Le attività di crittografia della macchina virtuale sono possibili solo negli ambienti che includono vCenter Server. Per la maggior parte delle attività di crittografia, nell'host ESXi deve inoltre essere attivata la modalità di crittografia. L'utente che esegue l'attività deve disporre dei privilegi appropriati. Un set di privilegi Operazioni crittografiche consente un controllo granulare. Se le attività di crittografia della macchina virtuale richiedono la modifica della modalità di crittografia dell'host, sono necessari privilegi aggiuntivi.
Utilizzo dei privilegi e dei ruoli di crittografia
- Aggiunta dei privilegi Operazioni crittografiche.
È possibile assegnare il ruolo di Amministratore senza crittografia ad amministratori di vCenter Server che non necessitano dei privilegi Operazioni crittografiche.
Per imporre più limiti alle operazioni che gli utenti possono eseguire, è possibile clonare il ruolo di Amministratore senza crittografia e creare un ruolo personalizzato che includa solo alcuni dei privilegi Operazioni crittografiche. Ad esempio, è possibile creare un ruolo che consenta agli utenti di crittografare ma non di decrittografare le macchine virtuali. Vedere Utilizzo dei ruoli vCenter Server per assegnare privilegi.
Che cos'è la modalità di crittografia host
La modalità di crittografia dell'host determina se un host ESXi è pronto ad accettare materiale crittografico per la crittografia di macchine virtuali e dischi virtuali. Prima di poter eseguire qualsiasi operazione di crittografia in un host, è necessario attivare la modalità di crittografia. La modalità di crittografia dell'host viene spesso impostata automaticamente quando è necessario, ma è possibile impostarla esplicitamente. È possibile controllare e impostare esplicitamente la modalità di crittografia dell'host corrente da vSphere Client o utilizzando vSphere API.
Quando la modalità di crittografia dell'host è attivata, vCenter Server installa nell'host una chiave host, che garantisce che l'host sia "sicuro" dal punto di vista della crittografia. Con la chiave host installata, è possibile proseguire con le altre operazioni crittografiche, tra cui il recupero delle chiavi dal provider di chiavi e il push delle stesse negli host ESXi da parte di vCenter Server.
In modalità "sicura", i dump principali degli ambienti degli utenti (ovvero gli host) e delle macchine virtuali crittografate sono crittografati. I dump principali delle macchine virtuali non crittografate non sono crittografati.
Per ulteriori informazioni sui dump principali crittografati e sul modo in cui vengono utilizzati dal supporto tecnico di VMware, vedere l'articolo della Knowledge Base di VMware all'indirizzo https://kb.vmware.com/s/article/2147388.
Per istruzioni, vedere Attivazione esplicita della modalità di crittografia host.
Una volta che la modalità di crittografia host viene impostata, non è facile disattivarla. Vedere Disattivazione della modalità di crittografia host tramite l'API.
Quando le operazioni di crittografia tentano di impostare la modalità di crittografia host, vengono apportate modifiche automatiche. Si supponga ad esempio di aggiungere una macchina virtuale crittografata in un host autonomo. La modalità di crittografia host non è impostata. Se si dispone dei privilegi necessari nell'host, la modalità di crittografia viene impostata automaticamente.
Si supponga che un cluster includa tre host ESXi, host A, B e C. È possibile creare una macchina virtuale crittografata nell'host A. I risultati di questa azione dipendono da diversi fattori.
- Se negli host A, B e C è già impostata la modalità di crittografia host, per creare la macchina virtuale sono necessari solo i privilegi .
- Se gli host A e B sono impostati per la crittografia host e C non lo è, il sistema procede nel modo seguente.
- Si supponga di disporre di entrambi i privilegi e in ogni host. In questo caso, il processo di crittografia imposta la modalità di crittografia host nell'host C ed esegue il push della chiave in ogni host del cluster.
In questo caso, è anche possibile impostare esplicitamente la modalità di crittografia host nell'host C.
- Si supponga di disporre solo dei privilegi nella macchina virtuale o nella cartella della macchina virtuale. In questo caso la creazione della macchina virtuale riesce e la chiave diventa disponibile nell'host A e nell'host B. L'host C rimane disattivato per la crittografia e non dispone della chiave della macchina virtuale.
- Si supponga di disporre di entrambi i privilegi e in ogni host. In questo caso, il processo di crittografia imposta la modalità di crittografia host nell'host C ed esegue il push della chiave in ogni host del cluster.
- Se in nessuno degli host è impostata la modalità di crittografia e si dispone dei privilegi nell'host A, il processo di creazione della macchina virtuale imposta la modalità di crittografia host in tale host. In caso contrario, per gli host B e C si verifica un errore.
- È inoltre possibile utilizzare vSphere API per impostare la modalità di crittografia di un cluster in modo da "forzare l'abilitazione". Se si forza l'abilitazione, tutti gli host del cluster devono essere "sicuri" dal punto di vista della crittografia, ovvero vCenter Server deve aver installato una chiave host nell'host. Vedere Guida alla programmazione di vSphere Web Services SDK.
Requisiti di spazio su disco per la crittografia delle macchine virtuali
Quando si crittografa una macchina virtuale esistente, è necessario disporre di almeno il doppio dello spazio attualmente utilizzato dalla macchina virtuale.
