Un serveur de gestion des clés externe, le système vCenter Server et vos hôtes ESXi sont les principaux composants de la solution Chiffrement des machines virtuelles vSphere.
Serveur de gestion des clés
vCenter Server demande des clés auprès d'un serveur de gestion des clés externe. Ce dernier génère et stocke les clés, et les transmet à vCenter Server pour distribution.
Vous pouvez utiliser vSphere Web Client ou vSphere API pour ajouter un cluster d'instances KMS au système vCenter Server. Si vous utilisez plusieurs instances KMS dans un cluster, toutes les instances doivent provenir du même fournisseur et doivent répliquer des clés.
Si votre environnement utilise différents fournisseurs KMS dans différents environnements, vous pouvez ajouter un cluster KMS pour chaque serveur de gestion des clés et spécifier un cluster KMS par défaut. Le premier cluster ajouté devient le cluster par défaut. Vous pouvez spécifier la valeur par défaut ultérieurement.
En tant que client KMIP, vCenter Server utilise le protocole KMIP (Key Management Interoperability Protocol) pour faciliter l'utilisation du serveur de gestion des clés de votre choix.
vCenter Server
Seul vCenter Server détient les informations d'identification pour établir la connexion au serveur de gestion des clés. Vos hôtes ESXi ne possèdent pas ces informations d'identification. vCenter Server obtient des clés du serveur de gestion des clés et les transmet aux hôtes ESXi. vCenter Server ne stocke pas les clés KMS mais conserve une liste des ID de clé.
vCenter Server vérifie les privilèges des utilisateurs qui effectuent des opérations de chiffrement. Vous pouvez utiliser vSphere Web Client pour attribuer des privilèges pour les opérations de chiffrement ou pour attribuer le rôle personnalisé Aucun administrateur de chiffrement aux groupes d'utilisateurs. Reportez-vous à Conditions préalables et privilèges requis pour les tâches de chiffrement.
vCenter Server ajoute des événements cryptographiques à la liste des événements que vous pouvez afficher et exporter à partir de la console des événements de vSphere Web Client. Chaque événement inclut l'utilisateur, l'heure, l'ID de clé et l'opération de chiffrement.
Les clés provenant du serveur de gestion des clés sont utilisées comme clés de chiffrement de clés (KEK).
Hôtes ESXi
Les hôtes ESXi sont responsables de plusieurs aspects du workflow de chiffrement.
- vCenter Server transmet les clés à un hôte ESXi lorsque ce dernier en a besoin. Le mode de chiffrement doit être activé pour l'hôte. Le rôle de l'utilisateur actuel doit inclure des privilèges d'opération de chiffrement. Reportez-vous aux sections Conditions préalables et privilèges requis pour les tâches de chiffrement et Privilèges d'opérations de chiffrement.
- Garantir que les données de l'invité pour les machines virtuelles chiffrées sont chiffrées lorsqu'elles sont stockées sur disque.
- Garantir que les données de l'invité pour les machines virtuelles chiffrées ne sont pas envoyées sur le réseau sans être chiffrées.
Les clés générées par l'hôte ESXi sont appelées clés internes dans ce document. Ces clés jouent généralement le rôle de clés de chiffrement de données (DEK).
