ESXi 호스트를 증명하도록 vSphere 신뢰 기관 서비스를 구성하면 호스트에서 신뢰할 수 있는 암호화 작업을 수행할 수 있게 됩니다.
vSphere 신뢰 기관은 ESXi 호스트에 대한 원격 증명을 사용하여 부팅 소프트웨어의 신뢰성을 입증합니다. 증명은 ESXi 호스트가 정품 VMware 소프트웨어 또는 VMware에서 서명한 파트너 소프트웨어를 실행 중인지 확인합니다. 증명에서는 ESXi 호스트에 설치된 TPM(신뢰할 수 있는 플랫폼 모듈) 2.0 칩에 루팅되어 있는 측정값을 사용합니다. vSphere 신뢰 기관에서, ESXi는 증명이 된 후에만 암호화 키에 액세스할 수 있고 암호화 작업을 수행할 수 있습니다.
vSphere 신뢰 기관 용어집
vSphere 신뢰 기관에는 이해하고 있어야 하는 몇 가지 중요한 용어와 정의가 포함되어 있습니다.
| 용어 | 정의 |
|---|---|
| VMware vSphere® 신뢰 기관™ | 신뢰할 수 있는 인프라를 사용하도록 설정하는 서비스 집합을 지정합니다. 이는 ESXi 호스트가 신뢰할 수 있는 소프트웨어를 실행 중인지 확인하고 신뢰할 수 있는 ESXi 호스트에만 암호화 키가 릴리스되도록 합니다. |
| vSphere 신뢰 기관 구성 요소 | vSphere 신뢰 기관 구성 요소는 다음과 같습니다.
|
| 증명 서비스 | 원격 ESXi 호스트의 상태를 증명합니다. TPM 2.0을 사용하여 하드웨어 신뢰 루트를 설정하고 관리자가 승인한 ESXi 버전 목록에 대해 소프트웨어 측정값을 확인합니다. |
| 키 제공자 서비스 | 하나 이상의 키 서버를 캡슐화하고 가상 시스템을 암호화할 때 지정할 수 있는 신뢰할 수 있는 키 제공자를 노출합니다. 현재 키 서버는 KMIP 프로토콜로 제한됩니다. |
| 신뢰할 수 있는 인프라 | 신뢰할 수 있는 인프라는 다음으로 구성됩니다.
참고: 신뢰 기관 클러스터 및 신뢰할 수 있는 클러스터에 대해 별도의
vCenter Server 시스템을 사용해야 합니다.
|
| 신뢰 기관 클러스터 | vSphere 신뢰 기관 구성 요소(증명 서비스 및 키 제공자 서비스)를 실행하는 ESXi 호스트의 vCenter Server 클러스터로 구성됩니다. |
| 신뢰 기관 호스트 | vSphere 신뢰 기관 구성 요소(증명 서비스 및 키 제공자 서비스)를 실행하는 ESXi 호스트입니다. |
| 신뢰할 수 있는 클러스터 | 신뢰 기관 클러스터에 의해 원격으로 증명되는 신뢰할 수 있는 ESXi 호스트의 vCenter Server 클러스터로 구성됩니다. 꼭 필요한 것은 아니지만 구성된 키 제공자 서비스는 신뢰할 수 있는 클러스터에서 제공하는 값을 크게 증가시킵니다. |
| 신뢰할 수 있는 호스트 | 신뢰 기관 클러스터 증명 서비스에 의해 해당 소프트웨어가 검증된 ESXi 호스트입니다. 이 호스트는 신뢰 기관 클러스터 키 제공자 서비스에서 게시한 키 제공자를 사용하여 암호화할 수 있는 워크로드 가상 시스템을 실행합니다. |
| 가상 시스템에 대한 vSphere 암호화 | vSphere 가상 시스템 암호화를 사용하면 암호화된 가상 시스템을 생성하고 기존 가상 시스템을 암호화할 수 있습니다.
|
| 신뢰할 수 있는 키 제공자 | 단일 암호화 키를 키 서버에 캡슐화하는 키 제공자입니다. 암호화 키에 액세스하려면 ESXi 소프트웨어가 신뢰할 수 있는 호스트에서 확인되었음을 증명 서비스가 승인해야 합니다. |
| 표준 키 제공자 | 키 서버에서 암호화 키를 직접 가져와서 데이터 센터의 필수 호스트에 키를 배포하는 키 제공자입니다. vSphere에서 이전 명칭은 KMS 클러스터였습니다. |
| 키 서버 | 키 제공자와 연결된 KMIP KMS(키 관리 서버)입니다. |
| 워크로드 vCenter Server | 하나 이상의 신뢰할 수 있는 클러스터를 관리하고 구성하는 데 사용되는 vCenter Server입니다. |
vSphere 신뢰 기관 기본 사항
vSphere 신뢰 기관을 통해 다음을 할 수 있습니다.
- ESXi 호스트에 하드웨어 신뢰 루트 및 원격 증명 기능을 제공합니다.
- 증명된 ESXi 호스트에만 키를 릴리스하여 암호화 키 관리를 제한합니다.
- 신뢰 관리를 위한 더 나은 보안 관리 환경을 생성합니다.
- 다중 키 서버의 관리를 중앙 집중화합니다.
- 향상된 암호화 키 관리 수준으로 가상 시스템에서 암호화 작업을 계속 수행합니다.
vSphere 6.5 및 6.7에서, 가상 시스템 암호화는 vCenter Server를 통해 키 서버에서 암호화 키를 가져와 이를 필요에 따라 ESXi 호스트로 푸시합니다. vCenter Server는 VECS(VMware Endpoint 인증서 저장소)에 저장되는 클라이언트 및 서버 인증서를 사용하여 키 서버를 인증합니다. 키 서버로부터 전송되는 암호화 키는 vCenter Server 메모리를 통해 필수 ESXi 호스트로 전달됩니다(유선을 통해 TLS에서 제공되는 데이터 암호화 포함). 또한 vSphere는 vCenter Server에서 권한 확인을 통해 사용자 권한을 검증하고 키 서버 액세스 제한을 적용합니다. 이 아키텍처가 안전하기는 하지만 vCenter Server 손상, 악성 vCenter Server 관리자 또는 암호 유출 또는 도난으로 이어질 수 있는 관리 오류나 구성 오류의 가능성을 해결하지는 못합니다.
vSphere 7.0에서 vSphere 신뢰 기관은 이러한 문제점을 해결합니다. 안전하고 관리 가능한 ESXi 호스트 집합으로 구성된 신뢰할 수 있는 컴퓨팅 기반을 생성할 수 있습니다. vSphere 신뢰 기관은 신뢰하려는 ESXi 호스트에 대한 원격 증명 서비스를 구현합니다. 또한 vSphere 신뢰 기관은 TPM 2.0 증명 지원(6.7 릴리스부터 vSphere에 추가됨)을 개선하여 암호화 키에 대한 액세스 제한을 구현하고 가상 시스템 워크로드 암호 보호를 강화합니다. 이 외에도 vSphere 신뢰 기관은 권한 있는 신뢰 기관 관리자만 vSphere 신뢰 기관 서비스 및 신뢰 기관 호스트를 구성할 수 있도록 허용합니다. 신뢰 기관 관리자는 vSphere 관리자와 동일한 사용자이거나 별도의 사용자일 수 있습니다.
마지막으로 vSphere 신뢰 기관을 사용하면 다음을 통해 더 안전한 보안 환경에서 워크로드를 실행할 수 있습니다.
- 변조 감지
- 무단 변경 불허
- 멀웨어 및 수정 방지
- 민감한 워크로드가 확인되고 안전한 하드웨어 및 소프트웨어 스택에서만 실행되도록 제한
vSphere 신뢰 기관 아키텍처
다음 그림은 vSphere 신뢰 기관 아키텍처의 간단한 보기를 보여 줍니다.
이 그림에서:
- vCenter Server 시스템
별도의 vCenter Server 시스템이 신뢰 기관 클러스터 및 신뢰할 수 있는 클러스터를 관리합니다.
- 신뢰 기관 클러스터
vSphere 신뢰 기관 구성 요소를 실행하는 ESXi 호스트로 구성됩니다.
- 키 서버
암호화 작업이 수행될 때 키 제공자 서비스에서 사용하는 암호화 키를 저장합니다. 키 서버는 vSphere 신뢰 기관 외부에 있습니다.
- 신뢰할 수 있는 클러스터
TPM을 통해 원격으로 증명되고, 암호화된 워크로드를 실행하는 ESXi 신뢰할 수 있는 호스트로 구성됩니다.
- 신뢰 기관 관리자
vCenter Server 신뢰할 수 있는 관리자 그룹의 멤버이며, 신뢰할 수 있는 인프라를 구성하는 관리자입니다.
vSphere 신뢰 기관을 사용하면 유연한 방식으로 신뢰 기관 관리자를 지정할 수 있습니다. 그림의 신뢰 기관 관리자는 개별 사용자일 수 있습니다. 또한 신뢰 기관 관리자가 vCenter Server 시스템 전반에 연결된 자격 증명을 사용하는 동일 사용자일 수도 있습니다. 이 경우 동일한 사용자이며 동일한 신뢰할 수 있는 관리자 그룹입니다.
- VM 관리자
신뢰할 수 있는 호스트에서 암호화된 워크로드 가상 시스템을 관리할 수 있는 권한이 부여된 관리자입니다.
