Quando si configura vSphere Trust Authority, è necessario tenere in considerazione i requisiti hardware e software. Per utilizzare la crittografia, è necessario impostare privilegi e ruoli di crittografia. L'utente che esegue attività di vSphere Trust Authority deve disporre dei privilegi appropriati.
Requisiti per vSphere Trust Authority
Per utilizzare vSphere Trust Authority, l'ambiente di vSphere deve soddisfare i seguenti requisiti:
- Requisiti hardware per gli host attendibili ESXi:
- TPM 2.0
- L'avvio sicuro deve essere abilitato
- Firmware EFI
- Requisiti dei componenti:
- vCenter Server 7.0 o versioni successive
- Un sistema vCenter Server dedicato per il cluster di vSphere Trust Authority e gli host ESXi
- Un sistema vCenter Server distinto per il cluster attendibile e gli host attendibili ESXi
- Un server di chiavi (denominato Key Management Server o KMS nelle versioni precedenti di vSphere)
- Requisiti delle macchine virtuali:
- Firmware EFI
- Avvio sicuro abilitato
vSphere Trust Authority e privilegi di crittografia
In vSphere Trust Authority non è presente alcun nuovo privilegio di crittografia. Gli stessi privilegi di crittografia descritti in Utilizzo dei privilegi e dei ruoli di crittografia valgono per vSphere Trust Authority.
vSphere Trust Authority e disattivazione della modalità di crittografia dell'host
vSphere Trust Authority non richiede alcun nuovo requisito per abilitare la modalità di crittografia dell'host negli host attendibili ESXi. Vedere Prerequisiti e privilegi necessari per le attività di crittografia della macchina virtuale per ulteriori informazioni sulle modalità di crittografia dell'host.
Utilizzo dei ruoli e del gruppo TrustedAdmins di vSphere Trust Authority
Le operazioni di vSphere Trust Authority richiedono che l'utente sia membro del gruppo TrustedAdmins. Questo utente viene denominato amministratore di Trust Authority. Gli amministratori di vSphere devono aggiungersi al gruppo TrustedAdmins oppure aggiungere altri utenti a tale gruppo per ottenere il ruolo di amministratore dell'infrastruttura attendibile. Il ruolo di amministratore dell'infrastruttura attendibile è necessario per l'autorizzazione di vCenter Server. Il gruppo TrustedAdmins è necessario per l'autenticazione negli host ESXi che fanno parte dell'infrastruttura attendibile. Gli utenti con privilegio per gli host ESXi possono gestire il cluster attendibile. Le autorizzazioni di vCenter Server non vengono propagate agli host di Trust Authority, ma solo agli host attendibili. Solo ai membri del gruppo TrustedAdmins vengono concessi i privilegi per gli host di Trust Authority. L'appartenenza al gruppo viene verificata nell'host ESXi stesso.
Dopo l'abilitazione di vSphere Trust Authority, gli amministratori di Trust Authority possono assegnare provider di chiavi attendibili agli host attendibili. Tali host attendibili possono quindi utilizzare i provider di chiavi attendibili per eseguire attività crittografiche.
Oltre al ruolo di Amministratore dell'infrastruttura attendibile, vSphere Trust Authority fornisce il ruolo Nessun amministratore di infrastruttura attendibile, che contiene tutti i privilegi di vCenter Server ad eccezione di quelli che richiamano le API di vSphere Trust Authority.
Gruppi, ruoli e utenti di vSphere Trust Authority funzionano come segue:
- Al primo avvio, vSphere concede al gruppo TrustedAdmins il ruolo di Amministratore dell'infrastruttura attendibile, che dispone di autorizzazioni globali.
- Il ruolo Amministratore di infrastruttura attendibile è un ruolo di sistema che dispone dei privilegi necessari per chiamare le API di vSphere Trust Authority (TrustedAdmin.*) e i privilegi di sistema System.Read, System.View e System.Anonymous per visualizzare gli oggetti di inventario.
- Il ruolo Nessun amministratore di infrastruttura attendibile è un ruolo di sistema che contiene tutti i privilegi di vCenter Server ad eccezione di quelli per chiamare le API di vSphere Trust Authority. Se si aggiungono nuovi privilegi in vCenter Server, vengono aggiunti anche al ruolo Nessun amministratore di infrastruttura attendibile. (Il ruolo Nessun amministratore di infrastruttura attendibile è simile al ruolo Amministratore senza crittografia).
- Poiché i privilegi di vSphere Trust Authority (API TrustedAdmin.*) non sono inclusi nel ruolo di Amministratore senza crittografia, gli utenti con questo ruolo non possono configurare un'infrastruttura attendibile o eseguire operazioni crittografiche.
I casi d'uso per questi utenti, gruppi e ruoli sono illustrati nella tabella seguente.
| Utente, gruppo o ruolo | Può chiamare l'API vCenter Server di vSphere Trust Authority (include le chiamate all'API ESXi di vSphere Trust Authority) | Può chiamare l'API vCenter Server di vSphere Trust Authority (non include le chiamate all'API ESXi di vSphere Trust Authority) | Può eseguire operazioni relative all'host in un cluster non correlato a vSphere Trust Authority | Commento |
|---|---|---|---|---|
| Utente sia del gruppo Administrators@system.domain sia del gruppo TrustedAdmins@system.domain | Sì | Sì | Sì | NA |
| Utente solo del gruppo TrustedAdmins@system.domain | Sì | Sì | No | Un utente di questo tipo non può eseguire normali operazioni di gestione dei cluster. |
| Utente solo del gruppo Administrators@system.domain | Sì | No | Sì | NA |
| Utente con ruolo di Amministratore dell'infrastruttura attendibile ma non incluso nel gruppo TrustedAdmins@system.domain | Sì | No | No | L'host ESXi verifica l'appartenenza dell'utente al gruppo per concedere le autorizzazioni. |
| Utente con il solo ruolo Nessun amministratore di infrastruttura attendibile | No | No | Sì | Tale utente è simile a un amministratore che non può eseguire le operazioni relative a vSphere Trust Authority. |
