Les tâches de chiffrement des machines virtuelles sont possibles uniquement dans les environnements qui incluent vCenter Server. En outre, le mode de chiffrement doit être activé sur l'hôte ESXi pour la plupart des tâches de chiffrement. L'utilisateur qui exécute la tâche doit disposer des privilèges appropriés. Un ensemble de privilèges Opérations de chiffrement permet d'effectuer un contrôle plus précis. Si des tâches de chiffrement de machines virtuelles nécessitent de modifier le mode de chiffrement de l'hôte, des privilèges supplémentaires sont requis.
Utilisation des privilèges de chiffrement et des rôles
- Ajoutez des privilèges Opérations de chiffrement.
Vous pouvez attribuer le rôle Administrateur sans droits de chiffrement à des vCenter Server administrateurs qui n'ont pas besoin de privilèges Opérations de chiffrement.
Pour imposer plus de limites à ce que les utilisateurs sont autorisés à faire, vous pouvez cloner le rôle Administrateur sans droits de chiffrement et créer un rôle personnalisé avec certains privilèges Opérations de chiffrement uniquement. Par exemple, vous pouvez créer un rôle qui permet aux utilisateurs de chiffrer des machines virtuelles, mais de ne pas les déchiffrer. Reportez-vous à la section Utilisation des rôles vCenter Server pour attribuer des privilèges.
Présentation du mode de chiffrement de l'hôte
Le mode de chiffrement de l'hôte détermine si un hôte ESXi est prêt à accepter du matériel cryptographique pour le chiffrage des machines virtuelles et des disques virtuels. Avant des opérations de chiffrement sur un hôte, le mode de chiffrement doit être activé. Le mode de chiffrement de l'hôte est souvent défini automatiquement lorsqu'il est requis, mais vous pouvez le définir explicitement. Vous pouvez vérifier et définir explicitement le mode de chiffrement de l'hôte actuel depuis vSphere Client ou à l'aide de vSphere API.
Lorsque le mode de chiffrement de l'hôte est activé, l'instance de vCenter Server installe une clé d'hôte sur l'hôte afin de garantir que celui-ci est « sécurisé » au niveau cryptographique. La clé d'hôte permet d'effectuer d'autres opérations cryptographiques. Elle permet notamment à l'instance de vCenter Server d'obtenir des clés à partir du fournisseur de clés et de les envoyer aux hôtes ESXi.
En mode « sécurisé », les vidages de mémoire des mondes d'utilisateur (autrement dit, hostd) et des machines virtuelles chiffrées sont chiffrés. Les vidages de mémoire des machines virtuelles non chiffrées ne sont pas chiffrés.
Pour plus d'informations sur les vidages de mémoire chiffrés et leur utilisation par le support technique de VMware, consultez l'article de la base de connaissances VMware à l'adresse https://kb.vmware.com/s/article/2147388.
Voir Activer explicitement le mode de chiffrement de l'hôte pour des instructions.
Une fois le mode de chiffrement de l'hôte défini, celui-ci ne peut pas être désactivé facilement. Reportez-vous à la section Désactiver le mode de chiffrement de l'hôte à l'aide de l'API.
Des modifications automatiques se produisent lorsque des opérations de chiffrement tentent de définir le mode de chiffrement de l'hôte. Supposez par exemple que vous ajoutez une machine virtuelle chiffrée à un hôte autonome. Le mode de chiffrement de l'hôte n'est pas défini. Si vous disposez des privilèges requis sur l'hôte, le mode de chiffrement est automatiquement défini.
Supposons qu'un cluster dispose de trois hôtes ESXi, A, B et C. Vous créez une machine virtuelle chiffrée sur l'hôte A. L'effet produit dépend de plusieurs facteurs.
- Si le mode de chiffrement de l'hôte est déjà défini pour les hôtes A, B et C, vous avez uniquement besoin des privilèges pour pouvoir créer la machine virtuelle.
- Si le chiffrement de l'hôte est défini pour les hôtes A et B, mais pas pour l'hôte C, le système procède de la manière suivante.
- Supposons que vous possédiez les privilèges et sur chaque hôte. Dans ce cas, le processus de chiffrement définit le mode de chiffrement de l'hôte sur l'hôte C et transmet la clé à chaque hôte du cluster.
Dans ce cas, vous pouvez également définir explicitement le mode de chiffrement de l'hôte sur l'hôte C.
- Supposons que vous disposiez des privilèges uniquement sur la machine virtuelle ou le dossier de machines virtuelles. Dans ce cas, la création de la machine virtuelle aboutit et la clé devient disponible sur l'hôte A et l'hôte B. Le chiffrement reste désactivé sur l'hôte C et il n'obtient pas la clé de la machine virtuelle.
- Supposons que vous possédiez les privilèges et sur chaque hôte. Dans ce cas, le processus de chiffrement définit le mode de chiffrement de l'hôte sur l'hôte C et transmet la clé à chaque hôte du cluster.
- Si le mode de chiffrement de l'hôte n'est défini sur aucun des hôtes et que vous disposez des privilèges sur l'hôte A, le processus de création de machine virtuelle définit le mode de chiffrement de l'hôte sur cet hôte. Dans le cas contraire, une erreur se produit pour les hôtes B et C.
- Vous pouvez également utiliser vSphere API pour définir le mode de chiffrement d'un cluster sur « Forcer l'activation ». « Forcer l'activation » garantit que tous les hôtes du cluster sont « sécurisés » au niveau du chiffrement, c'est-à-dire que vCenter Server a installé une clé d'hôte sur cet hôte. Reportez-vous à la section Guide de programmation de vSphere Web Services SDK.
Espace disque requis lors du chiffrement de machines virtuelles
Lorsque vous chiffrez une machine virtuelle existante, vous avez besoin d'au moins deux fois l'espace en cours d'utilisation par la machine virtuelle.
