo FIPS.
    Si el entorno no cumple todos los requisitos previos antes de iniciar la configuración del modo FIPS, VMware Cloud Director puede volverse inaccesible.
  5. Para confirmar que desea iniciar el proceso, haga clic en Habilitar.
    Cuando finaliza la configuración, VMware Cloud Director muestra un mensaje para reiniciar las celdas de nube.
  6. Después de que VMware Cloud Director muestre el mensaje para reiniciar las celdas de nube, reinicie todas las celdas del grupo de servidores de VMware Cloud Director.

Qué hacer a continuación

  • Desactive el modo FIPS, haga clic en Deshabilitar y, después de que VMware Cloud Director indique que la configuración está lista, reinicie las celdas.
  • Puede ver el estado de FIPS de las celdas activas de VMware Cloud Director mediante el comando fips-mode de CMT. Consulte Ver el estado de FIPS de todas las celdas activas en la Guía de instalación, configuración y actualización de VMware Cloud Director.
  • Para evitar vulnerabilidades de inserción de encabezados de host, active la verificación de encabezados de host.
    1. Inicie sesión directamente o utilice un cliente SSH en la consola de VMware Cloud Director como raíz.
    2. Active la verificación de encabezados de host mediante la herramienta de administración de celdas.
      /opt/vmware/vcloud-director/bin/cell-management-tool manage-config -n vcloud.http.enableHostHeaderCheck -v true