vSphere 7.0 업데이트 2 이상에서는 키 서버가 일시적으로 오프라인 상태이거나 사용할 수 없는 경우에도 암호화된 가상 시스템과 가상 TPM이 선택적으로 계속 작동할 수 있습니다. ESXi 호스트는 암호화 키를 계속 유지하여 암호화 및 vTPM 작업을 계속할 수 있습니다.
vSphere 7.0 업데이트 2 이전의 경우 암호화된 가상 시스템 및 vTPM을 사용하려면 키 서버가 항상 작동되어야 합니다. vSphere 7.0 업데이트 2 이상에서는 키 서버에 대한 액세스가 중단된 경우에도 암호화된 디바이스를 작동할 수 있습니다.
vSphere 7.0 업데이트 3 이상에서는 키 제공자에 대한 액세스가 중단된 경우에도 암호화된 vSAN 클러스터가 작동할 수 있습니다.
ESXi 호스트의 키 지속성 작동 방식
표준 키 제공자를 사용하는 경우 ESXi 호스트는 vCenter Server에 의존하여 암호화 키를 관리합니다. 신뢰할 수 있는 키 제공자를 사용하는 경우 ESXi 호스트는 신뢰 기관 호스트에 직접 의존하며 vCenter Server는 관련되지 않습니다. vSphere Native Key Provider는 키를 다르게 처리합니다. 자세한 내용은 다음 섹션을 참조하십시오.
ESXi 호스트는 키 제공자 유형에 관계없이 처음에 키를 가져와서 해당 키 캐시에 유지합니다. ESXi 호스트가 재부팅되면 해당 키 캐시가 손실됩니다. 그러면 ESXi 호스트가 키 서버(표준 키 제공자) 또는 신뢰 기관 호스트(신뢰할 수 있는 키 제공자)에서 키를 다시 요청합니다. ESXi 호스트에서 키를 가져오려고 할 때 그리고 키 서버가 오프라인 상태이거나 키 서버에 연결할 수 없는 경우 vTPM 및 워크로드 암호화는 작동하지 않습니다. 일반적으로 키 서버가 사이트에 배포되지 않는 Edge 형식 배포인 경우 키 서버에 대한 연결이 끊기면 암호화된 워크로드에 대한 불필요한 다운타임이 발생할 수 있습니다.
vSphere 7.0 업데이트 2 이상에서는 키 서버가 오프라인 상태이거나 키 서버에 연결할 수 없는 경우에도 암호화된 워크로드가 계속 작동할 수 있습니다. 호스트에 ESXi TPM이 있는 경우 재부팅 시 암호화 키가 TPM에 유지됩니다. 따라서 ESXi 호스트가 재부팅되어도 호스트에서 암호화 키를 요청할 필요가 없습니다. 또한 키가 TPM에 유지되므로 키 서버를 사용할 수 없는 경우에도 암호화 및 암호 해독 작업을 계속할 수 있습니다. 기본적으로 키 제공자에 따라 키 서버 또는 신뢰 기관 호스트를 사용할 수 없을 때에는 "키 서버 없이" 암호화된 워크로드를 계속 실행할 수 있습니다. 또한 마찬가지로 vTPM은 키 서버에 연결할 수 없는 경우에도 계속 작동할 수 있습니다.
키 지속성 및 vSphere Native Key Provider
vSphere Native Key Provider를 사용하는 경우 vSphere에서 암호화 키를 생성하며 키 서버가 필요하지 않습니다. ESXi 호스트는 다른 키를 파생시키는 데 사용되는 KDK(Key Derivation Key)를 가져옵니다. KDK를 수신하고 다른 키를 생성한 후 ESXi 호스트는 암호화 작업을 수행하기 위해 vCenter Server에 액세스할 필요가 없습니다. 기본적으로 vSphere Native Key Provider는 항상 "키 서버 없이" 실행됩니다.
KDK는 재부팅 후에도 기본적으로 ESXi 호스트에서 유지되며 호스트 재부팅 후 vCenter Server를 사용할 수 없는 경우에도 마찬가지입니다.
vSphere Native Key Provider를 사용하여 키 지속성을 활성화할 수 있지만 일반적으로 필요하지는 않습니다. ESXi 호스트에는 vSphere Native Key Provider에 대한 전체 액세스 권한이 있으므로 추가적인 키 지속성은 중복입니다. vSphere Native Key Provider를 사용하여 키 지속성을 활성화하는 한 가지 사용 사례는 표준 키 제공자(외부 KMIP 서버)도 구성된 경우입니다.
키 지속성을 설정하는 방법
키 지속성을 활성화하거나 비활성화하려면 ESXi 호스트에서 키 지속성 활성화 및 비활성화 항목을 참조하십시오.
